Personuppgiftsbiträdesavtal

1. Roller och instruktion

Kunden är personuppgiftsansvarig för den behandling kunden bestämmer över i TimeTracker. Moduz är personuppgiftsbiträde och behandlar personuppgifterna endast för att leverera tjänsten, enligt kundens dokumenterade instruktioner, kundavtalet och tillämplig dataskyddslagstiftning.

Om Moduz anser att en instruktion strider mot dataskyddslagstiftningen ska kunden informeras utan onödigt dröjsmål, om lag inte förbjuder sådan information.

2. Behandlingens föremål, art, ändamål och varaktighet

Behandlingen består huvudsakligen av insamling, registrering, lagring, strukturering, hämtning, visning, sammanställning, säkerhetskopiering, överföring till kundvald integration och radering av uppgifter som krävs för TimeTrackers funktioner.

Ändamålet är att kunden ska kunna administrera bland annat användarkonton, schemaläggning, tidrapportering, frånvaro, godkännande och löneunderlag. Behandlingen pågår så länge Moduz tillhandahåller tjänsten och därefter endast under den tid som krävs för avveckling, backuprotation eller rättslig skyldighet.

3. Kategorier av registrerade och personuppgifter

Registrerade

• kundens administratörer,
• anställda och tidigare anställda,
• andra personer som kunden lagligen väljer att administrera som användare i tjänsten.

Personuppgifter

• namn, e-post/inloggningsidentifierare och användar-ID,
• roll, företagskoppling, aktiv/inaktiv status och behörighet,
• anställningsnummer och löneform när kunden använder lönefunktioner,
• planerade arbetspass, faktisk arbetstid, lunch och tidrapporteringsstatus,
• frånvarouppgift såsom sjukfrånvaro, vilket kan utgöra känslig personuppgift,
• kommentarer som kunden eller användaren själv lägger in,
• godkännanden, historik och integrationsmetadata som krävs för tjänstens funktion.

4. Sekretess och behörighet

Moduz säkerställer att personer som får tillgång till kundens personuppgifter endast gör det när det behövs för deras arbetsuppgift och omfattas av lämplig sekretess. Administrativ åtkomst begränsas enligt principen om minsta nödvändiga behörighet.

5. Säkerhetsåtgärder

Moduz ska vidta lämpliga tekniska och organisatoriska åtgärder med hänsyn till behandlingens art och risk, bland annat:

• krypterad kommunikation över HTTPS/TLS,
• autentisering och rollbaserad behörighetsstyrning,
• separering av kundföretags data och databasregler för åtkomst,
• kontrollerad intern administrativ åtkomst,
• backup- och återställningsrutiner hos driftleverantörer,
• rutiner för säkerhetsuppdateringar, incidenthantering och felsökning.

6. Underbiträden

Kunden lämnar ett generellt skriftligt godkännande till att Moduz använder underbiträden som behövs för att leverera TimeTracker. Moduz ansvarar för att relevanta dataskyddskrav förs vidare till underbiträden och informerar om planerade materiella förändringar i skälig tid så att kunden kan invända av dataskyddsskäl.

Spiris: När kunden själv aktiverar Spiris-integrationen överför Moduz uppgifter på kundens instruktion till kundens egen Spiris-miljö. Spiris är inte ett generellt underbiträde för alla TimeTracker-kunder; kundens separata relation och villkor med Spiris gäller för mottagande tjänst.

7. Överföringar utanför EU/EES

Om ett underbiträde eller dess infrastruktur innebär överföring av personuppgifter utanför EU/EES ska Moduz säkerställa att det finns en giltig överföringsmekanism enligt GDPR, exempelvis beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler tillsammans med nödvändiga kompletterande skyddsåtgärder.

8. Registrerades rättigheter

Moduz ska, med hänsyn till behandlingens art, bistå kunden i rimlig omfattning med tekniska och organisatoriska åtgärder för att kunden ska kunna hantera begäranden om tillgång, rättelse, radering, begränsning, dataportabilitet eller invändning när rättigheten är tillämplig.

9. Personuppgiftsincidenter och myndighetskrav

Moduz ska informera kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör kundens personuppgifter och lämna den information som rimligen finns tillgänglig för att kunden ska kunna bedöma sina skyldigheter.

Moduz ska också bistå kunden i rimlig omfattning med skyldigheter enligt artiklarna 32–36 GDPR, med hänsyn till vilken information Moduz har tillgång till och behandlingens art.

10. Radering och återlämning

När kundavtalet upphör ska Moduz, enligt kundens val och i den mån det är tekniskt och rättsligt möjligt, radera eller återlämna de personuppgifter som behandlats för kundens räkning. Kopior i ordinarie säkerhetskopior får finnas kvar till dess att de skrivs över enligt normal backuprotation, under fortsatt skydd och utan annan användning.

11. Information och revision

Moduz ska på rimlig begäran lämna den information som behövs för att visa att skyldigheterna enligt detta biträdesavtal uppfylls och medverka till proportionerliga kontroller eller revisioner. Parterna ska i första hand använda dokumentation och fjärrgranskning för att minimera säkerhetsrisker och onödig störning i verksamheten.

12. Företräde, ansvar och giltighet

Detta biträdesavtal gäller så länge Moduz behandlar personuppgifter för kundens räkning. Vid konflikt mellan detta avtal och andra avtalsvillkor i frågor som direkt regleras av GDPR artikel 28 ska detta biträdesavtal ha företräde. Ansvar i övrigt följer kundavtalet och tvingande dataskyddslagstiftning.

13. Kontakt

Dataskyddsfrågor och instruktioner enligt detta avtal skickas till contact@moduz.se.