Dataskydd
Personuppgiftsbiträdesavtal för LöneFai
Bilaga 2 – Personuppgiftsbiträdesavtal
Avtalet är bilaga 2 till kundavtalet och beskriver hur Tizfai Technologies AB behandlar personuppgifter för kundens räkning enligt artikel 28 i dataskyddsförordningen. Det signeras med BankID tillsammans med kundavtalet.
Texten är densamma som i kundavtalets bilaga. Det kundavtal ni har signerat gäller före den här sidan.
1. Parter och roller
Kunden är personuppgiftsansvarig och Tizfai Technologies AB (Leverantören) är personuppgiftsbiträde för den behandling som sker när Leverantören tillhandahåller LöneFai enligt kundavtalet. När kunden är en redovisningsbyrå som själv är personuppgiftsbiträde åt sina klientföretag är Leverantören underbiträde till byrån, och byrån ansvarar för att dess uppdrag tillåter det. Detta avtal uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR).
2. Behandlingens föremål, art och ändamål
Lagring och behandling av uppgifter för personaladministration, löneberäkning, lönebesked och de anställdas godkännande, bokföring, utbetalningar, arbetsgivardeklaration, meddelanden, avtal och support, så länge kundavtalet gäller.
3. Registrerade och personuppgifter
Registrerade är kundens (och för en redovisningsbyrå klientföretagens) anställda och tidigare anställda, användare och kontaktpersoner samt närstående som de anställda anger. Personuppgifterna är identitets- och kontaktuppgifter (namn, personnummer eller samordningsnummer, e-post, telefon, adress), anställnings- och löneuppgifter (villkor, lön, skatt, bankkonto, frånvaro, förmåner, avdrag och utmätning), lönebesked med de anställdas godkännanden och BankID-signaturer, dokument och meddelanden samt tekniska loggar. Uppgifter om sjukfrånvaro kan vara uppgifter om hälsa; kunden ansvarar för att det finns rättslig grund för behandlingen.
4. Instruktioner
Leverantören behandlar personuppgifterna endast enligt kundens dokumenterade instruktioner, vilka utgörs av detta avtal, kundavtalet och de inställningar kunden gör i tjänsten. Om Leverantören anser att en instruktion strider mot dataskyddsreglerna informeras kunden utan dröjsmål.
5. Säkerhet och sekretess
Leverantören vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, bland annat krypterad överföring, kryptering av personnummer, bankkonton, lönebesked och filer, behörighetsstyrning, loggning, säkerhetskopiering och löpande säkerhetsuppdateringar. Den som behandlar personuppgifterna för Leverantörens räkning omfattas av tystnadsplikt.
6. Underbiträden
Kunden ger ett allmänt förhandsgodkännande till att Leverantören anlitar underbiträden. Leverantören ingår skriftliga avtal med underbiträden med motsvarande skyldigheter och informerar kunden minst 30 dagar innan ett nytt underbiträde anlitas; kunden får invända av sakliga skäl. Underbiträden när avtalet ingås:
| Underbiträde | Uppgift | Plats |
|---|---|---|
| Hetzner Online GmbH | Serverdrift, lagring och säkerhetskopior | Tyskland (EU) |
| OpenAI Ireland Ltd | Läsning av löneunderlag som kunden laddar upp som PDF eller bild, när texten inte kan läsas på annat sätt; inget sparas hos OpenAI | EU, med överföring enligt punkt 7 |
| Google Ireland Ltd (Firebase Cloud Messaging) | Pushnotiser till mobilappen | EU, med överföring enligt punkt 7 |
| Apple Distribution International Ltd (Apple Push Notification service) | Pushnotiser till iPhone | EU, med överföring enligt punkt 7 |
E-post skickas från Leverantörens egen e-postserver och SMS genom Leverantörens SMS-tjänst. Integrationer som kunden själv aktiverar, till exempel Skatteverket, Fortnox och banker, innebär att uppgifter lämnas till mottagaren på kundens instruktion; mottagaren är då inte underbiträde till Leverantören. BankID tillhandahålls av Finansiell ID-Teknik BID AB.
7. Överföring till tredje land
Personuppgifterna lagras inom EU/EES. Om ett underbiträde överför uppgifter utanför EU/EES sker det endast med stöd av kapitel V GDPR, till exempel EU-kommissionens beslut om adekvat skyddsnivå (EU–US Data Privacy Framework) eller standardavtalsklausuler.
8. Bistånd och de registrerades rättigheter
Leverantören bistår kunden, genom tjänstens funktioner och i övrigt i skälig omfattning, med att besvara begäranden från registrerade och med att fullgöra skyldigheterna enligt artiklarna 32–36 GDPR.
9. Personuppgiftsincidenter
Leverantören underrättar kunden utan onödigt dröjsmål, om möjligt inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident, med den information kunden behöver för att kunna anmäla incidenten till Integritetsskyddsmyndigheten.
10. Granskning
Leverantören ger kunden den information som behövs för att visa att skyldigheterna i detta avtal fullgörs och möjliggör granskningar efter skriftlig begäran med skäligt varsel. Varje part står för sina egna kostnader.
11. Radering och återlämnande
När kundavtalet upphör kan kunden exportera sina uppgifter i 30 dagar. Därefter raderar Leverantören kundens personuppgifter inom 90 dagar, och de försvinner ur säkerhetskopiorna när dessa roteras ut, med undantag för uppgifter som Leverantören är skyldig att spara enligt lag, till exempel räkenskapsinformation.
12. Ansvar och avtalstid
Varje part ansvarar för skada enligt artikel 82 GDPR. Ansvarsbegränsningen i Bilaga 1 gäller mellan parterna i den utsträckning tvingande lag medger. Detta avtal gäller så länge Leverantören behandlar personuppgifter för kundens räkning.