Personuppgiftsbiträdesavtal

1. Definitioner

1.1Begrepp som "personuppgifter", "behandling", "personuppgiftsansvarig", "personuppgiftsbiträde", "registrerad", "personuppgiftsincident" och "tillsynsmyndighet" har den betydelse som anges i dataskyddsförordningen (EU) 2016/679 ("GDPR").

1.2"Kundens Personuppgifter" avser personuppgifter som Dovio behandlar för Kundens räkning när Dovio tillhandahåller Tjänsten, som närmare beskrivs i Bilaga 1.

1.3"Dataskyddslagstiftning" avser GDPR och de nationella lagar som kompletterar den, inklusive lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

1.4"Underbiträde" avser en tredje part som Dovio anlitar för att behandla Kundens Personuppgifter.

1.5Övriga begrepp som skrivs med inledande versal har den betydelse som anges i Villkoren.

2. Roller och omfattning

2.1För Kundens Personuppgifter är Kunden personuppgiftsansvarig och Dovio personuppgiftsbiträde. Bilaga 1 beskriver föremålet för behandlingen, dess varaktighet, art och ändamål, typerna av personuppgifter och kategorierna av registrerade.

2.2Detta PUB-avtal gäller inte personuppgifter för vilka Dovio är personuppgiftsansvarig, till exempel konto-, fakturerings- och användningsdata om Kundens användare. Behandlingen av dessa uppgifter regleras i vår integritetspolicy.

2.3Detta PUB-avtal omfattar inte uppgifter som Kunden väljer att skicka från Tjänsten till en tredjepartstjänst, till exempel en integration som Kunden ansluter med sitt eget konto. För sådana uppgifter gäller Kundens eget avtal med den tredje parten.

2.4Vid motstridighet mellan detta PUB-avtal och Villkoren i fråga om behandlingen av Kundens Personuppgifter har detta PUB-avtal företräde.

3. Instruktioner

3.1Dovio behandlar Kundens Personuppgifter endast i enlighet med Kundens dokumenterade instruktioner, såvida inte unionsrätten eller en medlemsstats nationella rätt kräver något annat. I så fall informerar Dovio Kunden om det rättsliga kravet innan behandlingen påbörjas, såvida inte lagen förbjuder det.

3.2Kundens instruktioner utgörs av detta PUB-avtal, Villkoren, Kundens användning av Tjänsten och de inställningar Kunden gör i den, till exempel att ansluta en inkorg, välja vad kollegor får se, skicka mötesassistenten till ett möte eller radera en post. Kunden kan lämna ytterligare skriftliga instruktioner, förutsatt att de är förenliga med Villkoren.

3.3Om en instruktion enligt Dovios bedömning strider mot Dataskyddslagstiftningen informerar Dovio omedelbart Kunden om detta.

3.4Dovio säljer inte Kundens Personuppgifter och använder dem inte för annonsering eller för att träna eller förbättra AI-modeller, vare sig Dovios egna eller andras.

4. Kundens ansvar

4.1Kunden ansvarar för att det finns en rättslig grund för behandlingen, för Kundens Personuppgifters riktighet och laglighet och för att ge de registrerade den information som Dataskyddslagstiftningen kräver.

4.2När Kunden spelar in ett möte med mötesassistenten ansvarar Kunden för att informera deltagarna och, där det krävs, inhämta deras samtycke. Mötesassistenten informerar dessutom om inspelningen i mötets chatt.

4.3Kunden bör inte föra in särskilda kategorier av personuppgifter (artikel 9 GDPR) eller uppgifter om lagöverträdelser (artikel 10 GDPR) i Tjänsten, såvida det inte är nödvändigt och lagligt.

5. Sekretess

5.1Dovio säkerställer att alla som har behörighet att behandla Kundens Personuppgifter omfattas av tystnadsplikt, genom avtal eller enligt lag. Dovios personal får åtkomst till Kundens Personuppgifter endast när det behövs för att tillhandahålla Tjänsten, ge support som Kunden har begärt eller utreda en säkerhetsincident.

6. Säkerhet

6.1Dovio vidtar de tekniska och organisatoriska åtgärder som beskrivs i Bilaga 2 för att skydda Kundens Personuppgifter, med beaktande av den senaste utvecklingen, genomförandekostnaderna och riskerna med behandlingen (artikel 32 GDPR).

6.2Dovio får uppdatera åtgärderna löpande, förutsatt att den sammantagna skyddsnivån inte sänks.

7. Underbiträden

7.1Kunden ger Dovio ett allmänt tillstånd att anlita Underbiträden. De Underbiträden som anlitas anges, med ändamål och plats, på vår sida om underbiträden, som utgör en del av detta PUB-avtal.

7.2Om Dovio planerar att anlita ett nytt Underbiträde eller byta ut ett befintligt meddelar Dovio det på sidan om underbiträden minst 14 dagar innan det nya Underbiträdet börjar behandla Kundens Personuppgifter. Kunder som vill få dessa meddelanden via e-post kan prenumerera genom att skriva till support@dovio.io.

7.3Kunden kan invända mot ett nytt Underbiträde på rimliga grunder som rör dataskydd genom att skriva till support@dovio.io inom 14 dagar från meddelandet. Dovio samarbetar då i god tro med Kunden för att hitta en lösning. Om parterna inte kommer fram till en lösning kan Kunden sluta använda Tjänsten och säga upp Villkoren.

7.4Dovio ålägger genom skriftligt avtal varje Underbiträde att skydda Kundens Personuppgifter på minst samma nivå som detta PUB-avtal föreskriver. Dovio ansvarar gentemot Kunden för att Underbiträdena fullgör dessa skyldigheter.

8. Plats och överföring till tredjeland

8.1Dovio lagrar och behandlar Kundens Personuppgifter inom Europeiska unionen. Varje Underbiträdes plats anges på sidan om underbiträden.

8.2Dovio överför Kundens Personuppgifter utanför Europeiska ekonomiska samarbetsområdet endast i enlighet med kapitel V i GDPR, till exempel med stöd av ett beslut om adekvat skyddsnivå (såsom för ett företag som är certifierat enligt EU-U.S. Data Privacy Framework) eller av de standardavtalsklausuler som Europeiska kommissionen har antagit. Detta gäller även när ett Underbiträdes personal får åtkomst till uppgifter från ett land utanför EU, till exempel för att ge support.

9. Bistånd

9.1Med beaktande av behandlingens art hjälper Dovio Kunden att besvara begäranden om utövande av de registrerades rättigheter. De flesta begäranden kan hanteras direkt i Tjänsten, där Kunden kan visa, exportera, rätta och radera uppgifter. Om en registrerad vänder sig direkt till Dovio med en begäran som avser Kundens Personuppgifter vidarebefordrar Dovio begäran till Kunden och svarar endast enligt Kundens instruktioner.

9.2Utifrån den information som Dovio har tillgång till bistår Dovio i rimlig omfattning Kunden med att fullgöra Kundens skyldigheter enligt artiklarna 32–36 GDPR, inklusive konsekvensbedömningar avseende dataskydd och förhandssamråd med en tillsynsmyndighet.

9.3Om en myndighet begär åtkomst till Kundens Personuppgifter meddelar Dovio Kunden, såvida inte lagen förbjuder det, och lämnar endast ut de uppgifter som Dovio är skyldigt att lämna ut enligt lag.

10. Personuppgiftsincidenter

10.1Dovio meddelar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som påverkar Kundens Personuppgifter. Dovio skickar meddelandet via e-post till Kundens workspace-ägare.

10.2Meddelandet beskriver, i den mån informationen finns tillgänglig, incidentens art, de kategorier av och det ungefärliga antalet registrerade och personuppgiftsposter som berörs, de sannolika konsekvenserna samt de åtgärder som vidtagits eller föreslås. Om inte all information finns tillgänglig samtidigt lämnar Dovio informationen i omgångar utan ytterligare onödigt dröjsmål.

10.3Dovio vidtar rimliga åtgärder för att begränsa incidenten och dess konsekvenser och bistår Kunden med att anmäla incidenten till tillsynsmyndigheten och att informera de registrerade där det krävs. Ansvaret för anmälan till tillsynsmyndigheten ligger kvar hos Kunden som personuppgiftsansvarig.

11. Granskning

11.1Dovio tillhandahåller Kunden den information som krävs för att visa att artikel 28 GDPR efterlevs, inklusive detta PUB-avtal, sidan om underbiträden, säkerhetsåtgärderna i Bilaga 2 och, på begäran, information om Dovios senaste CASA Tier 2-granskning, en oberoende säkerhetsgranskning.

11.2Om denna information inte är tillräcklig får Kunden, eller en oberoende granskare som Kunden har utsett och som omfattas av tystnadsplikt, granska Dovios efterlevnad av detta PUB-avtal, bland annat genom inspektioner. Kunden ska skriftligen meddela Dovio om granskningen minst 30 dagar i förväg. Granskningar sker under normal kontorstid och högst en gång per 12 månader, såvida inte en tillsynsmyndighet kräver något annat eller en personuppgiftsincident ger anledning till en granskning.

11.3Vardera parten svarar för sina egna kostnader för en granskning. Om en granskning kräver betydande arbete från Dovio utöver att tillhandahålla dokumentation ersätter Kunden Dovios skäliga kostnader enligt vad parterna har avtalat i förväg.

12. Avtalstid, återlämning och radering

12.1Detta PUB-avtal gäller så länge Dovio behandlar Kundens Personuppgifter enligt Villkoren.

12.2Under avtalstiden kan Kunden exportera sina uppgifter från Tjänsten, till exempel till CSV eller Excel, och när som helst radera enskilda poster.

12.3När Kunden slutar använda Tjänsten behåller Dovio Kundens Personuppgifter i det låsta workspacet så att Kunden kan återkomma, såvida inte Kunden instruerar Dovio att radera dem. Kunden kan när som helst lämna en sådan instruktion genom att skriva till support@dovio.io.

12.4Inom 30 dagar från en instruktion om radering raderar Dovio Kundens Personuppgifter, inklusive kopior som Underbiträden har för Dovios räkning, och bekräftar raderingen skriftligen. Uppgifter i säkerhetskopior raderas när säkerhetskopiorna gallras, vilket sker inom ytterligare 30 dagar. Dovio behåller uppgifter endast i den mån unionsrätten eller en medlemsstats nationella rätt kräver det.

13. Ansvar

13.1Varje parts ansvar enligt detta PUB-avtal omfattas av ansvarsbegränsningarna i Villkoren, utom i den mån Dataskyddslagstiftningen inte tillåter en sådan begränsning. Ansvar gentemot registrerade regleras av artikel 82 GDPR.

14. Ändringar av detta PUB-avtal

14.1Dovio får uppdatera detta PUB-avtal med anledning av ändringar i lagstiftningen, i Tjänsten eller bland Underbiträdena. Dovio meddelar Kundens workspace-ägare via e-post minst 30 dagar innan en väsentlig ändring börjar gälla. Om Kunden invänder kan Kunden säga upp Villkoren innan ändringen börjar gälla. I annat fall gäller det uppdaterade PUB-avtalet från den dag ändringen börjar gälla.

14.2Ändringar av listan över Underbiträden regleras av avsnitt 7 och inte av detta avsnitt.

15. Tillämplig lag och språk

15.1Detta PUB-avtal regleras av svensk lag. Tvister avgörs i enlighet med Villkoren.

15.2Detta PUB-avtal tillhandahålls på engelska och kan översättas till andra språk i informationssyfte. Vid avvikelser mellan den engelska versionen och en översättning har den engelska versionen företräde.

Bilaga 1: Uppgifter om behandlingen

Föremål

Tillhandahållande av CRM-tjänsten Dovio till Kunden enligt Villkoren.

Varaktighet

Under Villkorens giltighetstid och därefter till dess att uppgifterna raderas enligt avsnitt 12.

Art och ändamål

Hosting och lagring av Kundens CRM-data; synkronisering av anslutna inkorgar och kalendrar och visning av e-post på de poster den hör till; transkribering av de möten som Kunden skickar mötesassistenten till; AI-genererade sammanfattningar, förslag på arbetsuppgifter, e-postutkast och svar i Ask Dovio på Kundens begäran; utskick av e-post för Kundens räkning; förberedelse av avtal för elektronisk signering; support; samt säkerhetsarbete för Tjänsten.

Kategorier av registrerade

Kundens användare; Kundens kontakter, till exempel kunder, potentiella kunder, partner och leverantörer, och deras anställda; personer som skickar e-post till eller träffar Kundens användare; mötesdeltagare; avtalsundertecknare.

Typer av personuppgifter

Namn, e-postadresser, telefonnummer, befattningar och företagsuppgifter; anteckningar, arbetsuppgifter, affärer och annat innehåll som Kunden för in; e-postmeddelanden och metadata från anslutna inkorgar (hämtas vid visning och lagras inte av Dovio, med undantag för kontakter som skapas från dem); kalenderhändelser och deltagare; mötesljud (som behandlas för att skapa ett transkript), transkript och sammanfattningar; avtalsdokument, underskrifter och signeringsloggar.

Särskilda kategorier

Inte avsedda att behandlas. Se avsnitt 4.3.

Plats

Europeiska unionen. Sidan om underbiträden visar varje Underbiträdes plats.

Lagringstid

Till dess att Kunden raderar uppgifterna eller ger instruktion om radering enligt avsnitt 12. Mötesljud hos leverantören av mötesassistenten raderas efter 7 dagar.

Bilaga 2: Tekniska och organisatoriska säkerhetsåtgärder

Hosting och plats

Tjänsten körs i datacenter inom EU, i Tyskland och Irland.

Kryptering

Data krypteras vid lagring (AES-256) och vid överföring (HTTPS med TLS).

Åtskillnad mellan kunder

Varje kunds data hör till kundens egen organisation. Varje databasfråga är avgränsad till organisationen, och radnivåsäkerhet i databasen fungerar som ett andra skyddslager.

Behörighetsstyrning i Tjänsten

Rollbaserad åtkomst (ägare, administratör, medlem). Den som ansluter en inkorg bestämmer hur mycket av den kollegorna får se.

Autentisering

Inloggning via Google eller Microsoft (OAuth 2.0) eller en engångslänk via e-post, med säker sessionshantering.

Personalens åtkomst

Åtkomst till produktionssystem och Kundens Personuppgifter är begränsad till den personal hos Dovio som behöver den, och används endast för att driva Tjänsten, ge support som Kunden har begärt eller utreda säkerhetsincidenter.

Dataminimering

E-postinnehåll hämtas från inkorgen vid visning i stället för att lagras. Mötesassistenten spelar inte in video, och mötesljud hos leverantören raderas efter 7 dagar.

AI-behandling

AI-förfrågningar behandlas inom EU utan datalagring, och AI-leverantörerna får enligt avtal inte använda uppgifterna för att träna AI-modeller.

Övervakning och loggning

Fel övervakas med pseudonymiserade användar-id. Innehåll i förfrågningar och lösenordsfält tas bort från felrapporter.

Säkerhetskopiering och återställning

Databasen säkerhetskopieras automatiskt, med möjlighet till återställning till en viss tidpunkt.

Oberoende granskning

Dovio har godkänts enligt CASA Tier 2 (Cloud Application Security Assessment), som testar applikationen mot OWASP Application Security Verification Standard. Resultatet verifieras av ett auktoriserat laboratorium, och granskningen förnyas varje år.

Hantering av underbiträden

Varje Underbiträde är bundet av ett personuppgiftsbiträdesavtal och säkerhetsbedöms innan det anlitas.

Incidenthantering

Säkerhetsincidenter utreds och begränsas, och berörda kunder informeras enligt avsnitt 10.

Frågor

Om du har frågor om detta PUB-avtal eller vill ha ett undertecknat exemplar, mejla support@dovio.io.