Personuppgiftsbiträdesavtal

1. Parter och när avtalet gäller

Avtalet gäller mellan den organisation som använder Leasefold (”Kunden”) och Brickstream AB, org.nr 556792-7644, Blomkålsvägen 23, 582 76 Linköping (”Brickstream”). Leasefold är en tjänst från Brickstream.

Avtalet gäller automatiskt från det att Kunden skapar ett konto eller på annat sätt använder tjänsten, både under provperioden och i betald tjänst. Det behöver inte undertecknas. Det är en del av villkoren för tjänsten och har företräde framför dem i frågor om personuppgifter.

Kunden är personuppgiftsansvarig och Brickstream personuppgiftsbiträde för de personuppgifter som Kunden och dess användare laddar upp eller skriver in i tjänsten (”Kunddata”). Uppgifter om konton och användare, fakturering och Brickstreams egen kundkontakt behandlar Brickstream som personuppgiftsansvarig enligt integritetspolicyn; de omfattas inte av detta avtal.

Begrepp har samma betydelse som i dataskyddsförordningen (EU) 2016/679 (”GDPR”).

2. Behandlingens föremål, art, ändamål och varaktighet

Brickstream behandlar Kunddata för att leverera tjänsten till Kunden: lagra dokument och uppgifter, läsa dokument med AI och föreslå tolkningar, ta fram ansvarsmatriser, påminnelser, beräkningar och utkast, ge de användare Kunden bjuder in åtkomst, skicka e-post när en användare väljer det, samt exportera och radera på Kundens begäran. Bilaga 1 beskriver behandlingen närmare.

Behandlingen pågår så länge Kunden använder tjänsten och därefter till dess att Kunddata raderats enligt avsnitt 11.

3. Kundens instruktioner

Brickstream behandlar Kunddata endast enligt Kundens dokumenterade instruktioner. Instruktionerna är detta avtal, villkoren för tjänsten och de val Kundens användare gör i tjänsten (till exempel att ladda upp, bekräfta, skicka, exportera eller radera). Andra instruktioner ska lämnas skriftligt, till exempel via e-post.

Kunden instruerar Brickstream att ta fram anonymiserad statistik ur Kunddata (till exempel hur ofta AI:ns förslag bekräftas eller rättas, och sammanställningar av avtalsvillkor) för att förbättra tjänsten och visa jämförelser med marknadspraxis. Statistiken får inte gå att koppla till enskilda personer eller till Kunden, och jämförelser visas bara när underlaget kommer från minst fem organisationer. Kunddata används inte för att träna allmänna AI-modeller.

Om Brickstream anser att en instruktion strider mot GDPR eller annan dataskyddslag ska Brickstream genast informera Kunden. Om lag kräver att Brickstream behandlar Kunddata på annat sätt ska Brickstream informera Kunden innan behandlingen sker, om lagen inte förbjuder det.

4. Kundens ansvar

Kunden ansvarar för att det finns rättslig grund för behandlingen, för att de registrerade får information, och för att Kunddata är korrekt. Kunden ska inte ladda upp särskilda kategorier av personuppgifter (art. 9) eller uppgifter om lagöverträdelser (art. 10) om det inte är nödvändigt för ändamålet.

Kunden ansvarar för vilka användare som bjuds in, vilka roller de får och hur länge.

5. Sekretess

Brickstream ser till att de personer som har behörighet att behandla Kunddata har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Åtkomst ges bara i den mån den behövs för att leverera tjänsten, för support eller felsökning som Kunden begär, eller för att hantera en säkerhetshändelse.

Brickstream lämnar inte ut Kunddata till tredje part utom till underbiträden enligt avsnitt 7 eller när lag eller myndighetsbeslut kräver det. Om en myndighet begär ut Kunddata hänvisar Brickstream i första hand till Kunden och informerar Kunden, om det inte är förbjudet.

6. Säkerhet (art. 32)

Brickstream vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR, med hänsyn till risken. Åtgärderna beskrivs i bilaga 2. Brickstream får ändra åtgärderna så länge skyddsnivån inte sänks.

7. Underbiträden

Kunden ger Brickstream ett allmänt förhandstillstånd att anlita underbiträden. De underbiträden som används när avtalet ingås finns i bilaga 3.

Innan Brickstream anlitar ett nytt eller byter ett underbiträde meddelar Brickstream Kunden minst 30 dagar i förväg via e-post till Kundens ägare och genom att uppdatera denna sida. Kunden får invända inom samma tid med saklig grund. Hittar parterna ingen lösning får Kunden avsluta tjänsten utan kostnad före ändringen; Kunddata hanteras då enligt avsnitt 11.

Brickstream ålägger varje underbiträde i skriftligt avtal samma dataskyddsskyldigheter som i detta avtal och ansvarar mot Kunden för underbiträdets behandling.

8. Överföring utanför EU/EES

Kunddata lagras och bearbetas inom EU. Kunddata får överföras till eller göras åtkomlig från ett land utanför EU/EES endast om det finns skyddsåtgärder enligt kapitel V GDPR, till exempel ett beslut om adekvat skyddsnivå (som EU–US Data Privacy Framework) eller EU-kommissionens standardavtalsklausuler. Bilaga 3 anger grunden för varje underbiträde.

9. Bistånd till Kunden

Om en registrerad vänder sig till Brickstream med en begäran som gäller Kunddata skickar Brickstream den vidare till Kunden utan onödigt dröjsmål och svarar inte själv, om inte Kunden ber om det. Kunden kan själv rätta, exportera och radera Kunddata i tjänsten. Brickstream hjälper i övrigt Kunden att besvara begäranden från registrerade (kapitel III GDPR).

Brickstream hjälper Kunden att fullgöra skyldigheterna i artiklarna 32–36 GDPR, bland annat med information som behövs för en konsekvensbedömning och vid förhandssamråd med tillsynsmyndigheten. Bistånd som går utöver vad tjänsten och denna sida erbjuder kan Brickstream ta skäligt betalt för efter överenskommelse i förväg.

10. Personuppgiftsincidenter

Brickstream underrättar Kunden utan onödigt dröjsmål, och senast 48 timmar efter att Brickstream fått kännedom om den, om en personuppgiftsincident som rör Kunddata. Underrättelsen skickas till Kundens ägare via e-post.

Underrättelsen ska, så långt det är känt, beskriva incidentens art, kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser och vilka åtgärder som vidtagits eller föreslås. Det som inte är känt direkt lämnas så snart det är känt. Brickstream hjälper Kunden med anmälan till tillsynsmyndigheten och information till de registrerade.

11. Radering och återlämnande

Under provperioden kan Kundens ägare när som helst radera allt innehåll med ”Radera allt” i tjänsten. Händelseloggen behåller då bara vem, vad och när, inte innehållet. Säkerhetskopior skrivs över inom 7 dagar.

När tjänsten upphör kan Kunden exportera Kunddata i 60 dagar. Därefter raderar Brickstream all Kunddata, inklusive händelseloggen, och säkerhetskopior skrivs över inom ytterligare 7 dagar. Kunden kan be om radering tidigare. Brickstream bekräftar raderingen skriftligt på begäran.

Brickstream sparar Kunddata längre bara om lag kräver det, och då endast så länge och för det ändamål lagen anger.

12. Insyn och granskning

Brickstream ger Kunden den information som behövs för att visa att skyldigheterna i artikel 28 GDPR och detta avtal uppfylls, i första hand skriftligt, och med hänvisning till underbiträdenas certifieringar och granskningsrapporter.

Räcker inte det får Kunden, eller en oberoende granskare som Kunden utser och som har tystnadsplikt, genomföra en granskning. Granskningen ska meddelas minst 30 dagar i förväg, ske under kontorstid utan att störa driften eller andra kunders data, och högst en gång per år, om inte en incident eller tillsynsmyndighet motiverar mer. Kunden står för sina egna kostnader.

13. Ansvar

För ansvar och ansvarsbegränsning gäller villkoren för tjänsten. Ansvar gentemot registrerade fördelas enligt artikel 82 GDPR. Var och en av parterna svarar för sanktionsavgifter som beslutas mot den parten.

14. Giltighet och ändringar

Avtalet gäller så länge Brickstream behandlar Kunddata för Kundens räkning.

Brickstream får ändra avtalet med minst 30 dagars varsel via e-post till Kundens ägare. Ändringar som krävs av lag eller tillsynsmyndighet får gälla tidigare. Godtar Kunden inte en ändring får Kunden avsluta tjänsten innan ändringen börjar gälla.

15. Tillämplig lag och tvister

Svensk lag gäller för avtalet. Tvister avgörs av allmän domstol med Linköpings tingsrätt som första instans.