Personuppgiftsbiträdesavtal

Utkast för juridisk granskning. Gäller inte förrän det har godkänts.

Detta personuppgiftsbiträdesavtal utgör bilaga 3 till det orderformulär som har ingåtts mellan Ody AB (Leverantören) och kunden (Kunden) och kompletterar Avtalet, inklusive de allmänna villkoren. I frågor som rör behandling av personuppgifter ska denna bilaga 3 ha företräde framför de allmänna villkoren i den utsträckning denna bilaga reglerar frågan mer specifikt eller tillämplig dataskyddslagstiftning kräver det.

1. Bakgrund och syfte

1.1 Parterna har ingått orderformuläret och de avtalsdokument som tillsammans utgör Avtalet avseende Leverantörens tillhandahållande av en SaaS-tjänst för människocentrerad AI-transformation ("Tjänsten"). Tjänsten kan omfatta behandling av personuppgifter i form av enkätsvar om vilka kollegor medarbetare vänder sig till (ONA-data), självskattad AI-användning och AI-kompetens, uppgifter om användning av Tjänsten samt organisationsuppgifter.

1.2 I den utsträckning Leverantören behandlar personuppgifter för Kundens räkning inom ramen för Tjänsten är Kunden personuppgiftsansvarig och Leverantören personuppgiftsbiträde.

1.3 Syftet med denna bilaga är att uppfylla kraven i artikel 28 GDPR och att reglera Parternas rättigheter och skyldigheter vid Leverantörens behandling av personuppgifter för Kundens räkning.

2. Definitioner

2.1 Om inte annat anges i denna bilaga ska termer som definieras i de allmänna villkoren ha samma betydelse här. Termer som används i denna bilaga ska i övrigt tolkas i enlighet med GDPR.

2.2 Dataskyddslagstiftning avser GDPR, kompletterande svensk lagstiftning samt bindande beslut, föreskrifter och andra bindande åtgärder från Integritetsskyddsmyndigheten (IMY) eller annan behörig tillsynsmyndighet.

2.3 Personuppgiftsincident avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till personuppgifter som behandlas enligt denna bilaga.

2.4 Standardavtalsklausuler avser Europeiska kommissionens genomförandebeslut (EU) 2021/914 om standardavtalsklausuler för överföring av personuppgifter till tredjeland enligt GDPR, eller beslut som ersätter detta.

2.5 Registrerade avser de fysiska personer vars personuppgifter behandlas inom ramen för Tjänsten för Kundens räkning, främst Kundens anställda och Kundadmin.

2.6 Underbiträde avser tredje part som Leverantören anlitar för behandling av personuppgifter för Kundens räkning.

3. Den personuppgiftsansvariges rättigheter och skyldigheter

3.1 Kunden ansvarar ensam för att det finns giltig rättslig grund för den behandling av personuppgifter som sker inom ramen för Avtalet, för att Registrerade får den information som krävs enligt Dataskyddslagstiftningen och för att de Registrerades rättigheter tillvaratas.

3.2 Kunden ska säkerställa att de instruktioner som lämnas till Leverantören är dokumenterade, fullständiga och förenliga med Dataskyddslagstiftningen.

3.3 Kunden får inte instruera Leverantören att behandla personuppgifter i strid med Dataskyddslagstiftningen.

3.4 Kunden ansvarar för sina egna system, sina behörigheter och sin identitetshantering, inklusive federerad autentisering via Kundens identitetsleverantör, i den utsträckning sådana förhållanden ligger under Kundens kontroll.

4. Behandling av personuppgifter

4.1 Leverantören får endast behandla personuppgifter i enlighet med Kundens dokumenterade instruktioner, denna bilaga och i den utsträckning som är nödvändig för att fullgöra Avtalet.

4.2 Om Leverantören anser att en instruktion från Kunden strider mot Dataskyddslagstiftningen ska Leverantören utan onödigt dröjsmål informera Kunden om detta.

4.3 Om Leverantören är skyldig att behandla personuppgifter enligt unionsrätt eller nationell rätt som Leverantören omfattas av, ska Leverantören informera Kunden om den rättsliga skyldigheten innan behandlingen påbörjas, om inte sådan information är förbjuden av viktiga skäl av allmänt intresse.

5. Biträdets stöd till den personuppgiftsansvarige

5.1 Leverantören ska, med beaktande av behandlingens art och den information som Leverantören har tillgång till, bistå Kunden genom lämpliga tekniska och organisatoriska åtgärder så att Kunden kan fullgöra sina skyldigheter att svara på begäranden om utövande av Registrerades rättigheter enligt kapitel III GDPR.

5.2 Leverantören ska vidare bistå Kunden med att fullgöra Kundens skyldigheter enligt artiklarna 32 till 36 GDPR, inklusive avseende säkerhet i behandlingen, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndighet.

5.3 Om en Registrerad, myndighet eller annan tredje part kontaktar Leverantören med en begäran som rör personuppgifter som behandlas för Kundens räkning, ska Leverantören utan onödigt dröjsmål vidarebefordra begäran till Kunden.

5.4 Leverantören får inte företräda Kunden gentemot tredje part i frågor som rör behandling av personuppgifter utan Kundens uttryckliga samtycke.

5.5 Följande stöd ingår utan särskild ersättning: Tjänstens funktioner för utdrag och radering, en förifylld mall för konsekvensbedömning (DPIA), underlag för intresseavvägning och information till Registrerade, Leverantörens säkerhetsbeskrivning samt svar på ett (1) säkerhetsformulär per kalenderår. Stöd därutöver debiteras löpande med 1 800 kronor per timme exklusive mervärdesskatt, om inte stödet beror på Leverantörens brist.

6. Underbiträden

6.1 Kunden lämnar härmed ett generellt förhandsgodkännande till att Leverantören anlitar de Underbiträden som anges i bilaga 3A.

6.2 Leverantören ska skriftligen underrätta Kunden minst trettio (30) dagar i förväg om nya eller ersättande Underbiträden. Underrättelsen ska innehålla uppgift om Underbiträdets namn, land, ändamål och tillämplig överföringsmekanism vid eventuell tredjelandsöverföring. Den aktuella förteckningen finns även på https://ody.one/trust/subprocessors/.

6.3 Kunden har rätt att invända mot nytt eller ersättande Underbiträde på skäliga dataskyddsgrunder inom den underrättelsefrist som anges i punkt 6.2. Parterna ska då i god tro försöka lösa frågan.

6.4 Om Parterna inte kan lösa Kundens invändning har vardera Part rätt att säga upp den berörda delen av Avtalet.

6.5 Leverantören ska säkerställa att varje Underbiträde genom skriftligt avtal åläggs dataskyddsskyldigheter som i allt väsentligt motsvarar dem som följer av denna bilaga.

6.6 Leverantören ansvarar fullt ut gentemot Kunden för Underbiträdens behandling av personuppgifter.

7. Tredjelandsöverföringar

7.1 Leverantören får inte överföra personuppgifter utanför EU/EES annat än i den utsträckning det är nödvändigt för att fullgöra Avtalet.

7.2 Överföring till tredjeland får endast ske om mottagarlandet omfattas av ett adekvansbeslut, om Standardavtalsklausuler används tillsammans med erforderliga kompletterande skyddsåtgärder eller om annan tillåten överföringsmekanism enligt kapitel V GDPR tillämpas.

7.3 Om Leverantören mottar ett krav från myndighet eller annan tredje part om utlämnande av personuppgifter som omfattas av en tredjelandsöverföring, ska Leverantören i den mån det är tillåtet informera Kunden och hänvisa den begärande parten att vända sig direkt till Kunden.

7.4 Leverantören ska, där det är rättsligt möjligt, använda alla tillgängliga och lagliga medel för att bestrida eller begränsa krav på utlämnande som strider mot eller riskerar att strida mot Dataskyddslagstiftningen.

8. Sekretess

8.1 Leverantören ska begränsa åtkomst till personuppgifter till sådan personal som behöver åtkomst för att fullgöra Leverantörens skyldigheter enligt Avtalet.

8.2 Leverantören ska säkerställa att all personal som är behörig att behandla personuppgifter omfattas av sekretessåtagande eller lagstadgad tystnadsplikt.

9. Säkerhet

9.1 Leverantören ska vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR för att säkerställa en säkerhetsnivå som är lämplig med hänsyn till riskerna med behandlingen, personuppgifternas känslighet, den tekniska utvecklingen och kostnaderna för genomförandet.

9.2 De tekniska och organisatoriska åtgärder som Leverantören ska tillämpa framgår av bilaga 3A.

10. Personuppgiftsincidenter

10.1 Leverantören ska utan onödigt dröjsmål, och senast inom 72 timmar från det att Leverantören fått kännedom om en Personuppgiftsincident, underrätta Kunden om incidenten.

10.2 Underrättelsen ska i den utsträckning informationen finns tillgänglig innehålla en beskrivning av incidentens art, kategorierna av och det ungefärliga antalet Registrerade som berörs, kategorierna av och det ungefärliga antalet personuppgiftsposter som berörs, sannolika konsekvenser samt de åtgärder som har vidtagits eller föreslås för att hantera incidenten.

10.3 Leverantören ska bistå Kunden med den information och den assistans som skäligen krävs för att Kunden ska kunna uppfylla sina skyldigheter att anmäla Personuppgiftsincidenten till IMY och, när det krävs, informera berörda Registrerade.

11. Revision och tillsyn

11.1 Kunden eller en av Kunden utsedd oberoende tredje part som inte är konkurrent till Leverantören har rätt att, efter skäligt förhandsmeddelande om minst trettio (30) dagar, genomföra revision av Leverantörens efterlevnad av denna bilaga, högst en (1) gång per kalenderår. Vid nödsituation, vid misstanke om allvarlig brist, efter en Personuppgiftsincident eller på begäran av tillsynsmyndighet får revision ske oftare och med kortare varsel.

11.2 Revisionen ska begränsas till information som är nödvändig för att visa efterlevnad av denna bilaga. Revisorn ska innan revisionen underteckna ett sekretessavtal med Leverantören.

11.3 Revision ska genomföras under ordinarie kontorstid och på ett sätt som inte oskäligt stör Leverantörens verksamhet. Kunden ska bära sina egna kostnader för revisionen.

11.4 Leverantören ska lämna sådan rimlig assistans och dokumentation som skäligen krävs för revisionen.

11.5 Ingenting i detta avsnitt begränsar behörig tillsynsmyndighets rätt till åtkomst enligt Dataskyddslagstiftningen.

12. Ansvar

12.1 Parternas ansvar enligt denna bilaga ska regleras av ansvarsbegränsningarna i de allmänna villkoren, med förbehåll för vad som följer av tvingande lag.

12.2 Ansvarsbegränsningarna i de allmänna villkoren ska dock inte tillämpas på skada som har orsakats av Kundens felaktiga implementering av Tjänsten eller av instruktioner från Kunden.

13. Avtalstid och upphörande

13.1 Denna bilaga träder i kraft samma dag som orderformuläret träder i kraft och gäller så länge Leverantören behandlar personuppgifter för Kundens räkning enligt Avtalet.

13.2 Denna bilaga upphör när Avtalet upphör eller när Leverantören inte längre behandlar personuppgifter för Kundens räkning, beroende på vilket som inträffar först.

13.3 När denna bilaga upphör ska Leverantören, enligt Kundens val, återlämna eller radera samtliga personuppgifter inom trettio (30) dagar, om inte Leverantören är skyldig att bevara uppgifterna enligt lag. Uppgifter i säkerhetskopior raderas automatiskt inom ytterligare sju (7) dagar.

13.4 Om Kunden inte lämnar instruktioner om återlämnande eller radering inom trettio (30) dagar från upphörandet, får Leverantören radera personuppgifterna i enlighet med sin tillämpliga gallrings- och bevarandepolicy.

13.5 Leverantören ska på Kundens begäran skriftligen bekräfta genomförd radering.

14. Övriga bestämmelser

14.1 Denna bilaga utgör en integrerad del av Avtalet.

14.2 Vid motstridighet mellan denna bilaga och de allmänna villkoren ska denna bilaga ha företräde i dataskyddsfrågor.

14.3 Om någon bestämmelse i denna bilaga är eller blir ogiltig eller inte kan göras gällande, ska detta inte påverka giltigheten av övriga bestämmelser. Parterna ska då ersätta den ogiltiga bestämmelsen med en giltig bestämmelse som så långt som möjligt uppnår samma syfte.

14.4 Bilaga 3A utgör en del av denna bilaga och innehåller Kundens instruktioner och detaljer om behandlingen.

Bilaga 3A. Instruktion och behandlingsdetaljer

Behandlingens art och ändamål

Leverantörens behandling av personuppgifter är nödvändig för att tillhandahålla Tjänsten enligt Avtalet. Behandlingen omfattar sådan hantering av personuppgifter som krävs för att leverera Tjänsten, driva och underhålla plattformen, utföra säkerhetsövervakning samt bedriva löpande utveckling och förbättring av Tjänsten.

Om AI-funktionalitet används behandlas personuppgifter även för att tillhandahålla AI-baserad vägledning och planering, förklaring av resultat från nätverksanalysen samt därmed sammanhängande funktionalitet inom Tjänsten. AI-funktionaliteten gör inga egna bedömningar av enskilda personer.

Instruktion om anonymisering

Kunden instruerar Leverantören att anonymisera och aggregera numeriska uppgifter för de ändamål som anges i punkt 10.3 i de allmänna villkoren. Anonymiseringen omfattar inte fritext eller innehåll i chatt, och resultatet sammanställs från minst fem (5) organisationer så att varken Kunden, en användare eller annan fysisk person kan identifieras.

Kategorier av Registrerade och personuppgifter

Registrerade är Kundens anställda och Kundadmin som omfattas av Tjänsten.

Personuppgifter som kan behandlas omfattar namn, arbetsrelaterad e-postadress, befattning, avdelning eller organisatorisk enhet, medarbetar-ID, autentiseringsuppgifter och identitetsattribut som hanteras via Kundens identitetsleverantör, enkätsvar om vilka kollegor medarbetare vänder sig till för råd och stöd (ONA-data), självskattad AI-användning och AI-kompetens, innehåll i chatt och aktiviteter, uppgifter om hur användare använder Tjänsten samt organisationsmetadata.

Särskilda kategorier av personuppgifter enligt artikel 9 GDPR får inte behandlas om inte Parterna uttryckligen skriftligen har avtalat om sådan behandling.

Personuppgifter om personer utanför Kundens organisation får inte behandlas om inte detta uttryckligen har avtalats skriftligen.

Behandlingens varaktighet och lagringstider

Personuppgifter behandlas under Avtalets löptid. Om Kunden inte instruerar annat gäller följande lagringstider:

• uppgifter om vilka kollegor medarbetare har nämnt: under avtalstiden, för att följa utvecklingen över tid, och raderas när Avtalet upphör;
• övriga uppgifter: under Avtalets löptid;
• säkerhetskopior: sju (7) dagar.

Vid Avtalets upphörande ska personuppgifter hanteras i enlighet med avsnitt 13.

Tekniska och organisatoriska säkerhetsåtgärder

Leverantören ska upprätthålla tekniska och organisatoriska säkerhetsåtgärder som är lämpliga med hänsyn till behandlingens risker, personuppgifternas känslighet och tillgänglig teknik.

Åtgärderna ska minst omfatta följande kategorier:

a) Allmän säkerhet: säkerhetsarbete i linje med erkända ramverk såsom kryptering av data under överföring, kryptering av data i vila, logisk separation av kunddata och regelbundna sårbarhetstester;

b) Åtkomstkontroll: behovsstyrd åtkomst, multifaktorautentisering för privilegierad åtkomst, säkra lösenordspolicys samt loggning och övervakning av åtkomst;

c) Organisatoriska åtgärder: dokumenterade processer för riskhantering, strukturerad ändringshantering, separata produktions- och testmiljöer där Kunddata inte får användas i testmiljöer, en utsedd ansvarig för dataskyddsfrågor, säkerhetsutbildning för personal och dokumenterad incidenthanteringsplan;

d) Hantering av personuppgiftsincidenter: dokumenterade rutiner för incidenthantering, underrättelse till Kunden enligt avsnitt 10, konfidentiell hantering av incidentrapporter och rapportering som innehåller den information som behövs för anmälan till tillsynsmyndighet; och

e) Affärskontinuitet: identifierade kontinuitetsrisker med riskreducerande åtgärder, dokumenterade kontinuitetsprocesser samt regelbunden utvärdering av tillgänglighets- och kontinuitetsåtgärder.

Den personuppgiftsansvariges skyldigheter

Kunden ska förvara autentiseringsuppgifter på ett säkert sätt, ha interna riktlinjer för godtagbar användning och lagringstid för personuppgifter, inte skicka okrypterade personuppgifter till Leverantören, inte tillhandahålla särskilda kategorier av personuppgifter om inte detta uttryckligen har avtalats skriftligen och inte använda verkliga personuppgifter i testmiljöer.

Kunden rekommenderas att bedriva ett aktivt och systematiskt dataskyddsarbete.

Underbiträden och tredjelandsöverföringar

Leverantören är auktoriserad att använda de Underbiträden som anges i tabellen nedan.

Underbiträde	Land	Ändamål	Överföringsmekanism
Amazon Web Services, Inc.	EU	Infrastruktur (hosting, databas), AI-inferens via Amazon Bedrock	Adekvansbeslut (EU-US Data Privacy Framework). Standardavtalsklausuler som kompletterande mekanism.
WorkOS, Inc.	USA	Autentisering (inloggning, SSO)	Standardavtalsklausuler
GitHub, Inc.	USA	Felrapporter som administratörer skickar från plattformen	Standardavtalsklausuler
Elva Group AB	Sverige	Utveckling och drift	Ingen överföring

Tillämplig lag och tvistlösning

Bestämmelserna om tillämplig lag och tvistlösning i Avtalet ska gälla för denna bilaga.