Personuppgiftsbiträdesavtal

Parter och bakgrund

Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") gäller mellan den verksamhet som använder tjänsten Hovio ("Personuppgiftsansvarig") och Emil Aleborn, enskild firma ("Personuppgiftsbiträdet"). Hovio är namnet på tjänsten, inte på Personuppgiftsbiträdets verksamhet. Där detta avtal anger att Hovio gör något avses Personuppgiftsbiträdet.

När Personuppgiftsansvarig använder Hovio behandlar Hovio personuppgifter för Personuppgiftsansvarigs räkning. Biträdesavtalet reglerar den behandlingen enligt artikel 28 i dataskyddsförordningen (GDPR) och accepteras samtidigt med användarvillkoren.

Biträdesavtalet gäller så länge Hovio behandlar personuppgifter för Personuppgiftsansvarigs räkning.

Föremål, art och ändamål

Hovio behandlar personuppgifter i syfte att tillhandahålla plattformen för journalföring, bokning, kund- och hästregister samt fakturering, och för att fullgöra sina åtaganden enligt användarvillkoren. Behandlingen omfattar insamling, lagring, strukturering, användning, överföring och radering av uppgifterna.

Kategorier av registrerade

Behandlingen omfattar följande kategorier av registrerade:

• Personuppgiftsansvarigs kunder och hästägare
• Kontaktpersoner på stall och anläggningar
• Personuppgiftsansvarigs anställda och medarbetare som använder tjänsten
• Veterinärer och andra kontakter som anges i journaler och bokningar

Kategorier av personuppgifter

Behandlingen omfattar följande kategorier av personuppgifter:

• Namn, adress, telefonnummer och e-postadress
• Organisationsnummer och, för enskild firma, personnummer
• Uppgifter om hästar kopplade till en identifierbar ägare, inklusive journalanteckningar, behandlingar och bilder
• Bokningar, besökshistorik och anteckningar
• Fakturor, betalningsstatus och underlag
• Inloggningsuppgifter och teknisk logginformation för tjänstens användare

Behandlingen är inte avsedd att omfatta känsliga personuppgifter enligt artikel 9 GDPR. Personuppgiftsansvarig ska inte lägga in sådana uppgifter i fritextfält.

Instruktioner

Hovio behandlar personuppgifter endast enligt Personuppgiftsansvarigs dokumenterade instruktioner. Användarvillkoren, detta Biträdesavtal och den funktionalitet Personuppgiftsansvarig använder i tjänsten utgör de fullständiga instruktionerna.

Om Hovio är skyldigt att behandla uppgifter enligt lag informerar vi Personuppgiftsansvarig om kravet innan behandlingen sker, om inte lagen förbjuder det. Om vi bedömer att en instruktion strider mot dataskyddslagstiftningen meddelar vi Personuppgiftsansvarig utan dröjsmål.

Säkerhet

Hovio vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32 GDPR, bland annat

• kryptering av uppgifter under överföring och i vila,
• behörighetsstyrning där varje verksamhets uppgifter är avskilda från andra verksamheters och åtkomst styrs av roll,
• autentisering av användare och skydd mot obehörig åtkomst till administrativa gränssnitt,
• loggning av åtkomst och ändringar, med journaler som är oföränderliga och versionshanterade,
• säkerhetskopiering och rutiner för återställning,
• rutiner för att upptäcka, rapportera och hantera personuppgiftsincidenter.

Personal och tystnadsplikt

Hovio ger endast personal som behöver det för att utföra sina arbetsuppgifter åtkomst till personuppgifterna, och ser till att dessa personer har åtagit sig tystnadsplikt.

Underbiträden

Personuppgiftsansvarig ger Hovio ett allmänt förhandsgodkännande att anlita underbiträden. Hovio ansvarar för underbiträdenas behandling som för sin egen och ålägger dem samma skyldigheter som följer av detta Biträdesavtal.

Personuppgifterna lagras inom EU. Följande underbiträden anlitas vid versionen av detta avtal:

Innan vi lägger till eller byter ut ett underbiträde meddelar vi Personuppgiftsansvarig minst 30 dagar i förväg via e-post eller i appen. Personuppgiftsansvarig kan invända mot ändringen inom den tiden. Om vi inte kan tillmötesgå invändningen får Personuppgiftsansvarig säga upp avtalet till den dag ändringen träder i kraft, utan avgift för återstående tid.

Överföring till tredjeland

Behandlingen sker inom EU/EES. Om en överföring till ett land utanför EU/EES ändå blir nödvändig sker den endast med stöd av ett beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler tillsammans med de kompletterande skyddsåtgärder som krävs.

Tjänsten använder AI-modeller via Google Vertex AI. Behandlingen sker på Vertex AI:s EU-endpoint. Modeller som endast kan köras utanför EU/EES används inte för behandling av Personuppgiftsansvarigs uppgifter utan att detta Biträdesavtal först uppdateras enligt punkt 8.

Bistånd till Personuppgiftsansvarig

Hovio ska med lämpliga åtgärder bistå Personuppgiftsansvarig med

• att besvara begäran från registrerade om registerutdrag, rättelse, radering, begränsning, invändning och dataportabilitet,
• att uppfylla skyldigheterna enligt artiklarna 32 till 36 GDPR, inklusive säkerhet, incidenthantering och konsekvensbedömningar,
• att lämna den information som behövs för att visa att skyldigheterna enligt artikel 28 uppfylls.

Vänder sig en registrerad direkt till Hovio hänvisar vi personen till Personuppgiftsansvarig och informerar Personuppgiftsansvarig utan onödigt dröjsmål.

Personuppgiftsincidenter

Hovio underrättar Personuppgiftsansvarig utan onödigt dröjsmål, och senast inom 48 timmar från det att incidenten upptäckts, om en personuppgiftsincident som rör uppgifter som behandlas för Personuppgiftsansvarigs räkning. Underrättelsen innehåller den information Personuppgiftsansvarig behöver för att kunna fullgöra sin anmälningsskyldighet till Integritetsskyddsmyndigheten.

Granskning

Hovio ger Personuppgiftsansvarig den information som behövs för att visa att skyldigheterna enligt detta Biträdesavtal fullgörs. Personuppgiftsansvarig har rätt att en gång per år, efter minst 30 dagars skriftligt varsel, granska Hovios efterlevnad. Granskningen får inte störa driften mer än nödvändigt och den som utför den ska omfattas av tystnadsplikt. Personuppgiftsansvarig står för sina egna kostnader för granskningen och ersätter Hovio för nedlagd tid enligt gällande prislista när granskningen kräver mer än rimlig arbetsinsats.

Radering och återlämnande

När behandlingen upphör raderar Hovio personuppgifterna eller återlämnar dem enligt Personuppgiftsansvarigs val. Personuppgiftsansvarig kan exportera sina uppgifter under hela avtalstiden och i 90 dagar efter att avtalet upphört, varefter uppgifterna raderas. Säkerhetskopior raderas enligt Hovios ordinarie gallringsrutin. Uppgifter som Hovio enligt lag måste bevara behålls endast så länge lagen kräver.

Ansvar

Parterna ansvarar var för sig för skada som orsakats av att den egna behandlingen strider mot dataskyddslagstiftningen. Om en part har betalat full ersättning för en skada har parten rätt att av den andra parten återkräva den del som motsvarar dennes del av ansvaret för skadan, i enlighet med artikel 82 GDPR.

Ansvarsbegränsningen i punkt 15 i användarvillkoren gäller även för detta Biträdesavtal, med undantag för sanktionsavgifter och ersättning till registrerade som beror på att Hovio behandlat uppgifter i strid med Personuppgiftsansvarigs instruktioner eller med sina skyldigheter enligt GDPR.

Kontakt

Frågor om detta Biträdesavtal och om personuppgiftsbehandling skickas till hej@hovio.se.