Integritetspolicy & personuppgiftsbiträdesavtal

Del B – Integritetspolicy (version 8.0)

1. Personuppgiftsansvar. Leverantören är personuppgiftsansvarig för Kundens kontakt-, konto- och faktureringsuppgifter. För uppgifter Kunden lagrar i tjänsten (journaler, dagbok, signaturer, foton) är Kunden ansvarig och Leverantören biträde enligt Del C.

Vid behandling som grundas på berättigat intresse har Leverantören bedömt att intresset väger tyngre än den registrerades intresse av skydd, eftersom uppgifterna är begränsade och används i ett yrkessammanhang. Den som vill veta mer om avvägningen kan kontakta support@blasttrack.se.

2. Inaktivering och radering av konton. När en användare lämnar verksamheten inaktiveras inloggningen och inloggningsuppgifterna raderas. Namn och signatur som användaren satt i journaler, dagbok och deklarationer ingår däremot i Kundens spårbarhetsregister och bevaras där så länge Kunden behöver det enligt lag (se villkor 9.6). Begäran om radering av sådana uppgifter hanteras av Kunden som personuppgiftsansvarig.

2a. Lagringstider för uppgifter i tjänsten (samordnad beskrivning). Uppgifter som Kunden lagrar i tjänsten finns kvar under avtalstiden och den efterföljande avvecklingsperioden om 90 dagar. Har Kunden begärt export förlängs perioden till dess att exporten levererats och 14 dagar förflutit (villkor 9.2). Därefter raderas uppgifterna ur den aktiva databasen och är senast 30 dagar senare borta även ur säkerhetskopiorna (villkor 8.3 och 9.4). Fakturerings- och bokföringsunderlag undantas och sparas i 7 år efter räkenskapsårets utgång enligt bokföringslagen. Kundens skyldighet att bevara spårbarhetsregistret regleras i villkor 9.6 och fullgörs genom Kundens egen export.

3. Mottagare och tredjeland. Uppgifter säljs aldrig. De delas endast med underbiträden enligt Bilaga 2. Databaslagring sker inom EU/EES. Överföring till tredjeland sker endast med stöd av adekvansbeslut (t.ex. EU-US Data Privacy Framework eller beslutet om Storbritannien) eller EU-kommissionens standardavtalsklausuler. En kopia av tillämpliga skyddsåtgärder, eller uppgift om var de finns tillgängliga, kan begäras via support@blasttrack.se.

4. Dina rättigheter. Rätt till registerutdrag, rättelse, radering, begränsning och invändning mot behandling som grundas på berättigat intresse. När behandlingen grundas på avtal och sker automatiserat har du även rätt till dataportabilitet, det vill säga att få ut uppgifter du själv lämnat i ett strukturerat, maskinläsbart format. Klagomål kan lämnas till Integritetsskyddsmyndigheten (IMY). Kontakt: support@blasttrack.se.

Del C – Personuppgiftsbiträdesavtal (art. 28 GDPR)

Artikel 1. Tillämpning

Avtalet reglerar Leverantörens (”Biträdet”) behandling av personuppgifter för Kundens (”den Ansvarige”) räkning i BlastTrack. Behandlingen beskrivs i Bilaga 1.

Artikel 2. Instruktioner

2.1 Biträdet behandlar personuppgifter endast enligt den Ansvariges dokumenterade instruktioner, även när det gäller överföring av personuppgifter till tredjeland eller internationell organisation. Huvudavtalet, detta PUB-avtal och användningen av tjänstens funktioner utgör instruktionerna.
2.2 Om behandling krävs enligt unionsrätten eller svensk rätt ska Biträdet informera den Ansvarige om det rättsliga kravet innan behandlingen påbörjas, såvida sådan information inte är förbjuden enligt den rätten av viktiga skäl som rör allmänintresset.
2.3 Biträdet underrättar omedelbart den Ansvarige om en instruktion enligt Biträdets bedömning strider mot dataskyddsregler.

Artikel 3. Tystnadsplikt

Personer som behandlar personuppgifter har åtagit sig tystnadsplikt eller omfattas av lagstadgad sekretess.

Artikel 4. Säkerhet

Biträdet vidtar lämpliga åtgärder enligt art. 32 GDPR, bl.a. kryptering vid överföring och i vila, separation av data per kundorganisation, inbjudningsstyrd åtkomst, dagliga säkerhetskopior och begränsning av upprepade inloggningsförsök.

Artikel 5. Underbiträden

5.1 Den Ansvarige ger generellt förhandstillstånd till underbiträdena i Bilaga 2.
5.2 Nya eller ersatta underbiträden meddelas minst 30 dagar i förväg. Vid invändning som parterna inte löser får den Ansvarige säga upp avtalet enligt villkor 11.3.
5.3 Biträdet ålägger underbiträden motsvarande skyldigheter och ansvarar fullt för dem.

Artikel 6. Bistånd

Biträdet bistår den Ansvarige vid begäranden från registrerade och med skyldigheterna i art. 32–36 GDPR.

Artikel 7. Incidenter

Biträdet underrättar den Ansvarige utan onödigt dröjsmål och senast 48 timmar efter att ha fått kännedom om en personuppgiftsincident, först med en preliminär rapport och därefter med kompletteringar, så att den Ansvarige kan anmäla till IMY inom 72 timmar.

Artikel 8. Granskning och inspektion

8.1 Biträdet tillhandahåller all information som krävs för att visa att skyldigheterna enligt art. 28 GDPR fullgörs, och möjliggör och bidrar till granskningar, inklusive inspektioner, som genomförs av den Ansvarige eller av en annan granskare som den Ansvarige utser.
8.2 Ordinarie granskning och inspektion aviseras 30 dagar i förväg och sker på den Ansvariges bekostnad. Granskare som den Ansvarige utser ska omfattas av tystnadsplikt.
8.3 Vid allvarlig incident eller föreläggande från IMY möjliggörs inspektion med kortast skäliga varsel, normalt 48 timmar.

Artikel 9. Återlämning och radering

Vid avtalets slut återlämnar Biträdet uppgifterna genom export enligt villkor 9.1, inklusive foton, signaturer, sparade originalleveransfiler och kopplingarna till respektive post, eller raderar dem, enligt den Ansvariges val. Görs inget val inom 90 dagar raderas uppgifterna ur den aktiva databasen. Har den Ansvarige valt återlämning sker raderingen först när exporten levererats och fristen i villkor 9.2 löpt ut. Uppgifterna är därefter borta även ur säkerhetskopiorna senast 30 dagar efter raderingen. Lagstadgad lagring undantas. Biträdet bekräftar skriftligen när raderingen är slutförd.

Bilaga 1 – Behandlingsbeskrivning

Bilaga 2 – Underbiträden

Uppgifter markerade [Att styrka] ska vara verifierade mot gällande dataskyddsavtal innan tjänsten används med kunder. Leverantören uppdaterar förteckningen när verifieringen är klar och tillhandahåller den Ansvarige en kopia på begäran.

Ändringar i förteckningen meddelas enligt PUB art. 5.2.