Personuppgiftsbiträdesavtal

Bilaga till Användarvillkoren · gäller från och med 2026-10-06 · Svensk översättning; den tjeckiska versionen har företräde

Detta avtal enligt artikel 28 i förordning (EU) 2016/679 (”dataskyddsförordningen”) ingås mellan den Organisation som använder plattformen Negotiq (”den Personuppgiftsansvarige”) och SynQflows, s.r.o., organisationsnummer 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (”Personuppgiftsbiträdet”) och utgör en del av Användarvillkoren. Det ingås genom godkännande av Användarvillkoren och gäller så länge Avtalet gäller. Termer med inledande versal har den betydelse som anges i Användarvillkoren.

1. Behandlingens föremål och omfattning

2. Den Personuppgiftsansvariges instruktioner

1. Personuppgiftsbiträdet behandlar personuppgifter endast på grundval av dokumenterade instruktioner från den Personuppgiftsansvarige, även när det gäller överföringar till tredjeländer. Instruktionerna ges genom Användarvillkoren, detta avtal och inställningarna på Plattformen; genom att konfigurera en Integration (Mottagningsadress, anslutning av affärssystem, Webhook, API-nyckel för en tredjepartsagent) instruerar den Personuppgiftsansvarige om behandling i den omfattning som Integrationen kräver. Ytterligare instruktioner ges av Organisationsadministratören i textform.
2. Om Personuppgiftsbiträdet anser att en instruktion strider mot dataskyddsförordningen eller andra bestämmelser om skydd av personuppgifter ska det omedelbart informera den Personuppgiftsansvarige om detta och behöver inte utföra instruktionen förrän den Personuppgiftsansvarige har svarat.
3. Om unionsrätten eller en medlemsstats nationella rätt ålägger Personuppgiftsbiträdet att behandla uppgifterna ska det informera den Personuppgiftsansvarige om detta i förväg, såvida inte den rätten förbjuder det (artikel 28.3 a i dataskyddsförordningen).
4. Personuppgiftsbiträdet behandlar inte den Personuppgiftsansvariges personuppgifter för egna ändamål. Anonymiserad och aggregerad statistik (artikel 11.2 i Användarvillkoren) innehåller inga personuppgifter. Uppteckningar i Granskningskedjan, Bekräftelser och AP2-uppteckningar behandlas av Personuppgiftsbiträdet som självständig personuppgiftsansvarig enligt Integritetspolicyn, inte enligt detta avtal.
5. Den Personuppgiftsansvarige ansvarar för att behandlingen är laglig, för att informera de registrerade och för att denne har rätt att lägga in personuppgifterna på Plattformen och att ge åtkomst till anslutna system.

3. Personuppgiftsbiträdets skyldigheter

1. Personuppgiftsbiträdet säkerställer att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.
2. Personuppgiftsbiträdet vidtar de tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen som anges i bilaga 1. Det får ändra åtgärderna, förutsatt att den övergripande säkerhetsnivån inte sänks.
3. Personuppgiftsbiträdet bistår den Personuppgiftsansvarige med att besvara begäranden från registrerade, i första hand med hjälp av Plattformens verktyg (export av uppgifter i JSON-format, rättelse av uppgifter, avslutande av en Användares konto eller Organisationen). En begäran som det tar emot direkt från en registrerad vidarebefordrar det till den Personuppgiftsansvarige utan onödigt dröjsmål och besvarar den inte självt i sak.
4. Personuppgiftsbiträdet bistår den Personuppgiftsansvarige med att fullgöra skyldigheterna enligt artiklarna 32–36 i dataskyddsförordningen (säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning och förhandssamråd), med beaktande av typen av behandling och den information som Personuppgiftsbiträdet har tillgång till.

4. Underbiträden

1. Den Personuppgiftsansvarige ger Personuppgiftsbiträdet ett allmänt tillstånd att anlita underbiträden. Aktuell förteckning:

   Underbiträde	Verksamhet	Plats, skyddsåtgärder
   Railway Corporation	drift (hosting) av applikation och databas, säkerhetskopior	USA / EU; standardavtalsklausuler (modul 3) eller EU-U.S. Data Privacy Framework (ramen för dataskydd mellan EU och USA)
   Anthropic, PBC	konvertering av ostrukturerade prislistor till tabeller (endast när funktionen används)	USA; standardavtalsklausuler (modul 3); ingen träning av modeller på uppgifterna
   leverantör av e-postmottagning (den konkreta leverantören kommer att läggas till i förteckningen innan funktionen tas i drift)	mottagning av meddelanden som skickas till Mottagningsadresser och vidarebefordran av dem till Plattformen	anges tillsammans med leverantören; överföring utanför EES endast med skyddsåtgärder enligt artikel 7
   leverantör av e-posttjänst (SMTP)	leverans av fakturor, betalningspåminnelser och driftmeddelanden (mottagarens adress och meddelandets innehåll)	EU

2. Personuppgiftsbiträdet informerar den Personuppgiftsansvarige om planerade tillägg eller ersättningar av underbiträden minst 14 dagar i förväg på Plattformen eller per e-post till Organisationsadministratören. Inom denna frist får den Personuppgiftsansvarige göra invändningar av skäliga skäl som rör skyddet av personuppgifter. Parterna ska försöka finna en lösning; om de inte gör det får den Personuppgiftsansvarige säga upp Avtalet utan påföljd med verkan innan underbiträdet anlitas.
3. Personuppgiftsbiträdet ålägger genom avtal underbiträden samma skyldigheter avseende dataskydd som Personuppgiftsbiträdet har enligt detta avtal, inklusive tillräckliga garantier för att genomföra tekniska och organisatoriska åtgärder, och ansvarar gentemot den Personuppgiftsansvarige för att underbiträdena fullgör sina skyldigheter (artikel 28.4 i dataskyddsförordningen).
4. System som den Personuppgiftsansvarige själv väljer (anslutna affärssystem, produktflöden, slutpunkter för Webhooks och tredjepartsagenter) är inte Personuppgiftsbiträdets underbiträden; Personuppgiftsbiträdet överför uppgifter till dem på den Personuppgiftsansvariges instruktion.

5. Personuppgiftsincidenter

1. Personuppgiftsbiträdet underrättar den Personuppgiftsansvarige om en personuppgiftsincident utan onödigt dröjsmål och senast inom 48 timmar efter att ha fått vetskap om den, per e-post till Organisationsadministratören och på Plattformen.
2. Underrättelsen innehåller den information enligt artikel 33.3 i dataskyddsförordningen som Personuppgiftsbiträdet har tillgång till (incidentens art, kategorierna av och det ungefärliga antalet registrerade och registerposter, kontaktpunkt, sannolika konsekvenser samt vidtagna eller föreslagna åtgärder); information som ännu inte är känd lämnas i omgångar.
3. Personuppgiftsbiträdet vidtar utan dröjsmål åtgärder för att åtgärda incidenten och mildra dess följder, samarbetar med den Personuppgiftsansvarige och dokumenterar incidenten. En underrättelse innebär inte ett erkännande av ansvar.

6. Information och granskningar

1. Personuppgiftsbiträdet ger den Personuppgiftsansvarige tillgång till den information som krävs för att visa att skyldigheterna enligt artikel 28 i dataskyddsförordningen har fullgjorts, i första hand genom dokumentet Säkerhet och förtroende och svar på ett rimligt säkerhetsfrågeformulär.
2. Om denna information inte är tillräcklig ska Personuppgiftsbiträdet möjliggöra en granskning som utförs av den Personuppgiftsansvarige eller av en oberoende granskare som är bunden av tystnadsplikt och inte är konkurrent till Personuppgiftsbiträdet, efter underrättelse minst 30 dagar i förväg, högst en gång per kalenderår (utom vid en personuppgiftsincident eller på begäran av en tillsynsmyndighet), på den Personuppgiftsansvariges bekostnad, utan åtkomst till andra kunders uppgifter och utan att deras säkerhet äventyras.
3. Tillsynsmyndigheternas undersökningsbefogenheter påverkas inte.

7. Överföring utanför EES

1. Överföring till tredjeländer sker endast med skyddsåtgärder enligt kapitel V i dataskyddsförordningen.
2. Om Personuppgiftsbiträdet överför personuppgifter till ett underbiträde i ett tredjeland för vilket det inte finns något beslut om adekvat skyddsnivå (eller om mottagaren inte är certifierad enligt EU-U.S. Data Privacy Framework) ska det ingå standardavtalsklausuler med underbiträdet enligt kommissionens genomförandebeslut (EU) 2021/914, modul 3 (överföring från personuppgiftsbiträde till personuppgiftsbiträde), bedöma rättsläget i mottagarens land och vidta kompletterande åtgärder (särskilt kryptering vid överföring och lagring samt uppgiftsminimering).
3. Den Personuppgiftsansvarige godkänner härmed sådana överföringar. Personuppgiftsbiträdet tillhandahåller den Personuppgiftsansvarige en kopia av skyddsåtgärderna på begäran; kommersiella villkor får maskeras i den.

8. Radering och återlämnande av uppgifter

1. Så länge Avtalet gäller får den Personuppgiftsansvarige när som helst exportera Organisationens uppgifter i JSON-format och själv radera uppgifter.
2. Efter att Avtalet har upphört ska Personuppgiftsbiträdet, enligt den Personuppgiftsansvariges val, återlämna (exportera) eller radera personuppgifterna inom 30 dagar, inklusive kopior, såvida inte lagstiftning kräver fortsatt lagring. Säkerhetskopior skrivs över i den ordinarie cykeln senast inom 90 dagar; fram till dess är de skyddade och används inte.
3. Meddelanden som tagits emot på Mottagningsadressen raderas automatiskt efter 90 dagar. Personuppgiftsbiträdet upphör att använda inloggningsuppgifter till ett anslutet system omedelbart efter att anslutningen tagits bort och raderar dem senast enligt punkt 2.
4. Denna artikel gäller inte de uppteckningar som avses i artikel 2.4 andra och tredje meningen.

9. Ansvar, företräde och tillämplig lag

Parternas ansvar regleras av artikel 82 i dataskyddsförordningen och av Användarvillkoren, inklusive de ansvarsbegränsningar som där anges i den utsträckning lagen tillåter dem. I frågor som rör skydd av personuppgifter har detta avtal företräde framför Användarvillkoren. Detta avtal regleras av tjeckisk rätt.

Bilaga 1 — Tekniska och organisatoriska åtgärder

• Kryptering och pseudonymisering: kryptering av all kommunikation (TLS) och kryptering av lagrade uppgifter hos leverantören av hosting; inloggningsuppgifter till anslutna system och hemliga signeringsnycklar för Webhooks krypterade med AES-256-GCM; lösenord som Argon2id-hashvärden; återställningskoder, inloggningssessioner och API-nycklar lagrade endast som hashvärden; pseudonymisering av uppteckningar i Granskningskedjan efter att ett konto har avslutats.
• Åtkomstkontroll: rollbaserad åtkomst som hanteras av Organisationsadministratören; åtskillnad mellan olika Organisationers uppgifter som upprätthålls på applikationsnivå; bilagor endast till behöriga personer och alltid som nedladdning; åtkomst till produktionsmiljön endast för behöriga personer hos Personuppgiftsbiträdet som är bundna av tystnadsplikt.
• Skydd av konton och sessioner: cookies med HttpOnly, Secure och SameSite; kontroll av ursprung (Origin) vid förfrågningar som ändrar uppgifter; tillfällig spärr av kontot efter upprepade misslyckade inloggningsförsök; byte av lösenord avslutar alla sessioner; begränsningar av antalet förfrågningar till API:et.
• Integritet och verifierbarhet: Granskningskedjan med kryptografiskt sammanlänkade uppteckningar, vars ändring eller radering blockeras av en databasutlösare (trigger); Ed25519-signaturer av Mandat, Bekräftelser och AP2-uppteckningar; Webhooks signerade med HMAC-SHA256.
• Tillgänglighet och återställning: regelbunden säkerhetskopiering av databasen; säkerhetskopior skrivs över senast inom 90 dagar.
• Minimering och radering: meddelanden på Mottagningsadressen 90 dagar; driftloggar högst 90 dagar; för potentiella leverantörer endast allmänna företagskontakter; automatisk import av e-post endast från Verifierade avsändare.
• Säker utveckling: automatiserade tester av säkerhetsinvarianter (åtskillnad mellan Organisationer, Agenternas gränser, konfidentialitet för gränsvärden) vid varje ändring; beroenden låsta till exakta versioner; Agenterna behandlar inte filers innehåll som instruktioner.
• Incidenter och översyn: rutin för hantering av incidenter och underrättelse enligt artikel 5; en kanal för rapportering av sårbarheter; regelbunden översyn av åtgärdernas effektivitet.

En mer detaljerad beskrivning finns i dokumentet Säkerhet och förtroende.