Personuppgiftsbiträdesavtal

1Behandlingens omfattning

1.1 Ändamål: att tillhandahålla de tjänster Kunden använder – e‑signering, fakturering, bokföring, tidrapportering, schemaläggning, personalregister, lön och bokning – samt support, drift och säkerhet för dessa.

1.2 Behandlingens art: insamling, lagring, bearbetning, utlämnande till de mottagare Kunden anger samt radering.

1.3 Kategorier av registrerade: Kundens användare, anställda och uppdragstagare, Kundens kunder och leverantörer och deras kontaktpersoner, parter som signerar Kundens avtal samt personer som bokar tid hos Kunden.

1.4 Typer av personuppgifter: namn, personnummer, kontakt‑ och adressuppgifter; anställnings‑, schema‑ och tiduppgifter; löne‑, skatte‑ och frånvarouppgifter; uppgifter i avtal, fakturor, kvitton och annat underlag; bokningsuppgifter; signaturer och tidsstämplar.

1.5 Särskilda kategorier: tjänsterna är inte avsedda för känsliga personuppgifter utöver vad funktionerna kräver, till exempel uppgift om sjukfrånvaro i tid‑ och löneunderlag, och vad som kan framgå av dokument Kunden själv laddar upp. Kunden ansvarar för att det finns rättslig grund för sådan behandling.

1.6 Varaktighet: så länge avtalet gäller, och därefter till dess att uppgifterna har raderats enligt avsnitt 11 nedan.

2Instruktioner

2.1 esigna behandlar personuppgifterna bara enligt Kundens dokumenterade instruktioner. Avtalet, detta personuppgiftsbiträdesavtal samt Kundens användning av och inställningar i tjänsterna utgör Kundens instruktioner.

2.2 Om esigna anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning informerar esigna Kunden utan dröjsmål.

2.3 Om esigna enligt unionsrätt eller svensk rätt är skyldigt att behandla uppgifterna på annat sätt informerar esigna Kunden innan behandlingen sker, om inte lagen förbjuder det.

3Kundens ansvar

3.1 Kunden ansvarar för att behandlingen har rättslig grund, att de registrerade får information om behandlingen och att de uppgifter som läggs in är riktiga och inte fler än nödvändigt.

3.2 Kunden ansvarar för vilka användare som ges behörighet i tjänsterna och för hur de använder dem.

4Sekretess

4.1 esigna ser till att de personer som har åtkomst till personuppgifterna har åtagit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt, och att åtkomsten begränsas till dem som behöver den för sitt arbete.

5Säkerhet

5.1 esigna vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR. Åtgärderna omfattar bland annat:

• kryptering vid överföring (TLS, med HSTS i webbgränssnitten) och i vila (AES‑256) för databaser och lagrade dokument
• inloggning med BankID och behörighetsstyrning per användare och roll
• logisk åtskillnad mellan olika kunders uppgifter
• löpande säkerhetskopiering av databaserna med återställning till valfri tidpunkt upp till 35 dagar bakåt
• brandvägg för webbapplikationer (WAF) och begränsning av antalet anrop mot API:erna
• minsta möjliga behörighet för varje systemkomponent, med hemligheter och nycklar i AWS Secrets Manager och AWS KMS
• automatisk granskning före varje driftsättning av sårbarheter i beroenden och av läckta hemligheter
• övervakning av driften
• drift i AWS‑regionen eu‑north‑1 (Stockholm), inom EU

6Underbiträden

6.1 Kunden ger esigna ett allmänt förhandsgodkännande att anlita underbiträden. De underbiträden som anlitas när avtalet ingås framgår av förteckningen sist i detta avtal.

6.2 esigna ingår avtal med varje underbiträde som ålägger det motsvarande skyldigheter som i detta avtal, och ansvarar gentemot Kunden för underbiträdets behandling.

6.3 esigna meddelar Kundens kontaktperson via e‑post minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Kunden får inom den tiden invända på sakliga dataskyddsskäl. Invänder Kunden inte inom den tiden anses underbiträdet godkänt. Kan parterna inte enas får Kunden säga upp avtalet med omedelbar verkan.

7Överföring till tredjeland

7.1 Personuppgifterna behandlas inom EU/EES. esigna för inte över personuppgifter till ett land utanför EU/EES utan att Kunden har informerats enligt punkt 6.3 ovan och villkoren i kapitel V GDPR är uppfyllda.

8De registrerades rättigheter

8.1 esigna bistår Kunden, genom funktioner i tjänsterna och på begäran, så att Kunden kan svara på begäran från registrerade om tillgång, rättelse, radering, begränsning, invändning och dataportabilitet.

8.2 Om en registrerad vänder sig direkt till esigna med en begäran som rör Kundens uppgifter vidarebefordrar esigna den till Kunden utan dröjsmål och besvarar den inte själv.

9Personuppgiftsincidenter och övrigt bistånd

9.1 esigna underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör Kundens uppgifter. Underrättelsen skickas till Kundens kontaktperson och beskriver incidentens art, vilka kategorier av registrerade och uppgifter som berörs och ungefär hur många, de sannolika konsekvenserna, vidtagna och planerade åtgärder samt en kontaktpunkt hos esigna. Information som ännu inte finns tillgänglig lämnas så snart den gör det.

9.2 esigna bistår Kunden med att fullgöra skyldigheterna enligt artiklarna 32–36 GDPR, med hänsyn till typen av behandling och den information esigna har tillgång till.

10Granskning

10.1 esigna ger Kunden tillgång till den information som krävs för att visa att skyldigheterna i artikel 28 GDPR fullgörs. Kunden får en gång per år begära en skriftlig redogörelse för esignas säkerhetsåtgärder och behandling.

10.2 Ytterligare granskning, utförd av Kunden eller av en oberoende granskare som Kunden utser och som är bunden av sekretess, får ske om det finns särskild anledning, till exempel efter en personuppgiftsincident eller på begäran av en tillsynsmyndighet. Granskningen sker efter skäligt varsel, på Kundens bekostnad, och får inte omfatta andra kunders uppgifter.

11När avtalet upphör

11.1 När Kunden skriftligen, till exempel via e‑post, har sagt upp avtalet eller begärt att uppgifterna ska raderas kan Kunden under 90 dagar därefter hämta ut sina uppgifter, genom tjänsternas exportfunktioner eller på begäran. När de 90 dagarna har gått raderar esigna uppgifterna, om inte unionsrätt eller svensk rätt kräver att de lagras längre. Säkerhetskopior av databaserna gallras inom 35 dagar, och dokument raderas med samtliga tidigare versioner.

11.2 Har Kunden slutat använda tjänsterna utan att säga upp avtalet skriftligen får esigna radera uppgifterna efter att ha meddelat Kundens kontaktperson minst 90 dagar i förväg.

11.3 Kunden ansvarar själv för att bevara det material som Kunden enligt lag är skyldig att spara, till exempel räkenskapsinformation.

12Ansvar

12.1 Parternas ansvar enligt detta personuppgiftsbiträdesavtal följer av avtalet i övrigt och av artikel 82 GDPR.

12.2 Vardera parten ansvarar för sanktionsavgifter som har påförts den parten på grund av dess eget agerande.

13Giltighet och företräde

13.1 Detta personuppgiftsbiträdesavtal gäller så länge esigna behandlar personuppgifter för Kundens räkning. Om det i fråga om behandling av personuppgifter skulle säga något annat än avtalet i övrigt gäller personuppgiftsbiträdesavtalet.

14Tillämplig lag och tvist

14.1 Svensk lag tillämpas på detta personuppgiftsbiträdesavtal. Tvister avgörs av svensk allmän domstol.

Förteckning över underbiträden

Amazon Web Services EMEA SARL – drift, lagring, säkerhetskopiering, e‑post, sms och AI‑tolkning – Sverige (Stockholm) och övriga EU.

BankID (Finansiell ID‑Teknik BID AB), Swish och de banker som deltar i en betalning, samt Skatteverket och Bolagsverket, är självständigt personuppgiftsansvariga för sin behandling och är inte underbiträden till esigna.