Person­uppgifts­biträdes­avtal.

1. Parter och bakgrund

Personuppgiftsbiträde: Kuruto AB, org.nr 559400-0928, hej@sait.se (”vi”).

Personuppgiftsansvarig: kunden som har beställt en sajt, Sajt som tjänst eller en skötselplan av oss (”du”).

Avtalet är en del av våra villkor för företag och godkänns i kassan. Det gäller så länge vi behandlar personuppgifter för din räkning.

2. Vad vi behandlar och varför

Vi behandlar personuppgifter bara för att leverera och drifta din sajt, och bara enligt dina instruktioner. Vad det innebär står i bilaga 1. Avtalet och dina inställningar på sajten är dina instruktioner. Om vi tycker att en instruktion strider mot dataskyddsreglerna säger vi till direkt.

3. Sekretess

Bara personer hos oss som behöver uppgifterna för att göra sitt jobb får tillgång till dem, och de har tystnadsplikt.

4. Säkerhet

Vi skyddar uppgifterna med de tekniska och organisatoriska åtgärder som står i bilaga 2.

5. Underbiträden

Du godkänner att vi anlitar de underbiträden som står i bilaga 3. Vill vi lägga till eller byta ett underbiträde meddelar vi dig minst 30 dagar innan. Du får invända. Kan vi inte lösa det får du säga upp den berörda tjänsten utan kostnad. Våra underbiträden har samma skyldigheter mot oss som vi har mot dig.

6. Överföring utanför EU/EES

Några av våra underbiträden kan behandla uppgifter i USA. Vi överför bara uppgifter dit om det finns ett giltigt skydd, i första hand EU–US Data Privacy Framework och som reserv EU-kommissionens standardavtalsklausuler. Där leverantören erbjuder lagring inom EU använder vi det.

7. Vi hjälper dig

• När någon vill använda sina rättigheter, till exempel få ut eller radera sina uppgifter, hjälper vi dig att svara.
• Vi hjälper dig med konsekvensbedömningar och kontakter med Integritetsskyddsmyndigheten (IMY) när det behövs.
• Får vi en begäran direkt från någon av dina besökare skickar vi den vidare till dig.

8. Personuppgiftsincidenter

Om något händer med uppgifterna, till exempel obehörig åtkomst eller förlust, meddelar vi dig utan onödigt dröjsmål. Vårt mål är inom 24 timmar från att vi upptäckt incidenten. Vi berättar vad som har hänt, vilka uppgifter som berörs och vad vi gör åt det, så att du kan anmäla till IMY inom 72 timmar om det krävs.

9. Granskning

Du har rätt att kontrollera att vi följer avtalet. I första hand gör vi det genom att ge dig dokumentation om våra säkerhetsåtgärder och underbiträden. Behövs mer får du, eller någon du anlitar som har tystnadsplikt, göra en granskning efter överenskommelse i förväg. Granskningen ska vara rimlig i omfattning.

10. När avtalet upphör

När vår tjänst upphör kan du få en export av uppgifterna. Därefter raderar vi dem, inklusive kopior, inom 30 dagar, om inte lag kräver att vi sparar dem. Säkerhetskopior skrivs över enligt vår vanliga rutin.

11. Ansvar och lag

Ansvar regleras av dataskyddsförordningen (GDPR) och av villkoren för ditt köp. Svensk lag gäller.

Bilaga 1. Beskrivning av behandlingen

Känsliga uppgifter: som standard ska kontaktformulär inte användas för hälsouppgifter eller andra känsliga uppgifter. Har du en verksamhet där sådana uppgifter kan förekomma, till exempel en klinik, berättar du det i beställningen så kommer vi överens om särskilda åtgärder.

Lagringstid: meddelanden från formulär sparas hos oss bara så länge som behövs för att leverera dem till dig, och tekniska loggar en kort tid för säkerhet och felsökning.

Bilaga 2. Säkerhetsåtgärder

• Krypterad trafik (HTTPS/TLS) för alla sajter och för vårt eget system.
• Kryptering av lagrade data hos våra driftleverantörer.
• Tvåstegsverifiering för alla konton som har åtkomst till kunddata.
• Behörighet efter behov: bara de som behöver uppgifterna har tillgång.
• Loggning av åtkomst och ändringar.
• Regelbundna säkerhetskopior.
• Skydd mot överbelastning och missbruk, till exempel begränsning av antal förfrågningar.
• En dokumenterad rutin för att hantera och anmäla incidenter.

Bilaga 3. Underbiträden