Personuppgiftsbiträdesavtal

Personuppgiftsbiträdesavtalet (”DPA:n”) gäller mellan kunden som personuppgiftsansvarig (”den ansvarige”) och Norrhavet Group AB, org.nr 559258-3792 (”Frin”), som personuppgiftsbiträde. Det uppfyller kraven i artikel 28.3 i dataskyddsförordningen (EU) 2016/679 (”GDPR”).

DPA:n är en del av Användar- och köpvillkoren och gäller automatiskt när Frin behandlar personuppgifter för kundens räkning. Vid motstridighet har DPA:n företräde i frågor om personuppgiftsbehandling.

Begrepp som personuppgifter, behandling, registrerad och personuppgiftsincident har samma betydelse som i GDPR.

Ändamål

Att tillhandahålla tjänsten: lagra kundmaterial, läsa ut fakta, pröva krav, skriva utkast samt exportera och dela ansökningar på kundens begäran.

Behandlingar

Lagring, strukturering, analys med AI-modeller, sammanställning, visning, export och radering.

Registrerade

Kundens medarbetare, konsortiemedlemmar, partner och medsökande, forskare och experter, referenspersoner och andra personer som nämns i kundmaterialet.

Personuppgifter

Namn, titel, roll, organisation, kontaktuppgifter, CV-uppgifter (utbildning, anställningar, publikationer, kompetens) och andra uppgifter som kunden väljer att ladda upp.

Känsliga uppgifter

Tjänsten är inte avsedd för känsliga personuppgifter (art. 9) eller uppgifter om lagöverträdelser (art. 10). Kunden ska inte ladda upp sådana uppgifter.

Varaktighet

Så länge kunden använder tjänsten och tills uppgifterna raderas enligt avsnittet om upphörande.

Frin behandlar personuppgifterna endast enligt den ansvariges dokumenterade instruktioner. Villkoren, denna DPA och kundens användning av tjänstens funktioner – till exempel att ladda upp, generera, exportera, dela eller radera – utgör de fullständiga instruktionerna.

Frin informerar den ansvarige om Frin anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning.

Kräver unionsrätten eller svensk rätt att Frin behandlar uppgifterna på annat sätt informerar Frin den ansvarige innan behandlingen sker, om det inte är förbjudet enligt lag.

Den ansvarige ansvarar för att det finns rättslig grund för behandlingen och för att de registrerade har fått den information som GDPR kräver.

Frin säkerställer att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

Frins supportverktyg visar kundens texter och fakta bara om kunden själv har gett tidsbegränsad supportåtkomst, och varje administrativ åtgärd skrivs i en logg som inte kan ändras i efterhand.

I korthet: De skydd som finns i tjänsten i dag (art. 32). Åtgärderna får bara ändras om skyddsnivån bibehålls.

Frin är inte certifierat enligt ISO 27001 eller granskat enligt SOC 2. Åtgärderna ses över när tjänsten ändras.

Den ansvarige ger Frin ett allmänt förhandstillstånd att anlita underbiträden. Aktuella underbiträden redovisas här och i Trust Center.

Frin informerar om planerade tillägg eller byten av underbiträden minst 30 dagar i förväg genom att uppdatera listan och meddela kontots e-postadress. Den ansvarige får invända på saklig grund; kan parterna inte enas får den ansvarige säga upp tjänsten innan ändringen genomförs.

Frin ålägger varje underbiträde motsvarande dataskyddsskyldigheter genom avtal och ansvarar gentemot den ansvarige för underbiträdets fullgörande.

Överföring till tredjeland sker bara med en giltig överföringsmekanism enligt kapitel V i GDPR, till exempel EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå.

Frin hjälper den ansvarige, med hänsyn till behandlingens art, att besvara begäranden från registrerade (art. 12–22). I tjänsten kan den ansvarige själv söka fram, rätta, exportera och radera uppgifter.

Begäranden som kommer direkt till Frin vidarebefordras till den ansvarige utan onödigt dröjsmål och besvaras inte utan den ansvariges instruktion.

Frin lämnar den information som behövs för att den ansvarige ska kunna fullgöra sina skyldigheter enligt art. 32–36, bland annat vid konsekvensbedömningar och förhandssamråd.

Frin underrättar den ansvarige utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör den ansvariges uppgifter.

Underrättelsen beskriver, i den mån uppgifterna finns: incidentens art, berörda kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser och vidtagna eller föreslagna åtgärder. Uppgifter som saknas lämnas så snart de finns.

Frin dokumenterar incidenter och vidtar rimliga åtgärder för att begränsa skadan.

Frin ställer den information till förfogande som behövs för att visa att skyldigheterna i artikel 28 fullgörs – i första hand genom denna DPA, Trust Center och skriftliga svar på frågor.

Den ansvarige, eller en oberoende revisor med tystnadsplikt, får därutöver genomföra en revision högst en gång per år med minst 30 dagars skriftligt varsel, eller efter en personuppgiftsincident. Revisionen ska ske under kontorstid, inte störa driften och inte ge tillgång till andra kunders uppgifter. Var part står för sina egna kostnader.

Tillsynsmyndighetens rätt till granskning påverkas inte.

DPA:n gäller så länge Frin behandlar personuppgifter för den ansvariges räkning.

Innan avtalet upphör kan den ansvarige själv exportera sitt material: ansökningar som Word eller PDF och en maskinläsbar kopia av kontots uppgifter under Konto.

När kontot raderas raderar Frin personuppgifterna direkt – projekt, fakta, texter och uppladdade filer – om inte lag kräver fortsatt lagring. Raderade uppgifter kan finnas kvar i driftleverantörens säkerhetskopior under en begränsad tid innan de skrivs över.

Frin bekräftar raderingen skriftligen på begäran.

Varje part ansvarar för sina skyldigheter enligt GDPR (art. 82). Mellan parterna gäller ansvarsbegränsningen i villkoren, i den mån tvingande lag inte föreskriver annat.

Frågor om DPA:n eller ett exemplar för er dokumentation: kontakt@frin.io.