Bilaga 1 – Personuppgiftsbiträdesavtal

1. Parter och bakgrund

1.1 Detta personuppgiftsbiträdesavtal är Bilaga 1 till clearminds kundvillkor (https://nodus.se/villkor). Det gäller mellan Kunden som personuppgiftsansvarig och clearminds AB, org. nr 559476-7971, Luntmakargatan 26, Stockholm (“clearminds”), som personuppgiftsbiträde.

1.2 Ord som definieras i kundvillkoren, till exempel Tjänsten, Kunden, Kunddata och Hyresgäst/Medlem, har samma betydelse i denna bilaga. Ord som personuppgift, behandling, personuppgiftsansvarig, personuppgiftsbiträde och personuppgiftsincident har den betydelse som de har i EU:s dataskyddsförordning (2016/679, “dataskyddsförordningen”).

2. Föremål, varaktighet, art och ändamål

2.1 Föremålet för behandlingen är de personuppgifter som clearminds behandlar för Kundens räkning när clearminds tillhandahåller Tjänsten enligt kundvillkoren.

2.2 Behandlingen pågår under avtalstiden och därefter till dess att personuppgifterna har raderats enligt avsnitt 10.

2.3 Behandlingen består av insamling, registrering, lagring, sammanställning, visning, synkronisering med de system som Kunden kopplar till Tjänsten, överföring till underbiträden enligt avsnitt 7 samt radering.

2.4 Ändamålet är att tillhandahålla Tjänsten till Kunden och till Kundens Hyresgäster/Medlemmar, bland annat hantering av hyresgäster och hyresavtal, passage- och behörighetskontroll, mötesrum och bokningar, utskrifter, meddelanden och utrop, medlemsportalen, support med AI-assistent och fakturering via Kundens Fortnox.

3. Typer av personuppgifter och kategorier av registrerade

3.1 Behandlingen kan omfatta följande typer av personuppgifter:

kontouppgifter, till exempel namn, e-postadress, telefonnummer, företag och roll, samt uppgifter från externa inloggningstjänster (användar-id, visningsnamn, e-postadress och profilbild),
kontaktuppgifter till hyresgästers kontaktpersoner,
passage- och händelseloggar, till exempel passagehändelser, dörrklockshändelser och larmhändelser, samt granskningsloggen över administrativa åtgärder,
bokningar av mötesrum och skrivbord,
utskriftshistorik (dokumentnamn, antal sidor och tidpunkt),
supportärenden och konversationer med AI-assistenten, i medlemsportalen och i Slack,
uppgifter om enheter i hyresgästernas nät som visas i Tjänsten (IP-adress, MAC-adress, värdnamn och status),
hyresavtal och de uppgifter som tolkas ur dem, inklusive namn, kontaktuppgifter och personnummer för firmatecknare och kontaktpersoner, samt uppgifter om firmatecknare och styrelseledamöter som hämtas från företagsregister,
faktureringsdata som utbyts med Kundens Fortnox-företag, och
utropstexter och meddelanden som Kunden skriver.

3.2 De registrerade är:

Hyresgäster/Medlemmar, det vill säga de personer som använder Tjänsten för en hyresgästs räkning,
hyresgästers kontaktpersoner, firmatecknare och styrelseledamöter,
Kundens egna användare och administratörer, och
besökare i Kundens lokaler, i den mån de förekommer i till exempel passage- eller dörrklockshändelser.

4. Instruktioner

4.1 clearminds behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner. Kundvillkoren, denna bilaga och de inställningar som Kunden gör i Tjänsten utgör Kundens instruktioner.

4.2 Kunden instruerar clearminds att:

tillhandahålla Tjänstens funktioner enligt kundvillkoren avsnitt 3,
låta AI-assistenten i medlemsportalen och i Slack besvara Hyresgästers/Medlemmars frågor med hjälp av språkmodeller i Google Cloud (Vertex AI), med de uppgifter som anges i clearminds integritetspolicy avsnitt 4, och på en Hyresgästs/Medlems begäran boka och avboka mötesrum och slå upp vilka enheter som är anslutna till hyresgästens nät enligt DHCP-serverns aktuella tilldelningar (IP-adress, MAC-adress, värdnamn, status och när enheten senast sågs),
låta hyresavtal som Kunden laddar upp eller skickar in via e-post tolkas med AI i Google Cloud (Vertex AI), inklusive de personnummer och uppgifter om firmatecknare som avtalen innehåller, och hämta uppgifter om firmatecknare och styrelseledamöter från företagsregister för att matcha avtalen,
synkronisera bokningar av mötesrum med de Google-kalendrar som Kunden anger för rummen,
omvandla utrop som Kunden skriver till tal via Google Cloud Text-to-Speech,
synkronisera behörigheter till Kundens passersystem och, när Kunden har kopplat dem, skicka händelser till och ta emot larmhändelser från Kundens kamera- och larmsystem,
utbyta faktureringsdata med Kundens Fortnox-företag,
skicka notiser via SMS genom Kundens eget konto hos 46elks, när Kunden har aktiverat det,
ta fram anonymiserade eller aggregerade uppgifter ur personuppgifterna för att utveckla och förbättra Tjänsten enligt kundvillkoren avsnitt 8, så att enskilda personer inte kan identifieras, direkt eller indirekt, och
överföra personuppgifter till underbiträden enligt avsnitt 7, även när underbiträdet behandlar uppgifterna utanför EU/EES.

4.3 clearminds informerar Kunden utan dröjsmål om clearminds anser att en instruktion strider mot dataskyddsförordningen eller mot annan dataskyddslagstiftning.

5. Sekretess

5.1 clearminds säkerställer att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

5.2 clearminds lämnar inte ut personuppgifterna till tredje man, om det inte följer av Kundens instruktioner, av avsnitt 7 eller av lag.

6. Säkerhet

6.1 clearminds vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i dataskyddsförordningen. Åtgärderna omfattar bland annat:

krypterade anslutningar (TLS) mellan användarnas webbläsare och appar och Tjänsten,
rollbaserad behörighetsstyrning, där Kundens användare bara kommer åt Kundens uppgifter och Hyresgäster/Medlemmar bara kommer åt uppgifter för sin egen hyresgäst,
drift i clearminds egen driftmiljö inom EU,
en granskningslogg över administrativa åtgärder i Tjänsten,
felövervakning i en egen installation, och
säkerhetskopiering.

6.2 clearminds ser över åtgärderna när Tjänsten eller riskerna förändras.

7. Underbiträden

7.1 Kunden ger clearminds ett allmänt förhandstillstånd att anlita underbiträden. clearminds anlitar i dag följande underbiträden:

Underbiträde	Tjänst	Ändamål	Plats
Google Cloud	Vertex AI	Språkmodeller för AI-assistenten och den AI-stödda tolkningen av hyresavtal	EU-region
Google Cloud	Text-to-Speech	Talsyntes av utrop som Kunden skriver	Inte begränsad till EU/EES
Google	Google Calendar API	Synkronisering av mötesrumsbokningar (titel, tid och beskrivning) med de Google-kalendrar som Kunden anger	Inte begränsad till EU/EES
Cloudflare	Proxy/CDN och DNS; Pages; Email Routing och Workers	Trafik till Tjänsten passerar Cloudflare; administrationsappen och medlemsportalen levereras från Cloudflare Pages; inkommande e-post till Tjänsten, till exempel hyresavtal som skickas in via e-post, tas emot och vidarebefordras	Inte begränsad till EU/EES

7.2 Följande är inte underbiträden:

clearminds egen driftmiljö inom EU. Tjänsten, dess databaser, objektlagring, loggserver och felrapportering drivs av clearminds själv.
Kundens egna leverantörer. Fortnox, 46elks (SMS via Kundens eget konto), passersystemet, utskriftssystem, kamera- och larmsystem och den Slack-arbetsyta som Kunden eventuellt kopplar supporten till är tjänster som Kunden själv har avtal med.
Tjänster som Hyresgäster/Medlemmar själva väljer. Inloggning via Google, Microsoft, Slack, LinkedIn eller Discord, och assistenten i en hyresgästs egen Slack-arbetsyta, regleras av användarens eller hyresgästens eget avtal med respektive leverantör.
Företagsregister. Uppgifter om företag, firmatecknare och styrelseledamöter hämtas från Bizzdo (bizzdo.se), som är en källa för uppgifterna och inte behandlar personuppgifter för Kundens räkning.

7.3 clearminds meddelar Kunden via e-post minst 30 dagar innan clearminds anlitar ett nytt underbiträde eller byter ut ett underbiträde. Kunden får inom den tiden invända mot ändringen på sakliga grunder. Om parterna inte kan enas får Kunden säga upp den del av Tjänsten som berörs av ändringen, till upphörande den dag ändringen genomförs.

7.4 När ett underbiträde behandlar personuppgifter utanför EU/EES sker överföringen med stöd av ett beslut om adekvat skyddsnivå, till exempel EU-kommissionens beslut för EU–US Data Privacy Framework, i den mån underbiträdet är anslutet till ramverket, eller EU-kommissionens standardavtalsklausuler.

7.5 clearminds ålägger varje underbiträde skyldigheter i fråga om dataskydd som motsvarar dem i denna bilaga. clearminds ansvarar gentemot Kunden för underbiträdets behandling.

8. Bistånd till Kunden

8.1 clearminds bistår Kunden, med hänsyn till behandlingens art och i den utsträckning det är möjligt, med att fullgöra Kundens skyldighet att besvara begäranden från registrerade som utövar sina rättigheter. En begäran som clearminds tar emot direkt från en registrerad och som gäller uppgifter som clearminds behandlar för Kundens räkning vidarebefordras till Kunden.

8.2 clearminds bistår Kunden med att fullgöra skyldigheterna i artiklarna 32–36 i dataskyddsförordningen, bland annat med information som Kunden behöver för en konsekvensbedömning, med hänsyn till behandlingens art och den information som clearminds har tillgång till.

9. Personuppgiftsincidenter

9.1 clearminds underrättar Kunden utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som rör personuppgifter som clearminds behandlar för Kundens räkning.

9.2 Underrättelsen innehåller, i den utsträckning uppgifterna finns tillgängliga, den information som Kunden behöver för att anmäla incidenten enligt artikel 33 i dataskyddsförordningen. Uppgifter som inte finns tillgängliga direkt lämnas så snart de finns.

10. Radering och återlämnande

10.1 När avtalet har upphört kan Kunden exportera sin Kunddata och clearminds raderar därefter personuppgifterna enligt kundvillkoren avsnitt 13.3, om inte lag kräver att uppgifterna sparas.

11. Revision

11.1 clearminds ger Kunden tillgång till den information som behövs för att visa att skyldigheterna i artikel 28 i dataskyddsförordningen och i denna bilaga fullgörs.

11.2 clearminds möjliggör och bidrar till granskningar, inbegripet inspektioner, som genomförs av Kunden eller av en granskare som Kunden har utsett. Granskningen meddelas i skälig tid i förväg, genomförs så att den inte stör Tjänsten eller andra kunders uppgifter, och granskaren ska vara bunden av tystnadsplikt. Kunden står för sina egna kostnader för granskningen.

12. Avgränsning

12.1 Denna bilaga omfattar inte nätverks- och trafikdata och anslutningsloggar enligt kundvillkoren avsnitt 7.4. För dessa är clearminds självständigt personuppgiftsansvarig. Bilagan omfattar däremot de uppgifter om enheter som Tjänsten visar för Kunden och för Hyresgäster/Medlemmar, bland annat DHCP-serverns aktuella tilldelningar (avsnitt 3.1 och 4.2).

12.2 Bilagan omfattar inte heller andra uppgifter som clearminds behandlar som personuppgiftsansvarig, till exempel kontaktuppgifter till Kundens kontaktpersoner för clearminds kundrelation och fakturering, och uppgifter om besökare på webbplatsen nodus.se. Denna behandling beskrivs i clearminds integritetspolicy (https://nodus.se/integritet).

13. Övrigt

13.1 Denna bilaga gäller mellan parterna även om beställningen eller avtalet inte särskilt hänvisar till den. Om parterna har undertecknat ett separat personuppgiftsbiträdesavtal gäller det före denna bilaga.

13.2 Om kundvillkoren och denna bilaga strider mot varandra i fråga om behandling av personuppgifter gäller denna bilaga.

13.3 Bilagan gäller så länge clearminds behandlar personuppgifter för Kundens räkning. Tillämplig lag och tvistlösning följer av kundvillkoren avsnitt 15.

13.4 Frågor om denna bilaga skickas till [email protected].