Personuppgiftsbiträdesavtal

Avtalet gäller mellan det företag som har ett konto i Kalvsvik (Kunden, den personuppgiftsansvarige) och XMarginAI AB, org.nr 559567-6239, som driver Kalvsvik (Kalvsvik, personuppgiftsbiträdet). Kunden och Kalvsvik kallas var för sig Part och tillsammans Parterna.

Avtalet reglerar Kalvsviks behandling av personuppgifter för Kundens räkning när Kalvsvik levererar tjänsten enligt användarvillkoren (Kundavtalet). Syftet är att uppfylla kraven i artikel 28.3 i dataskyddsförordningen och att skydda de registrerades fri- och rättigheter.

Avtalet bygger på EU-kommissionens standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden enligt genomförandebeslut (EU) 2021/915, anpassade till Tjänsten. Avtalet består av det här dokumentet och bilagorna 1 till 3, som ingår i avtalet. Vid motstridighet gäller dokumentet före bilagorna.

Avtalet är en del av Kundavtalet. I frågor som rör behandlingen av personuppgifter gäller avtalet före användarvillkoren och andra överenskommelser mellan Parterna.

Begrepp som används i avtalet har den betydelse som anges i dataskyddsförordningen. Därutöver gäller följande.

Kalvsvik behandlar Personuppgifterna bara för att leverera Tjänsten till Kunden enligt Kundavtalet, det vill säga för att lagra, läsa och visa handlingar som Kunden laddar upp eller kopplar, analysera dem med AI och skicka notiser till Kundens användare. Behandlingens föremål, art och ändamål, typerna av personuppgifter och kategorierna av registrerade beskrivs i bilaga 1.

Behandlingen pågår så länge Kundavtalet gäller och därefter under den tid som avsnitt 14 anger.

Kalvsvik använder inte Personuppgifterna för egna ändamål och tränar inga AI-modeller på dem. Statistik om hur Tjänsten används tas bara fram i aggregerad och avidentifierad form, så som Kundavtalet anger.

Kunden ansvarar för att det finns en rättslig grund för behandlingen, att de registrerade har fått den information Dataskyddslagstiftningen kräver och att Kunden får lämna Personuppgifterna till Kalvsvik.

Kunden ansvarar för att Instruktionerna är lagliga och meddelar Kalvsvik utan dröjsmål om ändringar i behandlingen som påverkar Kalvsviks skyldigheter enligt avtalet.

Kunden låter inte Kalvsvik behandla känsliga personuppgifter enligt artikel 9 eller uppgifter om lagöverträdelser enligt artikel 10 i dataskyddsförordningen utan att Parterna skriftligen har kommit överens om det och om de ytterligare skyddsåtgärder som då krävs. Finns sådana uppgifter i en handling som Kunden laddar upp ansvarar Kunden för att behandlingen är tillåten.

Kunden ansvarar för sina användares konton, roller och behörigheter i Tjänsten och för de val användarna gör, till exempel vilka handlingar som laddas upp och vilka kopplingar som ansluts.

Kalvsvik behandlar Personuppgifterna bara enligt Kundens dokumenterade Instruktioner, även vid överföring till Tredje land, om inte unionsrätten eller svensk rätt kräver annat. I så fall meddelar Kalvsvik Kunden om det rättsliga kravet innan behandlingen, om inte lagen förbjuder det.

Anser Kalvsvik att en Instruktion strider mot Dataskyddslagstiftningen meddelar Kalvsvik Kunden utan dröjsmål och får avvakta med behandlingen tills Kunden har bekräftat eller ändrat Instruktionen.

Kalvsvik behandlar Personuppgifterna bara för de ändamål som anges i bilaga 1 och ser till att de personer som behandlar Personuppgifterna gör det bara på Kalvsviks uppdrag, har den utbildning som behövs och har åtagit sig sekretess enligt avsnitt 6.

Kalvsvik ger åtkomst till Personuppgifterna bara till den personal som behöver den för att leverera, driva eller ge support på Tjänsten. Supportens åtkomst till Kundens konto sker genom en visning som loggas och syns för Kundens användare.

Kalvsvik håller sig informerat om Dataskyddslagstiftningen och tillsynspraxis som gäller behandlingen, för register över behandlingen enligt artikel 30.2 i dataskyddsförordningen och kan på begäran visa att skyldigheterna enligt avtalet fullgörs.

Begär en registrerad, en myndighet eller någon annan uppgifter om behandlingen direkt från Kalvsvik hänvisar Kalvsvik till Kunden och informerar Kunden utan dröjsmål, om inte lagen förbjuder det. Kalvsvik lämnar inte ut Personuppgifter till tredje part utan Kundens skriftliga godkännande, utom när lag eller myndighetsbeslut kräver det.

Kalvsvik och alla som arbetar under Kalvsviks ledning iakttar sekretess och tystnadsplikt om Personuppgifterna. Personuppgifterna får inte användas eller röjas för andra ändamål än avtalets, varken under avtalstiden eller efter att avtalet har upphört.

Kalvsvik ser till att personalen är bunden av sekretessförbindelser och att motsvarande sekretess gäller hos Underbiträdena.

Kalvsvik vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i dataskyddsförordningen för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, med hänsyn till den senaste utvecklingen, kostnaderna och behandlingens art, omfattning, sammanhang och ändamål. Åtgärderna beskrivs i bilaga 2.

Kalvsvik får utveckla och ändra åtgärderna, men inte så att säkerhetsnivån sänks under vad bilaga 2 anger. En aktuell översikt finns på sidan Säkerhet och data, och väsentliga ändringar meddelas Kunden enligt avsnitt 15.

Begär Kunden ytterligare säkerhetsåtgärder utöver bilaga 2 räknas det som en ny Instruktion. Parterna kommer då överens om genomförande och eventuell ersättning innan åtgärden införs.

Kalvsvik bistår Kunden med lämpliga tekniska och organisatoriska åtgärder så att Kunden kan svara på de registrerades begäran om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning enligt kapitel III i dataskyddsförordningen. Det mesta kan Kundens administratör göra direkt i Tjänsten, till exempel exportera företagets data eller ta bort en användare.

Kalvsvik bistår Kunden med den information Kalvsvik har tillgång till så att Kunden kan fullgöra sina skyldigheter enligt artiklarna 32 till 36 i dataskyddsförordningen, det vill säga säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning och förhandssamråd.

Bistånd enligt 8.1 och 8.2 ingår utan kostnad i den omfattning som är normal för Tjänsten. Kräver en begäran betydande arbete som inte beror på Kalvsvik får Kalvsvik skälig ersättning för arbetet, efter att Kunden har godkänt en uppskattning av kostnaden.

Kalvsvik underrättar Kunden utan onödigt dröjsmål, och senast inom 24 timmar, efter att Kalvsvik har fått kännedom om en Personuppgiftsincident som rör Personuppgifterna. Underrättelsen går med e-post till Kundens administratörer.

Underrättelsen beskriver incidentens art, om möjligt kategorierna och det ungefärliga antalet registrerade och personuppgiftsposter som berörs, de sannolika konsekvenserna, de åtgärder som har vidtagits eller föreslås och en kontaktpunkt hos Kalvsvik. Finns inte all information vid den första underrättelsen lämnas den i omgångar utan onödigt ytterligare dröjsmål.

Kalvsvik bistår Kunden med den information Kunden behöver för att anmäla incidenten till IMY inom 72 timmar och för att informera de registrerade, dokumenterar incidenten och vidtar åtgärder för att begränsa skadan och förhindra att den upprepas.

Kalvsvik kan återställa tillgången till Personuppgifterna i rimlig tid vid en fysisk eller teknisk incident, med hjälp av de säkerhetskopior som beskrivs i bilaga 2.

Kunden ger Kalvsvik ett allmänt skriftligt förhandstillstånd att anlita Underbiträden för behandlingen. De Underbiträden som anlitas när avtalet börjar gälla står i bilaga 3, med tjänst, plats för behandlingen och grund för eventuell överföring till Tredje land.

Innan Kalvsvik anlitar ett nytt Underbiträde eller byter ut ett befintligt meddelar Kalvsvik Kundens administratörer med e-post eller i Tjänsten minst 30 dagar i förväg, med Underbiträdets namn, tjänst, plats för behandlingen och grund för eventuell överföring.

Kunden får invända skriftligen inom 30 dagar från meddelandet, med sakliga skäl som rör dataskydd. Parterna försöker då i god anda hitta en lösning, till exempel att Kalvsvik avstår från att använda Underbiträdet för Kundens uppgifter. Går det inte får Kunden säga upp Kundavtalet till den dag ändringen börjar gälla, utan kostnad utöver avgiften fram till den dagen. Invänder Kunden inte inom tiden anses ändringen godkänd.

Kalvsvik ingår ett skriftligt avtal med varje Underbiträde som ålägger Underbiträdet skyldigheter som i allt väsentligt motsvarar Kalvsviks skyldigheter enligt detta avtal, särskilt i fråga om sekretess, säkerhet och bistånd. Kalvsvik ansvarar fullt ut gentemot Kunden för Underbiträdets behandling.

På Kundens begäran lämnar Kalvsvik en kopia av de delar av avtalet med Underbiträdet som rör dataskydd. Affärshemligheter och priser får maskas.

Drift, databas och filer finns i Sverige. Kalvsvik överför Personuppgifter till Tredje land, eller låter ett Underbiträde göra det, bara när det behövs för Tjänsten och bara till de Underbiträden som anges i bilaga 3 eller har meddelats enligt avsnitt 10.

Varje överföring till Tredje land sker enligt kapitel V i dataskyddsförordningen, med stöd av ett beslut om adekvat skyddsnivå, EU-kommissionens standardavtalsklausuler för överföring till tredjeländer enligt genomförandebeslut (EU) 2021/914 eller en annan giltig överföringsmekanism, och efter en bedömning av om lagen i mottagarlandet påverkar skyddet. Krävs det vidtar Kalvsvik kompletterande skyddsåtgärder, till exempel kryptering och att bara de utdrag som behövs för uppgiften överförs.

Förklaras en överföringsmekanism ogiltig ser Kalvsvik till att behandlingen i Tredje land utan dröjsmål grundas på en annan giltig mekanism, eller upphör.

Kunden ger Kalvsvik i uppdrag att för Kundens räkning ingå standardavtalsklausuler med Underbiträden i Tredje land när det behövs.

Kalvsvik ger Kunden tillgång till den information som behövs för att visa att skyldigheterna i artikel 28 i dataskyddsförordningen och i avtalet fullgörs, i första hand genom bilaga 2, sidan Säkerhet och data, Kundens egen export av data och svar på skriftliga frågor.

Kunden, eller en oberoende granskare som Kunden utser och som är bunden av sekretess, får granska Kalvsviks efterlevnad av avtalet, inklusive genom inspektion, högst en gång per år och därutöver när en Personuppgiftsincident eller ett krav från en tillsynsmyndighet ger anledning till det. Kunden meddelar granskningen skriftligen minst 30 dagar i förväg med omfattning och tidpunkt. Granskningen genomförs på vardagar under kontorstid, stör inte driften mer än nödvändigt och ger inte tillgång till andra kunders uppgifter.

Har en oberoende granskare under de senaste tolv månaderna granskat de kontroller Kunden vill granska, och Kalvsvik lämnar rapporten, godtar Kunden rapporten i stället för en egen granskning av samma kontroller.

Varje Part bär sina egna kostnader för granskningen. Visar granskningen väsentliga brister hos Kalvsvik bär Kalvsvik Kundens skäliga kostnader.

Kalvsvik ger IMY och andra behöriga myndigheter möjlighet till tillsyn enligt lag och meddelar Kunden om tillsyn som rör Personuppgifterna, om inte lagen förbjuder det.

För skadestånd till en registrerad på grund av behandling som strider mot Dataskyddslagstiftningen gäller artikel 82 i dataskyddsförordningen. En Part som har betalat skadestånd till en registrerad har rätt att av den andra Parten återfå den del som motsvarar den andra Partens ansvar för skadan.

Sanktionsavgifter enligt artikel 83 i dataskyddsförordningen eller 6 kap. lagen (2018:218) bärs av den Part som avgiften har påförts.

Mellan Parterna ansvarar varje Part för skada som beror på Partens eget brott mot avtalet eller Dataskyddslagstiftningen. Undantaget för indirekt skada i avsnittet Ansvarsbegränsning i användarvillkoren gäller även här. Beloppstaket i det avsnittet gäller däremot inte för ansvaret enligt detta avtal, så som användarvillkoren anger. Begränsningarna gäller inte vid uppsåt eller grov vårdslöshet.

Får en Part kännedom om något som kan leda till skada för den andra Parten informerar den utan dröjsmål och medverkar till att begränsa skadan.

Avtalet gäller från den dag Kundens administratör godkänner det i Tjänsten, eller från den dag Kunden börjar använda Tjänsten om det sker tidigare, och så länge Kalvsvik behandlar Personuppgifter för Kundens räkning. Avtalet upphör när Kundavtalet upphör, med undantag för de skyldigheter som enligt sin natur består, bland annat sekretess, ansvar och radering.

Innan Kundavtalet upphör kan Kundens administratör exportera allt som hör till företaget som en zip-fil i Tjänsten. Kunden väljer därmed själv om Personuppgifterna ska återlämnas på det sättet.

Senast 30 dagar efter att Kundavtalet har upphört raderar Kalvsvik Personuppgifterna och alla kopior, även hos Underbiträdena, om inte unionsrätten eller svensk rätt kräver fortsatt lagring. Kopior i säkerhetskopior skrivs över inom 90 dagar och används inte för något annat än återställning. Efter en pilot som inte fortsätter raderas kontot 30 dagar efter pilotens slut, så som Kundavtalet anger.

På Kundens begäran bekräftar Kalvsvik skriftligen att raderingen är genomförd. Uppgifter som måste sparas enligt lag, till exempel fakturaunderlag enligt bokföringslagen, sparas bara så länge lagen kräver och behandlas inte för andra ändamål.

Bryter en Part väsentligt mot avtalet och rättar inte inom 30 dagar efter skriftlig anmaning får den andra Parten säga upp Kundavtalet med omedelbar verkan. Kunden får också instruera Kalvsvik att avbryta behandlingen tills bristen är åtgärdad.

Kalvsvik får ändra avtalet när Dataskyddslagstiftningen, tillsynspraxis, Underbiträdena eller Tjänsten kräver det. Kunden får besked i Tjänsten eller med e-post till sina administratörer minst 30 dagar innan en ändring börjar gälla, utom när en ändring krävs av lag eller myndighetsbeslut med kortare varsel.

Försämrar en ändring skyddet för Personuppgifterna och godtar Kunden den inte får Kunden säga upp Kundavtalet till den dag ändringen börjar gälla. En ny version godkänns av Kundens administratör vid nästa inloggning. Datumet överst visar vilken version som gäller, och tidigare versioner finns att få från Kalvsvik.

Andra ändringar och tillägg ska vara skriftliga och godkända av båda Parterna.

Avtalet godkänns elektroniskt av Kundens första administratör när företagets konto skapas, tillsammans med användarvillkoren. Tidpunkt, användare och version loggas i Tjänsten och visas för Kundens administratörer under Inställningar. Den som godkänner intygar att hen får göra det för Kundens räkning.

Avtalet finns på svenska och engelska. Vid skillnader gäller den svenska versionen.

Svensk rätt gäller för avtalet. Tvister som Parterna inte löser genom samtal avgörs av Stockholms tingsrätt, så som Kundavtalet anger.

Meddelanden enligt avtalet skickas skriftligen, till Kunden i Tjänsten eller till administratörernas e-postadresser, och till Kalvsvik till contact@kalvsviklabs.com.

Kundens Instruktioner om behandlingens föremål, art och ändamål, kategorierna av personuppgifter och registrerade, och behandlingens varaktighet och plats.

De tekniska och organisatoriska åtgärder Kalvsvik vidtar enligt avsnitt 7. De gäller Tjänsten i dag och utvecklas löpande. En aktuell översikt finns på sidan Säkerhet och data.

De Underbiträden Kalvsvik anlitar när avtalet börjar gälla. Kalvsvik anlitar underbiträden för drift och lagring, AI-modeller, e-post, inloggning, felövervakning och support. De behandlar uppgifterna bara för Kalvsviks räkning, enligt skriftliga personuppgiftsbiträdesavtal och med åtkomst till bara de uppgifter som behövs för uppgiften.

Underbiträdena är bundna av skriftliga avtal enligt avsnitt 10. Kalvsvik anlitar inga andra underbiträden för Personuppgifterna. Ändringar meddelas minst 30 dagar i förväg, och den aktuella listan finns alltid i den senaste versionen av det här avtalet.

Frågor om avtalet, nya Instruktioner, invändningar mot underbiträden och begäran om granskning skickas till contact@kalvsviklabs.com