Personuppgiftsbiträdesavtal

Innehåll

1. 1. Tillämpningsområde, roller och definitioner
2. 2. Uppgifter om Behandlingen
3. 3. Kundens instruktioner
4. 4. Sekretess för behöriga personer
5. 5. Säkerhetsåtgärder
6. 6. Underbiträden
7. 7. Dataplats och internationella överföringar
8. 8. Stöd vid begäranden från Registrerade
9. 9. Anmälan av Personuppgiftsincident
10. 10. Konsekvensbedömningar och samråd med tillsynsmyndigheter
11. 11. Information och revisioner
12. 12. Återlämnande och radering av data
13. 13. Förfrågningar från myndigheter
14. 14. Ansvar
15. 15. Avtalstid och företräde
16. 16. Kontaktperson för dataskydd och register över behandling
17. Bilaga 1: Uppgifter om Behandlingen
18. Bilaga 2: Tekniska och organisatoriska åtgärder
19. Bilaga 3: Underbiträden

Version: 1.2 · Publicerad: 16 oktober 2026 · Ikraftträdande: vid godkännande för nya Arbetsytor; för Arbetsytor som godkände en tidigare Version, den dag som STAK anger i sin underrättelse enligt punkt 20 i Tjänstevillkoren för kunder · Styrande text: engelska (punkt 23.9 i Tjänstevillkoren för kunder)

Utfärdad av: STAK Global, LLC, ett bolag med begränsat ansvar bildat i delstaten Delaware i Amerikas förenta stater (registreringsnummer 10798493), som äger STAK (ستاك) och Tjänsterna. Kontakt: [email protected].

1. Tillämpningsområde, roller och definitioner

1.1 Detta Personuppgiftsbiträdesavtal utgör en integrerad del av Avtalet enligt punkt 3.1 i STAK:s tjänstevillkor för kunder (”Villkoren”). Det reglerar STAK:s Behandling av Kundens personuppgifter. Uttryck som definieras i Villkoren har samma betydelse i detta Personuppgiftsbiträdesavtal.

1.2 Kunden är Personuppgiftsansvarig för Kundens personuppgifter, och STAK är ett Personuppgiftsbiträde som behandlar dem för Kundens räkning och enligt Kundens instruktioner.

• Personuppgiftsansvarig och Personuppgiftsbiträde avser motsvarande begrepp enligt Tillämplig dataskyddslagstiftning, till exempel kontrollerande enhet och behandlande enhet i Konungariket Saudiarabien.
• Om Kunden behandlar data som personuppgiftsbiträde för en annan personuppgiftsansvarigs räkning behandlar STAK dem som personuppgiftsbiträde som agerar för Kunden, och är inte ett Underbiträde i den mening som avses i punkt 1.3. Kunden ser till att dess instruktioner överensstämmer med den personuppgiftsansvariges instruktioner.
• STAK behandlar Kontodata som Personuppgiftsansvarig, så som beskrivs i Integritetspolicyn, och detta Personuppgiftsbiträdesavtal gäller inte för dem. Varken denna hänvisning eller hänvisningen i Bilaga 3 skapar avtalsenliga förpliktelser enligt punkt 3.2 i Villkoren.

1.3 Följande uttryck har den betydelse som anges vid respektive uttryck:

• Kundens personuppgifter: Personuppgifter som ingår i Kunddata, inklusive uppgifter om Kundens Slutkunder, anställda, leverantörer och Användare, med undantag för Kontodata.
• Känsliga personuppgifter: hälsodata och kliniska data samt alla uppgifter som den Tillämpliga dataskyddslagstiftningen klassificerar som känsliga.
• Behandling: varje operation som utförs på Personuppgifter, till exempel insamling, registrering, lagring, hämtning, användning, utlämnande, överföring och radering.
• Underbiträde: varje part som STAK anlitar för att behandla Kundens personuppgifter i syfte att tillhandahålla Tjänsterna.
• Registrerad: den fysiska person som Personuppgifterna avser.
• Säkerhetsincident: varje händelse som hotar, eller misstänks hota, konfidentialiteten, integriteten eller tillgängligheten hos Tjänsterna.
• Personuppgiftsincident: varje säkerhetsintrång som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av, eller obehörigt röjande av eller obehörig åtkomst till, Kundens personuppgifter.
• Säkerhetskopia: varje kopia av Kunddata som tas för återställningsändamål, enligt punkt 12.3 och Bilaga 2.
• Produktionsmiljö: de system och databaser som Tjänsterna körs på och som Kunden använder, med undantag för Säkerhetskopior.
• Tillämplig dataskyddslagstiftning: den lagstiftning om skydd av personuppgifter som gäller för Behandlingen, i den mån var och en är tillämplig, inklusive följande:
  • i staten Kuwait: lag nr 20 från 2014 om elektroniska transaktioner samt förordningen om skydd av dataintegritet, regelverket för molntjänster och policyn för dataklassificering som utfärdats av Tillsynsmyndigheten för kommunikation och informationsteknik, var och en inom sitt eget tillämpningsområde;
  • lagen om skydd av personuppgifter i Konungariket Saudiarabien, utfärdad genom kungligt dekret nr (M/19) daterat 9/2/1443 AH, i ändrad lydelse, dess tillämpningsföreskrifter och förordningen om överföring av personuppgifter utanför Konungariket;
  • i Förenade Arabemiraten: federal lagstiftande förordning nr (45) från 2021 om skydd av personuppgifter, federal lag nr (2) från 2019 om användning av informations- och kommunikationsteknik inom hälso- och sjukvårdsområdet samt dataskyddslagarna för Dubai International Financial Centre och Abu Dhabi Global Market för dem som omfattas av dem;
  • lag nr (30) från 2018 om utfärdande av lagen om skydd av personuppgifter i Konungariket Bahrain;
  • lag nr (13) från 2016 om skydd av personuppgifters integritet i staten Qatar;
  • lagen om skydd av personuppgifter som utfärdats genom kungligt dekret nr (6/2022) i Sultanatet Oman;
  • Europeiska unionens allmänna dataskyddsförordning (förordning (EU) 2016/679), där den är tillämplig på Kunden;
  • Förenade kungarikets allmänna dataskyddsförordning och Data Protection Act 2018; Schweiz federala dataskyddslag; California Consumer Privacy Act i ändrad lydelse och de övriga omfattande delstatliga integritetslagarna i Amerikas förenta stater; Personal Information Protection and Electronic Documents Act i Kanada och provinslagarna; Brasiliens Lei Geral de Proteção de Dados (lag nr 13.709/2018); Indiens Digital Personal Data Protection Act, 2023; Turkiets lag nr 6698 om skydd av personuppgifter; Egyptens lag nr 151 från 2020; Sydafrikas Protection of Personal Information Act, 2013; Singapores Personal Data Protection Act 2012; Australiens Privacy Act 1988; och all annan lagstiftning om skydd av personuppgifter som gäller för Behandlingen.

2. Uppgifter om Behandlingen

Bilaga 1 anger föremålet för, varaktigheten av, arten av och ändamålet med Behandlingen, kategorierna av Registrerade och kategorierna av Personuppgifter.

3. Kundens instruktioner

3.1 STAK behandlar Kundens personuppgifter endast på Kundens dokumenterade instruktioner. Dessa instruktioner är:

• Avtalet;
• Arbetsytans inställningar;
• de åtgärder som Användare vidtar i Tjänsterna;
• alla andra skriftliga instruktioner som Parterna kommer överens om.

3.2 STAK får behandla data på annat sätt än enligt dessa instruktioner där Tillämplig lagstiftning kräver det. STAK underrättar Kunden i förväg om inte lagen förbjuder underrättelse.

3.3 STAK underrättar Kunden om STAK anser att en instruktion strider mot Tillämplig dataskyddslagstiftning. STAK får vägra utföra den instruktionen tills Kunden ändrar den så att överträdelsen undanröjs, eller bekräftar den skriftligen med ett uttalande om dess rättsliga grund som STAK rimligen godtar.

3.4 Kunden ansvarar för att dess instruktioner är lagliga och för att ha rättslig grund för att samla in och behandla Kundens personuppgifter. Detta omfattar att informera Registrerade och inhämta deras samtycke där det behövs, inklusive samtycke till överföring av deras data enligt punkt 7.

4. Sekretess för behöriga personer

STAK begränsar åtkomsten till Kundens personuppgifter till de anställda och uppdragstagare som behöver den för sitt arbete, och binder dem till sekretess. STAK:s anställda och uppdragstagare får endast åtkomst till Kunddata i följande fall, och början av varje sådan åtkomst till Produktionsmiljön loggas:

• (a) för att ge den support som Kunden begär;
• (b) för att driva och underhålla Tjänsterna och återställa dem från Säkerhetskopior;
• (c) för att utreda en Säkerhetsincident eller ett misstänkt brott mot Policyn för godtagbar användning;
• (d) där lagen kräver det.

5. Säkerhetsåtgärder

5.1 STAK tillämpar lämpliga tekniska och organisatoriska åtgärder för att skydda Kundens personuppgifter, med beaktande av Behandlingens art och risker. Dessa omfattar minst de åtgärder som anges i Bilaga 2.

5.2 STAK får uppdatera dessa åtgärder, förutsatt att den övergripande skyddsnivån inte sänks.

5.3 Kunden ansvarar för de säkerhetsåtgärder som Kunden själv kontrollerar, till exempel hantering av Användare och behörigheter, aktivering av tvåstegsinloggning, skydd av sina enheter och sin utrustning samt säker förvaring av de data som Kunden exporterar.

6. Underbiträden

6.1 Kunden ger STAK tillstånd att anlita de Underbiträden som förtecknas i Bilaga 3.

6.2 STAK måste ingå ett skriftligt avtal med varje Underbiträde. Avtalet måste ålägga dataskyddsförpliktelser som ger en skyddsnivå som är lämplig för Behandlingen och i allt väsentligt likvärdig med detta Personuppgiftsbiträdesavtal. Gentemot Kunden ansvarar STAK fortsatt för att Underbiträdenas förpliktelser fullgörs.

6.3 STAK underrättar Kunden om varje nytt Underbiträde minst 30 dagar innan det börjar behandla Kundens personuppgifter, i Tjänsterna eller via e-post.

6.4 Under varselperioden får Kunden skriftligen invända mot det nya Underbiträdet av rimliga dataskyddsskäl. Om Parterna inte kan komma överens om en lösning får Kunden säga upp den berörda prenumerationen, eller Avtalet, innan Behandlingen börjar och få tillbaka Avgifter som förbetalats för den återstående perioden.

6.5 Anslutna leverantörer som Kunden ansluter via sina egna konton är inte STAK:s Underbiträden. De omfattar Betaltjänstleverantörer, Meta när det gäller Kundens eget WhatsApp Business-konto och leveransplattformar. Att skicka data till dem på Kundens instruktioner är en överföring som sker på Kundens uppdrag och för Kundens räkning.

6.6 Data skickas till leverantören av AI-funktioner endast när en Användare begär en av dessa funktioner, när en Användare laddar upp ett dokument för att en av dem ska läsa det, till exempel ett kvitto, eller när en automatisering som en Användare har ställt in kör ett steg som använder AI, och endast de data som behövs för att genomföra den begäran eller det steget skickas. Leverantören får inte använda dem för att träna sina modeller. Känsliga personuppgifter skickas till den endast om själva begäran eller steget innehåller dem.

7. Dataplats och internationella överföringar

7.1 Tjänsterna hostas, och Kundens personuppgifter lagras i första hand, i Amazon Web Services produktionsmiljö i Frankfurtregionen i Förbundsrepubliken Tyskland. Säkerhetskopior förvaras i samma region, och kopior av dem görs till en separat Amazon Web Services-region i Republiken Irland.

7.2 Kunden bekräftar följande och ger uttryckligen tillstånd till de överföringar som blir följden:

• (a) hostingen sker i Europeiska unionen, som kan ligga utanför det land där Kunden är etablerad eller bedriver verksamhet;
• (b) Cloudflare behandlar nätverkstrafik genom sitt globala nätverk hela tiden;
• (c) de övriga Underbiträden som förtecknas i Bilaga 3 behandlar data i andra länder, inklusive Amerikas förenta stater, endast när den berörda tjänsten används;
• (d) STAK:s anställda kan komma åt data från staten Kuwait, endast i de fall som anges i punkt 4.

7.3 För överföringar av Kundens personuppgifter utanför det land där de samlades in tillämpar STAK följande skyddsåtgärder:

• (a) de avtal som avses i punkt 6.2, inklusive de standardavtalsklausuler som STAK har ingått med Underbiträden utanför Europeiska unionen;
• (b) kryptering under överföring och i vila;
• (c) de överföringsmekanismer som erkänns av Tillämplig dataskyddslagstiftning där den kräver dem, inklusive de som anges i punkt 7.6.

7.4 Kunden måste inhämta alla samtycken eller tillstånd som lagen i Kundens land kräver för att överföra Kundens personuppgifter utanför det landet, vare sig från en tillsynsmyndighet eller från Registrerade. STAK lämnar den information som behövs för detta på begäran.

7.5 STAK får flytta den primära hostingen eller Säkerhetskopiorna till en annan region efter att ha underrättat Kunden minst 30 dagar i förväg, och Kunden får invända enligt punkt 6.4, varvid varje uppsägning enligt den punkten träder i kraft före dagen för flytten. Att tillfälligt köra Tjänsterna från Säkerhetskopiorna i Republiken Irland efter förlusten av den primära hostingregionen är inte en flytt enligt denna punkt, och STAK underrättar Kunden om det utan dröjsmål.

7.6 Överföringsmekanismer som krävs enligt lag: utan att det påverkar punkt 7.4:

• (a) Där Europeiska unionens allmänna dataskyddsförordning gäller för Kunden införlivas de standardavtalsklausuler som antagits genom kommissionens genomförandebeslut (EU) 2021/914 (”EU-SCC”) i detta Personuppgiftsbiträdesavtal genom hänvisning: Modul två (personuppgiftsansvarig till personuppgiftsbiträde) där Kunden är personuppgiftsansvarig, och Modul tre (personuppgiftsbiträde till personuppgiftsbiträde) där Kunden behandlar data för en annan personuppgiftsansvarig. Kunden är dataexportör och STAK dataimportör. Klausul 7 (anslutningsklausul) gäller. Enligt Klausul 9(a) gäller Alternativ 2 (allmänt skriftligt tillstånd), med den varseltid som anges i punkt 6.3. Den valfria formuleringen i Klausul 11(a) gäller inte. Enligt Klausulerna 17 och 18 gäller lagen och domstolarna i Republiken Irland. Den behöriga tillsynsmyndigheten fastställs enligt Klausul 13. Deras bilagor kompletteras av Bilagorna 1, 2 och 3. De har företräde framför Avtalet om de två står i konflikt.
• (b) Där lagen om skydd av personuppgifter i Konungariket Saudiarabien gäller för Kunden införlivas de standardavtalsklausuler för överföring av personuppgifter som utfärdats av den saudiska myndigheten för data och artificiell intelligens (Saudi Data and Artificial Intelligence Authority), andra mallen (personuppgiftsansvarig till personuppgiftsbiträde), i detta Personuppgiftsbiträdesavtal genom hänvisning. Kunden är dataexportör och STAK dataimportör, och deras bilagor kompletteras av Bilagorna 1, 2 och 3. STAK ger Kunden den information som Kunden behöver för den riskbedömning av överföringen som Kunden måste göra enligt förordningen om överföring av personuppgifter utanför Konungariket. De har företräde framför Avtalet om de två står i konflikt.
• (c) Där federal lagstiftande förordning nr (45) från 2021 i Förenade Arabemiraten gäller för Kunden tillämpar STAK på de överförda uppgifterna den lagens bestämmelser, åtgärder och kontroller, i den mån de gäller för ett personuppgiftsbiträde.
• (d) Där Förenade kungarikets allmänna dataskyddsförordning gäller för Kunden införlivas International Data Transfer Addendum till EU-SCC som utfärdats av Förenade kungarikets Information Commissioner (version B1.0, i kraft från 21 mars 2022, i senare ändrad lydelse) genom hänvisning. Tabellerna 1 till 3 kompletteras med Parternas uppgifter i Avtalet och Bilagorna 1 till 3. För Tabell 4 får vardera Parten avsluta Addendumet så som dess Avsnitt 19 tillåter.
• (e) Där den schweiziska federala dataskyddslagen gäller för Kunden gäller EU-SCC med följande ändringar: Schweiz federala dataskydds- och informationsombudsman är behörig tillsynsmyndighet för överföringar som omfattas av den lagen; hänvisningar till dataskyddsförordningen inkluderar den lagen; och ”medlemsstat” ska läsas så att registrerade i Schweiz kan väcka talan i Schweiz.
• (f) Där en annan Tillämplig dataskyddslagstiftning kräver ett visst överföringsinstrument, till exempel standardavtalsklausulerna från Brasiliens nationella dataskyddsmyndighet eller standardavtalet enligt Turkiets lag nr 6698, undertecknar eller införlivar STAK det instrumentet på Kundens begäran, med dess uppgifter kompletterade utifrån Bilagorna 1 till 3.
• (g) Där California Consumer Privacy Act eller en liknande integritetslag i en delstat i Amerikas förenta stater gäller agerar STAK som Kundens tjänsteleverantör (service provider), entreprenör (contractor) eller personuppgiftsbiträde. STAK säljer eller delar inte Kundens personuppgifter. STAK behåller, använder eller lämnar inte ut dem för något annat ändamål än att tillhandahålla Tjänsterna enligt Avtalet, eller utanför den direkta affärsrelationen med Kunden. STAK kombinerar dem inte med personuppgifter från andra källor utom så som dessa lagar tillåter. STAK följer dessa lagar och ger samma nivå av integritetsskydd som de kräver. STAK underrättar Kunden om STAK inte längre kan uppfylla dessa förpliktelser. Kunden får vidta rimliga åtgärder för att stoppa och avhjälpa varje otillåten användning. STAK intygar att STAK förstår dessa begränsningar.

7.7 Data som måste stanna kvar i ett visst land: Kunden får inte i Tjänsterna spara data som Tillämplig lagstiftning kräver ska lagras eller behandlas inom ett visst land, om inte Tjänsterna enligt punkt 9.5 i Villkoren visar att hosting i det landet är tillgänglig för den berörda Appen. Detta följer av punkt 13.4 i Villkoren och punkt 5.4 i Policyn för godtagbar användning.

8. Stöd vid begäranden från Registrerade

8.1 Tjänsterna ger Kunden verktyg för att visa, exportera och rätta Personuppgifter om sina Slutkunder, ett verktyg för att radera dem genom att ersätta deras identitet med ett alias samtidigt som de register som lagen kräver ska föras bevaras, samt verktyg för att visa och rätta sina anställdas data. Kunden använder dessa verktyg för att besvara begäranden från Registrerade, och STAK bistår enligt punkt 8.3 med det som verktygen inte täcker, inklusive export och radering av anställdas data.

8.2 Om STAK tar emot en begäran direkt från en Registrerad som rör Kundens personuppgifter vidarebefordrar STAK den till Kunden utan dröjsmål och svarar endast på Kundens instruktioner.

8.3 STAK ger Kunden rimlig hjälp med allt som de tillgängliga verktygen inte täcker.

9. Anmälan av Personuppgiftsincident

9.1 STAK underrättar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en Personuppgiftsincident som påverkar Kundens personuppgifter. STAK gör det inom 24 timmar efter att ha fått kännedom om den där det är möjligt, och i vilket fall som helst inom 48 timmar.

9.2 Underrättelsen innehåller, i den mån informationen finns tillgänglig:

• (a) incidentens art;
• (b) kategorierna av data och av Registrerade samt deras ungefärliga antal;
• (c) de sannolika konsekvenserna;
• (d) de åtgärder som vidtagits och föreslagits för att hantera incidenten;
• (e) en kontaktpunkt hos STAK.

STAK lämnar ytterligare information så snart den blir tillgänglig.

9.3 STAK vidtar omedelbart rimliga åtgärder för att begränsa incidenten och dess verkningar. STAK samarbetar med Kunden vid anmälan till tillsynsmyndigheter och Registrerade där Kunden måste göra det, med hänsyn till de tidsfrister som lagen sätter för Kunden. Där Tillämplig lagstiftning kräver att STAK självt anmäler incidenten till en tillsynsmyndighet gör STAK det inom den föreskrivna tiden och underrättar Kunden.

9.4 STAK:s underrättelse om en incident, eller STAK:s samarbete för att hantera den, utgör inte ett erkännande av fel eller ansvar.

10. Konsekvensbedömningar och samråd med tillsynsmyndigheter

På Kundens begäran lämnar STAK den rimliga information som behövs för att göra en konsekvensbedömning avseende dataskydd eller för att samråda med en tillsynsmyndighet, i den mån det rör Tjänsterna.

11. Information och revisioner

11.1 På Kundens begäran lämnar STAK den information som rimligen behövs för att visa att STAK följer detta Personuppgiftsbiträdesavtal. Detta omfattar säkerhetsdokumentation och svar på ett säkerhetsformulär per år.

11.2 Kunden får, på egen bekostnad, genomföra en revision, eller låta en oberoende revisor som är bunden av sekretess genomföra den, i följande fall:

• (a) där en tillsynsmyndighet kräver det;
• (b) efter en Personuppgiftsincident som påverkar dess data;
• (c) där den information som lämnats enligt punkt 11.1 inte är tillräcklig.

Revisionen är underkastad följande villkor:

• Kunden underrättar STAK om revisionen minst 30 dagar i förväg.
• Den genomförs under kontorstid på Arbetsdagar.
• En revision enligt led (c) genomförs högst en gång per år.
• Ingen revision omfattar Underbiträdenas anläggningar. Deras certifieringar och oberoende rapporter räcker i stället.
• Ingen revision omfattar åtkomst till andra kunders data eller något som påverkar deras säkerhet.

12. Återlämnande och radering av data

12.1 Kunden får exportera Kundens personuppgifter när som helst, och i 30 dagar efter att Avtalet har upphört, enligt punkt 19.5 i Villkoren.

12.2 Efter exportperioden raderar STAK Kundens personuppgifter från Produktionsmiljön inom 30 dagar, om inte Tillämplig lagstiftning kräver att de bevaras, och med förbehåll för den spärr som anges i punkt 19.5 i Villkoren så länge STAK har underrättats om en rättstvist, en utredning eller en begäran från en behörig myndighet.

12.3 Säkerhetskopior sparas under följande lagringstider:

• (a) återställning till en viss tidpunkt och dagliga Säkerhetskopior: 35 dagar från den dag då varje Säkerhetskopia tas;
• (b) nattliga logiska Säkerhetskopior av databasen (databasdumpar): 35 dagar;
• (c) månatliga Säkerhetskopior: 12 månader från den dag då varje Säkerhetskopia tas;
• (d) tidigare versioner av uppladdade filer: 90 dagar från den dag de ersätts eller raderas.

Regler som gäller för dessa Säkerhetskopior:

• Dagliga och månatliga Säkerhetskopior och kopior av dem förvaras i säkerhetskopieringsvalv (backup vaults) vars policy hindrar vem som helst, inklusive STAK:s egen personal, från att radera en Säkerhetskopia innan dess lagringstid löper ut eller ändra den tiden, och vars lås i hostingleverantörens efterlevnadsläge (compliance mode) hindrar radering av varje Säkerhetskopia under åtminstone dess första 35 dagar.
• Nattliga logiska Säkerhetskopior skyddas mot ändring och radering tills deras lagringstid löper ut.
• STAK raderar inte någon Säkerhetskopia innan dess lagringstid löper ut, inte ens på Kundens begäran.
• Alla Säkerhetskopior hålls utom användning och används endast för teknisk återställning, med förbehåll för punkt 12.4, eller där lagen kräver det.
• Alla Säkerhetskopior som innehåller raderade data går ut när dessa tider löper ut, det vill säga inom högst 12 månader, och de raderade uppgifterna förstörs då permanent.
• På begäran meddelar STAK Kunden det datum då den sista Säkerhetskopian som innehåller raderade data går ut, så att Kunden kan informera den Registrerade.

12.4 Om STAK återställer en Säkerhetskopia under dessa tider tillämpar STAK på nytt, innan data görs tillgängliga, de raderingar som genomförts enligt punkt 8.1 och de borttagningar som gjorts enligt punkt 12.2 efter datumet för den Säkerhetskopian, med hjälp av de register STAK har över dessa åtgärder.

13. Förfrågningar från myndigheter

Om STAK får en bindande begäran från en myndighet eller domstol om att lämna ut Kundens personuppgifter underrättar STAK Kunden om inte lagen förbjuder underrättelse. STAK begränsar utlämnandet till det minimum som begäran kräver. STAK bestrider begäranden som STAK rimligen anser vara olagliga, med de rättsliga medel som står till buds.

14. Ansvar

Varje Parts ansvar enligt detta Personuppgiftsbiträdesavtal, inklusive dess ansvar gentemot den andra Parten enligt standardavtalsklausulerna i punkt 7.6, omfattas av bestämmelserna om ansvarsbegränsning i punkt 16 i Villkoren, i den mån dessa klausuler tillåter det och utan att det påverkar Registrerades rättigheter enligt dem.

15. Avtalstid och företräde

15.1 Detta Personuppgiftsbiträdesavtal gäller så länge STAK behandlar Kundens personuppgifter.

15.2 Där detta Personuppgiftsbiträdesavtal står i konflikt med Villkoren har det företräde i frågor som rör Kundens personuppgifter.

15.3 Där Tillämplig dataskyddslagstiftning ålägger en tvingande förpliktelse som är strängare än detta Personuppgiftsbiträdesavtal gäller den förpliktelsen inom sitt tillämpningsområde.

16. Kontaktperson för dataskydd och register över behandling

STAK har utsett en kontaktperson för dataskydd, som kan nås via e-post på [email protected]. STAK för ett register över de behandlingar som STAK utför för kunders räkning och lämnar det till behörig tillsynsmyndighet där lagen kräver det.

Bilaga 1: Uppgifter om Behandlingen

• Föremål: tillhandahållande av Tjänsterna till Kunden enligt Villkoren.
• Varaktighet: Avtalets löptid, exporterings- och raderingsperioden efter den enligt punkt 12, lagringstiderna för Säkerhetskopior i punkt 12.3 och Underbiträdenas lagringstider enligt Bilaga 3.
• Art och ändamål:
  • lagring och hosting av Kunddata;
  • behandling av försäljning, beställningar, bokningar och fakturor;
  • hantering av lager, bokföring, personalfrågor och löner;
  • sändning av de meddelanden som Kunden begär via sina egna konton hos Anslutna leverantörer, eller via de meddelandeleverantörer som STAK använder när de har förtecknats i Bilaga 3;
  • tillhandahållande av AI-funktioner när de används;
  • Säkerhetskopior, säkerhet och Support.
• Kategorier av Registrerade:
  • Kundens Slutkunder, gäster och patienter;
  • dess anställda och jobbsökande;
  • Användare;
  • dess leverantörer och deras kontaktpersoner;
  • förare och kurirer.
• Kategorier av Personuppgifter:
  • identitets- och kontaktuppgifter, till exempel namn, telefon, e-post, adress och leveransplats;
  • register över transaktioner, beställningar, bokningar och fakturor;
  • referenser kopplade till betalningar, utan fullständiga kortnummer;
  • lojalitetsdata, preferenser och samtycken;
  • uppgifter om Kundens anställda, till exempel Civil ID-nummer, uppgifter om uppehållstillstånd, lön, internationellt bankkontonummer (IBAN), närvaro och ledighet;
  • foton och dokument som Kunden laddar upp;
  • meddelandeloggar och granskningsloggen.
• Känsliga personuppgifter: hälsodata och kliniska data när klinik-Apparna används, med förbehåll för punkt 7.7 och punkt 13.4 i Villkoren, enligt vilken patientjournalfunktionerna inte får användas för patienter som får hälso- och sjukvård i staten Kuwait eller Förenade Arabemiraten; samt hälsodata i personalakter, till exempel sjukintyg. Kliniska journaler och personalakter krypteras med separata nycklar, och dessa data är synliga endast för Användare som har roller med behörighet att se dem. Diagnos- och åtgärdskoder i försäkringskrav och förhandsgodkännanden, samt bilder av försäkringskort, skyddas av databas- och lagringskrypteringen i Bilaga 2.

Bilaga 2: Tekniska och organisatoriska åtgärder

1. Kryptering:
   • Data under överföring krypteras med TLS version 1.2 eller senare, och databasserverns identitet verifieras vid varje anslutning.
   • Data i vila i databaser, diskar, filer, Säkerhetskopior och lagringen för hemligheter krypteras med AES-256, med nycklar som hanteras via AWS Key Management Service (AWS KMS) eller av hostingleverantören.
   • Personalakter och kliniska journaler krypteras dessutom i applikationen med separata nycklar, och anslutningsuppgifter för Anslutna leverantörer förvaras i en separat lagring för hemligheter som krypteras med en separat nyckel.
2. Isolering av varje kunds data: varje post av Kunddata bär identifieraren för den Verksamhet den tillhör. Säkerhetspolicyer på radnivå (row-level security) i databasen gäller för applikationens roll, och applikationens roll har ingen behörighet att kringgå dem. Begränsningar med sammansatta nycklar hindrar att poster som tillhör en Verksamhet länkas till poster som tillhör en annan.
3. Åtkomstkontroll:
   • Åtkomst beviljas enligt principen om minsta möjliga behörighet.
   • Åtkomst till Produktionsmiljön är begränsad till namngivna anställda hos STAK, kräver flerfaktorsautentisering och början av varje åtkomst loggas.
   • Administrativ åtkomst till servrar sker endast via AWS Systems Manager, utan direkt inloggning (SSH).
4. Säkerhet vid Användares inloggning:
   • För Användare erbjuder Tjänsterna passkeys, autentiseringsappar och verifieringskoder som skickas till en verifierad telefon.
   • För Kunden erbjuder de anpassningsbara roller och behörigheter, åtkomst som begränsas per Filial och, i de Planer som omfattar dem, regler för inaktiva sessioner och aviseringar till Ägare om inloggningar från nya enheter.
5. Granskningslogg: en granskningslogg över ändringar förs som ingen Användare kan ändra eller radera. Den registrerar aktör, tid, källa och IP-adress. När Kunden raderar en Slutkunds personuppgifter enligt punkt 8.1 förlorar posterna den personens identifierande uppgifter men behåller vad som gjordes, av vem och när. Granskningsloggen raderas tillsammans med Kunddata enligt punkt 12. Bokföringsposter länkas i en kedja som avslöjar varje manipulering.
6. Säkerhetskopior och återställning:
   • automatiska, kontinuerliga Säkerhetskopior möjliggör återställning till en viss tidpunkt inom 35 dagar;
   • dagliga Säkerhetskopior sparas i 35 dagar och månatliga Säkerhetskopior i 12 månader, och de kopieras till en separat geografisk region i Republiken Irland. Säkerhetskopieringsvalvens policy hindrar att de raderas innan deras lagringstid löper ut eller att den tiden ändras, och ett lås i efterlevnadsläge (compliance mode) hindrar radering av varje Säkerhetskopia under åtminstone dess första 35 dagar;
   • en logisk Säkerhetskopia av databasen tas varje natt och sparas i 35 dagar i lagring som är skyddad mot ändring och radering;
   • återställning av databasen från Säkerhetskopior testas varje månad.
7. Betalningsdata: Tjänsterna är utformade så att STAK inte lagrar fullständiga kortnummer. Betalningar görs på sidor som drivs av Betaltjänstleverantörer eller på deras certifierade kortterminaler och appar. Tjänsternas skärmar innehåller inga fält för inmatning av kortuppgifter, och Tjänsterna låter Kunden söka igenom fritextfält efter kortnummer som angetts av misstag så att de kan tas bort.
8. Nätverk och infrastruktur: databaserna körs i privata nätverk som inte är offentligt åtkomliga, bakom brandväggar. En brandvägg för webbapplikationer och skydd mot överbelastningsattacker tillhandahålls via Cloudflare.
9. Sårbarhetshantering och säker utveckling: koden granskas och automatiska tester körs före varje release. Programvarubibliotek kontrolleras, och säkerhetsuppdateringar tillämpas utan dröjsmål.
10. Övervakning och incidenthantering:
    • molninfrastrukturen övervakas automatiskt dygnet runt, med omedelbara larm;
    • varje administrativ åtgärd i molninfrastrukturen loggas, och hot och överflödiga behörigheter upptäcks automatiskt via särskilda Amazon-tjänster (AWS CloudTrail, GuardDuty och IAM Access Analyzer);
    • dokumenterade rutiner gäller för hantering av Säkerhetsincidenter och för underrättelse enligt punkt 9.
11. Affärskontinuitet: planer för kontinuitet och återställning gäller, i linje med återställningsmålen i Servicenivåavtalet.
12. Personal: STAK:s anställda och uppdragstagare är bundna av sekretess och får utbildning i säkerhetsmedvetenhet.
13. Säker radering: data raderas enligt punkt 12, och hostingleverantören förstör media i enlighet med sina standarder.

Bilaga 3: Underbiträden

Leverantörer som används endast när de är aktiverade. STAK har följande leverantörer uppsatta men använder dem inte i dag för att behandla Kundens personuppgifter. STAK börjar använda någon av dem först efter att ha lämnat underrättelse enligt punkt 6.3, minst 30 dagar i förväg, och underrättelsen anger var leverantören behandlar uppgifterna och hur länge den behåller dem.

Så snart STAK aktiverar sitt eget WhatsApp-nummer skickar Meta från det inloggningskoder till Användare och verifieringskoder till Slutkunder som verifierar sina telefonnummer på de Offentliga sidorna. Därigenom behandlar Meta uppgifter som STAK behandlar som Personuppgiftsansvarig enligt Integritetspolicyn, inte Kundens personuppgifter.

Bortsett från leverantörerna ovan använder STAK inte leverantörer av sms, push-notiser, digitala plånböcker eller adressökning, verifiering och kartläggning för att behandla Kundens personuppgifter.