Personuppgiftsbiträdesavtal

1. Instruktion och behandling

Avargo får endast behandla personuppgifter enligt detta PUB-avtal, Kundens dokumenterade instruktioner och tillämplig dataskyddslagstiftning. Instruktionerna består av Kundens användning av tjänsten, dessa villkor och skriftliga anvisningar som Kunden lämnar till Avargo.

Om Avargo bedömer att en instruktion strider mot dataskyddslagstiftningen ska Avargo, när det är tillåtet, informera Kunden. Avargo ska informera Kunden om ett lagkrav som kräver annan behandling, om inte lagen förbjuder sådan information.

2. Säkerhet, sekretess och assistans

Avargo ska vidta lämpliga tekniska och organisatoriska åtgärder med hänsyn till behandlingens art och risk, bland annat åtkomststyrning, behörighetskontroll, skydd av dokument och säkerhetsloggning.

Avargo ska säkerställa att personer med åtkomst till personuppgifter omfattas av sekretess. Avargo ska, med hänsyn till behandlingens art och tillgänglig information, bistå Kunden med att hantera registrerades rättigheter, personuppgiftsincidenter, konsekvensbedömningar och samråd med tillsynsmyndighet.

3. Personuppgiftsincidenter och granskning

Avargo ska utan onödigt dröjsmål informera Kunden efter att ha fått kännedom om en personuppgiftsincident som rör Kundens personuppgifter och lämna den information som Kunden rimligen behöver för att fullgöra sina skyldigheter.

På Kundens skriftliga begäran ska Avargo tillhandahålla den information som rimligen behövs för att visa efterlevnad av detta PUB-avtal. Kunden har rätt att, högst en gång per år och med rimligt varsel, låta genomföra en granskning som inte oskäligt stör Avargos verksamhet. Kunden står för egna granskningskostnader.

4. Underbiträden och tredjelandsöverföring

Kunden ger Avargo ett allmänt skriftligt tillstånd att anlita underbiträden för tjänstens drift. Avargo använder för närvarande Amazon Web Services EMEA SARL (AWS) för molninfrastruktur, dokumentlagring, databas, autentisering och e-post. Avargos primära region är eu-north-1 (Stockholm).

Avargo ska säkerställa att underbiträden genom avtal åläggs samma dataskyddsskyldigheter som i detta PUB-avtal. Vid planerad tillkomst eller byte av underbiträde informerar Avargo Kunden i förväg via tjänsten eller e-post, så att Kunden kan invända på saklig dataskyddsgrund. Om en överföring till land utanför EU/EES krävs ska Avargo säkerställa att överföringen har stöd i kapitel V GDPR.

5. Radering och återlämnande

När huvudavtalet upphör ska Avargo, efter Kundens val och i den mån det är tekniskt möjligt, återlämna eller radera Kundens personuppgifter inom 30 dagar efter en skriftlig begäran. Avargo får behålla uppgifter i den utsträckning som krävs enligt lag eller för att fastställa, göra gällande eller försvara rättsliga anspråk. Säkerhetskopior raderas enligt ordinarie säkerhets- och gallringsrutiner.

Bilaga 1 – Behandlingens närmare omfattning

• Ämne och varaktighet: behandling som krävs för att tillhandahålla Avargo under huvudavtalets löptid samt den begränsade tid som krävs för avslut, säkerhetskopiering och rättsliga skyldigheter.
• Art och ändamål: lagring, strukturering, åtkomst, överföring, signeringsflöden, verifiering, dokumentation, support, felsökning och säkerhetsåtgärder för digital signering och dokumenthantering.
• Kategorier av registrerade: Kundens användare, företrädare, signatärer, mottagare och andra personer vars uppgifter finns i Kundens dokument eller används i signeringsflödet.
• Typer av personuppgifter: namn, e-postadress, företags- och rolluppgifter, uppgifter i uppladdade dokument, signerings- och verifieringshändelser, tidpunkter, IP-adress, webbläsaruppgifter och tekniska loggar. Kunden ska inte behandla särskilda kategorier av personuppgifter i tjänsten om det inte är nödvändigt och Kunden har lämplig rättslig grund och skyddsåtgärder.
• Kundens rättigheter och skyldigheter: Kunden avgör ändamål och medel för behandlingen, ansvarar för information till registrerade, rättslig grund och instruktioner samt har rätt att ge kompletterande dokumenterade instruktioner inom ramen för huvudavtalet.