Personuppgiftsbiträdesavtal

Personuppgiftsansvarig: [Företag] ("Kunden") Personuppgiftsbiträde: Sev Nordic AB ("Onesync"), enligt uppgifterna om Parterna i Avtalet

Inom ramen för tjänsten behandlar Onesync vissa personuppgifter för Kundens räkning. Detta biträdesavtal reglerar den behandlingen i enlighet med artikel 28 i EU:s dataskyddsförordning (GDPR).

Behandlingen avser de personuppgifter som är nödvändiga för att tillhandahålla tjänsten enligt Avtalet och pågår så länge Avtalet löper. Vid Avtalets upphörande gäller punkten om radering och återlämning nedan.

Behandlingen omfattar i huvudsak:

- Namn och e-postadress till Kundens gäster/nyhetsbrevsprenumeranter (för automatiska menyutskick) - Besöksstatistik (t.ex. klick och sidvisningar) kopplad till Kundens sida och widgetar - Uppgifter kopplade till Kundens Google Business Profile-konto som Onesync administrerar

Registrerade är Kundens gäster/kunder samt, i förekommande fall, Kundens egen personal med koppling till kontot.

Personuppgifterna behandlas endast för att tillhandahålla tjänsterna enligt Avtalet: menyutskick, statistik och administration av Google Business Profile. Onesync får inte använda uppgifterna för egna eller andra syften.

- Behandla personuppgifter endast enligt Kundens dokumenterade instruktioner, inklusive vad som anges i detta biträdesavtal. - Säkerställa att personal med åtkomst till uppgifterna omfattas av sekretess. - Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder (t.ex. åtkomstbegränsning och kryptering vid överföring) för att skydda uppgifterna. - Bistå Kunden med att besvara begäranden från registrerade som vill utöva sina rättigheter enligt GDPR. - Utan onödigt dröjsmål, och senast inom 72 timmar efter upptäckt, informera Kunden om en personuppgiftsincident som rör de behandlade uppgifterna. - Endast anlita underbiträden enligt punkten om underbiträden och ålägga dem motsvarande skyldigheter som i detta biträdesavtal. - På Kundens begäran lämna den information som rimligen krävs för att visa att skyldigheterna enligt denna bilaga efterlevs.

Onesync får anlita underbiträden (t.ex. leverantörer av hosting, e-postutskick och AI-tjänster) för att tillhandahålla tjänsten. Onesync ansvarar för att underbiträden avtalsmässigt åläggs samma dataskyddsskyldigheter som gäller enligt denna bilaga.

Aktuell förteckning över underbiträden publiceras på https://onesync.se/integritet/underbitraden och lämnas även på begäran. Kunden underrättas i förväg vid byte av underbiträde som behandlar personuppgifter enligt denna bilaga, med möjlighet att invända.

Onesync är i detta avtal Sev Nordic AB, ett svenskt bolag. Behandlingen sker därmed inom EU, och uppgifterna lagras hos de underbiträden som anges i förteckningen, vilka driftmässigt ligger inom EU/EES. Inga uppgifter lagras i tredjeland.

Var uppgifterna lagras avgör dock inte ensamt om en överföring sker — det gör vem som ges åtkomst till dem. Två kategorier av mottagare är därför överföring till tredjeland, och de ska namnges snarare än döljas. Vissa underbiträden är bolag etablerade utanför EU/EES, i vissa fall även när själva behandlingen sker på infrastruktur inom EU, och Nordic Technologies L.L.C-FZ i Dubai utför support, utveckling och drift åt Sev Nordic AB, vilket kan innebära åtkomst till produktionsmiljön. För båda sker överföringen med stöd av EU-kommissionens standardavtalsklausuler (beslut 2021/914), modul två eller tre beroende på vad som är tillämpligt.

Onesync har gjort en konsekvensbedömning av överföringarna (transfer impact assessment) och lämnar den till Kunden på begäran, tillsammans med den ytterligare hjälp som skäligen krävs. Onesync ansvarar för att löpande bevaka att överföringsgrunden är giltig och för att informera Kunden om förändringar som påverkar överföringen. Vilka underbiträden som berörs framgår av https://onesync.se/integritet/underbitraden.

Vid Avtalets upphörande ska Onesync, enligt Kundens val, radera eller återlämna samtliga personuppgifter som behandlats för Kundens räkning, och radera befintliga kopior, om inte annan lagring krävs enligt tillämplig lag. Detta ska ske inom 30 dagar från Avtalets upphörande.

Vardera parten ansvarar för skada som orsakas av att parten brister i sina skyldigheter enligt tillämplig dataskyddslagstiftning eller detta biträdesavtal, i enlighet med vad som anges i Avtalets ansvarsbegränsning.

Denna bilaga träder i kraft samtidigt som Avtalet och gäller så länge Avtalet löper, samt därefter i den utsträckning som krävs för att fullgöra skyldigheterna i punkten om radering och återlämning.