Personuppgiftsbiträdesavtal – Dupin by Next Case

1. Parter

Personuppgiftsansvarig (”Kunden”)

Kund

[Bolagsnamn]

Organisationsnummer

[Organisationsnummer]

Adress

[Adress]

Kontaktperson

[Kontaktperson]

E-post

[E-post]

Personuppgiftsbiträde (”Next Case”)

Bolag

Next Case AB

Organisationsnummer

559590-5786

Adress

Tennisvägen 10A, 243 33 Höör, Sverige

Kontakt

David@nextcase.se

Dataskyddsfrågor

privacy@nextcase.se

2. Bakgrund och avtalets ställning

Kunden använder tjänsten Dupin by Next Case (”Dupin”) enligt Dupins användarvillkor. Detta avtal är en bilaga till användarvillkoren och reglerar den behandling av personuppgifter som Next Case utför för Kundens räkning, i enlighet med artikel 28 i dataskyddsförordningen (EU) 2016/679 (”GDPR”).

Vid motstridighet mellan detta avtal och användarvillkoren gäller detta avtal i frågor om behandling av personuppgifter för Kundens räkning.

3. Avtalets omfattning

Avtalet omfattar endast behandling där Next Case är personuppgiftsbiträde åt Kunden (”Biträdesdata”), det vill säga uppgifter som Kunden själv lägger in eller som skapas utifrån Kundens användning och som enbart används för Kundens räkning:

• Kundens lista under Mina kunder (organisationsnummer och företagsnamn),
• Kundens egna anteckningar,
• kontaktförberedelser som tas fram för Kunden,
• kundspecifik status och historik för Kundens möjligheter, sparade företag och uppföljning.

Utanför avtalet

Följande behandling omfattas inte av detta avtal eftersom Next Case där själv bestämmer ändamål och medel och är personuppgiftsansvarig. Den beskrivs i Dupins integritetspolicy:

• Dupins gemensamma research om företag och yrkespersoner, inklusive uppgifter från offentliga register och öppna webbkällor,
• konton, inloggning och kundadministration,
• provperiod, avtal och fakturering,
• säkerhet, loggning, skydd mot missbruk samt drift och utveckling av Dupin.

4. Next Cases åtaganden

• Next Case behandlar Biträdesdata endast enligt Kundens dokumenterade instruktioner. Instruktionerna framgår av detta avtal, Bilaga 1 och Kundens användning av Dupins funktioner.
• Om Next Case anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning informerar Next Case Kunden utan dröjsmål.
• Om unionsrätt eller svensk rätt kräver annan behandling informerar Next Case Kunden om det innan behandlingen, om inte lagen förbjuder det.
• Personer som har behörighet att behandla Biträdesdata omfattas av tystnadsplikt eller en lämplig lagstadgad tystnadsplikt.
• Next Case vidtar de tekniska och organisatoriska åtgärder som anges i Bilaga 2.

5. Kundens åtaganden

• Kunden ansvarar för att det finns rättslig grund för den behandling Kunden instruerar Next Case att utföra och för att de registrerade har fått den information de har rätt till.
• Kunden lägger inte in känsliga personuppgifter eller uppgifter om lagöverträdelser i Dupin.
• Kunden ansvarar för att instruktionerna följer gällande dataskyddslagstiftning.

6. Underbiträden

Kunden ger Next Case ett allmänt förhandstillstånd att anlita de underbiträden som anges i Bilaga 3.

Next Case informerar Kunden minst 30 dagar i förväg om planerade tillägg eller byten av underbiträden, så att Kunden kan framföra en befogad invändning. Invänder Kunden på saklig grund och parterna inte kan enas har Kunden rätt att säga upp avtalet och användarvillkoren till upphörande den dag ändringen börjar gälla.

Next Case ingår skriftliga avtal med sina underbiträden som innehåller motsvarande dataskyddsskyldigheter och ansvarar gentemot Kunden för underbiträdenas fullgörande.

7. Överföring till tredje land

Biträdesdata kan behandlas utanför EU/EES av underbiträden enligt Bilaga 3. Sådan överföring sker endast med stöd av en giltig överföringsmekanism enligt kapitel V i GDPR, exempelvis beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler, så som det anges i respektive underbiträdes aktuella dokumentation.

8. Stöd till Kunden

Next Case bistår Kunden, med hänsyn till behandlingens art och den information Next Case har tillgång till, med att fullgöra Kundens skyldigheter att besvara begäranden från registrerade samt skyldigheter enligt artiklarna 32–36 i GDPR. En begäran som Next Case tar emot direkt från en registrerad och som gäller Biträdesdata vidarebefordras till Kunden.

9. Personuppgiftsincidenter

Next Case underrättar Kunden utan onödigt dröjsmål och senast inom 48 timmar efter att Next Case fått kännedom om en personuppgiftsincident som berör Kundens Biträdesdata.

Underrättelsen innehåller, i den mån uppgifterna finns tillgängliga, en beskrivning av incidenten, berörda kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser och vidtagna eller föreslagna åtgärder. Uppgifter som inte finns tillgängliga direkt lämnas i omgångar.

Tidsgränsen på 48 timmar är ett avtalsval för Dupin och ska inte förstås som ett allmänt krav i GDPR.

10. Granskning

Next Case ger Kunden tillgång till den information som behövs för att visa att skyldigheterna i artikel 28 i GDPR fullgörs, och möjliggör och bidrar till granskningar som utförs av Kunden eller av en oberoende granskare som Kunden utser. Granskning aviseras skriftligen minst 30 dagar i förväg, sker under kontorstid, får inte röja andra kunders uppgifter och bekostas av Kunden, om inte granskningen visar väsentliga brister hos Next Case.

11. Avtalets upphörande, radering och återlämning

Avtalet gäller så länge Next Case behandlar Biträdesdata för Kundens räkning.

Kundspecifik Biträdesdata raderas senast 30 dagar efter att avtalet har upphört, om inte lag kräver fortsatt lagring eller Kunden dessförinnan begär tillåten export eller återlämning. Under denna tid kan Kunden begära ut sina uppgifter under Mina kunder.

Tidsgränsen på 30 dagar är ett avtalsval för Dupin och ska inte förstås som ett allmänt krav i GDPR.

12. Ansvar, ändringar och tillämplig lag

Ansvarsfördelningen mellan parterna följer artikel 82 i GDPR och i övrigt användarvillkoren.

Next Case kan ändra detta avtal när det behövs för att följa lag eller ändringar i tjänsten. Väsentliga ändringar aviseras i rimlig tid och tidigare versioner arkiveras.

Svensk lag gäller för detta avtal.

Bilaga 1 – Instruktion och behandling

Ändamål

Att Kunden ska kunna använda Dupins funktioner för att hålla en lista över sina befintliga kunder, undvika att de föreslås som nya möjligheter, hitta möjligheter till merförsäljning, spara och följa upp möjligheter samt ta fram kontaktförberedelser.

Behandlingar

Lagring, strukturering, sökning, jämförelse mot Dupins företagsregister, visning för Kundens användare samt radering.

Kategorier av registrerade

Kontaktpersoner och företrädare hos Kundens befintliga och möjliga kunder, samt enskilda näringsidkare vars företagsnamn kan vara en personuppgift.

Kategorier av personuppgifter

Företagsnamn och organisationsnummer, geografisk uppgift (kommun), namn och yrkesroll i Kundens egna anteckningar och kontaktförberedelser, samt status och historik kopplad till Kundens arbete.

Känsliga uppgifter

Ska inte behandlas.

Varaktighet

Under avtalstiden och därefter i högst 30 dagar enligt avsnitt 11.

Plats

Databasen ligger inom EU. Underbiträden kan behandla uppgifter enligt Bilaga 3.

Bilaga 2 – Tekniska och organisatoriska säkerhetsåtgärder

• Isolering mellan kunder: varje kunds uppgifter är knutna till kundens organisation och kan bara läsas av den organisationens användare. Isoleringen kontrolleras med behörighetsregler direkt i databasen och har testats med separata testkonton.
• Behörighetskontroller: rättigheter avgörs i databasen och i serverkod, inte i webbläsaren. Kunder kan inte skapa eller ändra serverberäknade uppgifter.
• Autentisering: inloggning krävs för all åtkomst till kunduppgifter. Personalbehörighet styrs av en skyddad rolltabell.
• Krypterad överföring: all trafik till tjänsten sker över HTTPS.
• Loggning: administrativa åtgärder och behörighetsändringar loggas i en logg som kunder inte kan ändra.
• Invändningsspärr: personer som har invänt mot Dupins research spärras permanent mot ny insamling där det är relevant.
• Lagring och radering: en automatisk daglig rensning tar bort kunduppgifter enligt beslutade lagringstider, bland annat 30 dagar efter avtalsslut.
• Säkerhetskopior: databasen säkerhetskopieras av driftleverantören enligt dess rutiner.
• Incidenthantering: incidenter hanteras enligt en intern rutin med underrättelse enligt avsnitt 9.
• Minimering: hemliga nycklar och tjänstebehörigheter finns bara på servern och exponeras aldrig i webbläsaren.

Bilaga 3 – Underbiträden

Lovable

Tjänst

Utvecklings- och driftplattform för Dupin, inklusive databas, inloggning, servermiljö och AI-funktioner.

Biträdesdata

All Biträdesdata som lagras och behandlas i Dupin.

Plats och överföring

Databasen ligger inom EU. Lovable anlitar i sin tur egna underbiträden, varav vissa kan behandla uppgifter utanför EU/EES. Aktuell lista och överföringsmekanismer framgår av Lovables publicerade underbiträdeslista och personuppgiftsbiträdesavtal.

Firecrawl

Ändamål

Extern webbresearch i de delar av Dupin där webbsökning används.

Biträdesdata som kan förekomma

Företagsnamn och geografisk uppgift från Kundens Mina kunder-lista vid research om merförsäljning. Detta kan utgöra personuppgift för exempelvis enskild näringsidkare.

Plats och överföring

Firecrawl kan behandla uppgifter i USA. Tillämplig överföringsmekanism framgår av Firecrawls aktuella dataskyddsdokumentation.

Firecrawl är underbiträde endast för den behandling som anges ovan. Övrig webbresearch i Dupin är Next Cases egen behandling och omfattas inte av detta avtal.

Statistiska centralbyrån (SCB) och Bolagsverket är informationskällor för Dupins gemensamma research och är inte underbiträden.