Personuppgiftsbiträdesavtal

01

Parter

Det företag som godkänner Avtalet i Klarhet, eller undertecknar det, nedan ”Personuppgiftsansvarig” eller ”Kunden”. Kundens namn och organisationsnummer framgår av Kundens organisation i Klarhet och av godkännandet.

Agrepto AB, org.nr 559168-6141, Glasgatan 34A, 731 30 Köping, nedan ”Personuppgiftsbiträdet” eller ”Agrepto”.

Parterna har ingått detta personuppgiftsbiträdesavtal (”Avtalet”).

02

Bakgrund och syfte

2.1 Kunden använder Agrepto Klarhet (”Klarhet”), en tjänst som sammanställer Kundens försäljning, bokförda kostnader och marknadsföringsdata för att visa verklig lönsamhet. Tjänsten regleras av Klarhets användarvillkor eller annat avtal mellan parterna (”Huvudavtalet”).

2.2 När Kunden ansluter sina system till Klarhet behandlar Agrepto personuppgifter för Kundens räkning. Avtalet säkerställer att behandlingen sker enligt Kundens instruktioner och enligt artikel 28 i Europaparlamentets och rådets förordning (EU) 2016/679 (”Dataskyddsförordningen”), kompletterande svensk lagstiftning och Integritetsskyddsmyndighetens (IMY) föreskrifter.

2.3 Vid motstridighet mellan Avtalet och Huvudavtalet gäller Avtalet i frågor om behandling av personuppgifter.

03

Definitioner

Begrepp i Avtalet, såsom personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident, har den betydelse som anges i artikel 4 i Dataskyddsförordningen.

04

Behandlingen

4.1 Föremålet för behandlingen, dess varaktighet, art och ändamål, typen av personuppgifter och kategorierna av registrerade framgår av Bilaga 1.

4.2 Avtalet, Bilaga 1 och de val Kunden gör i Klarhet (till exempel vilka källor som ansluts, vilka användare som bjuds in och när en koppling kopplas från) utgör Kundens dokumenterade instruktioner.

05

Den personuppgiftsansvariges skyldigheter

5.1 Kunden ansvarar för att behandlingen har rättslig grund, att de registrerade har fått den information som krävs och att Kunden har rätt att ansluta de system och konton som kopplas till Klarhet.

5.2 Kunden ska utan dröjsmål meddela Agrepto om ändrade instruktioner. Instruktioner som går utöver Avtalet och Huvudavtalet ska vara skriftliga.

5.3 Kunden ansvarar för sina egna avtal med de plattformar som ansluts (till exempel Shopify, WooCommerce, Starweb/Thea Commerce, Quickbutik, Fortnox, Spiris, Meta, Google, TikTok, Snapchat, Microsoft, Pinterest, Klaviyo, Omnisend, Rule och Mailchimp). Dessa plattformar är inte underbiträden till Agrepto.

06

Personuppgiftsbiträdets skyldigheter

6.1 Agrepto får endast behandla personuppgifterna enligt Kundens dokumenterade instruktioner och för de ändamål som anges i Bilaga 1, om inte annat krävs enligt unionsrätten eller svensk rätt. Agrepto ska då informera Kunden innan behandlingen, om det inte är förbjudet.

6.2 Agrepto ska omedelbart informera Kunden om Agrepto anser att en instruktion strider mot Dataskyddsförordningen eller annan dataskyddslagstiftning.

6.3 Agrepto ska säkerställa att de personer som har behörighet att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av lämplig lagstadgad tystnadsplikt.

6.4 Agrepto ska, med beaktande av behandlingens art och den information som Agrepto har tillgång till, bistå Kunden med att fullgöra skyldigheter enligt artiklarna 32–36 i Dataskyddsförordningen samt med att besvara begäranden från registrerade som utövar sina rättigheter.

6.5 Agrepto ska ge Kunden tillgång till all information som krävs för att visa att skyldigheterna i artikel 28 i Dataskyddsförordningen har fullgjorts.

07

Säkerhet

7.1 Agrepto ska vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i Dataskyddsförordningen för att skydda personuppgifterna mot förstöring, förlust, ändring, obehörigt röjande och obehörig åtkomst.

7.2 De åtgärder som gäller när Avtalet ingås beskrivs i Bilaga 2. Agrepto får förbättra åtgärderna, men inte försämra den samlade skyddsnivån.

08

Personuppgiftsincidenter

8.1 Agrepto ska underrätta Kunden utan onödigt dröjsmål, och senast inom 36 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör Kundens personuppgifter.

8.2 Underrättelsen ska i den mån det är möjligt innehålla: incidentens art, kategorier och ungefärligt antal registrerade och personuppgiftsposter som berörs, sannolika konsekvenser, vidtagna och föreslagna åtgärder samt kontaktperson. Information som inte finns tillgänglig direkt får lämnas i omgångar.

8.3 Agrepto ska bistå Kunden med den information som behövs för att Kunden ska kunna anmäla incidenten till IMY inom 72 timmar och vid behov informera de registrerade.

09

Underbiträden

9.1 Kunden ger Agrepto ett allmänt förhandstillstånd att anlita de underbiträden som anges i Bilaga 3.

9.2 Agrepto ska informera Kunden minst 30 dagar innan ett underbiträde läggs till eller byts ut. Kunden får invända på saklig grund. Kan parterna inte enas har Kunden rätt att säga upp Huvudavtalet och Avtalet med verkan från det att ändringen träder i kraft.

9.3 Agrepto ska genom skriftligt avtal ålägga underbiträdet samma skyldigheter i fråga om dataskydd som följer av Avtalet och ansvarar gentemot Kunden för underbiträdets fullgörande.

10

Överföring till tredjeland

10.1 Agrepto lagrar och behandlar personuppgifterna i Sverige. Driftleverantörens leverantörer av serverprogramvara kan ta del av teknisk metadata utanför EU/EES enligt Bilaga 3, med de skyddsåtgärder som anges där. De har ingen åtkomst till innehållet i databasen eller säkerhetskopiorna.

10.2 I övrigt får personuppgifter överföras till ett land utanför EU/EES endast om Kunden i förväg har godkänt det skriftligen och om kraven i kapitel V i Dataskyddsförordningen är uppfyllda.

10.3 Hämtning av uppgifter från de plattformar som Kunden själv ansluter sker på Kundens instruktion. Plattformarnas egen behandling regleras av Kundens avtal med respektive plattform.

11

Den registrerades rättigheter

11.1 Om Agrepto får en begäran direkt från en registrerad ska Agrepto hänvisa den registrerade till Kunden och utan dröjsmål informera Kunden, om inte annat följer av lag.

11.2 Klarhet tar automatiskt emot Shopifys dataskyddsförfrågningar för Kundens butik. Vid begäran om radering av en kunds uppgifter respektive av butikens data raderar Klarhet de berörda uppgifterna enligt Shopifys regler.

12

Granskning

12.1 Kunden har rätt att, själv eller genom en oberoende granskare som omfattas av tystnadsplikt, granska att Agrepto följer Avtalet. Granskning ska aviseras minst 30 dagar i förväg, genomföras så att Agreptos verksamhet och andra kunders uppgifter inte påverkas och får ske högst en gång per år, utom efter en personuppgiftsincident eller om en myndighet kräver det.

12.2 Kunden står för sina egna kostnader för granskningen. Agrepto har rätt till skälig ersättning för tid som går utöver normal medverkan.

13

Avtalstid, frånkoppling och radering

13.1 Avtalet gäller från det att en behörig företrädare för Kunden har godkänt det elektroniskt i Klarhet, eller från det att det har undertecknats, och så länge Agrepto behandlar personuppgifter för Kundens räkning.

13.2 När Kunden kopplar från en källa i Klarhet slutar Klarhet hämta uppgifter från källan omedelbart. Uppgifterna från källan raderas 30 dagar efter frånkopplingen, eller direkt om Kunden väljer det. Ansluter Kunden källan igen inom 30 dagar avbryts raderingen.

13.3 När Klarhet avinstalleras i Shopify raderas butikens uppgifter när Shopify begär det, vilket sker 48 timmar efter avinstallationen.

13.4 När Avtalet upphör ska Agrepto radera alla personuppgifter som behandlats för Kundens räkning inom 30 dagar, om Kunden inte dessförinnan skriftligen begär att få dem överlämnade. Kopior i säkerhetskopior raderas i takt med att säkerhetskopiorna skrivs över, senast 90 dagar efter raderingen, och används inte under tiden annat än för att återställa Klarhet efter ett fel.

14

Ansvar

14.1 Parternas ansvar för skada till följd av behandling i strid med Dataskyddsförordningen följer av artikel 82 i Dataskyddsförordningen. I övrigt gäller de ansvarsbegränsningar som framgår av Huvudavtalet, i den utsträckning de inte strider mot tvingande lag.

15

Tillämplig lag och tvister

15.1 Svensk lag ska tillämpas på Avtalet. Tvist i anledning av Avtalet ska avgöras av svensk allmän domstol med Västmanlands tingsrätt som första instans, om inte parterna kommer överens om annat.

16

Ändringar

16.1 Ändringar och tillägg till Avtalet ska vara skriftliga och godkännas av båda parter. Agrepto får dock uppdatera Bilaga 2 och Bilaga 3 enligt punkterna 7.2 och 9.2.

17

Godkännande

17.1 Avtalet ingås när en behörig företrädare för Kunden godkänner det i Klarhet. Klarhet sparar vem som godkände, för vilket företag, vilken version av Avtalet och när. Den som godkänner intygar att hen har rätt att ingå Avtalet för Kundens räkning.

17.2 Vill parterna i stället underteckna Avtalet, kontakta mattias@agrepto.se.

B1

Bilaga 1: Behandlingens omfattning

Ändamål: att tillhandahålla Klarhet, det vill säga hämta och sammanställa Kundens försäljning, bokförda kostnader och marknadsföringsdata för att visa försäljning, marknadsföringskostnad och lönsamhet per dag, land och kanal.

Behandlingens art: hämtning via de anslutna plattformarnas API:er, där Klarhet bara läser uppgifter, lagring, sammanställning, visning för Kundens användare och radering.

Kategorier av registrerade: kunder som har handlat i Kundens butik (via ordrar från de anslutna e-handelsplattformarna och köphändelser från e-postplattformen).

Varaktighet: så länge källan är ansluten och därefter enligt punkt 13. Plats: Sverige (se Bilaga 3).

B2

Bilaga 2: Säkerhetsåtgärder

• All trafik till och från Klarhet krypteras med HTTPS (TLS), med HSTS.
• Åtkomsttoken och API-nycklar till anslutna plattformar lagras krypterade (libsodium). Krypteringsnyckeln och andra hemligheter lagras utanför webbroten med begränsade filbehörigheter.
• Klarhet läser bara uppgifter och kan inte ändra annonser, ordrar eller bokföring.
• Uppgiftsminimering: från butiken hämtas bara belopp, datum, land och ordernummer, aldrig namn, e-post, adresser eller telefonnummer.
• Inloggning med lösenord som lagras hashade, eller via Google. Tvåstegsverifiering finns. Upprepade misslyckade inloggningsförsök spärras tillfälligt. Sessioner har tidsgränser och cookies är skyddade (Secure, HttpOnly, SameSite).
• Behörighetsstyrning med roller (ägare, administratör, integrationsansvarig och läsare) och möjlighet till tidsbegränsad åtkomst. Varje organisation har bara åtkomst till sina egna uppgifter.
• Anslutningar, ändringar och frånkopplingar loggas med tidpunkt och användare.
• Uppgifter från frånkopplade källor raderas automatiskt enligt punkt 13.
• Drift hos Oderland Webbhotell AB i Sverige på Oderlands egen hårdvara, med övervakning dygnet runt, brandvägg och automatiska säkerhetsuppdateringar.
• Säkerhetskopior tas en gång per dygn, lagras krypterade i ett annat, geografiskt åtskilt datacenter i Sverige och sparas i högst tre månader (dagliga kopior i 30 dagar, därefter en kopia per månad i två månader).
• Den löpande lagringen hos driftleverantören är i dagsläget inte krypterad i vila. Därför skyddas känsliga fält i Klarhet: order-id och retur-id sparas bara som nycklade pseudonymer (HMAC-SHA256), och ordernummer, åtkomsttoken och API-nycklar krypteras (libsodium). Nyckeln lagras utanför webbroten.
• Åtkomst till servrar och databas är begränsad till behörig personal hos Agrepto och driftleverantören.

B3

Bilaga 3: Underbiträden

Oderland använder följande leverantörer av serverprogramvara. De kan ta del av teknisk metadata men har ingen åtkomst till innehållet i Klarhets databas eller säkerhetskopior.

Oderlands övriga underleverantörer gäller tjänster som Klarhet inte använder (e-postfiltrering, Oderland Cloud och WordPress). Plattformar som Kunden själv ansluter (till exempel Shopify, WooCommerce, Starweb/Thea Commerce, Quickbutik, Fortnox, Spiris, annons- och e-postplattformar) är inte underbiträden till Agrepto, se punkt 5.3.