Personuppgiftsbiträdesavtal
Avtalet är en del av avtalet om Hilmo och ingås samtidigt, när Kundens firmatecknare signerar med BankID. Det uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR).
1. Parter och roller
Kunden, det företag som använder Hilmo, är personuppgiftsansvarig. Ciscal Holding AB (Hilmo), organisationsnummer 559367-0614, är personuppgiftsbiträde och behandlar personuppgifter för Kundens räkning.
Swish (Getswish AB), Kundens bank och utfärdare av BankID är inte underbiträden. De behandlar uppgifter i egen rätt enligt sina avtal med Kunden och de registrerade.
2. Ändamål och instruktioner
Hilmo behandlar personuppgifterna bara för att leverera tjänsten till Kunden:
- skicka utbetalningar med Swish och följa deras status,
- visa historik, loggar och exporter,
- utföra de tillägg Kunden beställt, som kvitton via mejl, sms till mottagaren och rader i kalkylark,
- ge support och felsöka när Kunden ber om det.
Kundens instruktioner är det här avtalet, villkoren och det Kunden gör och ställer in i tjänsten. Hilmo behandlar inte uppgifterna för egna ändamål. Anser Hilmo att en instruktion strider mot dataskyddsreglerna meddelar Hilmo Kunden.
3. Personuppgifter och registrerade
| Registrerade | Uppgifter |
|---|---|
| Mottagare av utbetalningar | Namn, personnummer, mobilnummer (Swish), belopp, meddelande och referens, tidpunkt och status. Om tillägg används även e-postadress, adress och det Kunden anger om affären. |
| Kundens användare | Namn, e-postadress, mobilnummer, roll och beloppsgränser, inloggningar och enheter, IP-adresser och vad användaren gjort i tjänsten. Namn från BankID och en kontrollsumma av personnumret när användaren signerar. |
Personnummer lagras krypterade. Behandlingen pågår så länge avtalet om Hilmo gäller, och därefter enligt punkt 10.
4. Säkerhet och sekretess
Hilmo vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32, bland annat:
- kryptering vid överföring (TLS) och fältkryptering av personnummer i databasen,
- signeringsnycklar i hårdvarusäkerhetsmodul (HSM) som aldrig lämnar modulen,
- obligatorisk tvåstegsverifiering för alla användare och BankID för känsliga ändringar,
- roller och beloppsgränser som styr vem som får se och göra vad,
- en logg över händelser som inte går att ändra i efterhand,
- servrar och databas inom EU, och säkerhetskopior.
Alla som arbetar med uppgifterna hos Hilmo har tystnadsplikt och får bara tillgång till det de behöver.
5. Underbiträden
Kunden godkänner att Hilmo anlitar följande underbiträden:
| Underbiträde | Uppgift | Plats |
|---|---|---|
| Railway Corporation | Drift av servrar och databas | EU (Nederländerna) |
| Google Cloud | Nycklar för signering (Cloud KMS). Google Sheets om tillägget Kalkylark används. | EU (Sverige för nycklarna) |
| Resend | Utskick av mejl, som kvitton och meddelanden från Hilmo | Enligt punkt 6 |
| 46elks AB | Utskick av sms om tillägget används | Sverige |
Hilmo har skriftliga avtal med underbiträdena med samma skyldigheter som i det här avtalet. Inför att Hilmo anlitar eller byter ett underbiträde meddelar Hilmo Kunden via e-post minst 30 dagar i förväg. Kunden kan invända inom den tiden och har då rätt att säga upp avtalet om Hilmo ändå genomför ändringen.
6. Överföring till tredje land
Hilmo för bara över personuppgifter till ett land utanför EU/EES om det finns stöd för det i kapitel V i dataskyddsförordningen, till exempel ett beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler. Några av underbiträdena är bolag i USA, och för dem gäller sådana skyddsåtgärder.
7. Bistånd till Kunden
Hilmo hjälper Kunden, i den mån det är rimligt, att besvara begäranden från registrerade, till exempel om registerutdrag eller radering, och att uppfylla Kundens skyldigheter om säkerhet, konsekvensbedömningar och förhandssamråd. Kommer en begäran direkt till Hilmo vidarebefordrar Hilmo den till Kunden.
8. Personuppgiftsincidenter
Hilmo underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident. Underrättelsen beskriver vad som hänt, vilka uppgifter och registrerade som berörs, troliga följder och vad Hilmo gör åt det, så att Kunden kan anmäla incidenten till Integritetsskyddsmyndigheten inom 72 timmar när det krävs.
9. Granskning
Hilmo ger Kunden den information som behövs för att visa att avtalet följs. Kunden får, eller låter en oberoende granskare under tystnadsplikt, granska Hilmos behandling med 30 dagars varsel, högst en gång per år om det inte finns särskilda skäl. Kunden står för sina egna kostnader för granskningen.
10. När avtalet upphör
Kunden kan exportera sina uppgifter så länge kontot är öppet. Senast 90 dagar efter att avtalet om Hilmo har upphört raderar Hilmo Kundens personuppgifter, inklusive nycklar och certifikat, om inte Kunden dessförinnan har bett att få dem återlämnade. Uppgifter som Hilmo måste spara enligt lag sparas så länge lagen kräver och används inte till något annat.
11. Övrigt
Ansvar och ansvarsbegränsningar följer av de allmänna villkoren, utan att begränsa någon parts ansvar mot de registrerade eller mot myndigheter enligt dataskyddsförordningen. Avtalet gäller så länge Hilmo behandlar personuppgifter för Kundens räkning. Svensk lag gäller, och tvister avgörs som i villkoren.