Personuppgiftsbiträdesavtal

Parter och roller

Kunden (en konsult med eget konto eller ett bemanningsföretag) är personuppgiftsansvarig för de personuppgifter kunden lägger in eller låter samla in i TidFai. Tizfai Technologies AB, org.nr 559284-7379, är personuppgiftsbiträde och behandlar dem bara för kundens räkning.

Ändamål, art och varaktighet

Behandlingen sker för att tillhandahålla TidFai: schema, stämpling, tidrapporter, BankID-signering, fakturor, lön, arbetsgivardeklarationer, bankfiler, notiser och support. Den pågår så länge avtalet gäller och därefter enligt avsnittet om radering.

Registrerade och personuppgifter

Behandlingen avser konsulter, kundens användare och kontaktpersoner hos uppdragsgivare och bemanningsföretag.

• Namn, personnummer, e-post, mobilnummer och yrke.
• Scheman, stämplade tider, störningar, tidrapporter och signaturbevis från BankID.
• Fakturor, betalningar, lönebesked, skatte- och bankuppgifter.
• Inloggnings- och händelseloggar.
• Kunden ska inte lägga in känsliga personuppgifter, till exempel om hälsa, i fritextfält.

Instruktioner och sekretess

Biträdet behandlar personuppgifterna enligt avtalet och kundens dokumenterade instruktioner, som de uttrycks i hur kunden använder tjänsten. Den som behandlar uppgifterna hos biträdet har tystnadsplikt. Biträdet meddelar kunden om en instruktion enligt biträdets mening strider mot dataskyddsreglerna.

Säkerhet

Biträdet vidtar tekniska och organisatoriska åtgärder enligt artikel 32: servrar inom EU, kryptering av personnummer, mobilnummer, kontonummer, skatteuppgifter, bilagor och lönebelopp, behörighetsstyrning per företag och roll, krypterad trafik, loggning, säkerhetskopior och regelbundna uppdateringar.

Underbiträden

Kunden godkänner att biträdet anlitar följande underbiträden. Biträdet meddelar ändringar minst 30 dagar i förväg; kunden får invända och säga upp avtalet om ändringen inte kan godtas.

• Hetzner Online GmbH, Tyskland: servrar och lagring.
• Tizfai Identity (Tizfai Technologies AB): BankID-signering, som i sin tur anlitar BankID (Finansiell ID-Teknik BID AB).
• Tizfai Technologies AB:s SMS- och e-posttjänst: engångskoder och aviseringar.
• Apple och Google: notiser till mobilappen, utan personnummer, belopp eller fritext.
• Stripe Payments Europe Ltd, Irland: betalningar för konsulters abonnemang. Stripe är självständigt personuppgiftsansvarig för betalningsuppgifterna.

Överföring till tredje land

Personuppgifterna behandlas inom EU/EES. Notiser till mobilappen kan passera Apples och Googles tjänster utanför EU; de innehåller bara en kort text och skyddas av EU-kommissionens standardavtalsklausuler eller ramverket för dataskydd mellan EU och USA.

Bistånd och personuppgiftsincidenter

Biträdet hjälper kunden att besvara registrerades begäran om tillgång, rättelse och radering, och med konsekvensbedömningar när det behövs. En personuppgiftsincident meddelas kunden utan onödigt dröjsmål och senast 36 timmar efter att biträdet fått kännedom om den, med det underlag kunden behöver för sin anmälan.

Radering och återlämnande

När avtalet upphör kan kunden exportera sina uppgifter i 90 dagar. Därefter raderas de, utom underlag som kunden enligt lag måste spara, till exempel signerade tidrapporter och fakturor enligt bokföringslagen, som biträdet arkiverar för kundens räkning så länge lagen kräver om kunden inte begär annat.

Revision och ansvar

Biträdet lämnar den information kunden behöver för att visa att avtalet följs och medverkar vid rimliga granskningar efter skriftlig begäran med 30 dagars varsel. Ansvaret mellan parterna följer de allmänna villkoren och artikel 82 i dataskyddsförordningen. Avtalet gäller så länge biträdet behandlar personuppgifter för kundens räkning.