Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal ("PBA") utgör en del av användarvillkoren och gäller automatiskt för varje betalande Kund. Det gäller när Jonot Oy (företags-ID 3620928-7, "Jonot", "Personuppgiftsbiträde") behandlar Slutanvändares personuppgifter för Kundens räkning ("Personuppgiftsansvarig"). Rollerna fastställs enligt artikel 28 i GDPR. Ingen separat underskrift krävs.

1. Roller och tillämpningsområde

Personuppgiftsansvarig fastställer ändamål och medel för behandlingen. Jonot behandlar personuppgifter uteslutande som personuppgiftsbiträde för Personuppgiftsansvarigs räkning. Detta PBA gäller i den utsträckning GDPR är tillämplig på behandlingen. Behandling som utförs av Polar (fakturering) sker i egenskap av självständig personuppgiftsansvarig och omfattas inte av detta PBA.

Detta PBA gäller även för ett demokonto: att aktivera en demo innebär att detta PBA införlivas genom hänvisning via demosamtycket, på samma grund enligt artikel 28 och utan separat underskrift, så länge demokontot finns kvar. Se avsnitt 10 och Bilaga 1 för hur demokontots kortare, automatiska raderingsschema gäller i stället för schemat för betalande Kunder.

2. Instruktioner för behandlingen

Jonot behandlar personuppgifter endast på Personuppgiftsansvarigs dokumenterade instruktioner — vilket inkluderar dessa villkor, detta PBA och Kundens användning av Tjänsten — om inte lag kräver annat. I så fall informerar Jonot Personuppgiftsansvarig om kravet före behandlingen, om inte lagen förbjuder det. Jonot informerar Personuppgiftsansvarig om en instruktion enligt Jonots uppfattning strider mot dataskyddslagstiftningen.

3. Föremål, varaktighet, art och ändamål

Föremålet och varaktigheten, arten och ändamålet med behandlingen samt kategorierna av personuppgifter och registrerade beskrivs i Bilaga 1. Behandlingen pågår så länge Kunden har en aktiv prenumeration, plus de lagringsperioder som beskrivs i integritetspolicyn.

4. Konfidentialitet

Jonot säkerställer att de personer som är behöriga att behandla personuppgifter är bundna av konfidentialitet eller omfattas av en ändamålsenlig lagstadgad sekretesskyldighet.

5. Säkerhet

Jonot vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR för att säkerställa en säkerhetsnivå som är lämplig med hänsyn till risken. De aktuella åtgärderna beskrivs i Bilaga 2.

6. Underbiträden

Personuppgiftsansvarig ger ett generellt tillstånd att använda underbiträden. De aktuella underbiträdena anges i Bilaga 3. Jonot ålägger varje underbiträde dataskyddsskyldigheter som motsvarar detta PBA och ansvarar för deras utförande. Jonot informerar om avsedda ändringar av underbiträden och ger Personuppgiftsansvarig möjlighet att invända.

7. Begäranden från registrerade

Jonot bistår Personuppgiftsansvarig med lämpliga tekniska och organisatoriska åtgärder för att besvara begäranden från registrerade om tillgång, rättelse, radering, begränsning, portabilitet eller invändning. Om Jonot tar emot en sådan begäran direkt vidarebefordrar Jonot den till Personuppgiftsansvarig och besvarar den inte på egen hand, om inte Personuppgiftsansvarig instruerar annat.

8. Bistånd och personuppgiftsincidenter

Jonot bistår Personuppgiftsansvarig med dess skyldigheter enligt artiklarna 32–36 i GDPR. När Jonot blir medvetet om en personuppgiftsincident som rör Personuppgiftsansvarigs uppgifter underrättar Jonot Personuppgiftsansvarig utan onödigt dröjsmål och tillhandahåller den information som rimligen är tillgänglig.

9. Dataöverföringar

Jonot överför inte personuppgifter utanför EES utan ett adekvansbeslut eller lämpliga skyddsåtgärder, såsom EU:s standardavtalsklausuler. Edge-behandling kan ske globalt via vår infrastrukturleverantör; de skyddsåtgärder som gäller för sådana överföringar beskrivs i Bilaga 3.

10. Återlämnande och radering

Vid avslutning raderar eller återlämnar Jonot personuppgifter enligt vad som beskrivs i användarvillkoren: ett 30-dagars exportfönster, radering av aktiva poster och att säkerhetskopior fasas ut inom 90 dagar, om inte lag kräver lagring.

För ett demokonto sker raderingen automatiskt och följer i stället schemat i användarvillkoren: aktiv kölappsdata efter ungefär 24 timmar; ett konto som inte har utfärdat någon kölapp efter ungefär 48 timmar (att logga in och det förifyllda exempelinnehållet räknas inte som att utfärda en kölapp); och hela demoorganisationen ungefär 7 dagar efter att dess löptid (inklusive en eventuell förlängning) löper ut. Det finns inget exportfönster för ett demokonto.

11. Revisioner

Jonot tillhandahåller den information som krävs för att påvisa efterlevnad av detta PBA och möjliggör och medverkar i revisioner. Jonot kan uppfylla denna skyldighet genom dokumentation eller tredjepartsrapporter. Revisioner på plats kräver skäligt varsel och konfidentialitet och äger rum högst en gång per år om inte ett brott misstänks.

12. Ansvar och ändringar

Ansvar enligt detta PBA är föremål för de ansvarsbegränsningar som anges i användarvillkoren. Jonot kan uppdatera detta PBA för att återspegla rättsliga eller operativa förändringar; väsentliga ändringar meddelas i enlighet med användarvillkoren.

Bilaga 1 — Beskrivning av behandlingen

• Föremål och ändamål: tillhandahållande av virtuell köhantering till Personuppgiftsansvarig.
• Art: lagring, visning och realtidsbehandling av Slutanvändares ködata.
• Kategorier av personuppgifter: Slutanvändares namn, telefonnummer, köhistorik och kölappsmetadata; Personalanvändares kontouppgifter.
• Kategorier av registrerade: Slutanvändare som ansluter sig till Kundens köer, samt Kundens Personalanvändare.
• Varaktighet: prenumerationens löptid och de lagringsperioder som anges i integritetspolicyn. För ett demokonto gäller i stället demots egen 14-dagarsperiod (plus en eventuell 14-dagars förlängning) och det automatiska raderingsschemat i avsnitt 10.

Bilaga 2 — Säkerhetsåtgärder

• Kryptering under överföring (HTTPS vid kanten).
• Åtkomstkontroll och principen om minsta behörighet.
• Hastighetsbegränsning och autentisering vid kanten.
• Säkerhetskopior och utfasning ur bruk.
• Åtkomst- och händelseloggning.

Bilaga 3 — Underbiträden

• Cloudflare: värdtjänst, databas (D1), Durable Objects och kantnätverk.
• E-postleverantör: transaktionella e-postmeddelanden (t.ex. bekräftelser).
• Polar: fakturering; agerar som självständig personuppgiftsansvarig (inte ett underbiträde enligt detta PBA).

Frågor: info@jonot.io.