Personuppgiftsbiträdesavtal

Bilaga till Leverantörsavtalet

Mellan Mentgroup AB, org.nr 559179-7278, 106 31 Stockholm, som driver Bokapersonal, nedan Personuppgiftsansvarig, och den leverantör som anslutit sig till Bokapersonal, bolag eller enskild firma, nedan Personuppgiftsbiträdet.

1. Bakgrund och roller

Genom Leverantörsavtalet får Personuppgiftsbiträdet tillgång till personuppgifter om kunder, både företag och privatpersoner, kontaktpersoner och i vissa fall gäster.

För kundens och kontaktpersonens uppgifter är Mentgroup AB personuppgiftsansvarig och Leverantören personuppgiftsbiträde.

För Leverantörens egen personal är Leverantören själv personuppgiftsansvarig. Det avtalet omfattas inte här.

2. Föremål och varaktighet

Behandlingen avser genomförande av bemanningsuppdrag som förmedlats via Bokapersonal, och pågår så länge Leverantörsavtalet gäller.

3. Vad som behandlas

Inga känsliga personuppgifter ska behandlas utom när kunden uttryckligen lämnat uppgift om allergi eller funktionsnedsättning som är nödvändig för uppdraget. Sådana uppgifter raderas senast 30 dagar efter uppdraget.

4. Personuppgiftsbiträdets skyldigheter

Personuppgiftsbiträdet ska:

1. endast behandla uppgifterna enligt dokumenterade instruktioner från Personuppgiftsansvarig. Leverantörsavtalet och detta avtal utgör de fullständiga instruktionerna.
2. aldrig använda uppgifterna för egna ändamål, exempelvis marknadsföring, prospektering eller försäljning till tredje man
3. säkerställa att personer med åtkomst har åtagit sig sekretess
4. vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt punkt 5
5. bistå Personuppgiftsansvarig med att svara på begäran från registrerade
6. bistå vid säkerhetsincidenter, konsekvensbedömningar och förhandssamråd
7. radera eller återlämna uppgifterna när Leverantörsavtalet upphör, utom där lag kräver fortsatt lagring

5. Säkerhetsåtgärder

Personuppgiftsbiträdet ska minst:

• begränsa åtkomsten till de personer som behöver den för att genomföra uppdraget
• använda individuella inloggningar, aldrig delade konton
• använda krypterad överföring vid all elektronisk kommunikation
• inte lagra kunduppgifter i privata e-postkonton eller på privata enheter utan skärmlås
• inte skriva ut gästlistor eller kontaktuppgifter i onödan, och förstöra utskrifter efter uppdraget
• omedelbart återkalla åtkomst för personer som slutar

6. Underbiträden

Personuppgiftsbiträdet får anlita underbiträden endast efter skriftligt godkännande från Personuppgiftsansvarig.

Godkänt underbiträde ska bindas av samma skyldigheter som följer av detta avtal. Personuppgiftsbiträdet ansvarar fullt ut för underbiträdets behandling.

7. Överföring utanför EU

Personuppgifter får inte överföras till tredjeland utan föregående skriftligt godkännande från Personuppgiftsansvarig och tillämpliga skyddsåtgärder.

8. Incidenter

Personuppgiftsbiträdet ska underrätta Personuppgiftsansvarig utan onödigt dröjsmål och senast inom 24 timmar efter att ha fått kännedom om en personuppgiftsincident.

Underrättelsen ska innehålla vad som hänt, vilka kategorier av uppgifter och registrerade som berörs, ungefärligt antal, sannolika konsekvenser och vilka åtgärder som vidtagits.

Personuppgiftsbiträdet ska bistå Personuppgiftsansvarig i dennes anmälan till Integritetsskyddsmyndigheten, som ska ske inom 72 timmar.

9. Granskning

Personuppgiftsansvarig har rätt att granska att detta avtal följs, genom skriftlig förfrågan eller genom granskning på plats efter 30 dagars varsel.

Personuppgiftsbiträdet ska tillhandahålla den information som behövs för att visa att skyldigheterna fullgörs.

10. Ansvar

Personuppgiftsbiträdet ansvarar för skada som uppkommit genom behandling som strider mot dataskyddsförordningen eller mot Personuppgiftsansvarigs instruktioner.

Personuppgiftsbiträdet håller Personuppgiftsansvarig skadeslös för sanktionsavgifter och skadestånd som följer av Personuppgiftsbiträdets överträdelse.

11. Upphörande

Vid upphörande ska Personuppgiftsbiträdet inom 30 dagar radera samtliga personuppgifter som erhållits genom plattformen, inklusive kopior, och skriftligt intyga att så skett.

Undantag gäller uppgifter som Personuppgiftsbiträdet enligt lag måste behålla, exempelvis bokföringsunderlag. Sådana uppgifter får endast användas för det lagstadgade ändamålet.

12. Tillämplig lag

Svensk lag och dataskyddsförordningen (EU) 2016/679 tillämpas.

Kontakt: Bokapersonal, som drivs av Mentgroup AB, org.nr 559179-7278, 106 31 Stockholm, hello@bokapersonal.se.

Bilaga: godkända underbiträden

Listan är godkänd i och med detta avtal. Nytt underbiträde underrättas i förväg, och den

personuppgiftsansvarige har rätt att invända.

Den gällande listan publiceras löpande på <https://bokapersonal.se/subprocessors>. Den

sidan är källan. Tabellen nedan är en avskrift vid avtalets tecknande, och vid skillnad gäller

den publicerade listan.

Om raden Replit Object Storage. Regionen för den bucket som används går inte att läsa:

leverantörens gränssnitt visar den inte, och tjänstekontot saknar behörighet att fråga efter den.

Raden bär därför standardavtalsklausuler i stället för ett regionpåstående vi inte kan belägga.

Verifieringsunderlag som F-skattebevis, försäkringsbrev och vaktförordnanden lagras aldrig där,

utan alltid i databasen i Stockholm.

Om raden Scaleway. Kopian tas varje natt och krypteras innan den lämnar oss. Varje kopia

sparas i upp till 35 dagar och kan inte ändras under den tiden. Uppgifter som raderats ur

tjänsten finns därför kvar i kopiorna tills kopian når sin lagringstid.

Ett underbiträde utan tecknat avtal går inte att aktivera i systemet, och ett underbiträde utanför

EU kan inte sparas utan angiven överföringsgrund. Båda är villkor i databasen.