Personuppgiftsbiträdesavtal

1. Behandlingen

• Ändamål: att tillhandahålla AssistFai enligt kundavtalet: schema, tid, Försäkringskassan, kommunen, lön, ekonomi, journal, kvalitet, meddelanden, dokument, kundportalen, appen och support.
• Registrerade: anordnarens personal, kunder som får assistans, deras företrädare och anhöriga, och andra som anordnaren ger tillgång.
• Uppgifter: namn, personnummer, kontaktuppgifter, anställning, schema och arbetad tid, frånvaro, lön, skatt och bankkonto, beslut, uppgifter till Försäkringskassan, Skatteverket och kommuner, avtal, meddelanden och filer. Journal, genomförandeplan, avvikelser och sjukfrånvaro är hälsouppgifter.
• Varaktighet: så länge kundavtalet gäller och därefter tills uppgifterna har raderats enligt punkt 7.

2. Anordnarens instruktioner

Vi behandlar uppgifterna bara enligt anordnarens dokumenterade instruktioner. Kundavtalet, det här avtalet och det anordnaren gör i AssistFai är instruktionerna. Anser vi att en instruktion strider mot dataskyddsreglerna säger vi till.

3. Säkerhet och sekretess

• Alla hos oss som behandlar uppgifterna har tystnadsplikt och tillgång bara i den mån arbetet kräver. Vår support läser aldrig journal, avvikelser, Lex Sarah-ärenden eller meddelanden, och varje gång supporten öppnar anordnarens konto loggas det.
• Trafiken är krypterad. Personnummer, journal, avvikelser, meddelanden, bankkonton och filer lagras krypterade. Inloggning sker med BankID eller lösenord och en kod för nya webbläsare, behörigheter följer rollerna och händelser loggas.
• Uppgifterna lagras på servrar inom EU.

4. Underbiträden

Anordnaren ger oss ett allmänt godkännande att anlita underbiträden, som har avtal med oss med samma skyldigheter som här. I dag:

• Hetzner Online GmbH, Tyskland: servrar och säkerhetskopior inom EU.
• Finansiell ID-Teknik BID AB, Sverige: BankID, via vår egen identitetstjänst.
• Apple och Google: aviseringar till appen, utan journal, lön eller personnummer.
• OpenAI: tolkar texten i scheman som anordnaren importerar från andra system. Namn och personnummer byts mot koder innan texten skickas.

Vi berättar minst 30 dagar innan vi byter eller lägger till ett underbiträde. Har anordnaren invändningar kan kundavtalet sägas upp innan ändringen.

5. Hjälp till anordnaren

• Vi hjälper anordnaren att svara när en registrerad vill ta del av, rätta eller radera sina uppgifter.
• Upptäcker vi en personuppgiftsincident som rör anordnarens uppgifter meddelar vi anordnaren utan onödigt dröjsmål, senast inom 48 timmar, med det anordnaren behöver för sin anmälan till Integritetsskyddsmyndigheten.
• Vi hjälper till med konsekvensbedömningar och förhandssamråd när det behövs, och ger anordnaren den information som behövs för att visa att avtalet följs.

6. Överföring utanför EU

Uppgifterna lagras och behandlas inom EU/EES. Aviseringar förmedlas av Apple och Google enligt deras villkor, och OpenAI kan behandla den kodade schematexten utanför EU/EES med de skyddsåtgärder som dataskyddsförordningen kräver.

7. När avtalet upphör

Anordnaren kan ta ut sina uppgifter som en export. Efter uppsägningstiden raderar vi anordnarens uppgifter; det som lagen kräver ska sparas, som lön, fakturor och bokföringsunderlag, sparas så länge kravet gäller.