Personuppgiftsbiträdesavtal

1. Parter och omfattning

Detta personuppgiftsbiträdesavtal ("PUB-avtalet") gäller mellan Exsens AB, organisationsnummer 556706-5288, Fürstenbergsgatan 4, 416 64 Göteborg ("Personuppgiftsbiträdet") och den kund som ingått avtal om Timeplan ("Personuppgiftsansvarig").

PUB-avtalet utgör en integrerad del av det tjänsteavtal som ingåtts mellan parterna ("Tjänsteavtalet") och reglerar Personuppgiftsbiträdets behandling av personuppgifter för Personuppgiftsansvariges räkning vid leverans av Timeplan och tillhörande tjänster såsom support, drift, utbildning och systemkonfiguration ("Tjänsterna"). Det uppfyller kraven i artikel 28.3 i dataskyddsförordningen (GDPR).

Kontaktpunkt för dataskyddsfrågor hos Personuppgiftsbiträdet: privacy@timeplan.se.

Kund som önskar ett separat undertecknat exemplar kan begära det från privacy@timeplan.se. Innehållet är detsamma som på denna sida.

2. Definitioner

Begrepp som personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, underbiträde och personuppgiftsincident har samma betydelse som i artikel 4 GDPR. Med tillämplig lag avses GDPR och kompletterande svensk dataskyddslagstiftning.

3. Instruktioner

3.1 Personuppgiftsbiträdet behandlar personuppgifter endast enligt Personuppgiftsansvariges dokumenterade instruktioner. Bilaga 1 utgör Personuppgiftsansvariges grundläggande instruktion.

3.2 Om en instruktion enligt Personuppgiftsbiträdets uppfattning strider mot tillämplig lag ska Personuppgiftsbiträdet omedelbart underrätta Personuppgiftsansvarig.

3.3 Personuppgiftsansvarig ansvarar för att det finns rättslig grund för behandlingen, för att informera de registrerade och för att vid behov genomföra konsekvensbedömning.

3.4 Instruktioner som kräver ändring i Tjänsterna eller arbete utöver Tjänsternas standardfunktioner genomförs efter skriftlig överenskommelse och mot skälig ersättning.

4. Sekretess

Personuppgiftsbiträdet säkerställer att endast behörig personal får tillgång till personuppgifter, att sådan personal omfattas av sekretessförbindelse, och att sekretessen gäller även efter det att anställningen eller PUB-avtalet upphört.

5. Säkerhetsåtgärder

5.1 Personuppgiftsbiträdet vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32 GDPR. Åtgärderna framgår av Bilaga 2.

5.2 Åtgärderna utvärderas regelbundet och uppdateras vid behov. Personuppgiftsbiträdet får ändra en åtgärd endast om skyddsnivån bibehålls eller förbättras.

6. Bistånd till Personuppgiftsansvarig

Personuppgiftsbiträdet bistår Personuppgiftsansvarig med att besvara de registrerades begäran enligt kapitel III GDPR, hantera personuppgiftsincidenter, genomföra konsekvensbedömningar och förhandssamråd enligt artiklarna 35–36, samt tillhandahålla den dokumentation som krävs enligt artikel 28.3 h. Bistånd som går utöver Tjänsternas standardfunktioner sker mot skälig ersättning.

7. Personuppgiftsincidenter

7.1 Personuppgiftsbiträdet underrättar Personuppgiftsansvarig utan onödigt dröjsmål och senast inom 24 timmar från det att en personuppgiftsincident upptäckts.

7.2 Underrättelsen ska innehålla incidentens art, berörda kategorier av registrerade och personuppgifter, uppskattat antal berörda, sannolika konsekvenser, vidtagna och planerade åtgärder samt kontaktuppgift för vidare hantering. Uppgifter som inte är tillgängliga vid underrättelsen lämnas efter hand.

7.3 Personuppgiftsbiträdet vidtar omedelbart skäliga åtgärder för att begränsa incidentens effekter och bistår Personuppgiftsansvarig vid eventuell anmälan till tillsynsmyndighet och underrättelse till registrerade.

8. Underbiträden

8.1 Personuppgiftsansvarig lämnar ett generellt förhandsgodkännande till att Personuppgiftsbiträdet anlitar underbiträden. Vid tidpunkten för denna version anlitas de underbiträden som anges i Bilaga 3.

8.2 Personuppgiftsbiträdet ingår skriftligt avtal med varje underbiträde som ålägger underbiträdet motsvarande skyldigheter som följer av detta PUB-avtal, och ansvarar för underbiträdets behandling såsom för sin egen.

8.3 Personuppgiftsbiträdet underrättar Personuppgiftsansvarig minst 30 dagar innan ett nytt underbiträde tas i bruk eller ett befintligt byts ut. Underrättelse sker via e-post till Personuppgiftsansvariges angivna kontaktperson och genom uppdatering av Bilaga 3 på denna sida.

8.4 Personuppgiftsansvarig har rätt att invända mot förändringen inom 30 dagar från underrättelsen. Kan parterna inte enas om en lösning inom 30 dagar från invändningen har Personuppgiftsansvarig rätt att säga upp den del av Tjänsterna som berörs av förändringen.

8.5 På begäran tillhandahåller Personuppgiftsbiträdet de delar av avtalet med ett underbiträde som är nödvändiga för att visa att skyldigheterna enligt punkt 8.2 uppfyllts.

9. Överföring till tredjeland

9.1 Personuppgifter behandlas primärt inom EU/EES. Huvuddelen av behandlingen sker i Microsoft Azure, Norra Europa (Irland).

9.2 Överföring till land utanför EU/EES sker endast i enlighet med kapitel V GDPR, med stöd av EU–US Data Privacy Framework för certifierade leverantörer eller EU-kommissionens standardavtalsklausuler (beslut 2021/914), tillsammans med kompletterande skyddsåtgärder. Aktuella överföringar och mekanismer framgår av Bilaga 3.

10. Granskning

10.1 Personuppgiftsansvarig har rätt att en gång per kalenderår granska att Personuppgiftsbiträdet uppfyller sina skyldigheter enligt detta PUB-avtal, efter minst 30 dagars skriftligt varsel.

10.2 Personuppgiftsbiträdet får i första hand uppfylla granskningsskyldigheten genom att tillhandahålla dokumentation, ifyllt säkerhetsformulär eller motsvarande underlag.

10.3 Granskning genomförs utan onödigt hinder för Personuppgiftsbiträdets verksamhet och omfattar inte uppgifter om andra kunder. Personuppgiftsansvarig bär sina egna kostnader samt Personuppgiftsbiträdets skäliga kostnader, om inte granskningen påvisar väsentlig brist.

10.4 Vid en inträffad personuppgiftsincident gäller inte begränsningen i punkt 10.1.

11. Radering och återlämnande

11.1 När Tjänsteavtalet upphör raderar eller återlämnar Personuppgiftsbiträdet samtliga personuppgifter enligt Personuppgiftsansvariges val.

11.2 Personuppgiftsansvarig ska meddela sitt val inom 30 dagar från Tjänsteavtalets upphörande. Lämnas inget besked raderas uppgifterna efter denna period.

11.3 Återlämnande sker i strukturerat, allmänt använt och maskinläsbart format. Radering sker på ett sätt som förhindrar återställning. Personuppgiftsbiträdet bekräftar skriftligen vidtagna åtgärder.

11.4 Uppgifter får bevaras längre om det krävs enligt lag, och behandlas då endast för det ändamålet.

12. Ansvar

Tjänsteavtalets bestämmelser om ansvar och ansvarsbegränsning gäller även för detta PUB-avtal. Detta påverkar inte respektive parts ansvar direkt gentemot registrerade eller tillsynsmyndighet enligt artiklarna 82 och 83 GDPR, och begränsar inte skyldigheter som följer tvingande av GDPR.

13. Giltighetstid

PUB-avtalet gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för Personuppgiftsansvariges räkning. Punkterna 4, 11 och 12 gäller även efter upphörandet.

14. Ändringar

14.1 Personuppgiftsbiträdet får ensidigt uppdatera detta PUB-avtal endast om (i) ändringen krävs för att uppfylla tillämplig lag, bindande avgörande eller tillsynsmyndighets beslut eller vägledning, (ii) ändringen höjer skyddsnivån för personuppgifterna, eller (iii) Bilaga 1 eller Bilaga 3 behöver uppdateras som en följd av förändringar i Tjänsterna.

14.2 En ensidig ändring får aldrig inskränka Personuppgiftsansvariges rättigheter enligt detta PUB-avtal eller sänka den avtalade skyddsnivån för personuppgifterna.

14.3 Ändringar meddelas Personuppgiftsansvarig minst 30 dagar innan de träder i kraft, genom e-post till angiven kontaktperson och genom uppdatering av denna sida. Versionsnummer och datum anges överst på sidan.

14.4 Personuppgiftsansvarig har rätt att invända mot en ändring inom 30 dagar från underrättelsen. Kan parterna inte enas inom 30 dagar från invändningen fortsätter den tidigare versionen att gälla mellan parterna i den del invändningen avser, om inte tillämplig lag kräver annat.

14.5 Övriga ändringar av detta PUB-avtal kräver skriftlig överenskommelse mellan parterna.

15. Lagval och tvist

Svensk rätt tillämpas. Tvist avgörs enligt Tjänsteavtalets tvistlösningsbestämmelse.

Bilaga 1 — Beskrivning av behandlingen

Kategorier av registrerade

• Anställda
• Timanställda och vikarier
• Konsulter
• Chefer och administratörer
• Övriga personer som Personuppgiftsansvarig registrerar i systemet

Kategorier av personuppgifter

Namn, kontakt- och adressuppgifter, e-post och telefonnummer, personnummer eller samordningsnummer om Kunden använder det, anställningsnummer, födelsedatum, nationalitet, kompetenser och utbildningar, bankinformation vid lönefilsexport, anställnings- och arbetsrelaterad information, schema och passinformation, tidregistreringar och stämplingar, frånvaro, attesthistorik, löneunderlag, digitalt material såsom signerade dokument, uppladdade filer och meddelanden, inloggningsuppgifter, roller och behörigheter, enhets-ID vid mobilapp, aktivitetsloggar samt IP-adress.

Särskilda kategorier av personuppgifter (artikel 9 GDPR)

• Hälsorelaterade uppgifter i samband med sjukfrånvaro eller läkarintyg.
• Biometriska uppgifter för att entydigt identifiera en person, om Personuppgiftsansvarig använder Timeplan Terminal. Fingeravtryck lagras inte som bild utan omvandlas till en koordinatbaserad mall som inte kan återskapas till ett avtryck. Uppgifterna utgör likväl särskild kategori enligt artikel 9.1.

Personuppgiftsansvarig ansvarar för att fastställa rättslig grund enligt artiklarna 6 och 9 för behandling av biometriska uppgifter, samt för att genomföra konsekvensbedömning innan behandlingen påbörjas. Integritetsskyddsmyndigheten har uttalat att samtycke i regel inte är en framkomlig rättslig grund i anställningsförhållanden och att biometriska uppgifter som regel inte får användas för närvarokontroll.

Inga andra särskilda kategorier behandlas.

Ändamål

Schemaläggning, tidregistrering, attestering, frånvarohantering, framtagning av löneunderlag, digital signering och dokumenthantering, administration av användare och behörigheter, support och felsökning, systemdrift och säkerhet samt loggning och spårbarhet.

Behandlingens art

Insamling, registrering, lagring, strukturering, ändring, åtkomst, användning, utlämning på Kundens instruktion, överföring till underbiträden enligt PUB-avtalet, begränsning, radering eller anonymisering samt säkerhetskopiering och återställning. Ingen behandling sker för Personuppgiftsbiträdets egna ändamål.

Lagringstider och gallring

Personuppgifter lagras enligt Personuppgiftsansvariges instruktioner. Anges inga egna instruktioner gäller Timeplans standardiserade gallring:

• 6 månader — allmänna användarhändelser, till exempel inloggningar.
• 12 månader — oanvända arbetspass och grundscheman, personer som skapats men aldrig anställts, samt bankuppgifter och personliga meddelanden för personer med avslutad anställning.
• 48 månader — närvarostämplingar, stämplings- och terminalmeddelanden, passagestämplingar, attesteringar, frånvaro, arbetspass samt personer med avslutad anställning.
• 60 månader — kontosaldon på kostnadsställe.

Lagring kan ske längre om lag kräver det, exempelvis bokföringslagen.

Platser där uppgifter behandlas

• Microsoft Azure Datacenter — Norra Europa (Irland).
• Övriga EU/EES enligt Bilaga 3.
• USA — endast för de underbiträden och med de mekanismer som anges i Bilaga 3.

System och funktioner där behandlingen sker

Timeplan Web, Timeplan App (iOS/Android), Timeplan Terminal, Timeplan API och integrationer, Timeplans supportsystem, notifieringstjänst, in-app-kommunikation samt videoguider och dokumentation. Leverantörerna framgår av Bilaga 3.

Bilaga 2 — Tekniska och organisatoriska åtgärder

Bilagan beskriver de åtgärder Exsens AB vidtar enligt artiklarna 28 och 32 GDPR för behandling inom ramen för leveransen av Timeplan.

Organisation och ansvar. Utpekade roller för informationssäkerhet och incidenthantering. Samtliga medarbetare omfattas av sekretessförbindelse. Dokumenterad IT-säkerhetspolicy. Regelbunden intern genomgång av datasäkerhet och GDPR-rutiner.

Behörighet och åtkomst. Rollbaserad åtkomstkontroll (RBAC) i Timeplan. Principen om lägsta behörighet. Skyddade administratörsbehörigheter. Automatisk utloggning vid inaktivitet, standard 15 minuter. Åtkomst till servermiljöer är IP-begränsad och kräver stark autentisering. Underhåll sker via krypterad VPN.

Autentisering. Stöd för tvåfaktorsautentisering för administratörer. Lösenord lagras med PBKDF2/HMAC-SHA256. Kundspecifika lösenordspolicyer kan tillämpas.

Kryptering. TLS 1.2/1.3 för all kommunikation mellan klienter och Timeplans system. AES-256 för lagrade uppgifter. Biometriska uppgifter lagras som icke-återskapningsbara koordinatmallar, inte som bild.

Driftmiljö och fysisk säkerhet. Drift i Microsoft Azure, Norra Europa (Irland). Separat databas per tenant. Azure tillhandahåller fysisk säkerhet med redundanta datacenter, UPS, branddetektion och åtkomstkontroll. Endast EU-baserade datacenter används för drift av Timeplan.

Nätverkssäkerhet. Brandväggar och nätverkssegmentering i Azure-miljön. IP-restriktioner för administrativ åtkomst. Regelbunden övervakning av nätverkstrafik och anomalier.

Loggning och spårbarhet. Applikationslogg över inloggningar och personrelaterade ändringar. Azure Log Analytics på infrastrukturnivå. Loggar lagras säkert med begränsad åtkomst och används för felsökning, säkerhet och granskning.

Säkerhetskopiering och kontinuitet. Daglig säkerhetskopiering via Azure Backup. Dokumenterad kontinuitets- och katastrofplan med definierade återställningsmål. Återställning från säkerhetskopia testas genom en dokumenterad övning minst en gång per år.

Uppdateringar och sårbarhetshantering. Regelbunden patchning av operativsystem, servrar och applikationer. Bevakning av säkerhetsbulletiner och CVE-notiser. Statisk och dynamisk kodanalys i CI/CD. OWASP-riktlinjer i kodgranskning. Virusskydd.

Incidenthantering. Etablerad process för identifiering, klassificering, åtgärd och dokumentation av personuppgiftsincidenter. Incidenter utreds omedelbart och rapporteras enligt punkt 7. Efterhandsanalys genomförs för förebyggande åtgärder.

Personal och utbildning. Regelbunden utbildning i datasäkerhet, sekretess och GDPR. Interna rutiner för hantering av personuppgifter och behörigheter. Dokumenterad checklista vid anställning och avslut, med spärr av konto sista arbetsdagen och borttagning därefter.

Underbiträden. Säkerhetsgranskning innan underbiträden tas i bruk. Skriftliga biträdesavtal med samtliga. Löpande bevakning av deras säkerhets- och dataskyddspolicyer. Se Bilaga 3.

Test och utveckling. Testmiljöer hålls separerade från produktionsmiljö. Personuppgifter används normalt inte i testmiljö; om det krävs används endast anonymiserad data.

Gallring och radering. Gallring följer Kundens instruktioner eller Timeplans standardintervall enligt Bilaga 1. Radering sker på ett sätt som förhindrar återställning.

Bilaga 3 — Underbiträden

Aktuell lista. Ändringar meddelas minst 30 dagar i förväg enligt punkt 8.3. Den vid var tid gällande listan publiceras på denna sida.

Huvudvolymen av personuppgifter behandlas hos Microsoft Azure. Endast de uppgifter som krävs för respektive tjänst överförs till övriga underbiträden.

Rutiner för tillsyn och uppföljning

• Exsens AB granskar att underbiträden uppfyller säkerhetskrav innan de tas i bruk.
• Skriftliga personuppgiftsbiträdesavtal finns med samtliga underbiträden.
• Exsens AB bevakar förändringar i deras säkerhets- och dataskyddspolicyer, inklusive giltigheten i deras DPF-certifieringar.
• Vid större förändringar eller risker informeras Kunden.