Personuppgiftsbiträdesavtal

1. Parter och giltighet

Avtalet gäller mellan den organisation som använder BoardApp ("Kunden", personuppgiftsansvarig) och ATM Consulting AB, org.nr 556881-3868, Stockholm ("Leverantören", personuppgiftsbiträde).

Avtalet är en del av användarvillkoren och gäller från att Kunden börjar använda tjänsten till dess att all behandling enligt avsnitt 11 har upphört. Vid motstridighet gäller detta avtal före användarvillkoren i frågor om personuppgifter. Begrepp har samma betydelse som i dataskyddsförordningen (EU) 2016/679 ("GDPR").

2. Behandlingen

Ändamål: att tillhandahålla BoardApp — en portal för styrelsearbete, aktiebok, stämma, dokument, datarum och tillhörande AI-funktioner — enligt användarvillkoren.

Kategorier av registrerade: Kundens styrelseledamöter, suppleanter, VD, revisorer, aktieägare och andra användare, samt personer som nämns i handlingar Kunden lägger in.

Kategorier av personuppgifter: namn, kontaktuppgifter, roll och uppdrag, personnummer, aktieinnehav och transaktioner i aktieboken, adress, innehåll i protokoll, beslut och dokument, samt loggar över användning. Kunden ansvarar för att inte lägga in känsliga personuppgifter (GDPR artikel 9) utan stöd i lag.

Varaktighet: så länge avtalet gäller, med de bevarandeskyldigheter som följer av avsnitt 11.

3. Kundens instruktioner

Leverantören behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner. Användarvillkoren, detta avtal och de val Kunden gör i tjänsten utgör instruktionerna. Leverantören underrättar Kunden om en instruktion enligt Leverantörens bedömning strider mot GDPR eller annan dataskyddslag. Kräver lag att Leverantören behandlar uppgifterna på annat sätt informeras Kunden om det, om lagen inte förbjuder det.

4. Sekretess

Den som hos Leverantören har tillgång till personuppgifterna omfattas av tystnadsplikt, och tillgången begränsas till den som behöver den för att utföra tjänsten eller support som Kunden begärt.

5. Säkerhet

Leverantören vidtar de tekniska och organisatoriska åtgärder som krävs enligt GDPR artikel 32. De beskrivs på säkerhetssidan och omfattar bland annat lagring och behandling i Sverige, kryptering av personnummer, isolering mellan organisationer på databasnivå, behörighetsstyrning per dokument, loggning av varje ändring, hash-kedjad aktiebok samt dygnsvis säkerhetskopiering. Leverantören får ändra åtgärderna så länge skyddsnivån inte sänks.

6. Bistånd till Kunden

Leverantören hjälper Kunden att besvara begäranden från registrerade (tillgång, rättelse, radering, begränsning, dataportabilitet). Export och rättelse kan Kunden i de flesta fall göra själv i tjänsten. Leverantören bistår också, i skälig omfattning, med konsekvensbedömningar och förhandssamråd. En begäran som når Leverantören direkt från en registrerad vidarebefordras till Kunden.

7. Underbiträden

Kunden ger ett allmänt förhandstillstånd till att Leverantören anlitar underbiträden. De som anlitas när avtalet ingås framgår nedan och av förtroendesidan. Leverantören meddelar Kunden minst 30 dagar innan ett nytt underbiträde tas i bruk. Kunden får invända inom den tiden på saklig grund; kan parterna inte enas får Kunden säga upp tjänsten utan kostnad för perioden efter ändringen.

Leverantören ingår skriftliga avtal med varje underbiträde med motsvarande dataskyddsskyldigheter och ansvarar mot Kunden för underbiträdets fullgörande.

8. Överföring till tredjeland

Kunddata lagras i Sverige. Behandling utanför EU/EES sker bara hos de underbiträden som anges i listan ovan och då med stöd av EU-kommissionens standardavtalsklausuler eller annan giltig överföringsgrund enligt GDPR kapitel V.

9. Personuppgiftsincidenter

Leverantören underrättar Kunden utan onödigt dröjsmål och senast inom 48 timmar efter att ha fått kännedom om en personuppgiftsincident som rör Kundens uppgifter. Underrättelsen beskriver, så långt det är känt, vad som hänt, vilka uppgifter och registrerade som berörs, troliga följder och vidtagna åtgärder. Kunden ansvarar för eventuell anmälan till Integritetsskyddsmyndigheten och information till de registrerade.

10. Granskning

Leverantören tillhandahåller den information som behövs för att visa att avtalet följs. Kunden, eller en oberoende granskare under tystnadsplikt, får genomföra en granskning efter minst 30 dagars skriftligt varsel, högst en gång per år om inte en incident eller myndighet motiverar annat. Kunden står för sina egna kostnader.

11. När avtalet upphör

Kunden kan när som helst exportera sina uppgifter i tjänsten. När Kunden raderar organisationen eller avtalet upphör blir uppgifterna omedelbart otillgängliga i tjänsten.

Aktiebok och bokföringsmaterial är arkivmaterial som Kunden är skyldig att bevara (aktiebolagslagen 5 kap., bokföringslagen 7 kap. 2 §). Kundens instruktion är därför att Leverantören bevarar uppgifterna oåtkomliga för användare i tio år efter att organisationen raderats och därefter förstör dem, om inte Kunden dessförinnan begär att få ut dem eller instruerar annat skriftligt. Under bevarandetiden behandlas uppgifterna inte för något annat ändamål.

12. Övrigt

Ansvarsbegränsningen i användarvillkoren gäller även detta avtal, utom i den mån GDPR föreskriver annat. Ändringar meddelas Kunden i förväg och publiceras på den här sidan med ny version. Svensk lag gäller, och tvister avgörs av svensk allmän domstol.

Frågor om avtalet, eller beställning av ett undertecknat exemplar: support@boardapp.ai.