1. Parter och roller
Avtalet gäller mellan kunden som identifieras i plattformsavtalet och Peer Digital Sweden AB, organisationsnummer 559295-3821, Thunströms väg 12, 131 31 Nacka, Sverige. Kontakt: [email protected].
Kunden är personuppgiftsansvarig och Peer Digital är personuppgiftsbiträde för behandlingen enligt detta avtal. Om kunden själv är biträde åt en uppdragsgivare är Peer Digital underbiträde. Kunden ska då ha rätt att anlita Peer Digital och säkerställa att instruktionerna är förenliga med uppdragsgivarens instruktioner. Behandling där Peer Digital är självständigt ansvarig, såsom viss konto- och faktureringsadministration, beskrivs separat i integritetspolicyn.
2. Behandlingens omfattning
Föremålet är att tillhandahålla de plattformsfunktioner kunden väljer: exempelvis samtalstranskription och analys, kontakt- och försäljningsarbete, leveransplanering, kundportaler, rekryteringsflöden och assistentfunktioner. Behandlingen omfattar insamling via kundens uppladdningar och aktiverade integrationer, lagring, strukturering, sökning, analys, visning, överföring på kundens instruktion, export och radering.
Behandlingen pågår under kundavtalet och under den avslutande hantering som behövs för återlämning eller radering. Registrerade kan vara kundens användare, medarbetare, uppdragsgivares medarbetare, kontaktpersoner hos kunder och prospekt, samtalsdeltagare, portalbesökare och kandidater.
Uppgifterna kan omfatta namn, arbetsrelaterade kontaktuppgifter, befattning, organisation, ljud, transkriptioner, samtals- och mötesmetadata, bedömningar och anteckningar, CV-uppgifter, planering, arbetsrelaterad aktivitet samt annat innehåll som kunden tillför. Kunden ska begränsa innehållet till vad som behövs. Tjänsten är inte avsedd för systematisk behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser utan särskild skriftlig överenskommelse och nödvändiga skyddsåtgärder.
3. Instruktioner och kundens ansvar
Peer Digital får endast behandla uppgifter enligt dokumenterade instruktioner från kunden, inklusive vid överföring till tredjeland. Instruktionerna omfattar detta avtal, kundens beställning och användning av valda funktioner samt ytterligare skriftliga instruktioner som parterna kommer överens om. Om lag kräver annan behandling informerar vi kunden före behandlingen, om lagen inte förbjuder det.
Kunden bestämmer behandlingens ändamål, säkerställer rättslig grund, lämnar information till registrerade, hanterar nödvändiga tillstånd för inspelningar och beslutar om behörigheter och lagringstider. Kunden har de rättigheter som följer av detta avtal och GDPR och ska ge lagliga och tillräckligt tydliga instruktioner.
Vi ska omedelbart informera kunden om vi bedömer att en instruktion strider mot GDPR eller annan tillämplig dataskyddslag. Detta biträdesavtal ger inte Peer Digital rätt att använda identifierbart kundinnehåll för egna utvecklingsändamål. Granskning för produktförbättring för flera kunder kräver den särskilda överenskommelse och de förutsättningar som anges i användarvillkoren. När Peer Digital bestämmer egna ändamål med sådan granskning ansvarar Peer Digital själv för den behandlingen enligt GDPR; den omfattas inte av kundens instruktioner enligt detta biträdesavtal. Kundens utlämnande eller tillgängliggörande av uppgifter måste också vara lagligt. Avtalet ger ingen rätt till träning eller finjustering av AI-modeller. Anonymisering för förbättringsstatistik kräver lagligt stöd och dokumenterade instruktioner som omfattar det ändamålet.
4. Sekretess och säkerhet
Personer som får åtkomst till kundens uppgifter ska omfattas av sekretess och endast ha den åtkomst som behövs för deras arbetsuppgifter. Peer Digital ska vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR och regelbundet bedöma åtgärdernas effektivitet.
Åtgärderna ska omfatta behörighetsstyrning och separation mellan organisationer, skyddad kommunikation, skydd av åtkomstuppgifter, säkerhetskopiering och återställning, uppdatering av system, hantering av sårbarheter samt rutiner för incidenter och radering. Detaljer om de åtgärder som gäller kundens tjänst lämnas på begäran. Väsentliga försämringar av skyddet får inte göras under avtalet.
5. Underbiträden
Kunden ger ett allmänt skriftligt tillstånd att anlita underbiträden för den avtalade tjänsten. Innan behandlingen inleds ska kunden få en aktuell förteckning över de underbiträden som berör kundens valda funktioner, deras uppgifter och behandlingsländer. Leverantörskedjan kan omfatta Hetzner för drift, Cloudflare för nätverk och lagring, Google och OpenAI för valda AI-funktioner samt Resend för e-post. En leverantörs roll bedöms per behandling; exempelvis kan en betalningsleverantör också ha självständigt ansvar.
Peer Digital ska informera kunden om planerade tillägg eller byten av underbiträden minst 30 dagar i förväg och ge kunden möjlighet att invända på sakliga dataskyddsgrunder innan förändringen genomförs. Om ett nödvändigt akut byte kräver kortare framförhållning ska kunden ändå få information och en faktisk möjlighet att invända innan behandlingen börjar. Om detta inte kan säkerställas krävs kundens särskilda skriftliga godkännande innan uppgifter lämnas till det nya underbiträdet. Om en invändning inte kan lösas ska den berörda behandlingen inte fortsätta med det nya underbiträdet; parterna får avsluta den berörda tjänsten.
Underbiträden ska omfattas av skriftliga skyldigheter som ger minst samma skydd som detta avtal för deras behandling. Peer Digital ansvarar gentemot kunden för att underbiträdena fullgör dessa skyldigheter. Kundens egna direktavtalade integrationer omfattas av de roller och avtal som gäller för respektive integration.
6. Behandling utanför EU/EES
Överföring eller åtkomst utanför EU/EES får endast ske enligt kundens dokumenterade instruktioner och med en giltig mekanism enligt GDPR kapitel V. Det kan vara ett tillämpligt beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler tillsammans med nödvändiga bedömningar och kompletterande skyddsåtgärder.
Peer Digital ska på begäran redovisa berörda mottagare och länder samt tillämpliga skyddsåtgärder. Att en leverantör har en EU-region innebär inte i sig att all åtkomst är begränsad till EU/EES.
7. Incidenter och bistånd
Peer Digital ska underrätta kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör kundens uppgifter. Informationen ska, i den mån den finns tillgänglig, beskriva incidenten, berörda kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser, kontaktpunkt samt vidtagna eller planerade åtgärder. Kompletterande information kan lämnas stegvis.
Med hänsyn till behandlingens art och den information vi har ska vi bistå kunden med registrerades rättigheter, säkerhet, incidentbedömningar och anmälningar samt konsekvensbedömningar och förhandssamråd enligt artiklarna 32–36 GDPR. Förfrågningar från registrerade som gäller kundens material vidarebefordras utan onödigt dröjsmål. Vi besvarar dem för kundens räkning endast enligt instruktion eller lagkrav.
8. Återlämning och radering
När tjänsten upphör ska Peer Digital, enligt kundens val, återlämna eller radera kundens personuppgifter och radera befintliga kopior, om lag inte kräver fortsatt lagring. Kunden lämnar instruktionen till [email protected]. Parterna ska dokumentera praktiskt genomförande och tidsplan, inklusive hantering av säkerhetskopior; avsaknad av automatisk kontoradering innebär inte rätt till obegränsad fortsatt lagring.
Uppgifter i säkerhetskopior ska vara skyddade och inte användas för andra ändamål under avvecklingen. Vid återställning ska redan beslutade raderingar åter tillämpas. Peer Digital ska på begäran bekräfta genomförd återlämning eller radering och beskriva eventuell lagstadgad fortsatt lagring.
9. Information, granskning och företräde
Peer Digital ska lämna den information som behövs för att visa att skyldigheterna enligt artikel 28 fullgörs och möjliggöra och bidra till granskningar, inklusive inspektioner, av kunden eller en av kunden utsedd oberoende granskare. Parterna samordnar normalt tid, omfattning och sekretess för att skydda andra kunder och säkerheten. Sådana praktiska arrangemang får inte sätta lagstadgad granskningsrätt ur spel.
Avtalet gäller så länge Peer Digital behandlar personuppgifter för kundens räkning. Ändringar av detta personuppgiftsbiträdesavtal eller kundens dokumenterade instruktioner ska meddelas direkt till kunden och godkännas av kunden innan de börjar tillämpas. Ändringar av underbiträden hanteras enligt avsnitt 5. Publicering på webbplatsen ersätter inte kundens godkännande. Ändringar får inte undanröja GDPR:s krav. Dataskyddsskyldigheter består även efter att övriga delar av tjänsten upphört.