Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal (”PUB-avtalet”) ingås mellan den kund som använder Blixtflow (”Personuppgiftsansvarig” eller ”Kunden”) och Blixtgo Agency AB, organisationsnummer 559069-9038 (”Personuppgiftsbiträdet” eller ”vi”).

PUB-avtalet är en del av avtalet om Blixtflow enligt våra allmänna villkor (”Huvudavtalet”). Det ingås när Kunden godkänner det i Blixtflow och gäller så länge vi behandlar personuppgifter för Kundens räkning. Vid motstridighet gäller PUB-avtalet före Huvudavtalet i frågor om personuppgifter.

Begrepp som ”personuppgifter”, ”behandling”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad” och ”personuppgiftsincident” har samma betydelse som i Europaparlamentets och rådets förordning (EU) 2016/679 (”GDPR”). ”Dataskyddslagstiftning” avser GDPR, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och annan tillämplig lagstiftning om skydd av personuppgifter. ”Underbiträde” avser ett annat personuppgiftsbiträde som vi anlitar för behandlingen.

Vi behandlar personuppgifter för Kundens räkning för att tillhandahålla Blixtflow enligt Huvudavtalet: ta emot, lagra, visa, skicka och organisera Kundens kommunikation och tillhörande uppgifter, samt för support, säkerhet och felsökning. Behandlingens kategorier av registrerade, personuppgifter och varaktighet anges i bilaga 1.

Kunden ansvarar för att behandlingen av personuppgifter i Blixtflow är laglig, att det finns rättslig grund, att de registrerade får information enligt artikel 13 och 14 GDPR och att de instruktioner Kunden ger är förenliga med dataskyddslagstiftningen. Kunden ansvarar för de inställningar som görs i Blixtflow, till exempel vilka kanaler som kopplas, vilka Användare som får åtkomst, inspelning av samtal och lagringstider.

Vi ska

• endast behandla personuppgifterna enligt Kundens dokumenterade instruktioner. Huvudavtalet, detta PUB-avtal och Kundens inställningar och val i Blixtflow utgör Kundens fullständiga instruktioner,
• utan dröjsmål informera Kunden om vi anser att en instruktion strider mot dataskyddslagstiftningen,
• inte behandla personuppgifterna för egna ändamål, och inte använda dem för att träna generella AI-modeller,
• om lag kräver att vi behandlar uppgifterna på annat sätt, informera Kunden innan behandlingen, om inte lagen förbjuder det.

Vi säkerställer att personer som är behöriga att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Åtkomsten begränsas till de personer som behöver den för att utföra sina uppgifter. Supportåtkomst till Kundens arbetsyta sker endast via ett loggat supportläge.

Vi vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR för att uppnå en säkerhetsnivå som är lämplig i förhållande till risken. Åtgärderna beskrivs i bilaga 2. Vi får uppdatera åtgärderna så länge skyddsnivån inte sänks.

Kunden ger ett allmänt förhandstillstånd till att vi anlitar underbiträden. Aktuella underbiträden finns på sidan Underbiträden, som utgör bilaga 3.

• Vi informerar Kunden minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut, via e-post eller i Blixtflow.
• Kunden får invända mot förändringen av sakliga skäl inom denna tid. Om parterna inte kan enas får Kunden säga upp Huvudavtalet till den dag förändringen genomförs, med återbetalning av förskottsbetald avgift för tiden därefter.
• Vi ingår skriftliga avtal med varje underbiträde som ålägger det motsvarande skyldigheter som enligt detta PUB-avtal och ansvarar gentemot Kunden för underbiträdets fullgörande.

Personuppgifter får överföras till ett land utanför EU/EES endast om överföringen uppfyller kraven i kapitel V GDPR, till exempel genom ett beslut om adekvat skyddsnivå (såsom EU–US Data Privacy Framework) eller EU-kommissionens standardavtalsklausuler, kompletterade med ytterligare skyddsåtgärder när det behövs. Uppgift om var underbiträden behandlar personuppgifter och vilken skyddsåtgärd som används finns i bilaga 3.

Med hänsyn till behandlingens art bistår vi Kunden

• genom lämpliga funktioner i Blixtflow, till exempel registerutdrag, radering av en persons uppgifter och automatisk gallring, när registrerade utövar sina rättigheter,
• genom att utan dröjsmål vidarebefordra förfrågningar från registrerade som vi tar emot direkt, utan att själva besvara dem,
• med information som behövs för konsekvensbedömningar och förhandssamråd enligt artikel 35 och 36 GDPR, och
• i övrigt med att fullgöra skyldigheterna enligt artikel 32–36 GDPR.

Bistånd som går utöver vad Blixtflow normalt erbjuder och som inte beror på vårt eget fel får debiteras enligt löpande timpris efter överenskommelse.

Vi meddelar Kunden utan onödigt dröjsmål, och senast inom 48 timmar, efter att vi fått kännedom om en personuppgiftsincident som rör Kundens personuppgifter. Meddelandet ska, i den mån informationen finns tillgänglig, innehålla

• en beskrivning av incidentens art, de kategorier och det ungefärliga antalet registrerade och poster som berörs,
• de sannolika konsekvenserna,
• de åtgärder vi vidtagit eller föreslår för att åtgärda incidenten och mildra dess effekter, samt
• en kontaktperson.

Information som inte finns tillgänglig direkt lämnas i omgångar. Det är Kunden som beslutar om anmälan till tillsynsmyndigheten och information till de registrerade.

Vi ger Kunden tillgång till all information som behövs för att visa att skyldigheterna i artikel 28 GDPR fullgörs. Kunden, eller en oberoende revisor som Kunden utser och som omfattas av sekretess, får genomföra revision högst en gång per år och därutöver vid en personuppgiftsincident eller på begäran av tillsynsmyndighet. Revision ska aviseras minst 30 dagar i förväg, genomföras under kontorstid och utan att störa driften eller andra kunders säkerhet. Kunden står för sina egna kostnader för revisionen.

Ansvar gentemot registrerade och sanktionsavgifter fördelas enligt artikel 82 och 83 GDPR. I förhållandet mellan parterna gäller ansvarsbegränsningen i Huvudavtalet, utom när vi behandlat personuppgifter i strid med Kundens instruktioner eller dataskyddslagstiftningens krav på personuppgiftsbiträden.

PUB-avtalet gäller så länge vi behandlar personuppgifter för Kundens räkning. När Huvudavtalet upphört kan Kunden exportera sina uppgifter under 30 dagar. Därefter raderar vi personuppgifterna, inklusive kopior, om inte lag kräver lagring. Säkerhetskopior raderas inom deras normala rotationscykel och skyddas under tiden enligt detta PUB-avtal. På begäran bekräftar vi raderingen skriftligen.

PUB-avtalet regleras av svensk lag. Tvister avgörs enligt Huvudavtalet. PUB-avtalet finns på svenska och engelska; vid skillnader gäller den svenska versionen.

Åtkomst och identitet

• Lösenord lagras med Argon2id. Inloggningstoken är slumpmässiga (256 bitar) och lagras endast som hash.
• Tvåstegsverifiering med engångskoder och reservkoder; Kunden kan kräva det för alla Användare.
• Skydd mot automatiserade attacker: begränsning av inloggningsförsök, växande fördröjning och kontolåsning efter upprepade fel.
• Utloggning efter inaktivitet, ”logga ut överallt” och återkallande av sessioner vid lösenordsbyte.
• Rollbaserad behörighet (ägare, administratör, teamledare, medarbetare, endast projekt) och privata kanaler.

Isolering och kryptering

• Varje kunds data är logiskt isolerad från andra kunders.
• All överföring sker krypterat (HTTPS/TLS). Nycklar och bilagor krypteras.
• Mobilappen lagrar inloggningen i enhetens säkra nyckelförvaring och krypterar lokalt cachad data (AES-256-GCM); allt raderas vid utloggning.

Integritet i funktionerna

• Personnummer, kortnummer och IBAN maskeras innan text skickas för AI-behandling.
• E-post visas isolerat, externa bilder och spårpixlar blockeras som standard.
• Uppspelning av samtalsinspelningar loggas.
• Verktyg för registerutdrag, radering av en persons uppgifter och automatisk gallring.

Organisation

• Behörighet enligt principen om minsta privilegium; supportåtkomst endast via loggat supportläge.
• Sekretessåtagande för personal och konsulter.
• Rutiner för säkerhetskopiering, återställning och hantering av personuppgiftsincidenter.
• Avtal med alla underbiträden enligt artikel 28 GDPR.

Aktuell förteckning över underbiträden, med tjänst, plats och skyddsåtgärd, finns på sidan Underbiträden. Förteckningen utgör en del av detta PUB-avtal.