Personuppgiftsbiträdesavtal (DPA)

Version 1.0 — gäller mellan kundföretaget (personuppgiftsansvarig) och Verkly AB (personuppgiftsbiträde)

Detta personuppgiftsbiträdesavtal ("Avtalet") reglerar Verkly AB:s behandling av personuppgifter för kundföretagets räkning enligt artikel 28 i dataskyddsförordningen (GDPR). Avtalet utgör en del av abonnemangsvillkoren och gäller så länge kundföretaget använder tjänsten.

1. Parter

• Personuppgiftsansvarig: Det kundföretag som registrerat ett konto i Verkly.
• Personuppgiftsbiträde: Verkly AB, org.nr Ej angivet — kontakta [email protected], [email protected].

2. Föremål och varaktighet

Verkly behandlar personuppgifter enbart för att tillhandahålla CRM- och fältservicetjänsten (orderhantering, tidrapportering, personalliggare, fakturering). Behandlingen pågår under avtalstiden och upphör enligt avsnitt 8.

3. Kategorier av registrerade och uppgifter

• Anställda hos kundföretaget: namn, personnummer (krypterat), kontaktuppgifter, lön, tidrapporter, in-/utcheckningar, nära anhörig, kompetenser och certifikat (med bevisbild).
• Kundföretagets kunder: namn, organisationsnummer, kontakt- och adressuppgifter, orderhistorik.

4. Biträdets skyldigheter

• Behandlar uppgifter endast enligt dokumenterade instruktioner från den ansvarige (detta avtal och tjänstens funktioner).
• Säkerställer att personer med åtkomst omfattas av sekretess.
• Vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder (Art. 32) — se avsnitt 6.
• Bistår den ansvarige med att svara på registrerades begäran (insyn, rättelse, radering, dataportabilitet).
• Bistår den ansvarige med säkerhet, anmälan av personuppgiftsincidenter och konsekvensbedömningar (Art. 32–36).
• Anmäler personuppgiftsincidenter till den ansvarige utan onödigt dröjsmål efter att ha fått kännedom om dem.

5. Underbiträden

Den ansvarige ger ett allmänt förhandsgodkännande till att Verkly anlitar underbiträden för drift. Aktuella underbiträden:

• Molnhosting — serverdrift inom EU/EES.
• E-postleverantör (SMTP) — utskick av fakturor, endast vid aktiv användning.

Verkly informerar den ansvarige om planerade byten av underbiträden så att invändning kan göras. Samtliga underbiträden binds av minst samma skyddsnivå som detta avtal.

6. Säkerhetsåtgärder (Art. 32)

• Kryptering av personnummer i vila (AES-256-GCM) och i överföring (HTTPS/TLS).
• Lösenord lagras hashade med bcrypt.
• Åtkomstkontroll med roller och JWT i httpOnly Secure-cookies; logisk separation av varje kundföretags data.
• Loggning av in-/utcheckningar och säkerhetshändelser.

7. Överföring till tredjeland

Personuppgifter behandlas inom EU/EES. Överföring till tredjeland sker inte utan den ansvariges instruktion och lämpliga skyddsåtgärder enligt kapitel V i GDPR.

8. Radering och återlämnande

När avtalet upphör kan den ansvarige under 30 dagar exportera sina uppgifter eller begära en export. Därefter raderar Verkly personuppgifterna och användarkontona anonymiseras. Den ansvarige ansvarar själv för att bevara räkenskapsinformation enligt bokföringslagen och personalliggare enligt Skatteverkets regler (2 år efter utgången av det kalenderår då beskattningsåret gick ut), och ska exportera dem före raderingen. Se även allmänna villkor §6.

9. Granskning

Verkly ger den ansvarige den information som krävs för att visa att skyldigheterna i Art. 28 uppfylls och möjliggör granskning/inspektion på begäran.