Detta personuppgiftsbiträdesavtal (”PUB-avtalet”) har ingåtts mellan:
gemensamt kallade ”parterna”.
Detta avtal reglerar Less behandling av personuppgifter för kundföretagets räkning i samband med användningen av tjänsten Less, i enlighet med artikel 28 i EU:s dataskyddsförordning (GDPR). Avtalet gäller som bilaga till och utgör en integrerad del av parternas huvudavtal om användning av tjänsten.
Definitioner: Termer som ”personuppgifter”, ”behandling”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”underbiträde”, ”registrerad” och ”personuppgiftsincident” har samma betydelse som i GDPR.
Less får bara behandla personuppgifter enligt dokumenterade instruktioner från kundföretaget, såsom de framgår av detta avtal och av kundföretagets användning av tjänstens funktioner. Less ska omedelbart informera kundföretaget om en instruktion enligt biträdets bedömning strider mot GDPR eller annan tillämplig dataskyddslagstiftning.
Less åtar sig att:
Ändamål: att tillhandahålla tjänsten Less för jobbhantering, schemaläggning och tidrapportering åt kundföretaget.
Kategorier av registrerade: kundföretagets anställda (chefer och medarbetare) som läggs upp som användare i tjänsten.
Kategorier av personuppgifter:
Less behandlar inte personnummer, privata e-postadresser, telefonnummer eller någon känslig personuppgiftskategori (t.ex. hälsouppgifter, etniskt ursprung eller fackligt medlemskap) om kundföretagets anställda inom ramen för detta avtal.
Varaktighet: behandlingen pågår så länge huvudavtalet mellan parterna gäller, se även punkt 8 om radering vid avtalets upphörande.
Less ska säkerställa att all personal och andra som behandlar personuppgifter för Less räkning är bundna av konfidentialitetsförbindelser, antingen genom avtal eller lagstadgad tystnadsplikt.
Less ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna, med hänsyn till behandlingens art och risk, bland annat:
Kundföretaget ger Less ett generellt godkännande att anlita följande underbiträden för att tillhandahålla tjänsten:
| Underbiträde | Syfte |
|---|---|
| Supabase | Databas och backend-infrastruktur |
| Stripe | Betalningshantering av abonnemang |
| Netlify | Hosting av webbapplikationen |
Less ska ingå avtal med varje underbiträde som ålägger underbiträdet motsvarande dataskyddsskyldigheter som de som gäller för Less enligt detta avtal.
Om Less avser att lägga till eller byta ut ett underbiträde ska kundföretaget informeras i förväg. Kundföretaget har då rätt att invända mot ändringen inom skälig tid; kan parterna inte nå en lösning har kundföretaget rätt att säga upp huvudavtalet.
Less ska inte överföra personuppgifter till ett land utanför EU/EES utan att säkerställa en lagenlig överföringsgrund, t.ex. ett adekvansbeslut från EU-kommissionen eller EU-kommissionens standardavtalsklausuler (SCC) tillsammans med nödvändiga kompletterande åtgärder. Supabase-databasen är placerad i West Europe (London), Storbritannien. Storbritannien omfattas av EU-kommissionens beslut om adekvat skyddsnivå enligt GDPR. Stripe och Netlify kan behandla eller överföra personuppgifter utanför EU/EES. Sådana överföringar ska ske med stöd av tillämplig laglig överföringsmekanism, såsom EU-kommissionens beslut om adekvat skyddsnivå, EU–USA Data Privacy Framework för certifierade mottagare eller EU-kommissionens standardavtalsklausuler (SCC).
Less ska, med beaktande av behandlingens art, i skälig utsträckning bistå kundföretaget genom lämpliga tekniska och organisatoriska åtgärder så att kundföretaget kan fullgöra sin skyldighet att besvara begäranden om att utöva den registrerades rättigheter (t.ex. registerutdrag, rättelse eller radering).
Om Less får en begäran direkt från en registrerad som avser uppgifter Less behandlar åt kundföretaget, ska Less vidarebefordra begäran till kundföretaget utan onödigt dröjsmål och inte själv besvara den, om inte parterna kommit överens om annat.
Om Less blir medvetet om en personuppgiftsincident som berör personuppgifter som behandlas enligt detta avtal, ska Less meddela kundföretaget utan onödigt dröjsmål, och senast inom 48 timmar, med den information som behövs för att kundföretaget ska kunna fullgöra sina eventuella skyldigheter att anmäla incidenten till Integritetsskyddsmyndigheten (IMY) och berörda registrerade.
När huvudavtalet upphör ska Less, enligt kundföretagets val, antingen radera eller återlämna samtliga personuppgifter som behandlats enligt detta avtal, samt radera befintliga kopior, om inte lagring krävs enligt tillämplig lag (t.ex. bokföringslagen för betalningsuppgifter). Radering ska ske inom 30 dagar från avtalets upphörande.
Less ska på kundföretagets begäran tillhandahålla den information som behövs för att visa att skyldigheterna i detta avtal efterlevs, och möjliggöra och bidra till granskningar, inklusive inspektioner, som genomförs av kundföretaget eller en av kundföretaget anlitad revisor. Sådan granskning ska aviseras i rimlig tid i förväg och genomföras på ett sätt som inte onödigt stör Less verksamhet.
Vardera part ansvarar för skada som orsakas av partens eget brott mot GDPR eller detta avtal, i enlighet med vad som följer av GDPR och tillämplig lag. Ansvarsbegränsningar i huvudavtalet mellan parterna gäller även för detta PUB-avtal, i den utsträckning sådana begränsningar är förenliga med GDPR.
Detta avtal gäller så länge huvudavtalet mellan parterna gäller, och upphör automatiskt när huvudavtalet upphör, dock med fortsättande giltighet för de bestämmelser som till sin natur är avsedda att gälla även därefter (t.ex. radering och konfidentialitet).
Svensk lag ska tillämpas på detta avtal. Tvist med anledning av avtalet ska i första hand lösas genom förhandling mellan parterna, och i andra hand avgöras av allmän domstol med Hudiksvalls tingsrätt som första instans.
| Underbiträde | Syfte | Plats/region |
|---|---|---|
| Supabase | Databas och backend | West Europe (London), Storbritannien |
| Stripe | Betalningshantering | EEA/USA och andra regioner enligt Stripes tjänsteleverans och underbiträden |
| Netlify | Webbhosting | USA och andra regioner enligt Netlifys tjänsteleverans och underbiträden |
För kundföretaget: den person eller behöriga företrädare som accepterar detta avtal för kundföretagets räkning i samband med beställning av Less.
För Less: Simon Lindqvist, VD/ägare, hej@halsinglandsrekrytering.se
Detta avtal ingås elektroniskt. Genom att kundföretagets behöriga företrädare aktivt godkänner PUB-avtalet i samband med beställning av Less blir avtalet bindande mellan kundföretaget och Hälsinglands Rekrytering AB. Datum och uppgifter om godkännandet registreras elektroniskt i samband med beställningen.