Detta är en översättning. Vid skillnader gäller den engelska versionen. Detta personuppgiftsbiträdesavtal (”Avtalet”) utgör en del av villkoren mellan Avtalor AS, org.nr 916 048 092, Oslo (”Avtalor”, ”Personuppgiftsbiträdet”) och den verksamhet som använder tjänsten, antingen som företag med portal eller som leverantör (”Kunden”, ”den Personuppgiftsansvarige”). Avtalet reglerar Avtalors behandling av personuppgifter för Kundens räkning, i enlighet med dataskyddsförordningen (EU) 2016/679 (”GDPR”) och personopplysningsloven (den norska personuppgiftslagen). Vid motstridighet har detta Avtal företräde framför villkoren i frågor som rör behandling av personuppgifter.
Kunden är personuppgiftsansvarig för de personuppgifter som förs in i eller samlas in genom Kundens användning av tjänsten. Detta gäller både företag som skapar en portal för sina anställda och leverantörer som hanterar avtal och tar emot förfrågningar.
Avtalor är personuppgiftsbiträde och behandlar personuppgifterna endast enligt dokumenterade instruktioner från Kunden. Detta Avtal, villkoren och Kundens användning av funktionerna i tjänsten utgör de dokumenterade instruktionerna. Om Avtalor anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning underrättar vi Kunden utan onödigt dröjsmål.
Ändamålet med behandlingen är att leverera tjänsten: en portal där anställda hittar företagets avtal, där företaget och leverantörerna underhåller avtalsinnehållet och där aviseringar och utskick går till dem som har samtyckt.
Behandlingen omfattar insamling, lagring, strukturering, utlämnande genom överföring (e-post och aviseringar), sammanställning och radering. Behandlingen pågår så länge Kunden har en aktiv kundrelation och upphör vid export eller radering enligt punkt 9.
Registrerade: Kundens anställda och administratörer, leverantörers kontaktpersoner och personer som Kunden bjuder in till tjänsten.
Typer av uppgifter: namn, e-postadress, telefonnummer, befattning, kontorstillhörighet, historik över inloggningar och samtycken, push-token för mobila enheter samt användningsdata kopplade till avtal (visningar och klick, aggregerade där det är möjligt). Tjänsten är inte avsedd för särskilda kategorier av personuppgifter, och Kunden får inte föra in sådana uppgifter.
Kunden äger alla data som förs in i tjänsten, både personuppgifter och avtalsinnehåll. Avtalor gör inte anspråk på någon äganderätt.
Avtalor har en begränsad rätt att använda uppgifterna för att driva, skydda, felsöka och förbättra tjänsten. Förbättringar sker på aggregerad eller anonymiserad grund där det är möjligt. Avtalor säljer aldrig personuppgifter och använder dem inte för tredje parts marknadsföring.
Personer som är behöriga att behandla personuppgifterna hos Avtalor omfattas av tystnadsplikt genom avtal eller lagstadgad skyldighet.
Avtalor vidtar tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR, bland annat: kryptering av data under överföring och i vila, säkerhet på radnivå som skiljer kundernas data åt, rollbaserad åtkomstkontroll, oåterkallelig loggning av supportåtkomst och löpande säkerhetstestning av åtkomstreglerna i kodbasen.
Kunden ger ett allmänt förhandstillstånd till att Avtalor anlitar underbiträden. Vid planerade ändringar underrättar Avtalor Kunden minst 30 dagar i förväg så att Kunden kan invända.
Nuvarande underbiträden: Supabase (databas, autentisering och fillagring; data lagras inom EU/EES), Vercel (drift av webbapplikationen; EU-region för funktionskörning), Resend (utskick av e-post för Kundens räkning) och Anthropic (maskinläsning av avtalsdokument som Kunden laddar upp till AI-import; innehållet används inte för att träna modeller). Planerat underbiträde: Expo (650 Industries, Inc., USA; utskick av push-notiser till mobilappen, med enhetens push-token samt notisens rubrik, text och länk). Expo kommer att anlitas när push-notiser i appen lanseras, tidigast 30 dagar efter att Kunden har underrättats.
Om personuppgifter överförs till länder utanför EU/EES sker det endast med en giltig överföringsmekanism enligt kapitel V i GDPR, till exempel EU-kommissionens standardavtalsklausuler (SCC) eller ett beslut om adekvat skyddsnivå, med kompletterande åtgärder där det behövs.
Avtalor bistår Kunden, så långt det är möjligt och med hänsyn till behandlingens art, med att besvara begäranden från registrerade enligt kapitel III i GDPR (tillgång, rättelse, radering, dataportabilitet med mera). Mycket av detta kan Kundens anställda göra själva i tjänsten: se sina uppgifter, ladda ned dem och radera sitt konto.
Avtalor bistår även Kunden med att fullgöra skyldigheterna enligt artiklarna 32 till 36 i GDPR, inklusive konsekvensbedömningar avseende dataskydd och förhandssamråd med Datatilsynet (den norska dataskyddsmyndigheten), när Kunden begär det.
Vid en personuppgiftsincident underrättar Avtalor Kunden utan onödigt dröjsmål efter att ha fått kännedom om incidenten. Underrättelsen beskriver incidentens art, vilka registrerade och uppgifter som berörs, de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslås. Kunden ansvarar för eventuell anmälan till Datatilsynet och för information till de registrerade.
När kundrelationen upphör väljer Kunden om personuppgifterna ska återlämnas i ett strukturerat, allmänt använt och maskinläsbart format, eller raderas. Om inget aktivt val görs raderas uppgifterna senast 90 dagar efter upphörandet. Kopior i säkerhetskopior raderas i takt med att dessa roteras, senast efter ytterligare 35 dagar.
Avtalor får behålla uppgifter där lagring krävs enligt lag, till exempel räkenskapsinformation, men endast så länge och i den omfattning som lagen kräver.
Avtalor gör den information tillgänglig som krävs för att visa att skyldigheterna i artikel 28 i GDPR fullgörs, och möjliggör och bidrar till granskningar, inklusive inspektioner, som genomförs av Kunden eller av en granskare som Kunden har gett uppdraget. Granskningar aviseras skriftligen minst 14 dagar i förväg och genomförs så att de inte i onödan stör driften eller ger tillgång till andra kunders data.
Avtalet gäller så länge Avtalor behandlar personuppgifter för Kundens räkning. Avtalet regleras av norsk rätt, och Oslo tingrett (tingsrätten i Oslo) är avtalad behörig domstol, i enlighet med villkoren.