Juridiskt dokument · Bilaga till licensvillkoren

Personuppgiftsbiträdesavtal för NYTERIO Pocket

Version: 9 september 2026 · Bilaga till: Licensvillkor för NYTERIO Pocket · Personuppgiftsbiträde: NYTERIO AB, org.nr 559596-9790

    Det här avtalet är bilaga till licensvillkoren för NYTERIO Pocket och gäller från det att du godkänner dem vid registreringen. Du är "Kunden", personuppgiftsansvarig för det du fotar, ritar och skriver i tjänsten. NYTERIO AB är personuppgiftsbiträde. Del A är EU-kommissionens standardavtalsklausuler enligt genomförandebeslut (EU) 2021/915, ordagrant i den svenska lydelsen. Del B och bilagorna är det som gäller just Pocket. Den senaste versionen finns alltid på den här sidan och under Administration i appen.
  

Personuppgiftsbiträdesavtal

mellan den personuppgiftsansvarige ("Kunden") och personuppgiftsbiträdet NYTERIO AB, org.nr 559596-9790 ("NYTERIO"), enligt bilaga I. Avtalet utgör en bilaga till Licensvillkor för NYTERIO Pocket.

Del A: Standardavtalsklausuler

Standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden enligt artikel 28.7 i förordning (EU) 2016/679, fastställda genom kommissionens genomförandebeslut (EU) 2021/915.

AVSNITT I

Klausul 1. Syfte och tillämpningsområde

a) Syftet med dessa standardavtalsklausuler (klausulerna) är att säkerställa överensstämmelse med artikel 28.3 och 28.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.

b) De personuppgiftsansvariga och de personuppgiftsbiträden som anges i bilaga I har kommit överens om att tillämpa dessa klausuler för att säkerställa efterlevnaden av artikel 28.3 och 28.4 i förordning (EU) 2016/679 och/eller artikel 29.3 och 29.4 i förordning (EU) 2018/1725.

c) Dessa klausuler är tillämpliga på behandling av personuppgifter i enlighet med bilaga II.

d) Bilagorna I–IV utgör en integrerad del av klausulerna.

e) Dessa klausuler påverkar inte de skyldigheter som den personuppgiftsansvarige har enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

f) Genom dessa klausuler säkerställs inte i sig att skyldigheterna i samband med internationella överföringar i enlighet med kapitel V i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 fullgörs.

Klausul 2. Klausulernas oföränderlighet

a) Parterna förbinder sig att inte ändra klausulerna, förutom för att lägga till information i bilagorna eller uppdatera informationen i dem.

b) Detta hindrar inte parterna från att inkludera de standardavtalsklausuler som fastställs i dessa klausuler i ett mer omfattande avtal eller att lägga till andra klausuler eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt strider mot klausulerna eller begränsar de registrerades grundläggande rättigheter eller friheter.

Klausul 3. Tolkning

a) Om de begrepp som definieras i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 används i dessa klausuler ska dessa begrepp ha samma betydelse som i den förordningen.

b) Dessa klausuler ska läsas och tolkas mot bakgrund av bestämmelserna i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725.

c) Dessa klausuler ska inte tolkas så att de strider mot de rättigheter och skyldigheter som föreskrivs i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 eller påverkar de registrerades grundläggande rättigheter eller friheter.

Klausul 4. Hierarki

Om dessa klausuler strider mot bestämmelser i tillhörande avtal mellan parterna som gäller vid den tidpunkt då dessa klausuler avtalas eller ingås därefter, ska dessa klausuler ha företräde.

Klausul 5 – Frivillig. Dockningsklausul

[Utgår. Parterna har valt att inte tillämpa den frivilliga dockningsklausulen.]

AVSNITT II: PARTERNAS SKYLDIGHETER

Klausul 6. Beskrivning av behandlingen

Närmare uppgifter om behandlingen, särskilt kategorierna av personuppgifter och de ändamål för vilka personuppgifterna behandlas för den personuppgiftsansvariges räkning, anges i bilaga II.

Klausul 7. Parternas skyldigheter

7.1 Instruktioner

a) Personuppgiftsbiträdet får endast behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av. I så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida detta inte är förbjudet med hänvisning till ett viktigt allmänintresse enligt denna rätt. Den personuppgiftsansvarige får även ge efterföljande instruktioner under hela den tid som personuppgifterna behandlas. Dessa instruktioner ska alltid dokumenteras.

b) Personuppgiftsbiträdet ska omedelbart informera den personuppgiftsansvarige om personuppgiftsbiträdet anser att en instruktion från den personuppgiftsansvarige strider mot förordning (EU) 2016/679 eller förordning (EU) 2018/1725 eller mot unionens eller medlemsstaternas tillämpliga dataskyddsbestämmelser.

7.2 Ändamålsbegränsning

Personuppgiftsbiträdet får behandla personuppgifterna endast för det eller de specifika ändamål med behandlingen som anges i bilaga II, såvida det inte erhåller ytterligare instruktioner från den personuppgiftsansvarige.

7.3 Varaktigheten för behandlingen av personuppgifter

Behandling som utförs av personuppgiftsbiträdet får endast äga rum under den tid som anges i bilaga II.

7.4 Säkerhet i samband med behandlingen

a) Personuppgiftsbiträdet ska åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga III för att säkerställa säkerheten för personuppgifterna. Detta omfattar att skydda uppgifterna mot säkerhetsincidenter som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömningen av lämplig säkerhetsnivå ska parterna ta vederbörlig hänsyn till den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerade.

b) Personuppgiftsbiträdet ska bevilja sin personal tillgång till de personuppgifter som behandlas endast i den mån det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Personuppgiftsbiträdet ska säkerställa att personer med behörighet att behandla de erhållna personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

7.5 Känsliga uppgifter

Om behandlingen omfattar personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller en persons sexualliv eller sexuella läggning eller uppgifter om fällande domar i brottmål och överträdelser (känsliga uppgifter), ska personuppgiftsbiträdet tillämpa särskilda begränsningar och/eller ytterligare skyddsåtgärder.

7.6 Dokumentation och efterlevnad

a) Parterna ska kunna visa att dessa klausuler följs.

b) Personuppgiftsbiträdet ska skyndsamt och på lämpligt sätt hantera förfrågningar från den personuppgiftsansvarige om behandlingen av uppgifter i enlighet med dessa klausuler.

c) Personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som behövs för att påvisa efterlevnad av de skyldigheter som fastställs i dessa klausuler och härrör direkt från förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725. På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet även tillåta och bidra till granskningar av den behandling som omfattas av dessa klausuler, med rimliga intervall eller om det finns tecken på bristande efterlevnad. Vid beslut om översyn eller granskning får den personuppgiftsansvarige ta hänsyn till relevanta certifieringar som personuppgiftsbiträdet innehar.

d) Den personuppgiftsansvarige kan välja att själv utföra granskningen eller bemyndiga en oberoende revisor. Granskningar får även omfatta inspektioner i personuppgiftsbiträdets lokaler eller fysiska anläggningar och ska vid behov utföras med rimligt varsel.

e) Parterna ska på begäran göra den information som avses i denna klausul, inklusive resultaten av eventuella granskningar, tillgänglig för den (de) behöriga tillsynsmyndigheten(-erna).

7.7 Användning av underleverantörer

a) Personuppgiftsbiträdet har erhållit ett allmänt tillstånd från den personuppgiftsansvarige att anlita underleverantörer från en överenskommen förteckning. Personuppgiftsbiträdet ska skriftligen informera den personuppgiftsansvarige om eventuella planerade ändringar av förteckningen genom att underleverantörer läggs till eller ersätts minst 30 dagar i förväg, så att den personuppgiftsansvarige får tillräckligt med tid för att kunna invända mot sådana ändringar innan den eller de berörda underleverantörerna anlitas. Personuppgiftsbiträdet ska tillhandahålla den personuppgiftsansvarige den information som krävs för att denne ska kunna utöva sin rätt att göra invändningar.

b) Om personuppgiftsbiträdet anlitar en underleverantör för att utföra en specifik behandling (för den personuppgiftsansvariges räkning) ska personuppgiftsbiträdet göra detta genom ett avtal som i sak ålägger underleverantören samma skyldigheter i fråga om uppgiftsskydd som de som personuppgiftsbiträdet åläggs i enlighet med dessa klausuler. Personuppgiftsbiträdet ska se till att underleverantören uppfyller de skyldigheter som personuppgiftsbiträdet omfattas av enligt dessa klausuler och förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

c) På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet tillhandahålla den personuppgiftsansvarige en kopia av ett sådant underleverantörsavtal och eventuella senare ändringar. I den mån det är nödvändigt för att skydda affärshemligheter eller annan konfidentiell information, inbegripet personuppgifter, får personuppgiftsbiträdet redigera avtalstexten innan kopian delas.

d) Personuppgiftsbiträdet ska fortsatt vara fullt ut ansvarig gentemot den personuppgiftsansvarige för att underleverantören fullgör sina skyldigheter i enlighet med sitt avtal med personuppgiftsbiträdet. Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige om underleverantören underlåter att uppfylla sina skyldigheter enligt avtalet.

e) Personuppgiftsbiträdet och underleverantören ska avtala om en klausul om tredjepartsberättigande, enligt vilken den personuppgiftsansvarige – om personuppgiftsbiträdet har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd – ska ha rätt att säga upp underleverantörsavtalet och instruera underleverantören att radera eller återlämna personuppgifterna.

7.8 Internationella överföringar

a) Personuppgiftsbiträdet får endast överföra uppgifter till ett tredjeland eller en internationell organisation på grundval av dokumenterade instruktioner från den personuppgiftsansvarige eller för att uppfylla ett särskilt krav enligt unionsrätten eller en medlemsstats lagstiftning som personuppgiftsbiträdet omfattas av, och överföringen ska genomföras i enlighet med kapitel V i förordning (EU) 2016/679 eller förordning (EU) 2018/1725.

b) Den personuppgiftsansvarige samtycker till att, om personuppgiftsbiträdet anlitar en underleverantör i enlighet med klausul 7.7 för att utföra specifik behandling (för den personuppgiftsansvariges räkning) och denna behandling omfattar en överföring av personuppgifter i den mening som avses i kapitel V i förordning (EU) 2016/679, personuppgiftsbiträdet och underleverantören kan säkerställa att kapitel V i förordning (EU) 2016/679 efterlevs genom att använda standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 46.2 i förordning (EU) 2016/679, förutsatt att villkoren för att använda dessa standardavtalsklausuler är uppfyllda.

Klausul 8. Stöd till den personuppgiftsansvarige

a) Personuppgiftsbiträdet ska utan dröjsmål underrätta den personuppgiftsansvarige om varje begäran som erhållits från den registrerade. Personuppgiftsbiträdet ska inte själv besvara begäran, såvida inte den personuppgiftsansvarige har godkänt detta.

b) Personuppgiftsbiträdet ska hjälpa den personuppgiftsansvarige att fullgöra sin skyldighet att besvara framställningar från registrerade för att utöva sina rättigheter, med hänsyn till behandlingens art. Personuppgiftsbiträdet ska följa den personuppgiftsansvariges instruktioner när det fullgör sina skyldigheter i enlighet med leden a och b.

c) Utöver personuppgiftsbiträdets skyldighet att bistå den personuppgiftsansvarige enligt klausul 8 b ska personuppgiftsbiträdet dessutom bistå den personuppgiftsansvarige med att säkerställa att följande skyldigheter fullgörs, med beaktande av uppgiftsbehandlingens art och den information som personuppgiftsbiträdet har att tillgå:

1) Skyldigheten att utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter (en konsekvensbedömning avseende dataskydd) om en typ av behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter.

2) Skyldigheten att samråda med den (de) behöriga tillsynsmyndigheten(-erna) före behandling om en konsekvensbedömning avseende dataskydd visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.

3) Skyldigheten att säkerställa att personuppgifterna är korrekta och uppdaterade genom att utan dröjsmål informera den personuppgiftsansvarige om personuppgiftsbiträdet får kännedom om att de personuppgifter som behandlas är felaktiga eller har blivit föråldrade.

4) Skyldigheterna i artikel 32 i förordning (EU) 2016/679.

d) Parterna ska i bilaga III ange de lämpliga tekniska och organisatoriska åtgärder genom vilka personuppgiftsbiträdet ska bistå den personuppgiftsansvarige vid tillämpningen av denna klausul samt räckvidden och omfattningen av det bistånd som krävs.

Klausul 9. Anmälan av personuppgiftsincidenter

Vid en personuppgiftsincident ska personuppgiftsbiträdet samarbeta med och bistå den personuppgiftsansvarige för att denne ska kunna fullgöra sina skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679 eller artiklarna 34 och 35 i förordning (EU) 2018/1725, i tillämpliga fall, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå.

9.1 Personuppgiftsincidenter som rör uppgifter som behandlas av den personuppgiftsansvarige

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av den personuppgiftsansvarige ska personuppgiftsbiträdet bistå den personuppgiftsansvarige med att

a) anmäla personuppgiftsincidenten till den (de) behöriga tillsynsmyndigheten(-erna), utan onödigt dröjsmål efter det att den personuppgiftsansvarige har fått kännedom om den, i förekommande fall/(med undantag för om det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter),

b) erhålla följande information som, i enlighet med artikel 33.3 i förordning (EU) 2016/679, ska anges i den personuppgiftsansvariges anmälan, och åtminstone ska omfatta

1) personuppgifternas art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,

2) de sannolika konsekvenserna av personuppgiftsincidenten,

3) de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.

Om och i den mån det inte är möjligt att tillhandahålla all denna information samtidigt ska den ursprungliga anmälan innehålla den information som finns tillgänglig, och ytterligare information ska därefter, i den mån den blir tillgänglig, tillhandahållas utan onödigt dröjsmål.

c) uppfylla, i enlighet med artikel 34 i förordning (EU) 2016/679, skyldigheten att utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten, om den sannolikt kommer att medföra en hög risk för fysiska personers rättigheter och friheter.

9.2 Personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet ska personuppgiftsbiträdet underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter det att personuppgiftsbiträdet har fått kännedom om incidenten. En sådan anmäla ska åtminstone innehålla

a) en beskrivning av incidentens art (inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade och uppgiftsposter som berörs),

b) uppgifter från en kontaktpunkt där mer information om personuppgiftsincidenten kan erhållas,

c) de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslagits för att åtgärda incidenten, inbegripet åtgärder för att mildra dess potentiella negativa effekter.

Parterna ska i bilaga III ange alla andra uppgifter som personuppgiftsbiträdet ska tillhandahålla när denne bistår den personuppgiftsansvarige vid fullgörandet av den personuppgiftsansvariges skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679.

AVSNITT III: SLUTBESTÄMMELSER

Klausul 10. Bristande efterlevnad av klausulerna och uppsägning

a) Utan att det påverkar tillämpningen av bestämmelserna i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 får den personuppgiftsansvarige, om personuppgiftsbiträdet inte fullgör sina skyldigheter enligt dessa klausuler, instruera personuppgiftsbiträdet att avbryta behandlingen av personuppgifter till dess att denne uppfyller dessa klausuler eller avtalet sägs upp. Personuppgiftsbiträdet ska omedelbart underrätta den personuppgiftsansvarige om denne av något skäl inte kan följa dessa klausuler.

b) Den personuppgiftsansvarige ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter i enlighet med dessa klausuler om

1) personuppgiftsbiträdets behandling av personuppgifter har avbrutits av den personuppgiftsansvarige i enlighet med led a och om efterlevnaden av dessa klausuler inte återställs inom rimlig tid och i alla händelser inom en månad efter det att behandlingen avbrutits,

2) personuppgiftsbiträdet allvarligt eller ihållande åsidosätter dessa klausuler eller sina skyldigheter enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725,

3) personuppgiftsbiträdet underlåter att följa ett bindande beslut från en behörig domstol eller den (de) behöriga tillsynsmyndigheten(-erna) som rör dennes skyldigheter i enlighet med dessa klausuler eller förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

c) Personuppgiftsbiträdet ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter enligt dessa klausuler, om den personuppgiftsansvarige, efter att ha informerats av personuppgiftsbiträdet om att dennes instruktioner strider mot tillämpliga rättsliga krav i enlighet med klausul 7.1 b, insisterar på att instruktionerna följs.

d) Efter uppsägningen av avtalet ska personuppgiftsbiträdet, beroende på vad den personuppgiftsansvarige väljer, radera alla personuppgifter som behandlats för den personuppgiftsansvariges räkning och intyga för den personuppgiftsansvarige att detta är utfört, eller återlämna alla personuppgifter till den personuppgiftsansvarige och radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt. Till dess att uppgifterna raderas eller återlämnas ska personuppgiftsbiträdet säkerställa efterlevnaden av dessa klausuler.

Del B: Kompletterande bestämmelser

Bestämmelserna i denna del läggs till med stöd av klausul 2 b. De ska läsas så att de inte strider mot klausulerna i del A; vid motstridighet gäller del A (klausul 4). "Licensvillkoren" betyder Licensvillkor för NYTERIO Pocket, "Tjänsten" betyder NYTERIO Pocket.

B.1 Instruktioner i praktiken. Licensvillkoren, detta avtal och Kundens egna åtgärder i Tjänsten (fotografering av en tavla, omritning, redigering, ritande på en digital tavla, notering, Dagens PDF, förlängning och radering av uppdrag) utgör Kundens dokumenterade instruktioner enligt klausul 7.1. Ytterligare instruktioner lämnas skriftligen till privacy@nyterio.se.

B.2 Kundens ansvar för innehållet. Kunden ansvarar för att det finns rättslig grund för behandlingen och för vilket innehåll som fotograferas, ritas och laddas upp. Tjänsten är avsedd för att dokumentera processer i workshoppar, inte för personregister, och Kunden ska följa Licensvillkorens regler om godtagbar användning (§10) och skriva roller, inte namn, på lapparna (§7). Använder Kunden Tjänsten i uppdrag åt en egen kund är Kunden ensam kontaktpunkt mot NYTERIO för den kundens uppgifter, ansvarar för att deltagarna informeras om behandlingen (artikel 13 i förordning (EU) 2016/679) och garanterar att Kunden har rätt att låta NYTERIO behandla uppgifterna. NYTERIO har inget avtal med Kundens kund.

B.3 Granskning i praktiken. Granskning enligt klausul 7.6 begärs skriftligen med minst 30 dagars varsel och sker under ordinarie kontorstid utan att störa driften. NYTERIO uppfyller i första hand granskningsrätten genom skriftlig dokumentation, av effektivitetsskäl. Det skriftliga underlaget inskränker aldrig Kundens rätt till inspektion på plats enligt klausul 7.6 d. Begär Kunden en sådan genomförs den, och NYTERIO kan inte hänvisa till dokumentationen för att avstyra den. Vardera parten står sina egna kostnader. Vad som är rimliga intervall enligt klausul 7.6 c bedöms med utgångspunkt i en granskning per kalenderår, utöver de fall då tecken på bristande efterlevnad finns.

B.4 Frist för incidentunderrättelse. Underrättelse enligt klausul 9.2 lämnas senast inom 48 timmar efter att NYTERIO fått kännedom om incidenten, till den e-postadress Kunden angav vid registreringen.

B.5 Registrerades begäranden. Begäran enligt klausul 8 a vidarebefordras till Kunden inom fem arbetsdagar.

B.6 Radering och återlämning i praktiken. Tjänsten raderar innehållet självmant: ett uppdrag raderas 30 dagar efter senaste aktivitet, eller senast 90 dagar efter senaste aktivitet om Kunden förlängt det (Licensvillkoren §5). Återlämning enligt klausul 10 d sker genom att Kunden själv hämtar Dagens PDF och exporterar sina scheman i Tjänsten innan raderingen; NYTERIO tillhandahåller ingen separat leverans. När licensen upphör har Kunden ett läs- och exportfönster om 30 dagar, därefter raderas uppdragen. En rad om att raderingen skett sparas, utan innehållet. Uppgifter i säkerhetskopior raderas när kopiorna roteras ut enligt bilaga III, dock senast 30 dagar efter raderingen i driftsystemet, och används under den tiden endast för återställning efter driftfel. NYTERIO bekräftar raderingen skriftligen på begäran.

B.7 Ersättning. Behandlingen ingår i priset för Tjänsten. Bistånd enligt klausulerna 7.6, 8 och 9 som går utöver vad som rimligen kan förväntas inom Tjänsten, eller som beror på Kundens egna förhållanden, får NYTERIO debitera enligt vid var tid gällande timpris efter att ha meddelat Kunden i förväg.

B.8 Ansvar mellan parterna. Parternas ansvar gentemot registrerade och tillsynsmyndigheter följer av artiklarna 82 och 83 i förordning (EU) 2016/679 och begränsas inte av detta avtal. Mellan parterna ansvarar vardera parten för skada som orsakats av partens eget brott mot detta avtal eller mot förordningen. Ansvarsbegränsningen i Licensvillkoren gäller mellan parterna även för detta avtal, dock inte vid uppsåt eller grov vårdslöshet.

B.9 Tillämplig lag och tvist. Svensk lag, inklusive lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, tillämpas på detta avtal. Tvist avgörs i den ordning som anges i Licensvillkoren.

B.10 Ikraftträdande och version. Avtalet gäller från det att Kunden godkänner Licensvillkoren vid registreringen, där detta avtal ingår som bilaga, och så länge NYTERIO behandlar personuppgifter för Kundens räkning. Vilken version Kunden godkände antecknas på registreringen tillsammans med Licensvillkorens version. Ändringar av avtalet meddelas på samma sätt som ändringar av Licensvillkoren (§11). Den vid var tid gällande versionen finns på den här sidan och under Administration i Tjänsten. På begäran undertecknas avtalet dessutom i bilaga I.

Bilaga I: Förteckning över parter

Personuppgiftsansvarig

Namn: det bolag som angavs vid registreringen av NYTERIO Pocket, med det organisationsnummer som angavs.
Adress: bolagets registrerade adress.
Kontaktperson: den person som registrerade kontot, med namn och e-postadress enligt registreringen. Uppgifterna visas under Administration i Tjänsten.
Dataskyddsombud (i tillämpliga fall): enligt Kundens uppgift till privacy@nyterio.se.
Anslutning: genom godkännandet av Licensvillkoren vid registreringen (del B punkt B.10). Undertecknas på begäran.

Personuppgiftsbiträde

Namn: NYTERIO AB, org.nr 559596-9790
Adress: Wemmenhögsgatan 7, 231 45 Trelleborg, Sverige
Kontaktpersonens namn, befattning och kontaktuppgifter: Filip Nyman, VD, privacy@nyterio.se
Dataskyddsombud: inget utsett (krävs inte enligt artikel 37)
Anslutning: samma tidpunkt som Kundens.

Bilaga II: Beskrivning av behandlingen

Kategorier av registrerade vars personuppgifter behandlas

Kunden själv, som innehavare av kontot i Tjänsten.
Personer som förekommer på fotograferade tavlor, på digitala tavlor, i flödesscheman och i noteringar i Kundens uppdrag: typiskt anställda och uppdragstagare hos Kundens egen kund, till exempel processägare, roller och deltagare i workshopen.
Kundens kontaktperson för dataskydds- och avtalsfrågor.

Kategorier av personuppgifter

Kontouppgifter: namn, e-postadress, företagsnamn, organisationsnummer, lösenord i hashad form, tidpunkter för inloggning och aktivitet.
Innehållsuppgifter: namn, roller, initialer och annan text på lapparna, som blir text i flödesschemat; innehåll på digitala tavlor; noteringar som Kunden skriver till ett schema; det som samlas i Dagens PDF.
Uppdragsuppgifter: uppdragets namn (ofta Kundens kunds namn), tidpunkter för skapande, senaste aktivitet, förlängning och radering.

Känsliga uppgifter som behandlas (i tillämpliga fall) och tillämpade begränsningar eller skyddsåtgärder

Inga. Tjänsten är inte avsedd för känsliga uppgifter, uppgifter om lagöverträdelser eller personnummer, och Licensvillkorens regler om godtagbar användning förbjuder Kunden att fotografera eller ladda upp sådant material. Upptäcker NYTERIO ändå sådana uppgifter behandlas de med samma skydd som övriga uppgifter, och NYTERIO underrättar Kunden.

Behandlingens art

Mottagning av ett foto av en tavla, omritning av skissen till ett flödesschema med hjälp av AI, redigering av schemat, ritande på en digital tavla, notering, sammanställning av dagens scheman till en PDF, lagring under uppdragets livstid och automatisk radering enligt bilaga II nedan.

Originalbilden lagras aldrig. Den bearbetas i arbetsminne och kastas när omritningen är klar; det som finns kvar är texten i schemat. Innehåll som skickas till AI-modeller bearbetas i arbetsminne hos underleverantören i bilaga IV och lagras inte där efter anropet. Kundens innehåll används inte för att träna modeller, för marknadsföring eller för något annat eget ändamål hos NYTERIO.

Ändamål för vilka personuppgifterna behandlas för den personuppgiftsansvariges räkning

Att tillhandahålla Tjänsten till Kunden enligt Licensvillkoren: att dokumentera processer i workshoppar och lämna dagens arbete vidare som PDF.

Behandlingens varaktighet

Så länge Kunden använder Tjänsten, och därefter under den tid som behövs för radering enligt del B punkt B.6. Lagringstider inom avtalstiden:

Foton av tavlor: lagras aldrig, kastas när omritningen är klar.
Flödesscheman, digitala tavlor och noteringar i ett uppdrag: 30 dagar efter uppdragets senaste aktivitet, eller senast 90 dagar efter senaste aktivitet om Kunden förlängt det. När licensen upphör: 30 dagars läs- och exportfönster, därefter radering.
Raden om att ett uppdrag raderats: utan innehåll; uppdragets namn byts mot en neutral text efter 365 dagar, tidpunkt och antal står kvar som kvitto på raderingen.
Kontouppgifter: tills licensen upphör och exportfönstret gått ut.
Tekniska serverloggar: standardrotation, innehåller inte foton, scheman eller personuppgifter.

För behandling som utförs av underleverantörer: föremål, art och varaktighet

Hostup AB: lagring och drift av server och databas med allt ovanstående innehåll, under hela avtalstiden. Passiv roll utan åtkomst till innehållet annat än vid felsökning eller underhåll efter NYTERIO:s godkännande i varje enskilt fall.
Nordalster AB: AI-bearbetning av foton, tavlor och scheman vid omritning, per anrop i arbetsminne, ingen lagring efter anropet.
Zoho Corporation: utskick av transaktionell e-post från Tjänsten (mottagarens e-postadress och meddelandets text), per utskick.

Bilaga III: Tekniska och organisatoriska åtgärder

Åtgärderna gäller vid avtalets ingående. NYTERIO får uppdatera dem under avtalstiden förutsatt att den sammantagna säkerhetsnivån inte sänks.

Kryptering och skydd under överföring och lagring

All trafik mellan användare och Tjänsten krypteras med TLS. Okrypterad HTTP omdirigeras till HTTPS, och HSTS är påslaget.
Lösenord lagras enbart som bcrypt-hash. API-nycklar till underleverantörer finns bara på servern och exponeras aldrig till webbläsaren.
Databasen (PostgreSQL) är endast åtkomlig från servern själv, inte från internet.

Identifiering och godkännande av användare, åtkomstkontroll

Inloggning med e-post och lösenord, kortlivade åtkomsttoken och förnyelsetoken som kan återkallas. Tvåfaktorsautentisering för NYTERIO:s plattformsadministratör.
Behörighet per organisation: varje anrop kontrolleras mot användarens organisation och roll. En användare kan inte nå en annan organisations uppdrag, scheman eller tavlor.
Alla identifierare för uppdrag, scheman och tavlor är slumpmässiga UUID, aldrig löpnummer. Hemligheter i registreringsflödet skickas aldrig i adressfältets frågesträng.
Begränsning av antal anrop per tidsenhet på uppladdning, inloggning, registrering och betalningshändelser. Skydd mot lösenordsgissning på SSH och webbserver.

Konfidentialitet, integritet, tillgänglighet och motståndskraft

Applikationsserver och databas på virtuell server hos Hostup AB i Sverige, med brandvägg där endast nödvändiga portar är öppna och automatiska säkerhetsuppdateringar av operativsystemet.
Säkerhetsrubriker på varje svar (Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy).
Validering av filtyp, filinnehåll och storlek vid uppladdning. Svar från AI-modeller valideras mot ett fast schema innan de används. Innehåll som skickas till AI-modeller ramas in så att text på tavlan inte kan styra modellen.
Beroenden är versionslåsta och kontrolleras mot kända sårbarheter före varje driftsättning.

Återställning efter incident

Säkerhetskopieringen sker i två lager, som skyddar mot olika fel.

Dagligen, på servern. Fullständig säkerhetskopia av databasen tas dagligen, och dessutom före varje driftsättning. Varje kopia kontrolleras maskinellt efter att den tagits. Kopiorna lagras på servern i Sverige och roteras ut efter högst 14 dagar. Det här lagret används vid felaktig radering, misslyckad uppgradering och vid återställning av enskilda uppgifter.
Veckovis, hos underleverantören. Hostup AB tar en ögonblicksbild av hela servern en gång i veckan och behåller ett begränsat antal, aldrig äldre än 28 dagar. Bilderna lagras i Hostups miljö i Sverige och omfattas av samma biträdesavtal som driften i övrigt (bilaga IV punkt 1). Det här lagret används endast om servern som helhet går förlorad, och medger inte återställning av enskilda uppgifter.

Båda lagren omfattas av raderingsfristen i B.6: uppgifter i säkerhetskopior finns kvar som längst till dess att kopian roteras ut, och aldrig längre än 30 dagar efter raderingen i driftsystemet.

Fysisk säkerhet

Serverhallen drivs av Hostup AB i Sverige med fysiskt tillträdesskydd och personbunden serveråtkomst enligt Hostups biträdesavtal.

Loggning av händelser och ansvarsskyldighet

Serverloggar innehåller aldrig foton, schematext, personuppgifter, lösenord eller tokens. Korrelation sker via uppdrags- och organisationsidentifierare.
Raderingar av uppdrag antecknas med tidpunkt och antal, utan innehåll, så att Kunden kan visa att raderingen skett.

Intern styrning och personalens åtkomst

NYTERIO:s personal består vid avtalets ingående av en person, som omfattas av tystnadsplikt enligt klausul 7.4 b. Serveråtkomst sker med SSH-nyckel. Direkt åtkomst till databasen utanför Tjänstens rollsystem används endast vid drift- och nödfall, till exempel återställning, och dokumenteras (vem, varför, när) om den sker mot Kundens data.

Uppgiftsminimering och begränsad lagring

Foton skrivs aldrig till beständig lagring.
Tjänsten påminner Kunden före varje foto om att skriva roller, inte namn, på lapparna.
Innehållet raderas självmant enligt lagringstiderna i bilaga II; Kunden kan inte förlänga ett uppdrag längre än 90 dagar från senaste aktivitet.

Dataportabilitet och radering

Export av dagens scheman som PDF (Dagens PDF) och av enskilda scheman i Tjänsten, som Kunden själv gör före raderingen.
Radering av ett uppdrag tar bort dess scheman och tavlor i ett svep. Radering av en organisation tar bort databasrader i ett svep (kaskad).

Specifika åtgärder för att bistå den personuppgiftsansvarige (klausul 8 d och 9.2)

Registrerades begäranden: NYTERIO kan på Kundens instruktion söka fram, exportera, rätta eller radera Kundens kontouppgifter och visa i vilka scheman och noteringar en namngiven person förekommer, så länge uppdraget finns kvar.
Konsekvensbedömning: NYTERIO tillhandahåller på begäran denna bilaga, bilaga II och underleverantörernas biträdesavtal som underlag.
Incidenter: utöver uppgifterna i klausul 9.2 lämnar NYTERIO tidpunkt för upptäckt, vilka system som berörts, om uppgifterna var krypterade, och en kopia av NYTERIO:s egen incidentdokumentation. Underleverantören för hosting är skyldig att underrätta NYTERIO om incidenter på sin nivå.

Bilaga IV: Förteckning över underleverantörer

Kunden har enligt klausul 7.7 a lämnat ett allmänt skriftligt tillstånd till följande förteckning. Ändringar meddelas med 30 dagars varsel.

Förteckningen omfattar de underleverantörer som behandlar Kundens personuppgifter för NYTERIO:s räkning, alltså det som beskrivs i bilaga II. Betalning och fakturering av NYTERIO:s egen tjänst är en annan sak: där är NYTERIO personuppgiftsansvarig för sin egen affärsrelation med Kunden, inte biträde, och de leverantörerna är därför inte underleverantörer i klausul 7.7:s mening. De redovisas i stället i NYTERIO:s integritetspolicy, §5. Det gäller Stripe, som sköter kortbetalningen av NYTERIO Pocket och aldrig ser Kundens foton, scheman eller tavlor.

Namn: Hostup AB, org.nr 559290-1325
Adress: Mässvägen 4, 125 30 Älvsjö, Sverige
Kontaktperson: enligt Hostups biträdesavtal, hostup.se/DPA.pdf
Beskrivning av behandlingen: hosting av applikationsserver och databas (konton, uppdrag, scheman, tavlor, noteringar). Passiv roll, åtkomst endast vid felsökning eller underhåll efter NYTERIO:s godkännande i varje enskilt fall. Hostup använder i sin tur Fortnox (fakturering av NYTERIO) och Cloudflare (Hostups egen webbplats och kontrollpanel); ingen av dem har tillgång till Kundens data på servern.
Avvikelse som Kunden ska känna till. Hostups publicerade biträdesavtal innehåller ingen klausul om tredjepartsberättigande av det slag klausul 7.7 e kräver, alltså Kundens rätt att säga upp underleverantörsavtalet och instruera Hostup om radering för det fall NYTERIO skulle upphöra att existera eller hamna på obestånd. Villkoren är standardvillkor och förhandlas inte för en kund av NYTERIO:s storlek. NYTERIO redovisar det här öppet i stället för att låta det passera tyst. Kunden avstår inte från någon rättighet genom att ingå detta avtal: klausul 7.7 e gäller oförändrat mellan Kunden och NYTERIO. NYTERIO underrättar Kunden om leverantörens villkor ändras eller om leverantören byts.
Namn: Nordalster AB, org.nr 559279-8002
Adress: Grävlingsstigen 26, 139 41 Värmdö, Sverige
Kontaktperson: enligt leverantörens biträdesavtal, kopia på begäran enligt klausul 7.7 c
Beskrivning av behandlingen: AI-bearbetning vid omritning av foton, tavlor och scheman. Bearbetning i arbetsminne per anrop, ingen lagring efter anropet.
Namn: Zoho Corporation, avtalsslutande EU-enhet i Nederländerna
Kontaktperson: enligt leverantörens biträdesavtal, kopia på begäran enligt klausul 7.7 c
Beskrivning av behandlingen: transaktionell e-post från Tjänsten (välkomstmejl, besked om konto och uppdrag). Mottagarens e-postadress och meddelandets text.

Inga av de underleverantörer som förtecknas ovan är etablerade utanför EU/EES.