Personuppgiftsbiträdesavtal

1. När behövs ett biträdesavtal?

Avtalet behövs innan behandling av riktiga personaluppgifter börjar, även under en kostnadsfri provperiod. Vänta inte till att kunden börjar betala. En provperiod kan däremot utvärderas med testuppgifter som inte avser verkliga personer.

Arbetsgivarkunden är normalt personuppgiftsansvarig och Personalvyn AB, organisationsnummer 559608-6792, som tillhandahåller Personalvyn, är normalt personuppgiftsbiträde för kundens behandling. För leverantörens egna affärskontakter och lagstadgade bokföring kan leverantören ha ett separat ansvar.

2. Behandling och instruktioner

• Ange parter, föremål, varaktighet, art och ändamål: exempelvis schemaläggning, personaladministration, tidrapportering, dokument och kundens aktiverade integrationer.
• Ange kategorier av registrerade och personuppgifter, inklusive eventuella personnummer, uppgifter om anhöriga, löne-/bankuppgifter och känsliga uppgifter.
• Behandla endast enligt dokumenterade instruktioner, även för överföringar. Informera kunden om en instruktion bedöms strida mot dataskyddsreglerna.
• Dokumentera kundens rättsliga grund, behörighetsval och hantering av särskilda uppgifter. Ett tjänsteavtal ger inte i sig rätt att behandla vilka personaluppgifter som helst.

4 b. Aktuella tjänster som används (underlag till underbiträdeslista)

• Molnleverantör för drift – databas, inloggning, fillagring och drift av appen. Behandlar alla uppgifter som läggs in i Personalvyn.
• Mejlleverantör – utskick av bekräftelse-, inloggnings- och påminnelsemejl. Behandlar namn och e-postadress.
• Leverantör av pushnotiser – pushnotiser till telefoner som aktiverat dem. Behandlar enhetens pushidentifierare och notistext.
• Google Maps Platform – karta och adressökning för arbetsplatser. Behandlar sökta adresser och tekniska uppgifter från webbläsaren.
• Fortnox – endast när kunden själv kopplar sitt Fortnox-konto, samt för vår fakturering av kunden. Behandlar kund-, faktura- och vid behov löneunderlag.
• Listan uppdateras när tjänster tillkommer eller byts ut. Leverantörernas namn, juridiska enhet och behandlingsland anges i avtalsbilagan och lämnas till kunder på begäran via info@personalvyn.se.

3. Sekretess, säkerhet och incidenter

• Säkerställ sekretess för personer med åtkomst och dokumentera lämpliga tekniska och organisatoriska skyddsåtgärder enligt artikel 32.
• Beskriv behörighetsstyrning, skydd av filer, loggning, återställning, säkerhetskopiering och rutiner för säker åtkomst utan att utlova funktioner som inte är verifierade.
• Reglera att biträdet underrättar kunden utan onödigt dröjsmål om en personuppgiftsincident och lämnar nödvändigt underlag för kundens bedömning och eventuella anmälan.

4. Underbiträden och behandlingsländer

Driften använder en molnleverantör och en mejlleverantör. En leverantör av pushnotiser används för aktiverad push och Google Maps för kartfunktioner. Kundens Fortnox-koppling behöver bedömas utifrån parternas roller. Namnen på tjänsterna är inte i sig en fullständig, avtalsgodkänd underbiträdeslista.

Personalvyns egen databas, inloggning och fillagring ligger verifierat inom EU/EES (molnleverantörens region i Irland). En avtalsbilaga behöver ange varje relevant juridisk leverantör, uppgift, behandling, lagrings-/behandlingsland och eventuella underleverantörer, särskilt för mejl, pushnotiser och kartor, vars behandlingsländer ännu inte är fullständigt verifierade för Personalvyn.

Avtalet ska reglera kundens särskilda eller allmänna skriftliga förhandstillstånd till underbiträden, information om förändringar och möjlighet att invända vid allmänt tillstånd. Underbiträden ska omfattas av motsvarande dataskyddsskyldigheter. Tredjelandsöverföringar kräver tillämplig rättslig mekanism och vid behov kompletterande skyddsåtgärder.

5. Rättigheter, bistånd och granskning

• Reglera biträdets hjälp med registrerades rättigheter och, med hänsyn till behandlingen och tillgänglig information, kundens skyldigheter enligt artiklarna 32–36, inklusive konsekvensbedömning och förhandssamråd.
• Ge kunden information som behövs för att visa efterlevnad och möjliggör granskning och inspektion enligt artikel 28. Avtala om en praktisk hantering utan att inskränka lagstadgade rättigheter.

6. Återlämning, radering och fortsatt lagring

När biträdestjänsten upphör ska uppgifter, enligt kundens val, återlämnas eller raderas och befintliga kopior raderas, om inte lag kräver fortsatt lagring. Avtalet ska ange verifierade metoder, frister och rutiner för filer, databaser, säkerhetskopior, loggar och underbiträden.

Utgången provperiod, arkivering av ett företag eller avslutad anställning innebär inte automatiskt fullständig radering i Personalvyn. Konton med flera arbetsgivare och uppgifter som måste behållas enligt lag behöver hanteras separat. Bestäm och verifiera dessa rutiner innan ett avtal utlovar en särskild raderingsfrist.

7. Begär avtalsunderlag

Kontakta info@personalvyn.se för att gå igenom tjänsteavtal och biträdesavtal för ditt företag. Avtalets parter, behandling, underbiträden, länder, säkerhetsbilaga och återlämnings-/raderingsrutiner behöver vara färdiga och granskade innan det tecknas. Denna checklista innebär varken att ett avtal redan finns eller en garanti om GDPR-efterlevnad.