Personuppgiftsbiträdesavtal

1. Ändamål och instruktioner

Vi behandlar personuppgifter endast för att tillhandahålla Vardagslyftet enligt de allmänna villkoren och kundens dokumenterade instruktioner. Kundens inställningar i administrationen, till exempel inloggningsmetod och gallringstider, utgör instruktioner. Om vi anser att en instruktion strider mot dataskyddsregler informerar vi kunden.

2. Behandlingen

Kategorier av registrerade: kundens deltagare och administratörer.

Kategorier av personuppgifter: visningsnamn, inloggningsuppgift (e-postadress, anställningsnummer, smeknamn eller identitet från kundens inloggningstjänst), lagtillhörighet, aktiviteter (typ, datum, tid), bonusmarkeringar, frivilliga foton med bildtext, enhetstoken för notiser och tekniska loggar.

Behandlingens art: lagring, sammanställning av poäng och topplistor, utskick av e-post och notiser, export och radering.

3. Säkerhet och sekretess

Vi vidtar de tekniska och organisatoriska åtgärder som beskrivs i dokumentationen för dataskyddsombudet, bland annat kryptering vid överföring, isolering per arbetsplats i databasen, tvåfaktorsautentisering för administratörer, loggning av administrativa åtgärder och begränsad åtkomst för vår personal. Alla som behandlar uppgifterna hos oss omfattas av tystnadsplikt.

Vår personal kommer bara åt uppgifter om enskilda deltagare när kundens ägare har gett tidsbegränsad supportåtkomst, och varje sådan läsning loggas.

4. Underbiträden

Kunden ger ett allmänt förhandstillstånd till att vi anlitar de underbiträden som anges på sidan om säkerhet och dataskydd. Vi informerar kunden minst 30 dagar innan ett nytt underbiträde anlitas, och kunden får invända. Underbiträden binds av motsvarande skyldigheter som i detta avtal.

5. Överföring till tredje land

Personuppgifterna lagras och behandlas inom EU/EES. Enhetstoken och en allmän notistext skickas till Apple eller Google för att leverera push-notiser när deltagaren har slagit på dem.

6. De registrerades rättigheter

Deltagare kan själva se, exportera och radera sina uppgifter i appen. Vi hjälper i övrigt kunden att besvara begäranden från registrerade och att uppfylla skyldigheterna i artiklarna 32 till 36 i dataskyddsförordningen.

7. Personuppgiftsincidenter

Vi underrättar kunden utan onödigt dröjsmål och senast 48 timmar efter att vi fått kännedom om en personuppgiftsincident som berör kundens uppgifter, med den information kunden behöver för att kunna anmäla incidenten till Integritetsskyddsmyndigheten.

8. Granskning

Vi tillhandahåller den information som behövs för att visa att avtalet följs, och möjliggör granskningar som kunden eller en oberoende granskare genomför efter rimligt varsel.

9. Radering vid avslut

När kunden avslutar arbetsplatsen raderar vi alla personuppgifter om arbetsplatsen efter 14 dagar, även loggen, sedan kunden har haft möjlighet att exportera. Säkerhetskopior skrivs över inom 7 dagar.

10. Giltighet

Avtalet gäller så länge vi behandlar personuppgifter för kundens räkning. Vid motstridighet har detta avtal företräde framför de allmänna villkoren i frågor om personuppgifter.