Personuppgiftsbiträdesavtal

1. Föremål och roller

Detta Biträdesavtal reglerar behandlingen av personuppgifter som MAINSYSTEMS, LDA. (”Personuppgiftsbiträdet”) utför för Kundens (”Personuppgiftsansvarig”) räkning i samband med UNOVOX-plattformen, enligt artikel 28 i förordning (EU) 2016/679 (”dataskyddsförordningen”). Kunden bestämmer ändamålen och medlen för behandlingen av sina ärendeuppgifter; MAINSYSTEMS behandlar dessa uppgifter endast enligt Kundens dokumenterade instruktioner, inklusive de inställningar som görs i plattformen, om inte unionsrätten eller en medlemsstats lagstiftning kräver annat; i så fall informeras Kunden före behandlingen, om inte lagen förbjuder sådan information.

2. Beskrivning av behandlingen

• Föremål: drift och tillhandahållande av UNOVOX-plattformen, inklusive rapporteringsportalen, ärendehantering, kommunikation, rapportering, teknisk support och, om Kunden aktiverar dem, AI Agents.
• Varaktighet: prenumerationstiden samt den återställnings- och raderingsperiod som anges i avsnitt 10.
• Art och ändamål: insamling, lagring, organisering, framtagning, utlämnande till Kunden och radering av uppgifter, uteslutande för att driva Kundens rapporteringskanal och ärendehantering.
• Kategorier av registrerade: rapporterande personer, personer som en rapport avser, vittnen och nämnda tredje parter; Kundens behöriga användare.
• Kategorier av uppgifter: identitets- och kontaktuppgifter, yrkesinformation, rapportinnehåll, meddelanden och bilagor, noteringar i ärendehanteringen; dessa kan innehålla särskilda kategorier av personuppgifter (artikel 9) och uppgifter om lagöverträdelser (artikel 10), beroende på vad som lämnas in.

3. Kundens instruktioner

MAINSYSTEMS informerar Kunden omedelbart om en instruktion enligt MAINSYSTEMS bedömning strider mot dataskyddsförordningen eller andra dataskyddsbestämmelser, och kan avbryta verkställigheten av instruktionen till dess att den bekräftas eller ändras. Kunden garanterar att dess instruktioner är lagliga och att Kunden har en rättslig grund för den behandling som Kunden bestämmer.

4. Sekretess

MAINSYSTEMS säkerställer att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta sekretess eller omfattas av en lämplig lagstadgad tystnadsplikt, och att åtkomsten är begränsad till vad som är strikt nödvändigt för att tillhandahålla, skydda och supporta tjänsten. I visselblåsarsammanhang omfattar sekretessen särskilt rapporterande personers identitet och information som den kan härledas ur, i enlighet med artikel 16 i direktiv (EU) 2019/1937 och, i Finland, 32 § i lagen om skydd för personer som rapporterar om överträdelser av EU-rätten och den nationella lagstiftningen (1171/2022); sekretessen omfattar också identiteten hos föremålet för rapporten och hos tredje parter som nämns i rapporten.

5. Säkerhetsåtgärder

MAINSYSTEMS tillämpar de tekniska och organisatoriska åtgärder som är lämpliga i förhållande till risken enligt artikel 32 i dataskyddsförordningen, per denna version bland annat: åtkomstkontroller och rollbaserade behörigheter som Kunden definierar; autentisering med krypterad lagring av lösenord; åtkomst till plattformen via HTTPS-anslutningar; logisk separation av varje kunds miljö; ingen loggning av rapporterande personers IP-adresser i rapporteringsportalen; aktivitetsloggar i administrationsområdet; regelbundna säkerhetskopior; sårbarhetshantering och rutiner för incidenthantering. En uppdaterad beskrivning av åtgärderna finns tillgänglig på begäran och kan utvecklas, förutsatt att den samlade skyddsnivån inte väsentligt sänks.

6. Underbiträden

Kunden lämnar ett allmänt godkännande för anlitande av underbiträden för drift och infrastruktur, kommunikation, säkerhet och, om de aktiverats, AI-tjänster. MAINSYSTEMS för en förteckning över relevanta underbiträden, som på begäran görs tillgänglig för Kunden, och informerar Kunden med skäligt varsel om varje väsentlig ändring, med möjlighet att invända på sakliga grunder; om ingen rimlig lösning nås kan Kunden säga upp den berörda tjänsten. MAINSYSTEMS ålägger genom avtal varje underbiträde dataskyddsskyldigheter som motsvarar dem i detta Biträdesavtal och ansvarar gentemot Kunden för deras fullgörande.

7. Bistånd till Kunden

Med beaktande av behandlingens art lämnar MAINSYSTEMS Kunden skäligt bistånd genom lämpliga tekniska och organisatoriska åtgärder och plattformens funktioner för att besvara registrerades begäranden och för att uppfylla skyldigheterna i artiklarna 32 till 36 i dataskyddsförordningen, inklusive säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd. Om en registrerad kontaktar MAINSYSTEMS direkt om uppgifter som behandlas för Kundens räkning vidarebefordrar MAINSYSTEMS begäran till Kunden utan obefogat dröjsmål och svarar inte i sak utan Kundens instruktion, utom där lag kräver det. Bistånd som går utöver vad som är skäligt inom tjänsten kan debiteras till skäliga priser.

8. Personuppgiftsincidenter

MAINSYSTEMS underrättar Kunden utan obefogat dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör uppgifter som behandlas för Kundens räkning och lämnar den information som rimligen finns tillgänglig om incidentens art, kategorier och ungefärligt antal berörda registrerade och poster, de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslagits, samt kompletterar informationen när den blir tillgänglig. Anmälan till tillsynsmyndigheten och till de registrerade är Kundens beslut och ansvar som personuppgiftsansvarig; MAINSYSTEMS samarbetar i skälig omfattning.

9. Internationella överföringar

Uppgifterna behandlas inom Europeiska ekonomiska samarbetsområdet. En överföring utanför EES sker endast med en giltig mekanism enligt kapitel V i dataskyddsförordningen (ett beslut om adekvat skyddsnivå, Europeiska kommissionens standardavtalsklausuler med kompletterande åtgärder när det är lämpligt, eller ett annat rättsligt erkänt instrument) och återspeglas i informationen om underbiträden.

10. Återlämnande och radering

När tjänsten upphör, och efter Kundens val, återlämnar MAINSYSTEMS personuppgifterna via tillgängliga exportfunktioner under återställningsperioden om 30 dagar, om inte Beställningen anger en annan period, och raderar därefter befintliga uppgifter och kopior, utom i den mån unionsrätten eller en medlemsstats lagstiftning kräver att de bevaras. Radering i säkerhetskopior sker inom säkra rotationscykler. Kunden ansvarar för att före återställningsperiodens slut exportera de uppgifter som behövs för att uppfylla skyldigheterna enligt lag 1171/2022: att anteckna mottagna rapporter i ett ärendehanteringsregister eller registrera dem på annat sätt (37 § 1 mom.) och att radera uppgifter som mottagits via rapporteringskanalen fem år efter att rapporten kom in, om det inte är nödvändigt att bevara dem för att tillgodose rättigheter eller skyldigheter enligt lag eller för att fastställa, göra gällande eller försvara rättsliga anspråk (29 § 2 mom.).

11. Information och granskningar

MAINSYSTEMS gör tillgänglig för Kunden den information som behövs för att visa att skyldigheterna i artikel 28 i dataskyddsförordningen uppfylls, inklusive svar på säkerhetsfrågeformulär och dokumentation av de åtgärder som tillämpas. Kunden kan själv genomföra, eller ge en oberoende granskare som omfattas av sekretess i uppdrag att genomföra, en granskning av de relevanta behandlingarna med skäligt varsel, högst en gång per år utom när en tillsynsmyndighet kräver det eller efter en väsentlig incident, under kontorstid och utan åtkomst till andra kunders uppgifter. Kostnaderna för granskningen bärs av Kunden.

12. Ansvar och giltighetstid

Parternas ansvar enligt detta Biträdesavtal följer artikel 82 i dataskyddsförordningen och begränsningarna i Tjänstevillkoren, i den mån de lagligen kan tillämpas. Detta Biträdesavtal gäller så länge MAINSYSTEMS behandlar personuppgifter för Kundens räkning och har företräde framför motstridiga bestämmelser i Villkoren i frågor om behandling av personuppgifter. Det regleras av portugisisk lag.

13. Kontakt

MAINSYSTEMS, LDA. (UNOVOX)
Av. da República, 50, 2.º andar, 1050-196 Lissabon, Portugal
Dataskydd: dpo@mainsystems.pt
Allmänt: info@mainsystems.pt
Telefon: +351 211 245 202