PLACEY – PERSONUPPGIFTSBITRÄDESAVTAL (DPA)

1. Parter och tillämpning

Detta personuppgiftsbiträdesavtal (”Biträdesavtalet”) gäller mellan den användare som laddar upp, skapar, delar eller signerar dokument via Placey (”Personuppgiftsansvarig”) och Placey Sweden AB, org.nr 559583-3624 (”Biträdet” eller ”Placey”).

Biträdesavtalet ingås genom att Personuppgiftsansvarig använder Placeys dokument-, annons- eller signeringsfunktioner, och utgör en integrerad del av Placeys användarvillkor.

Biträdesavtalet reglerar Placeys behandling av personuppgifter för Personuppgiftsansvarigs räkning. Placeys behandling av personuppgifter som Placey själv är ansvarig för, exempelvis kontouppgifter, identifiering och betalningar, regleras i stället av Placeys integritetspolicy.

2. Definitioner

Begrepp som personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, underbiträde, registrerad och personuppgiftsincident har samma betydelse som i EU:s dataskyddsförordning (EU) 2016/679 (”GDPR”). Med ”Dataskyddslagstiftning” avses GDPR och kompletterande svensk lagstiftning.

3. Roller och ansvar

Personuppgiftsansvarig bestämmer ändamål och medel för behandlingen av de personuppgifter som förekommer i uppladdat material och ansvarar för att:

• det finns en rättslig grund för behandlingen och för att tillgängliggöra uppgifterna via Placey
• registrerade har fått den information som krävs enligt artiklarna 13 och 14 i GDPR
• inte fler personuppgifter än nödvändigt laddas upp, och att uppgifter som inte behövs för att utvärdera verksamheten maskeras eller tas bort före uppladdning
• känsliga personuppgifter enligt artikel 9 i GDPR eller uppgifter om lagöverträdelser enligt artikel 10 inte laddas upp, om det inte finns en tydlig rättslig grund och Personuppgiftsansvarig har informerat Placey i förväg
• lämnade instruktioner är lagenliga

Placey behandlar personuppgifterna endast för Personuppgiftsansvarigs räkning och enligt detta Biträdesavtal.

4. Föremål, varaktighet, art och ändamål

Föremålet för behandlingen, dess varaktighet, art och ändamål, kategorier av registrerade och typer av personuppgifter framgår av Bilaga A.

5. Instruktioner

Placey behandlar personuppgifter endast enligt dokumenterade instruktioner från Personuppgiftsansvarig. Användarvillkoren, detta Biträdesavtal med bilagor samt de val och åtgärder Personuppgiftsansvarig gör i Tjänstens gränssnitt utgör de fullständiga instruktionerna.

Placey får behandla personuppgifter utöver instruktionerna om det krävs enligt unionsrätt eller svensk rätt. Placey ska i så fall informera Personuppgiftsansvarig om kravet före behandlingen, om inte sådan information är förbjuden enligt lag.

Placey ska informera Personuppgiftsansvarig om Placey anser att en instruktion strider mot Dataskyddslagstiftningen.

Ytterligare instruktioner som går utöver Tjänstens normala funktion kan medföra kostnader och ska överenskommas skriftligen.

6. Konfidentialitet

Placey säkerställer att personer som är behöriga att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt, samt att åtkomst endast ges till den personal som behöver den för att utföra sina uppgifter.

7. Säkerhetsåtgärder

Placey vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Åtgärderna beskrivs i Bilaga C.

Placey får ändra åtgärderna över tid, förutsatt att säkerhetsnivån inte försämras väsentligt.

8. Underbiträden

Personuppgiftsansvarig ger Placey ett allmänt förhandsgodkännande att anlita underbiträden. De underbiträden som anlitas vid detta avtals ingående anges i Bilaga B.

Placey ska ingå skriftligt avtal med varje underbiträde som ålägger underbiträdet minst samma dataskyddsskyldigheter som följer av detta Biträdesavtal. Placey ansvarar gentemot Personuppgiftsansvarig för underbiträdets behandling.

Placey ska informera Personuppgiftsansvarig minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Information lämnas genom uppdatering av Bilaga B och, för användare med löpande abonnemang, via e-post eller meddelande i Tjänsten.

Personuppgiftsansvarig kan invända mot ett nytt underbiträde inom 30 dagar, på sakliga dataskyddsgrunder. Om parterna inte kan enas har Personuppgiftsansvarig rätt att säga upp de berörda delarna av Tjänsten och få återbetalning för förbetalda, outnyttjade avgifter.

9. Överföring till tredjeland

Placeys egen lagring och behandling sker inom EU/EES. Vissa underbiträden kan behandla personuppgifter utanför EU/EES enligt Bilaga B.

Sådan överföring sker endast med stöd av en giltig överföringsmekanism enligt kapitel V i GDPR, i första hand EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå, kompletterat med de ytterligare skyddsåtgärder som en bedömning i det enskilda fallet visar behövs.

Personuppgiftsansvarig ger Placey fullmakt att för Personuppgiftsansvarigs räkning ingå standardavtalsklausuler med underbiträden.

10. Bistånd vid registrerades rättigheter

Placey ska, med hänsyn till behandlingens art och genom lämpliga tekniska och organisatoriska åtgärder, bistå Personuppgiftsansvarig med att fullgöra sin skyldighet att svara på begäran från registrerade om åtkomst, rättelse, radering, begränsning, dataportabilitet och invändning.

Om en registrerad vänder sig direkt till Placey med en begäran som avser Personuppgiftsansvarigs behandling ska Placey inte besvara den i sak, utan utan onödigt dröjsmål vidarebefordra begäran till Personuppgiftsansvarig.

11. Bistånd vid säkerhet, konsekvensbedömning och samråd

Placey ska bistå Personuppgiftsansvarig med att fullgöra skyldigheterna enligt artiklarna 32–36 i GDPR, det vill säga säkerhetsåtgärder, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndighet, med beaktande av behandlingens art och den information Placey har tillgång till.

12. Personuppgiftsincidenter

Placey ska underrätta Personuppgiftsansvarig utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör personuppgifter som behandlas enligt detta Biträdesavtal.

Underrättelsen ska, i den mån uppgifterna finns tillgängliga, innehålla:

• en beskrivning av incidentens art
• berörda kategorier av registrerade och personuppgifter samt ungefärligt antal
• sannolika konsekvenser
• vidtagna och föreslagna åtgärder
• kontaktuppgifter för vidare information

Personuppgiftsansvarig ansvarar för eventuell anmälan till tillsynsmyndighet och för information till registrerade. Placey ska dokumentera incidenten och bistå med rimlig information.

13. Radering och återlämnande

Personuppgiftsansvarig kan när som helst radera dokument via Tjänsten. Vid radering tas filen bort från Placeys lagringsutrymme och tillhörande post arkiveras.

När Biträdesavtalet upphör, eller när Tjänsten avslutas, ska Placey på Personuppgiftsansvarigs val radera eller återlämna samtliga personuppgifter som behandlas för Personuppgiftsansvarigs räkning och radera befintliga kopior. Om inget val görs inom 30 dagar från upphörandet raderar Placey uppgifterna.

Placey får bevara personuppgifter i den utsträckning det krävs enligt unionsrätt eller svensk rätt, eller när det är nödvändigt för att fullgöra köp som en annan användare redan genomfört, för att bevara signeringsunderlag för ett signerat sekretessavtal, eller för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. Sådana uppgifter fortsätter att omfattas av detta Biträdesavtal.

Uppgifter i säkerhetskopior raderas när säkerhetskopian enligt Placeys rutin skrivs över, normalt inom 90 dagar.

14. Granskning och revision

Placey ska på begäran tillhandahålla den information som behövs för att visa att skyldigheterna enligt artikel 28 i GDPR fullgörs.

Personuppgiftsansvarig har rätt att granska Placeys efterlevnad, i första hand genom dokumentation, frågeformulär eller tillgängliga revisionsrapporter. Fysisk revision på plats får genomföras högst en gång per kalenderår, efter skriftlig begäran minst 30 dagar i förväg, under normal kontorstid och utan att störa Placeys verksamhet. Granskaren får inte vara en konkurrent till Placey och ska omfattas av sekretess.

Personuppgiftsansvarig står för kostnaderna för revisionen, inklusive skälig ersättning för Placeys nedlagda tid, om inte revisionen visar på väsentlig brist hos Placey.

15. Ansvar

Vardera parten ansvarar för skada som orsakats av dess behandling i strid med Dataskyddslagstiftningen eller detta Biträdesavtal, enligt artikel 82 i GDPR.

Personuppgiftsansvarig ansvarar för att uppgifter som laddas upp får behandlas och ska hålla Placey skadeslöst för krav, sanktionsavgifter och kostnader som uppstår till följd av att uppgifter laddats upp eller delats utan rättslig grund, i strid med sekretess eller i strid med instruktionerna i detta Biträdesavtal.

I övrigt gäller ansvarsbegränsningen i Placeys användarvillkor, i den utsträckning den är tillåten enligt tvingande lag. Ansvarsbegränsningen inskränker inte registrerades rättigheter enligt GDPR.

16. Avtalstid, ändringar och tillämplig lag

Biträdesavtalet gäller så länge Placey behandlar personuppgifter för Personuppgiftsansvarigs räkning. Bestämmelserna om konfidentialitet, radering och ansvar gäller även därefter.

Placey kan uppdatera Biträdesavtalet, bland annat vid ändrad lagstiftning eller ändrade underbiträden. Väsentliga ändringar meddelas minst 30 dagar i förväg. Den senaste versionen publiceras alltid på webbplatsen.

Svensk lag gäller. Tvist avgörs enligt vad som anges i Placeys användarvillkor.

Bilaga A — Beskrivning av behandlingen

Bilaga B — Godkända underbiträden

Bilaga C — Tekniska och organisatoriska säkerhetsåtgärder

• Kryptering. All trafik skyddas med TLS. Lagrad data krypteras hos molnleverantören.
• Åtkomstkontroll. Dokument lagras i privata lagringsutrymmen som inte är publikt åtkomliga. Nedladdning sker via tidsbegränsade, signerade länkar.
• Behörighetsstyrning. Åtkomst till ett dokument ges endast till den som laddat upp det, till annonsens team enligt tilldelad roll, och till användare som fått åtkomst genom godkänd intresseanmälan, signerat sekretessavtal eller genomfört köp. Behörigheten kontrolleras i backend vid varje anrop.
• Autentisering. Användare legitimerar sig med BankID. Sessioner har kort giltighetstid. Intern administration sker via separat inloggning med rollstyrning.
• Spårbarhet. Administrativa åtgärder loggas med användare, åtgärd, objekt och tidpunkt. Signerade sekretessavtal förses med kryptografisk kontrollsumma.
• Märkning. Köpta kopior kan förses med uppgift om köpare och tidpunkt för att motverka obehörig spridning.
• Nätverkssegmentering. Interna tjänster, inklusive legitimeringstjänsten, är inte exponerade mot internet.
• Hemlighetshantering. Nycklar och certifikat lagras i molnleverantörens nyckelhanteringstjänst.
• Kontinuitet. Databasen säkerhetskopieras löpande hos molnleverantören.
• Organisatoriskt. Personal omfattas av sekretessåtagande och ges åtkomst enligt behovsprincipen.
• Begränsning. Placey utför ingen antivirus- eller skadekodskontroll av uppladdade filer. Personuppgiftsansvarig ansvarar för att uppladdat material är fritt från skadlig kod.