Biträdesavtal
Personuppgiftsbiträdesavtal för MinaAvtal
Detta personuppgiftsbiträdesavtal (”Biträdesavtalet”) reglerar Mooseify AB:s behandling av personuppgifter för kundens räkning när kunden använder MinaAvtal. Biträdesavtalet är en del av användarvillkoren och gäller så snart kunden accepterar villkoren eller börjar använda tjänsten med egna uppgifter. Det kan även undertecknas separat på begäran.
1. Parter och roller
Personuppgiftsbiträde: Mooseify AB, org.nr 559075-8792, Spetsvägen 13, 132 36 Saltsjö-Boo (”Biträdet”).
Personuppgiftsansvarig: den kund, med organisationsnummer och uppgifter som anges vid kontoregistreringen, som använder MinaAvtal för uppgifter i sina egna avtal (”Kunden”).
Kunden är personuppgiftsansvarig för de personuppgifter som Kunden lägger in eller laddar upp i tjänsten. Biträdet behandlar dessa uppgifter endast för Kundens räkning och enligt Kundens instruktioner. För konto-, kontakt-, betalnings- och webbplatsuppgifter som Biträdet självt bestämmer ändamål och medel för är Biträdet personuppgiftsansvarig enligt integritetspolicyn.
2. Föremål, varaktighet, art och ändamål
- Föremål: behandling av personuppgifter som krävs för att tillhandahålla MinaAvtal – en arbetsyta för att samla avtal och tydliggöra datum, kostnader, risk, ansvar och nästa åtgärd.
- Varaktighet: så länge Kunden har ett konto eller ett pågående avtal om tjänsten, samt den efterföljande period som behövs för radering eller återlämnande enligt punkt 9.
- Behandlingens art: lagring, strukturering, automatiserad och AI-stödd tolkning av avtalstext, framräkning av datum och påminnelser, visning i gränssnittet, export samt radering.
- Ändamål: att leverera tjänsten, ge support och upprätthålla säkerhet och drift. Behandling för Biträdets egna ändamål förekommer inte.
3. Kategorier av registrerade och personuppgifter
Vilka uppgifter som behandlas bestäms av Kunden genom vad Kunden väljer att lägga in. Typiskt omfattas:
- Registrerade: Kundens anställda och användare, kontaktpersoner hos Kundens motparter och leverantörer, samt personer som nämns i uppladdade avtal.
- Uppgiftskategorier: namn, titel/roll, e-post, telefonnummer, arbetsgivare, underskrifter samt innehåll i avtal och bilagor som Kunden laddar upp.
- Särskilda kategorier: tjänsten är inte avsedd för känsliga personuppgifter. Kunden ska inte ladda upp material vars huvudsakliga innehåll är känsliga personuppgifter enligt artikel 9 GDPR.
4. Kundens instruktioner
Biträdet behandlar personuppgifter endast enligt dokumenterade instruktioner från Kunden. Dessa villkor, tjänstens inställningar och funktioner samt Kundens användning av tjänsten utgör Kundens fullständiga instruktion vid avtalets ingående. Ytterligare eller avvikande instruktioner ska lämnas skriftligen och kan påverka pris eller möjligheten att leverera tjänsten.
Biträdet informerar Kunden om Biträdet anser att en instruktion strider mot dataskyddsregler. Biträdet behandlar inte uppgifterna för något annat ändamål och överför dem inte till tredje land utom enligt punkt 6.
5. Konfidentialitet
Biträdet säkerställer att personer med behörighet att behandla personuppgifterna har åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt, och att åtkomst begränsas till dem som behöver den för att leverera tjänsten.
6. Säkerhetsåtgärder
Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR. Åtgärderna beskrivs närmare på sidan Säkerhet och omfattar bland annat:
- Kryptering av trafik (TLS) och lagring hos driftleverantör inom EU/EES.
- Åtkomstkontroll med individuella konton, roller och behörigheter samt möjlighet till tvåfaktorsautentisering.
- Loggning av säkerhetsrelevanta händelser och åtskillnad mellan kunders data.
- Regelbundna säkerhetskopior med återställningsrutiner.
- Rutiner för att upptäcka, rapportera och åtgärda personuppgiftsincidenter.
- Uppdelning av miljöer för utveckling, test och produktion.
7. Underbiträden
Kunden ger Biträdet ett allmänt förhandstillstånd att anlita underbiträden. Aktuella underbiträden framgår av underbiträdeslistan.
Biträdet ingår skriftligt avtal med varje underbiträde med dataskyddsskyldigheter som motsvarar dem i detta Biträdesavtal, och ansvarar för underbiträdets behandling som för sin egen.
Innan ett nytt underbiträde tas i bruk eller ett byts ut uppdaterar Biträdet listan och meddelar Kunder som begärt förhandsbesked minst 30 dagar i förväg. Kunden kan under den perioden invända på sakliga dataskyddsgrunder. Om parterna inte hittar en rimlig lösning kan Kunden säga upp den påverkade delen av tjänsten.
8. Tredjelandsöverföring
Primär drift och lagring sker inom EU/EES. Vissa underbiträden kan behandla uppgifter i USA, vilket framgår av underbiträdeslistan. När så sker grundas överföringen på EU-kommissionens standardavtalsklausuler eller annan giltig överföringsmekanism, tillsammans med kompletterande skyddsåtgärder där det behövs.
9. AI-behandling
Tjänsten använder automatiserad och AI-stödd tolkning för att föreslå avtalsfält och riskflaggor. Tolkningen sker antingen lokalt på Biträdets egen server eller hos den AI-leverantör som anges i underbiträdeslistan. Endast relevant avtalstext skickas för bearbetning, den används inte för att träna leverantörens modeller, och nollretention är begärd så att innehållet inte lagras hos leverantören efter bearbetning.
AI-förslag kan vara fel eller ofullständiga och utgör inte automatiserat beslutsfattande i den mening som avses i artikel 22 GDPR. En användare hos Kunden granskar och bekräftar uppgifterna.
10. Bistånd till Kunden
- Biträdet hjälper Kunden med lämpliga tekniska och organisatoriska åtgärder att besvara begäran från registrerade om åtkomst, rättelse, radering, begränsning, invändning och dataportabilitet. Begäran som når Biträdet direkt vidarebefordras till Kunden utan onödigt dröjsmål.
- Biträdet bistår Kunden med information som Kunden rimligen behöver för säkerhetsarbete, konsekvensbedömningar (DPIA) och förhandssamråd med tillsynsmyndighet.
- Kunden kan när som helst hämta ut eller radera avtal och uppgifter via tjänsten eller genom att kontakta Biträdet.
11. Personuppgiftsincident
Biträdet underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar efter att incidenten blivit känd, om en personuppgiftsincident som rör Kundens uppgifter. Underrättelsen beskriver incidentens art, berörda uppgiftskategorier, sannolika konsekvenser och vidtagna eller föreslagna åtgärder, i den mån informationen finns tillgänglig, och kompletteras därefter löpande.
12. Radering och återlämnande
När behandlingen upphör raderar Biträdet, efter Kundens val, alla personuppgifter eller återlämnar dem till Kunden och raderar befintliga kopior, om inte lagring krävs enligt lag. Radering av produktionsdata sker utan onödigt dröjsmål och kopior i säkerhetskopior skrivs över enligt Biträdets gallringscykel. Konto- och faktureringsuppgifter som Biträdet är ansvarig för hanteras enligt integritetspolicyn.
13. Granskning
Biträdet ger Kunden den information som behövs för att visa att skyldigheterna i artikel 28 GDPR uppfylls. Kunden har rätt till granskning, inklusive inspektion, högst en gång per år eller efter en bekräftad incident, med rimligt varsel, under ordinarie arbetstid och utan att andra kunders data röjs. Parterna kan komma överens om att en oberoende tredje part utför granskningen.
14. Ansvar och ändringar
Ansvar mellan parterna följer användarvillkoren och tvingande dataskyddsregler. Biträdet kan uppdatera Biträdesavtalet när lag, tjänst eller underbiträden ändras. Väsentliga ändringar meddelas i förväg via tjänsten eller e-post. Fortsatt användning efter att en ändring börjat gälla innebär att den accepteras.
15. Tillämplig lag
Biträdesavtalet regleras av svensk rätt. Tvist prövas av svensk allmän domstol med Nacka tingsrätt som första instans, om inget annat följer av tvingande regler.
16. Kontakt
Frågor om detta Biträdesavtal eller begäran om en undertecknad version skickas till minaavtal@minaavtal.se. Bifoga inte känsliga avtalsuppgifter i e-post.