Personuppgiftsbiträdesavtal
Biträdesavtal för när EWIO behandlar personuppgifter för ett anslutet företags räkning.
1. Parter, tillämpning och roller
Detta personuppgiftsbiträdesavtal gäller när ett anslutet företag använder EWIO och EWestlin Gravering & Tillverkning (Enskild firma) behandlar personuppgifter för företagets räkning. Det anslutna företaget är då personuppgiftsansvarig och EWestlin Gravering & Tillverkning (Enskild firma) är personuppgiftsbiträde.
Avtalet gäller inte behandling där EWIO själv bestämmer ändamål och medel, exempelvis för EWIO-konton, företagsabonnemang, fakturering mellan EWIO och företaget, säkerhet, autentisering, missbruksbekämpning, EWIOs egen support, driftloggar och EWIOs egen marknadsföring. Sådan behandling beskrivs i Integritetspolicyn.
2. Avtalshandlingar
Detta avtal kompletterar Företagsvillkoren, Integritetspolicyn, Cookiepolicyn och de funktioner och instruktioner som företaget använder i EWIO. Vid konflikt om personuppgiftsbiträdesbehandling gäller först tvingande dataskyddslagstiftning, därefter detta avtal, därefter Företagsvillkoren och därefter företagets övriga instruktioner.
Företaget ansvarar för att dess instruktioner, konfigurationer, kundvillkor och användning av plattformen är förenliga med GDPR, svensk dataskyddslagstiftning och annan tillämplig lag.
3. Dokumenterade instruktioner
EWIO får endast behandla personuppgifter för företagets räkning enligt detta avtal, Företagsvillkoren, företagets användning och konfiguration av plattformen samt andra dokumenterade instruktioner från företaget. Om EU-rätt eller svensk lag kräver annan behandling ska EWIO informera företaget före behandlingen, om lagen inte förbjuder sådan information.
Om EWIO bedömer att en instruktion strider mot GDPR eller annan dataskyddslagstiftning ska EWIO informera företaget i den utsträckning som krävs enligt tillämplig rätt. EWIO är inte skyldigt att följa en instruktion som uppenbart skulle göra behandlingen olaglig eller äventyra säkerheten i plattformen.
4. Företagets ansvar
- Företaget ansvarar för laglig grund, information till registrerade och att uppgifter som behandlas i EWIO är nödvändiga, korrekta och relevanta.
- Företaget ansvarar för sina kunder, bokningar, kundregister, anteckningar, kundkommunikation, företagsspecifika villkor, marknadsföring och personalrelaterade uppgifter.
- Företaget ansvarar för att användarbehörigheter hålls aktuella och att åtkomst tas bort när en person inte längre ska använda företagets konto.
- Företaget ska inte lägga in känsliga personuppgifter, journaluppgifter, brottsuppgifter eller personnummer i vanliga fritextfält om det inte finns tydlig rättslig grund, nödvändiga skyddsåtgärder och ett uttryckligt stöd i avtal eller funktion.
- Företaget ansvarar för att presentkort, klippkort, kampanjer, avbokningsregler och no-show-regler inte används på ett sätt som begränsar kunders lagstadgade rättigheter.
5. EWIOs skyldigheter som biträde
- EWIO ska behandla personuppgifter endast enligt dokumenterade instruktioner och endast i den utsträckning som behövs för att tillhandahålla, supportera, säkra och administrera de funktioner företaget använder.
- EWIO ska säkerställa att personer som får åtkomst till personuppgifter omfattas av lämplig sekretess och endast får åtkomst när det behövs.
- EWIO ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt Bilaga 2.
- EWIO ska bistå företaget med registrerades rättigheter, incidenthantering, konsekvensbedömningar och tillsynsfrågor i den omfattning som krävs enligt GDPR och som är rimlig med hänsyn till behandlingens art.
- EWIO ska föra sådan dokumentation som krävs för att kunna visa att biträdesåtagandena följs.
6. Säkerhet och åtkomst
EWIO ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter mot obehörig åtkomst, förlust, ändring och otillåten behandling. Åtgärderna ska bedömas med hänsyn till behandlingens art, risk, teknikens utveckling, kostnader och de uppgifter som faktiskt behandlas.
Plattformen är uppbyggd för flera företag. Data separeras tekniskt genom företags-, konto- och behörighetskopplingar i systemet. Superadmin- och supportåtkomst ska användas restriktivt, loggas där funktionalitet finns och begränsas till behov som support, säkerhet, drift och lagliga skyldigheter.
7. Underbiträden
Företaget ger EWIO ett generellt skriftligt förhandsgodkännande att anlita underbiträden för att tillhandahålla plattformen. EWIO ska ålägga underbiträden dataskyddsskyldigheter som ger ett skydd som uppfyller GDPR:s krav för den aktuella behandlingen.
EWIO ska informera företaget om planerade väsentliga förändringar av underbiträden på lämpligt sätt, exempelvis via e-post, plattformen eller uppdaterad juridisk sida. Företaget får invända mot en förändring om det finns sakliga dataskyddsskäl. Invändningar ska lämnas inom skälig tid, normalt 14 dagar från informationen, om inte ändringen är akut eller säkerhetskritisk.
Om en invändning inte kan lösas får parterna diskutera rimliga alternativa lösningar. Om ingen lösning är möjlig kan företaget behöva sluta använda den berörda funktionen eller säga upp tjänsten enligt Företagsvillkoren.
8. Överföring utanför EU/EES
Personuppgifter får överföras utanför EU/EES endast om det finns en giltig överföringsmekanism enligt GDPR, exempelvis adekvansbeslut, EU-kommissionens standardavtalsklausuler eller annan tillåten mekanism. EWIO ska inte överföra personuppgifter för företagets räkning på ett sätt som saknar stöd i tillämplig dataskyddsrätt.
Vissa externa leverantörer, exempelvis betalnings-, säkerhets-, kommunikations- eller kalenderleverantörer, kan behandla uppgifter i eller från flera länder. Bilaga 3 visar en publik sammanställning av leverantörsområden. Mer detaljerad leverantörsinformation kan lämnas till anslutna företag på begäran när det behövs för deras dataskyddsbedömning.
9. Registrerades rättigheter
När EWIO behandlar personuppgifter som biträde ska EWIO, med hänsyn till behandlingens art och den information EWIO har tillgång till, hjälpa företaget att hantera begäranden om information, registerutdrag, rättelse, radering, begränsning, dataportabilitet och invändning.
Företaget ansvarar normalt för att bedöma begäran och svara den registrerade. EWIO ska inte självständigt avgöra företagets rättsliga skyldigheter när EWIO endast agerar personuppgiftsbiträde.
10. Personuppgiftsincidenter
Om EWIO upptäcker en personuppgiftsincident som påverkar personuppgifter EWIO behandlar för företagets räkning ska EWIO informera berört företag utan onödigt dröjsmål.
Informationen ska, i den utsträckning den finns tillgänglig, beskriva incidentens art, berörda kategorier av uppgifter och registrerade, sannolika konsekvenser samt vidtagna eller planerade åtgärder. Företaget ansvarar normalt för bedömning och eventuell anmälan till IMY när företaget är personuppgiftsansvarigt.
11. DPIA och förhandssamråd
EWIO ska ge rimlig hjälp när företaget behöver genomföra en konsekvensbedömning avseende dataskydd eller ett förhandssamråd med tillsynsmyndighet, i den mån behandlingen genom EWIO är relevant och EWIO har information som företaget behöver.
12. Export, rättelse och radering
EWIO ska tillhandahålla de export-, rättelse- och raderingsfunktioner som finns i plattformen och i övrigt ge rimlig assistans när företaget behöver hantera personuppgifter som EWIO behandlar som biträde.
Nuvarande system innehåller exportfunktioner för vissa kontodata, men komplett export för alla boknings-, kund-, faktura-, galleri-, mötes-, presentkorts- och klippkortsdata behöver verifieras och vid behov byggas ut. Radering kan inte alltid ske omedelbart i säkerhetskopior, loggar eller externa system när fortsatt lagring krävs enligt lag, säkerhet, betalningstvister eller tekniska backup-rutiner.
13. Avtalets upphörande
När företagets avtal med EWIO upphör ska EWIO, enligt företagets dokumenterade instruktion, radera eller återlämna personuppgifter som behandlas för företagets räkning, om inte EU-rätt eller svensk lag kräver fortsatt lagring.
EWIO får fortsätta behandla uppgifter som EWIO behöver som självständig personuppgiftsansvarig, exempelvis för fakturering, säkerhet, missbruksutredning, rättsliga anspråk, bokföring och betalningstvister. Företagets ansvar gentemot sina egna kunder upphör inte genom att företaget avslutar sitt EWIO-konto.
14. Granskning och revision
EWIO ska på rimlig begäran lämna sådan information som behövs för att visa att skyldigheterna enligt GDPR artikel 28 följs. Granskning ska i första hand ske genom dokumentation, säkerhetsinformation, relevanta underlag och strukturerade frågor.
Om mer omfattande revision krävs ska den planeras i förväg och genomföras så att den inte äventyrar andra företags data, säkerhet, drift, affärshemligheter eller säkerhetskritiska detaljer. Akuta myndighetskrav eller allvarliga incidenter kan hanteras snabbare när situationen kräver det.
Normal dataskyddsassistans ingår i tjänsten. Extraordinärt omfattande manuella insatser som beror på företagets särskilda instruktioner kan debiteras enligt separat överenskommelse, om det är förenligt med lag och huvudavtalet.
15. Betalningar och externa roller
Externa betaltjänstleverantörer kan i vissa delar agera som självständigt personuppgiftsansvariga, exempelvis för betalningssäkerhet, kundkännedom, bedrägerikontroller, regelefterlevnad eller tvist- och chargebackhantering. De är därför inte automatiskt EWIOs underbiträden för all betalningsrelaterad behandling.
När EWIO behandlar betalningsreferenser, betalstatus, återbetalningar eller transaktionsloggar för företagets räkning omfattas behandlingen av detta avtal i den utsträckning EWIO agerar personuppgiftsbiträde.
16. Kontakt
Frågor om detta biträdesavtal, instruktioner, underbiträden, incidenter eller registrerades rättigheter skickas till [email protected].
Bilaga 1 - Behandlingsinstruktion
| Föremål | Behandling av personuppgifter i de EWIO-funktioner företaget aktiverar och använder, exempelvis bokningssystem, kundregister, personal- och behörighetsfunktioner, kommunikation, fakturaunderlag, presentkort, klippkort, support, galleri, möten och administrativa moduler. |
|---|---|
| Varaktighet | Under avtalstiden och därefter endast så länge uppgifter behöver behandlas för export, radering, backup, säkerhet, rättsliga anspråk, betalningstvister eller lagkrav. |
| Art | Insamling, registrering, strukturering, lagring, visning, ändring, sökning, export, kommunikation, loggning, säkerhetskopiering, felsökning, anonymisering, radering och annan teknisk behandling som krävs för tjänsten. |
| Ändamål | Att tillhandahålla företagets valda EWIO-funktioner, hantera bokningar och kundrelationer, skicka servicemeddelanden enligt företagets inställningar, hantera presentkort och klippkort när funktionen används, möjliggöra support, säkerhet, drift och felsökning. |
| Kategorier av registrerade | Företagets kunder, potentiella kunder, personal/användare, kontaktpersoner, mottagare av presentkort, innehavare av klippkort, supportkontakter och andra personer vars uppgifter företaget behandlar i plattformen. |
| Kategorier av personuppgifter | Namn, e-post, telefonnummer, företagskoppling, användar-ID, roller, behörigheter, bokningsuppgifter, tjänster, tider, status, avbokningar, no-show, kundanteckningar, fritextsvar, kommunikation, betalningsreferenser, presentkorts- och klippkortsuppgifter, bilder/filer där funktioner används, tekniska loggar och säkerhetsuppgifter. |
| Känsliga uppgifter och personnummer | EWIO är inte avsett som journalsystem. Vanliga antecknings- och fritextfält ska inte användas för känsliga personuppgifter, journaluppgifter, brottsuppgifter eller personnummer utan särskild rättslig grund, nödvändighet och överenskomna skyddsåtgärder. Inga dedikerade personnummerfält har identifierats i genomgången. |
| Presentkort | När presentkortsfunktionen används kan behandlingen omfatta köpare, mottagare, kontaktuppgifter, presentkorts-ID, kodreferens, värde, saldo, giltighet, köp, användning, transaktionshistorik och betalningsreferenser. Den fullständiga tekniska datamodellen behöver verifieras inför lansering. |
| Klippkort | När klippkortsfunktionen används kan behandlingen omfatta innehavare, klippkorts-ID, antal klipp, återstående klipp, giltighet, användningshistorik, bokningskopplingar och betalningsreferenser. Den fullständiga tekniska datamodellen behöver verifieras inför lansering. |
| Radering och export | Radering och export sker enligt tillgängliga funktioner, lagkrav, företagets instruktioner och tekniska rutiner. Fullständig export och gallring för alla moduler behöver verifieras och dokumenteras. |
Bilaga 2 - Tekniska och organisatoriska säkerhetsåtgärder
| Område | Åtgärd | Kommentar |
|---|---|---|
| Transport och sessionsskydd | EWIO använder säkerhetsåtgärder för sessioner och krypterad anslutning där tjänsten körs över HTTPS. | Detaljerad konfiguration lämnas inte publikt av säkerhetsskäl. |
| Autentisering | EWIO använder inloggning med engångskoder, tekniska spärrar mot missbruk och loggning av relevanta inloggningshändelser. | Funktioner finns för både företagsanvändare och kundkonton där kundinloggning används. |
| CSRF och headers | EWIO använder tekniska skydd mot otillåtna formuläranrop och vanliga webbsäkerhetsrisker. | Exakta headers och regler kan ändras över tid inom ramen för säker drift. |
| Behörighet och tenant-separering | Systemet använder företags-, konto- och rollkopplingar för att separera åtkomst mellan anslutna företag. | Detaljerad teknisk granskning kan lämnas till anslutna företag i lämplig form utan att exponera andra företags data eller säkerhetskänslig information. |
| Admin- och supportåtkomst | Admin- och supportåtkomst begränsas till behöriga användare och ska användas för support, drift, säkerhet och lagliga behov. | Rutiner för supportåtkomst och godkännanden bör formaliseras operativt. |
| Loggning och retention | EWIO har tekniska rutiner för loggning, anonymisering och gallring av flera loggtyper. | Övergripande lagringstider framgår av Integritetspolicyn. Mer detaljer kan lämnas till anslutna företag när det behövs. |
| Backup | EWIO använder backup- och återställningsrutiner för driftmiljön. | Detaljerad backupstruktur, fysisk driftplats och återställningsrutiner lämnas inte publikt av säkerhetsskäl. |
| Incidenthantering | Systemtabeller och adminvy finns för driftincidenter, statusloggar, säkerhetshändelser och aviseringar. | Full rutin för personuppgiftsincidenter och notifiering till berörda företag bör dokumenteras. |
| Betalningsdata | Betalningsflöden använder externa betaltjänstleverantörer. EWIO lagrar betalningsreferenser och status, inte fullständiga kortnummer eller CVC i den granskade koden. | Betalningsleverantörens egna villkor och GDPR-roll behöver beaktas per betalflöde. |
Bilaga 3 - Underbiträden och externa leverantörer
Tabellen visar en publik sammanställning av leverantörsområden. Den är avsiktligt hållen på en nivå som kan publiceras utan att exponera onödiga drift-, routing- eller säkerhetsdetaljer. Mer detaljerad teknisk och avtalsmässig information kan lämnas till anslutna företag på begäran när det behövs för deras dataskyddsbedömning.
| Område | Leverantörsområde | Ändamål | Uppgifter | Plats/status |
|---|---|---|---|---|
| Drift, databas och backup | EWIO och verifierade driftleverantörer | Drift av EWIO, databaser, lagring, backup, säkerhet och tillgänglighet. | Konto-, kund-, boknings-, betalningsreferens-, logg- och driftdata som behövs för tjänsten. | Enligt intern leverantörs- och driftdokumentation - Detaljerad drift- och backupinformation lämnas till anslutna företag på begäran när det behövs för dataskyddsbedömning. |
| Domän, DNS och routing | Verifierade domän- och routingpartner | Domänhantering, DNS, routing, transportskydd och tillgänglighet. | Tekniska anslutningsuppgifter som IP-adress, headers, tidsstämplar, domänfrågor och trafikmetadata som behövs för routing och säkerhet. | Enligt respektive leverantörs villkor och skyddsåtgärder - Används för domän, DNS, routing och transportskydd. |
| E-post | Verifierad e-postleverantör | Utskick av inloggningskoder, bokningsbekräftelser, påminnelser, support, fakturarelaterade meddelanden och systemmeddelanden. | Namn, e-postadress, bokningsinformation, supportinformation, fakturareferenser och tekniska leveransloggar. | Enligt leverantörens villkor och skyddsåtgärder - Används för EWIOs e-postutskick. |
| SMS | EWIOs SMS-funktion och verifierad SMS-operatör | SMS för bokningsbekräftelser, påminnelser, avbokningar och testmeddelanden. | Telefonnummer, meddelandetext, bokningsinformation och leveransstatus. | Enligt operatörens villkor och skyddsåtgärder - Används när SMS-funktioner är aktiverade. |
| Betalningar | Extern betaltjänstleverantör | Onlinebetalningar, checkout, betalningsreferenser, abonnemang, bedrägeriskydd och kvitton. | Betalningsreferenser, belopp, valuta, kunduppgifter, företagskonto och tekniska betalningsloggar. Fullständiga kortnummer lagras inte av EWIO. | Enligt betaltjänstleverantörens villkor och skyddsåtgärder - Används när onlinebetalning eller abonnemangsbetalning är aktiverad. Betaltjänstleverantören kan ha egen GDPR-roll för vissa betalningsändamål. |
| Säkerhetskontroll | Extern säkerhetsleverantör | Skydd mot spam, automatiserade registreringar och missbruk. | Teknisk webbläsar- och enhetsinformation som behövs för säkerhetskontrollen. | Enligt säkerhetsleverantörens villkor och skyddsåtgärder - Används där säkerhetskontroll är aktiverad. |
| Videomöten och kalenderintegrationer | Extern mötes- eller kalenderleverantör | Teknisk anslutningshjälp för WebRTC-möten och kalenderintegrationer när företaget aktiverar sådana funktioner. | Bokningsuppgifter, tider, kalenderidentifierare, OAuth-token och teknisk anslutnings- eller synkroniseringsinformation. | Enligt respektive leverantörs villkor och skyddsåtgärder - Endast när berörd mötes- eller kalenderfunktion är aktiverad. |
| Externt inbäddat innehåll | Extern innehållsleverantör | Visning av externt innehåll på publika sidor efter relevant cookiesamtycke när funktionen används. | Teknisk webbläsar- och anslutningsinformation till extern inbäddning samt företagsinnehåll. | Enligt innehållsleverantörens villkor och skyddsåtgärder - Frivilligt externt innehåll. Är normalt inte underbiträde för företagets kundregister men kan behandla besöksdata som extern tjänst. |
Bilaga 4 - Verifieringspunkter
- Detaljerad drift-, backup- och återställningsdokumentation bör hållas internt och kunna delas med anslutna företag på lämplig nivå vid behov.
- Domän-, DNS-, routing-, e-post- och SMS-leverantörernas roller bör dokumenteras i en aktuell intern leverantörsöversikt med länkar till dataskyddsvillkor.
- SMS-operatörens behandlingsplats, dataskyddsvillkor och eventuell underleverantörsinformation bör kompletteras i intern leverantörsdokumentation.
- Komplett export, radering och gallring behöver verifieras för bokningar, kundregister, fakturor, galleri, möten, presentkort och klippkort.
- EWIO bör besluta om tydlig policy för minderåriga och för särskilda kategorier av personuppgifter i fritextfält.
- Presentkorts- och klippkortsfunktionerna behöver färdig datamodell, behörighetskontroll, loggning, export, gallring och incidentunderlag innan lansering.
Frågor om detta?
Kontakta oss om du vill utöva dina rättigheter, rapportera en säkerhetsfråga eller få förtydliganden kring villkoren.
[email protected]