Personuppgiftsbiträdesavtal

1. Bakgrund och avtalets föremålArt. 28.3

1. 1.1Kunden använder ScaffMate för att projektera, beräkna och dokumentera ställningsarbeten. I tjänsten lägger Kunden in uppgifter om sina egna beställare, kontaktpersoner och anställda. För dessa uppgifter bestämmer Kunden ändamålen och medlen, och är därmed personuppgiftsansvarig. ScaffMate AB behandlar dem uteslutande för Kundens räkning och är personuppgiftsbiträde.
2. 1.2Biträdesavtalet reglerar den behandlingen. Det omfattar inte de personuppgifter som ScaffMate AB behandlar om Kundens användarkonto – e-postadress, inloggningsuppgifter och användningsstatistik. För dem är ScaffMate AB själv personuppgiftsansvarig, och behandlingen beskrivs i integritetspolicyn.
3. 1.3Behandlingens föremål, art, ändamål, varaktighet, typen av personuppgifter och kategorierna av registrerade anges i Bilaga A.

2. Definitioner

1. 2.1Begreppen personuppgifter, särskilda kategorier av personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident har samma innebörd som i Europaparlamentets och rådets förordning (EU) 2016/679 (dataskyddsförordningen).
2. 2.2Med "Dataskyddsregler" avses dataskyddsförordningen jämte svensk kompletterande lagstiftning och bindande beslut från Integritetsskyddsmyndigheten, samt riktlinjer från Europeiska dataskyddsstyrelsen i den mån de ska beaktas.

3. Varaktighet

1. 3.1Biträdesavtalet gäller från den dag det undertecknas av båda parter, eller från den tidigare dag Kunden började använda tjänsten, och så länge ScaffMate AB behandlar personuppgifter för Kundens räkning.
2. 3.2Bestämmelserna om tystnadsplikt i klausul 7 och om radering och återlämning i klausul 14 fortsätter att gälla även efter att Biträdesavtalet i övrigt har upphört.

4. Kundens ansvar

1. 4.1Kunden ansvarar för att det finns en rättslig grund för de personuppgifter Kunden lägger in i tjänsten, för att de registrerade har fått den information de har rätt till, och för att uppgifterna är korrekta och relevanta för ändamålet.
2. 4.2Kunden ansvarar för att inte lägga in fler personuppgifter än vad som behövs för ändamålet. Tjänsten innehåller fritextfält och möjlighet att ladda upp foton och dokument – vad som skrivs och laddas upp där bestämmer Kunden.
3. 4.3Kunden ansvarar för att hantera sina inloggningsuppgifter aktsamt och för att återkalla åtkomsten för den som inte längre ska ha den. Licenser är personliga och får inte delas.

5. InstruktionerArt. 28.3 a

1. 5.1ScaffMate AB får behandla personuppgifterna endast enligt Kundens dokumenterade instruktioner, inbegripet vid överföring till tredjeland. Biträdesavtalet med bilagor, tillsammans med användarvillkoren och de val Kunden gör i tjänsten, utgör Kundens fullständiga instruktioner vid Biträdesavtalets ingående.
2. 5.2Kunden kan lämna ytterligare instruktioner skriftligen. En instruktion som går utöver det tjänsten är byggd för, eller som kräver utveckling eller särskild konfiguration, får ScaffMate AB avböja eller villkora av en överenskommelse om tid och ersättning.
3. 5.3ScaffMate AB ska omedelbart underrätta Kunden om ScaffMate AB anser att en instruktion strider mot Dataskyddsregler, och får avvakta med att följa den till dess Kunden bekräftat eller ändrat den.
4. 5.4Om ScaffMate AB enligt unionsrätt eller svensk rätt är skyldig att behandla personuppgifterna på annat sätt än enligt Kundens instruktioner, ska ScaffMate AB informera Kunden om det rättsliga kravet innan behandlingen sker, såvida sådan information inte är förbjuden med hänsyn till ett viktigt allmänintresse.
5. 5.5ScaffMate AB använder inte personuppgifterna för egna ändamål, lämnar dem inte vidare till någon annan än de underbiträden som anges i Bilaga B, och använder dem inte för att träna eller utveckla maskininlärningsmodeller.

6. Särskilda kategorier av personuppgifterArt. 9

Tjänstens modul för tillbud och arbetsskador är avsedd för dokumentation av händelser på arbetsplatsen och kan därför komma att innehålla uppgifter om hälsa. Parterna är överens om följande.

1. 6.1Kunden är medveten om att uppgifter som fylls i om en skadad person – skadans omfattning och vad personen skadade sig på – kan utgöra uppgifter om hälsa och därmed en särskild kategori av personuppgifter enligt artikel 9 i dataskyddsförordningen. Övriga uppgifter i samma formulär, såsom födelseår, anställningstid och namnteckning, är vanliga personuppgifter men blir genom sammanhanget kopplade till hälsouppgiften.
2. 6.2Kunden ansvarar för att det finns ett tillämpligt undantag enligt artikel 9.2 för behandlingen, typiskt sett fullgörandet av skyldigheter inom arbetsrätten och arbetsmiljörätten.
3. 6.3ScaffMate AB behandlar sådana uppgifter med samma skyddsåtgärder som övriga personuppgifter enligt Bilaga C, och begränsar den interna åtkomsten till dem till vad som är nödvändigt för drift och för support som Kunden själv har begärt.
4. 6.4Kunden bör lägga in sådana uppgifter endast i den utsträckning de behövs för dokumentationen. Tjänsten kräver dem inte för att fungera.

7. TystnadspliktArt. 28.3 b

1. 7.1ScaffMate AB behandlar innehållet i Kundens projekt som konfidentiellt. Det gäller anbud, kalkyler, ritningar, beräkningar, foton och uppgifter om Kundens kunder och beställare.
2. 7.2De personer hos ScaffMate AB som får tillgång till personuppgifterna är bundna av tystnadsplikt, genom anställningsavtal, uppdragsavtal eller lag. Tystnadsplikten gäller även efter att uppdraget eller anställningen har upphört.
3. 7.3Åtkomst till Kundens uppgifter sker endast när det krävs för drift, säkerhet, säkerhetskopiering eller för support som Kunden själv har begärt.
4. 7.4ScaffMate AB lämnar ut personuppgifter till myndighet endast när lag kräver det, och informerar Kunden om det när ScaffMate AB har rätt att göra det.

8. SäkerhetsåtgärderArt. 28.3 c, art. 32

1. 8.1ScaffMate AB ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål.
2. 8.2De åtgärder som gäller vid Biträdesavtalets ingående anges i Bilaga C.
3. 8.3ScaffMate AB får ändra och uppdatera säkerhetsåtgärderna, förutsatt att säkerhetsnivån inte sänks.

9. UnderbiträdenArt. 28.2, 28.4

1. 9.1Kunden lämnar genom Biträdesavtalet ett allmänt skriftligt förhandstillstånd till att ScaffMate AB anlitar underbiträden. De underbiträden som är godkända vid Biträdesavtalets ingående anges i Bilaga B.
2. 9.2ScaffMate AB ska genom skriftligt avtal ålägga varje underbiträde minst samma skyldigheter i fråga om dataskydd som ScaffMate AB har enligt Biträdesavtalet.
3. 9.3ScaffMate AB ansvarar gentemot Kunden för underbiträdets behandling som för sin egen.
4. 9.4ScaffMate AB ska underrätta Kunden minst trettio (30) dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Kunden har rätt att invända mot förändringen på sakliga dataskyddsgrunder inom den tiden. När parterna inte kan enas har Kunden rätt att säga upp tjänsten till upphörande utan uppsägningstid, utan annan påföljd än att erlägga avgift för tid fram till upphörandet.
5. 9.5Underrättelse enligt föregående punkt sker till den e-postadress Kunden angett i Biträdesavtalet.

10. Överföring till tredjelandKap. V

1. 10.1Konto-, projekt- och händelsedata lagras inom EU, på servrar i Stockholm. Lagringsregionen är vald med avsikt.
2. 10.2Överföring av personuppgifter till land utanför EU/EES sker endast när en giltig överföringsgrund enligt kapitel V i dataskyddsförordningen föreligger. ScaffMate AB använder i första hand Europeiska kommissionens standardavtalsklausuler, kompletterade med de ytterligare skyddsåtgärder som krävs efter en bedömning i det enskilda fallet.
3. 10.3De överföringar som förekommer vid Biträdesavtalets ingående, och grunden för var och en, anges i Bilaga B.
4. 10.4Om en överföringsgrund upphör att gälla ska ScaffMate AB utan oskäligt dröjsmål vidta åtgärder för att säkerställa en giltig grund eller upphöra med överföringen.

11. Bistånd vid registrerades rättigheterArt. 28.3 e

1. 11.1Tjänsten är byggd så att Kunden själv kan komma åt, ändra, exportera och radera de uppgifter Kunden har lagt in. Kunden tillgodoser i första hand registrerades rättigheter på egen hand genom tjänsten.
2. 11.2Räcker inte det ska ScaffMate AB med lämpliga tekniska och organisatoriska åtgärder bistå Kunden så att Kunden kan fullgöra sin skyldighet att svara på en registrerads begäran enligt kapitel III i dataskyddsförordningen.
3. 11.3Vänder sig en registrerad direkt till ScaffMate AB med en begäran som rör uppgifter ScaffMate AB behandlar för Kundens räkning, ska ScaffMate AB inte besvara den i sak, utan vidarebefordra den till Kunden utan onödigt dröjsmål.
4. 11.4ScaffMate AB har rätt till skälig ersättning för bistånd enligt denna klausul som går utöver vad som följer av tjänstens normala funktioner. Ersättning ska aviseras innan arbetet påbörjas.

12. PersonuppgiftsincidenterArt. 28.3 f, art. 33

1. 12.1ScaffMate AB ska underrätta Kunden utan onödigt dröjsmål, och senast inom fyrtioåtta (48) timmar, efter att ha fått vetskap om en personuppgiftsincident som rör personuppgifter som behandlas för Kundens räkning.
2. 12.2Underrättelsen ska så långt det är möjligt innehålla incidentens art, de kategorier och det ungefärliga antal registrerade och uppgiftsposter som berörs, de sannolika följderna, de åtgärder som vidtagits eller föreslås för att åtgärda incidenten och begränsa dess skadeverkningar, samt kontaktuppgift för ytterligare information. Är det inte möjligt att lämna allt samtidigt får uppgifterna lämnas etappvis utan ytterligare onödigt dröjsmål.
3. 12.3Underrättelse sker till den e-postadress Kunden angett i Biträdesavtalet. Kunden ansvarar för att adressen är aktuell och bevakas.
4. 12.4Det är Kunden som personuppgiftsansvarig som anmäler incidenten till Integritetsskyddsmyndigheten och som vid behov informerar de registrerade. ScaffMate AB gör inte sådan anmälan i Kundens ställe.
5. 12.5ScaffMate AB ska bistå Kunden med den information ScaffMate AB förfogar över och som Kunden behöver för sin anmälan enligt artikel 33 och för en underrättelse till de registrerade enligt artikel 34 i dataskyddsförordningen.
6. 12.6ScaffMate AB ska dokumentera incidenter som rör Kundens uppgifter och på begäran lämna dokumentationen till Kunden.

13. Konsekvensbedömning och förhandssamrådArt. 28.3 f, art. 35–36

1. 13.1ScaffMate AB ska på Kundens begäran bistå Kunden med sådan information som ScaffMate AB förfogar över och som Kunden behöver för att genomföra en konsekvensbedömning avseende dataskydd eller ett förhandssamråd med tillsynsmyndighet.
2. 13.2Biståndet omfattar den information som rör ScaffMate AB:s egen behandling och säkerhetsåtgärder. Själva bedömningen görs av Kunden.

14. Radering och återlämningArt. 28.3 g

1. 14.1Kunden kan när som helst under avtalstiden exportera sina uppgifter ur tjänsten och radera enskilda projekt och filer.
2. 14.2Kunden kan själv radera hela sitt konto i tjänsten. Raderingen kräver bekräftelse med lösenord och tar bort kontot och dess innehåll ur driftmiljön.
3. 14.3När Biträdesavtalet upphör ska ScaffMate AB, efter Kundens val, radera eller återlämna samtliga personuppgifter som behandlats för Kundens räkning, och radera befintliga kopior. Kunden ska meddela sitt val senast trettio (30) dagar efter upphörandet. Uteblir valet raderas uppgifterna.
4. 14.4Radering är slutgiltig. Tjänsten drivs utan automatisk säkerhetskopiering av databasen, och raderade uppgifter kan därför inte återskapas – varken av Kunden eller av ScaffMate AB. Kunden bör exportera det som ska sparas innan radering sker.
5. 14.5Punkterna ovan gäller inte i den mån unionsrätt eller svensk rätt kräver fortsatt lagring. ScaffMate AB ska då informera Kunden om vilka uppgifter som behålls och på vilken rättslig grund.

15. Granskning och revisionArt. 28.3 h

1. 15.1ScaffMate AB ska på Kundens begäran tillhandahålla den information som krävs för att visa att skyldigheterna enligt artikel 28 i dataskyddsförordningen fullgörs.
2. 15.2Kunden har rätt att en gång per kalenderår själv, eller genom annan revisor som Kunden bemyndigat, granska ScaffMate AB:s efterlevnad av Biträdesavtalet, och därutöver om en personuppgiftsincident har inträffat eller om en tillsynsmyndighet kräver det.
3. 15.3Granskningen genomförs i första hand genom att ScaffMate AB besvarar ett skriftligt frågeformulär och lämnar tillgängliga granskningsrapporter från sina underbiträden. Är det inte tillräckligt har Kunden rätt till granskning på plats.
4. 15.4Granskning på plats ska aviseras skriftligen minst trettio (30) dagar i förväg, genomföras under normal kontorstid, inte störa driften mer än nödvändigt och inte omfatta uppgifter som rör andra kunder. Granskaren ska vara bunden av tystnadsplikt.
5. 15.5Varje part bär sina egna kostnader för granskningen. Visar granskningen på en väsentlig brist hos ScaffMate AB står ScaffMate AB för Kundens skäliga kostnader.

16. AnsvarArt. 82

1. 16.1Fördelningen av ansvar mellan parterna följer artikel 82 i dataskyddsförordningen.
2. 16.2Den allmänna ansvarsbegränsningen i användarvillkoren gäller inte för Biträdesavtalet. Parternas ansvar mot varandra för brott mot Biträdesavtalet regleras i stället i denna klausul.
3. 16.3Parts ansvar mot den andra parten för brott mot Biträdesavtalet är begränsat till styrkt direkt skada. Begränsningen gäller inte vid uppsåt eller grov oaktsamhet, och den inskränker inte en registrerads rätt till ersättning enligt artikel 82 i dataskyddsförordningen eller en tillsynsmyndighets rätt att besluta om sanktionsavgift.
4. 16.4Har en part erlagt ersättning för hela skadan har parten rätt att återkräva den del som svarar mot den andra partens del av ansvaret för skadan.

17. Ändringar

1. 17.1Ändringar av Biträdesavtalet ska vara skriftliga.
2. 17.2ScaffMate AB får ensidigt ändra Biträdesavtalet när ändringen krävs för att följa Dataskyddsregler eller ett beslut från en tillsynsmyndighet, eller när ändringen är av administrativ karaktär och inte försämrar skyddet för de registrerade. Sådan ändring meddelas Kunden minst trettio (30) dagar i förväg. Accepterar Kunden inte ändringen har Kunden rätt att inom samma tid säga upp tjänsten till upphörande utan påföljd.
3. 17.3Ändring av listan över underbiträden sker enligt klausul 9.
4. 17.4Varje version av Biträdesavtalet har ett versionsdatum. Den version Kunden undertecknat gäller mellan parterna till dess en ny version har meddelats enligt denna klausul.

18. Tillämplig lag och tvist

1. 18.1På Biträdesavtalet tillämpas svensk rätt, med undantag för dess lagvalsregler.
2. 18.2Tvist med anledning av Biträdesavtalet ska avgöras av allmän domstol med Helsingborgs tingsrätt som första instans.