Personuppgiftsbiträdesavtal

Så ingås detta avtal

Parter är den juridiska person eller enskilda näringsidkare som skapar en arbetsyta i tjänsten (kunden, personuppgiftsansvarig) och Fentlig AB, org.nr 559557-6827 (Fentlig, personuppgiftsbiträde).

Avtalet ingås i elektronisk form (artikel 28.9 GDPR) när den som skapar kundens arbetsyta godkänner Fentligs användarvillkor och detta avtal vid registreringen. Den personen intygar att hen har behörighet att ingå avtalet för kundens räkning. Tidpunkten för godkännandet gäller som anslutningsdatum i bilaga I och ersätter underskrift. Användare som kunden senare bjuder in godkänner användarvillkoren för egen del; det ger inte upphov till något nytt biträdesavtal.

De val som standardavtalsklausulerna kräver av parterna är följande och utgör en del av klausulerna:

• Klausul 1 a (tillämplig förordning): Alternativ 1, artikel 28.3 och 28.4 i förordning (EU) 2016/679 (GDPR). Förordning (EU) 2018/1725 är inte tillämplig.
• Klausul 5 (dockningsklausul): frivillig, inte vald.
• Klausul 7.7 a (underleverantörer): Alternativ 2, allmänt skriftligt tillstånd. Tidsperioden är tio (10) kalenderdagar.
• Klausul 8 c 4: Alternativ 1, artikel 32 i förordning (EU) 2016/679.
• Klausul 9.1 b och 9.1 c: Alternativ 1, artikel 33.3 respektive artikel 34 i förordning (EU) 2016/679.

Förhållande till användarvillkoren

Detta avtal ingår i avtalet mellan kunden och Fentlig enligt användarvillkoren. Vid konflikt har standardavtalsklausulerna företräde (klausul 4). I frågor som klausulerna inte reglerar, däribland tillämplig lag och tvistlösning, gäller användarvillkoren.

Standardavtalsklausuler. Avsnitt I

Klausul 1. Syfte och tillämpningsområde

1. Syftet med dessa standardavtalsklausuler (klausulerna) är att säkerställa överensstämmelse med artikel 28.3 och 28.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.
2. De personuppgiftsansvariga och de personuppgiftsbiträden som anges i bilaga I har kommit överens om att tillämpa dessa klausuler för att säkerställa efterlevnaden av artikel 28.3 och 28.4 i förordning (EU) 2016/679 och/eller artikel 29.3 och 29.4 i förordning (EU) 2018/1725.
3. Dessa klausuler är tillämpliga på behandling av personuppgifter i enlighet med bilaga II.
4. Bilagorna I–IV utgör en integrerad del av klausulerna.
5. Dessa klausuler påverkar inte de skyldigheter som den personuppgiftsansvarige har enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.
6. Genom dessa klausuler säkerställs inte i sig att skyldigheterna i samband med internationella överföringar i enlighet med kapitel V i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 fullgörs.

Klausul 2. Klausulernas oföränderlighet

1. Parterna förbinder sig att inte ändra klausulerna, förutom för att lägga till information i bilagorna eller uppdatera informationen i dem.
2. Detta hindrar inte parterna från att inkludera de standardavtalsklausuler som fastställs i dessa klausuler i ett mer omfattande avtal eller att lägga till andra klausuler eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt strider mot klausulerna eller begränsar de registrerades grundläggande rättigheter eller friheter.

Klausul 3. Tolkning

1. Om de begrepp som definieras i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 används i dessa klausuler ska dessa begrepp ha samma betydelse som i den förordningen.
2. Dessa klausuler ska läsas och tolkas mot bakgrund av bestämmelserna i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725.
3. Dessa klausuler ska inte tolkas så att de strider mot de rättigheter och skyldigheter som föreskrivs i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 eller påverkar de registrerades grundläggande rättigheter eller friheter.

Klausul 4. Hierarki

Om dessa klausuler strider mot bestämmelser i tillhörande avtal mellan parterna som gäller vid den tidpunkt då dessa klausuler avtalas eller ingås därefter, ska dessa klausuler ha företräde.

Klausul 5. Dockningsklausul (frivillig, ej vald)

Klausul 5 är frivillig enligt standardavtalsklausulerna. Parterna har valt att inte tillämpa den; se avsnittet "Så ingås detta avtal".

Standardavtalsklausuler. Avsnitt II: Parternas skyldigheter

Klausul 6. Beskrivning av behandlingen

Närmare uppgifter om behandlingen, särskilt kategorierna av personuppgifter och de ändamål för vilka personuppgifterna behandlas för den personuppgiftsansvariges räkning, anges i bilaga II.

Klausul 7. Parternas skyldigheter

7.1 Instruktioner

1. Personuppgiftsbiträdet får endast behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av. I så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida detta inte är förbjudet med hänvisning till ett viktigt allmänintresse enligt denna rätt. Den personuppgiftsansvarige får även ge efterföljande instruktioner under hela den tid som personuppgifterna behandlas. Dessa instruktioner ska alltid dokumenteras.
2. Personuppgiftsbiträdet ska omedelbart informera den personuppgiftsansvarige om personuppgiftsbiträdet anser att en instruktion från den personuppgiftsansvarige strider mot förordning (EU) 2016/679 eller förordning (EU) 2018/1725 eller mot unionens eller medlemsstaternas tillämpliga dataskyddsbestämmelser.

7.2 Ändamålsbegränsning

Personuppgiftsbiträdet får behandla personuppgifterna endast för det eller de specifika ändamål med behandlingen som anges i bilaga II, såvida det inte erhåller ytterligare instruktioner från den personuppgiftsansvarige.

7.3 Varaktigheten för behandlingen av personuppgifter

Behandling som utförs av personuppgiftsbiträdet får endast äga rum under den tid som anges i bilaga II.

7.4 Säkerhet i samband med behandlingen

1. Personuppgiftsbiträdet ska åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga III för att säkerställa säkerheten för personuppgifterna. Detta omfattar att skydda uppgifterna mot säkerhetsincidenter som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömningen av lämplig säkerhetsnivå ska parterna ta vederbörlig hänsyn till den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerade.
2. Personuppgiftsbiträdet ska bevilja sin personal tillgång till de personuppgifter som behandlas endast i den mån det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Personuppgiftsbiträdet ska säkerställa att personer med behörighet att behandla de erhållna personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

7.5 Känsliga uppgifter

Om behandlingen omfattar personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller en persons sexualliv eller sexuella läggning eller uppgifter om fällande domar i brottmål och överträdelser (känsliga uppgifter), ska personuppgiftsbiträdet tillämpa särskilda begränsningar och/eller ytterligare skyddsåtgärder.

7.6 Dokumentation och efterlevnad

1. Parterna ska kunna visa att dessa klausuler följs.
2. Personuppgiftsbiträdet ska skyndsamt och på lämpligt sätt hantera förfrågningar från den personuppgiftsansvarige om behandlingen av uppgifter i enlighet med dessa klausuler.
3. Personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som behövs för att påvisa efterlevnad av de skyldigheter som fastställs i dessa klausuler och härrör direkt från förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725. På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet även tillåta och bidra till granskningar av den behandling som omfattas av dessa klausuler, med rimliga intervall eller om det finns tecken på bristande efterlevnad. Vid beslut om översyn eller granskning får den personuppgiftsansvarige ta hänsyn till relevanta certifieringar som personuppgiftsbiträdet innehar.
4. Den personuppgiftsansvarige kan välja att själv utföra granskningen eller bemyndiga en oberoende revisor. Granskningar får även omfatta inspektioner i personuppgiftsbiträdets lokaler eller fysiska anläggningar och ska vid behov utföras med rimligt varsel.
5. Parterna ska på begäran göra den information som avses i denna klausul, inklusive resultaten av eventuella granskningar, tillgänglig för den (de) behöriga tillsynsmyndigheten(-erna).

7.7 Användning av underleverantörer

1. ALTERNATIV 2: ALLMÄNT SKRIFTLIGT TILLSTÅND: Personuppgiftsbiträdet har erhållit ett allmänt tillstånd från den personuppgiftsansvarige att anlita underleverantörer från en överenskommen förteckning. Personuppgiftsbiträdet ska skriftligen informera den personuppgiftsansvarige om eventuella planerade ändringar av förteckningen genom att underleverantörer läggs till eller ersätts minst tio (10) dagar i förväg, så att den personuppgiftsansvarige får tillräckligt med tid för att kunna invända mot sådana ändringar innan den eller de berörda underleverantörerna anlitas. Personuppgiftsbiträdet ska tillhandahålla den personuppgiftsansvarige den information som krävs för att denne ska kunna utöva sin rätt att göra invändningar.
2. Om personuppgiftsbiträdet anlitar en underleverantör för att utföra en specifik behandling (för den personuppgiftsansvariges räkning) ska personuppgiftsbiträdet göra detta genom ett avtal som i sak ålägger underleverantören samma skyldigheter i fråga om uppgiftsskydd som de som personuppgiftsbiträdet åläggs i enlighet med dessa klausuler. Personuppgiftsbiträdet ska se till att underleverantören uppfyller de skyldigheter som personuppgiftsbiträdet omfattas av enligt dessa klausuler och förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.
3. På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet tillhandahålla den personuppgiftsansvarige en kopia av ett sådant underleverantörsavtal och eventuella senare ändringar. I den mån det är nödvändigt för att skydda affärshemligheter eller annan konfidentiell information, inbegripet personuppgifter, får personuppgiftsbiträdet redigera avtalstexten innan kopian delas.
4. Personuppgiftsbiträdet ska fortsatt vara fullt ut ansvarig gentemot den personuppgiftsansvarige för att underleverantören fullgör sina skyldigheter i enlighet med sitt avtal med personuppgiftsbiträdet. Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige om underleverantören underlåter att uppfylla sina skyldigheter enligt avtalet.
5. Personuppgiftsbiträdet och underleverantören ska avtala om en klausul om tredjepartsberättigande, enligt vilken den personuppgiftsansvarige, om personuppgiftsbiträdet har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd, ska ha rätt att säga upp underleverantörsavtalet och instruera underleverantören att radera eller återlämna personuppgifterna.

7.8 Internationella överföringar

1. Personuppgiftsbiträdet får endast överföra uppgifter till ett tredjeland eller en internationell organisation på grundval av dokumenterade instruktioner från den personuppgiftsansvarige eller för att uppfylla ett särskilt krav enligt unionsrätten eller en medlemsstats lagstiftning som personuppgiftsbiträdet omfattas av, och överföringen ska genomföras i enlighet med kapitel V i förordning (EU) 2016/679 eller förordning (EU) 2018/1725.
2. Den personuppgiftsansvarige samtycker till att, om personuppgiftsbiträdet anlitar en underleverantör i enlighet med klausul 7.7 för att utföra specifik behandling (för den personuppgiftsansvariges räkning) och denna behandling omfattar en överföring av personuppgifter i den mening som avses i kapitel V i förordning (EU) 2016/679, personuppgiftsbiträdet och underleverantören kan säkerställa att kapitel V i förordning (EU) 2016/679 efterlevs genom att använda standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 46.2 i förordning (EU) 2016/679, förutsatt att villkoren för att använda dessa standardavtalsklausuler är uppfyllda.

Klausul 8. Stöd till den personuppgiftsansvarige

1. Personuppgiftsbiträdet ska utan dröjsmål underrätta den personuppgiftsansvarige om varje begäran som erhållits från den registrerade. Personuppgiftsbiträdet ska inte själv besvara begäran, såvida inte den personuppgiftsansvarige har godkänt detta.
2. Personuppgiftsbiträdet ska hjälpa den personuppgiftsansvarige att fullgöra sin skyldighet att besvara framställningar från registrerade för att utöva sina rättigheter, med hänsyn till behandlingens art. Personuppgiftsbiträdet ska följa den personuppgiftsansvariges instruktioner när det fullgör sina skyldigheter i enlighet med leden a och b.
3. Utöver personuppgiftsbiträdets skyldighet att bistå den personuppgiftsansvarige enligt klausul 8 b ska personuppgiftsbiträdet dessutom bistå den personuppgiftsansvarige med att säkerställa att följande skyldigheter fullgörs, med beaktande av uppgiftsbehandlingens art och den information som personuppgiftsbiträdet har att tillgå:
   1. Skyldigheten att utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter (en konsekvensbedömning avseende dataskydd) om en typ av behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter.
   2. Skyldigheten att samråda med den (de) behöriga tillsynsmyndigheten(-erna) före behandling om en konsekvensbedömning avseende dataskydd visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.
   3. Skyldigheten att säkerställa att personuppgifterna är korrekta och uppdaterade genom att utan dröjsmål informera den personuppgiftsansvarige om personuppgiftsbiträdet får kännedom om att de personuppgifter som behandlas är felaktiga eller har blivit föråldrade.
   4. Skyldigheterna i [ALTERNATIV 1] artikel 32 i förordning (EU) 2016/679.
4. Parterna ska i bilaga III ange de lämpliga tekniska och organisatoriska åtgärder genom vilka personuppgiftsbiträdet ska bistå den personuppgiftsansvarige vid tillämpningen av denna klausul samt räckvidden och omfattningen av det bistånd som krävs.

Klausul 9. Anmälan av personuppgiftsincidenter

Vid en personuppgiftsincident ska personuppgiftsbiträdet samarbeta med och bistå den personuppgiftsansvarige för att denne ska kunna fullgöra sina skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679 eller artiklarna 34 och 35 i förordning (EU) 2018/1725, i tillämpliga fall, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå.

9.1 Personuppgiftsincidenter som rör uppgifter som behandlas av den personuppgiftsansvarige

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av den personuppgiftsansvarige ska personuppgiftsbiträdet bistå den personuppgiftsansvarige med att

1. anmäla personuppgiftsincidenten till den (de) behöriga tillsynsmyndigheten(-erna), utan onödigt dröjsmål efter det att den personuppgiftsansvarige har fått kännedom om den, i förekommande fall (med undantag för om det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter),

2. erhålla följande information som, i enlighet med [ALTERNATIV 1] artikel 33.3 i förordning (EU) 2016/679, ska anges i den personuppgiftsansvariges anmälan, och åtminstone ska omfatta

   1. personuppgifternas art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,
   2. de sannolika konsekvenserna av personuppgiftsincidenten,
   3. de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.

   Om och i den mån det inte är möjligt att tillhandahålla all denna information samtidigt ska den ursprungliga anmälan innehålla den information som finns tillgänglig, och ytterligare information ska därefter, i den mån den blir tillgänglig, tillhandahållas utan onödigt dröjsmål.

3. uppfylla, i enlighet med [ALTERNATIV 1] artikel 34 i förordning (EU) 2016/679, skyldigheten att utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten, om den sannolikt kommer att medföra en hög risk för fysiska personers rättigheter och friheter.

9.2 Personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet ska personuppgiftsbiträdet underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter det att personuppgiftsbiträdet har fått kännedom om incidenten. En sådan anmälan ska åtminstone innehålla

1. en beskrivning av incidentens art (inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade och uppgiftsposter som berörs),
2. uppgifter från en kontaktpunkt där mer information om personuppgiftsincidenten kan erhållas,
3. de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslagits för att åtgärda incidenten, inbegripet åtgärder för att mildra dess potentiella negativa effekter.

Om och i den mån det inte är möjligt att tillhandahålla all denna information samtidigt ska den ursprungliga anmälan innehålla den information som finns tillgänglig, och ytterligare information ska därefter, i den mån den blir tillgänglig, tillhandahållas utan onödigt dröjsmål.

Parterna ska i bilaga III ange alla andra uppgifter som personuppgiftsbiträdet ska tillhandahålla när denne bistår den personuppgiftsansvarige vid fullgörandet av den personuppgiftsansvariges skyldigheter enligt [ALTERNATIV 1] artiklarna 33 och 34 i förordning (EU) 2016/679.

Standardavtalsklausuler. Avsnitt III: Slutbestämmelser

Klausul 10. Bristande efterlevnad av klausulerna och uppsägning

1. Utan att det påverkar tillämpningen av bestämmelserna i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 får den personuppgiftsansvarige, om personuppgiftsbiträdet inte fullgör sina skyldigheter enligt dessa klausuler, instruera personuppgiftsbiträdet att avbryta behandlingen av personuppgifter till dess att denne uppfyller dessa klausuler eller avtalet sägs upp. Personuppgiftsbiträdet ska omedelbart underrätta den personuppgiftsansvarige om denne av något skäl inte kan följa dessa klausuler.
2. Den personuppgiftsansvarige ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter i enlighet med dessa klausuler om
   1. personuppgiftsbiträdets behandling av personuppgifter har avbrutits av den personuppgiftsansvarige i enlighet med led a och om efterlevnaden av dessa klausuler inte återställs inom rimlig tid och i alla händelser inom en månad efter det att behandlingen avbrutits,
   2. personuppgiftsbiträdet allvarligt eller ihållande åsidosätter dessa klausuler eller sina skyldigheter enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725,
   3. personuppgiftsbiträdet underlåter att följa ett bindande beslut från en behörig domstol eller den (de) behöriga tillsynsmyndigheten(-erna) som rör dennes skyldigheter i enlighet med dessa klausuler eller förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.
3. Personuppgiftsbiträdet ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter enligt dessa klausuler, om den personuppgiftsansvarige, efter att ha informerats av personuppgiftsbiträdet om att dennes instruktioner strider mot tillämpliga rättsliga krav i enlighet med klausul 7.1 b, insisterar på att instruktionerna följs.
4. Efter uppsägningen av avtalet ska personuppgiftsbiträdet, beroende på vad den personuppgiftsansvarige väljer, radera alla personuppgifter som behandlats för den personuppgiftsansvariges räkning och intyga för den personuppgiftsansvarige att detta är utfört, eller återlämna alla personuppgifter till den personuppgiftsansvarige och radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt. Till dess att uppgifterna raderas eller återlämnas ska personuppgiftsbiträdet säkerställa efterlevnaden av dessa klausuler.

Bilaga I. Förteckning över parter

Personuppgiftsansvarig

• Namn och organisationsnummer: den kund vars namn och organisationsnummer angavs när arbetsytan skapades.
• Adress: den adress kunden angett i tjänsten, eller i annat fall kundens registrerade adress hos Bolagsverket.
• Kontaktperson: de användare som har rollen ägare eller administratör i arbetsytan. Underrättelser enligt detta avtal skickas till deras e-postadresser.
• Dataskyddsombud: anges av kunden till info@fentlig.se om sådant finns.
• Underskrift och anslutningsdatum: elektroniskt godkännande enligt avsnittet "Så ingås detta avtal". Datumet lämnas ut till kunden på begäran.

Personuppgiftsbiträde

• Namn: Fentlig AB, org.nr 559557-6827
• Adress: Box 6185, 102 33 Stockholm
• Kontaktperson: verkställande direktör, info@fentlig.se
• Dataskyddsombud: inte utsett
• Underskrift och anslutningsdatum: samma datum som kundens godkännande

Bilaga II. Beskrivning av behandlingen

Vad avtalet omfattar. Avtalet omfattar de personuppgifter som kundens användare lägger in i tjänsten och de uppgifter Fentlig behöver för att ge dem tillgång till den. Uppgifter i offentliga upphandlingsannonser och upphandlingsdokument, till exempel kontaktpersoner hos upphandlande myndigheter, behandlar Fentlig för egen räkning som personuppgiftsansvarig, och detsamma gäller uppgifter för fakturering och bokföring. Den behandlingen beskrivs i integritetspolicyn och omfattas inte av detta avtal.

Kategorier av registrerade.

• Kundens anställda och konsulter som har användarkonton i tjänsten.
• Personer som kunden bjuder in till tjänsten.
• Personer som nämns i det kundens användare lägger in i tjänsten (anteckningar, kommentarer, frågor).

Kategorier av personuppgifter.

• Kontouppgifter: namn, e-postadress, titel, lösenord, roll i arbetsytan, telefonnummer om användaren lägger till det, tidpunkt för godkännande av villkoren.
• Sessions- och åtkomstuppgifter: sessionsidentifierare, IP-adress och webbläsarinformation vid inloggning och anrop.
• Bevakningar: vilka bevakningar och regler en användare skapat.
• Anbudsarbete: status, anteckningar, ansvarig person, självrapporterat utfall och kommentarer per upphandling och krav, med författare och tidpunkt.
• Frågor och svar som kundens användare lägger in på en annons.
• Aktivitetslogg: vem som gjorde vad och när i arbetsytan.
• Granskningslogg: när en medlem bjöds in, fick en annan roll eller togs bort, när en inbjudan drogs tillbaka, när en API-nyckel skapades eller återkallades, när ett lösenord byttes och när andra inloggningar avslutades, och vad Fentligs support gjorde i arbetsytan, med tidpunkt, IP-adress och webbläsarinformation. Supportens åtgärder anges som Fentlig support, med en kategori för skälet (supportärende, felsökning, säkerhet eller fakturering). Loggen lagrar identifierare, inte namn eller e-postadresser.
• Aviseringar och utskick: vilka sammanställningar en användare prenumererar på, och de e-postmeddelanden tjänsten skickar till användaren.
• API- och MCP-nycklar: nyckelns namn, vem som skapade den och när den använts.

Känsliga uppgifter. Tjänsten är inte avsedd för personuppgifter enligt artikel 9 eller 10 GDPR, och kunden instrueras att inte lägga in sådana. Förekommer de ändå i fritext skyddas de av åtgärderna i bilaga III; ingen särskild behandling utförs.

Behandlingens art. Lagring, visning, sökning och sammanställning inom kundens arbetsyta; utskick av e-post till kundens användare; utlämnande till kundens egna system via API-nycklar som kunden själv skapar och styr; säkerhetskopiering; loggning för drift och säkerhet; export och radering på kundens begäran. Ingenting som kundens användare lägger in i tjänsten skickas till någon språkmodell. Uppgifter i en kunds arbetsyta visas inte för andra kunder. Fentlig behandlar inte uppgifterna för egna ändamål; användningsstatistik tas fram endast i aggregerad eller anonymiserad form.

Ändamål. Att tillhandahålla och drifta den tjänst som beskrivs i användarvillkoren.

Behandlingens varaktighet. Så länge kundens avtal med Fentlig gäller. Kontouppgifter och arbetsytans innehåll raderas 90 dagar efter att avtalet upphört eller åtkomsten annars löpt ut. Under de 90 dagarna kan arbetsytan läsas och exporteras. På kundens skriftliga begäran raderas uppgifterna tidigare, eller återlämnas och raderas därefter, enligt klausul 10 d. Säkerhetskopior som innehåller uppgifterna upphör därefter inom säkerhetskopiornas normala rotation. Driftloggar sparas i 30 dagar. Granskningsloggen sparas i 12 månader och raderas tillsammans med arbetsytan.

Behandling som utförs av underleverantörer. Föremål, art och varaktighet anges per underleverantör i bilaga IV. En underleverantörs behandling avslutas senast när Fentligs egen behandling enligt detta avtal avslutas.

Bilaga III. Tekniska och organisatoriska åtgärder

Fentlig genomför följande åtgärder. En sammanfattning finns på /sakerhet.

Pseudonymisering och kryptering. All trafik mellan användare och tjänsten, och mellan tjänsten och dess underleverantörer, går över TLS 1.2 eller senare. Databas, fillagring och säkerhetskopior är krypterade i vila. Lösenord och API-nycklar lagras endast hashade.

Konfidentialitet, integritet, tillgänglighet och motståndskraft. Tjänsten körs på servrar i Stockholm. Interna system ligger bakom ett privat nät. Databasen kan bara nås med särskilda tjänstekonton; varje del av systemet har bara den behörighet den behöver. Dokument som hämtas från externa källor tolkas i en isolerad miljö utan åtkomst till kunddata. Servrar och beroenden patchas löpande, med säkerhetsrättelser först.

Åtskillnad mellan kunder. Varje läsning och skrivning av arbetsytans data avgränsas till kundens organisation i datalagret; att avgränsningen håller ingår i de automatiska tester som körs vid varje ändring av koden.

Återställning vid incident. Databasen säkerhetskopieras varje dygn och löpande däremellan, så att den kan återställas till en vald tidpunkt. Kopiorna är krypterade och lagras åtskilt från databasen. Fillagringen versionshanteras i 30 dagar. Återställningsförfarandet är dokumenterat.

Regelbunden testning och utvärdering. Automatiska tester och sårbarhetsskanning av beroenden och containrar körs före varje driftsättning. Åtkomster och behörigheter granskas vid varje förändring av personal eller roller och minst en gång per år.

Identifiering och behörighet. Användare loggar in med e-postadress och lösenord. Sessioner upphör senast sju dagar efter senaste aktivitet. Roller (ägare, administratör, medlem) styr vad en användare kan göra i arbetsytan. Vid misstanke om att ett konto inte tillhör den som uppger sig kan Fentlig kräva en extra verifiering via SMS.

Fysisk säkerhet. Servrarna står i ett datacenter i Stockholm med fysisk åtkomstkontroll, klimatövervakning och redundant kraft, enligt driftleverantörens publicerade säkerhetsdokumentation (leverantör enligt bilaga IV).

Loggning. Inloggningar och registreringsbeslut loggas. Loggarna innehåller inte det kunden lägger in i tjänsten. Driftloggar sparas i 30 dagar, längre endast för händelser i en pågående incidentutredning. Varje åtgärd som Fentligs personal gör med administrativ behörighet registreras i en granskningslogg som sparas i 24 månader; åtgärder i en kunds arbetsyta syns också i arbetsytans egen granskningslogg. Ändringar i arbetsytan skrivs i en aktivitetslogg som kunden själv kan läsa.

Systemkonfiguration. Driftkonfigurationen är versionshanterad. Inga onödiga tjänster exponeras; inkommande trafik begränsas av brandvägg.

Intern IT-säkerhet och personal. Driftåtkomst kräver personlig nyckel och sker över ett privat nät. Personalens administrativa åtkomst till tjänsten begränsas till vad var och en behöver för sin uppgift. Behörigheter ges efter behov och dras in vid avslut. Alla som arbetar i tjänsten omfattas av skriftlig sekretess. Nycklar och behörighetsuppgifter förvaras skyddat och loggas aldrig.

Uppgiftsminimering och datakvalitet. Endast uppgifter som behövs för att leverera och skydda tjänsten samlas in. Organisationsnummer kontrolleras mot offentliga register vid registreringen. Användare kan själva rätta sina kontouppgifter.

Begränsad lagring och radering. Lagringstider framgår av bilaga II. Kunden kan när som helst begära export och radering (klausul 10 d).

Underleverantörer. Aktuell förteckning i bilaga IV och på /underbitraden. Varje underleverantör är bunden av ett skriftligt avtal med motsvarande skyldigheter (klausul 7.7 b).

Ansvarsskyldighet. Fentlig för register över behandling enligt artikel 30 GDPR och dokumenterar intresseavvägningar och konsekvensbedömningar. Dokumentationen görs tillgänglig för kunden eller behörig tillsynsmyndighet på begäran, i den utsträckning den rör behandling enligt detta avtal.

Dataportabilitet. Kunden kan när som helst exportera arbetsytans innehåll i strukturerat, maskinläsbart format i tjänsten, även under de 90 dagar som följer på att åtkomsten upphört.

Åtgärder för att bistå den personuppgiftsansvarige. En begäran från en registrerad som når Fentlig vidarebefordras till kunden utan dröjsmål och besvaras inte av Fentlig utan kundens godkännande (klausul 8 a). Kundens frågor om behandlingen besvaras inom en månad. Fentlig bistår vid konsekvensbedömningar och förhandssamråd (artiklarna 35–36 GDPR), säkerhet i behandlingen (artikel 32) och anmälan av personuppgiftsincidenter (artiklarna 33–34). Vid en personuppgiftsincident underrättas kunden utan onödigt dröjsmål och senast inom 72 timmar från det att Fentlig fick kännedom om den, med den information som anges i klausul 9.2, via e-post till kontaktpersonerna i bilaga I.

Bilaga IV. Förteckning över underleverantörer

Den personuppgiftsansvarige har enligt klausul 7.7 a (alternativ 2, allmänt skriftligt tillstånd) godkänt följande underleverantörer. Samma förteckning, med datum för senaste ändring, finns på /underbitraden.

Ändringar och invändning. Fentlig meddelar kundens kontaktpersoner enligt bilaga I via e-post minst tio (10) kalenderdagar innan en ny underleverantör börjar behandla personuppgifter enligt detta avtal, med underleverantörens namn, ändamål, plats och överföringsgrund samt datum för ikraftträdande. Invänder kunden med angivande av skäl inom tiden skjuts ändringen upp för kunden medan Fentlig söker en alternativ lösning. Finns ingen får kunden säga upp avtalet med omedelbar verkan utan kostnad för återstående avtalstid. Att en underleverantör tas bort från förteckningen kräver ingen förhandsanmälan. Detta stycke är ett tillägg enligt klausul 2 b och begränsar inte klausul 7.7.

Frågor och ändringar

Frågor om avtalet, begäran om undertecknad kopia eller om kopior av underleverantörsavtal (klausul 7.7 c): info@fentlig.se.

Standardavtalsklausulerna ändras inte (klausul 2). Bilagorna uppdateras när tjänsten eller underleverantörerna ändras; ändringar av underleverantörer följer förfarandet i bilaga IV. En ny version publiceras på denna sida med nytt datum under "Senast uppdaterad", och kundens användare ombeds bekräfta den vid nästa inloggning.