Personuppgiftsbiträdesavtal

1. Parter

Avtalet gäller mellan organisationen som godkänner avtalet med Ardevo (kunden) och Ardevo AB (Ardevo). Kunden är personuppgiftsansvarig och Ardevo är personuppgiftsbiträde för de uppgifter som behandlas i kundens tjänst. Avtalet ingås när kunden godkänner villkoren och gäller så länge Ardevo behandlar personuppgifter åt kunden.

2. Behandlingen

Ändamål

Att leverera Ardevo enligt villkoren: chefernas skattningar, kollegornas anonyma svar, mål och veckouppföljning, rapporter och sammanställningar.

Åtgärder

Insamling, lagring, sammanställning, textgenerering med AI, utskick av e-post, kakfri statistik över hur tjänsten används och radering.

Registrerade

Kundens chefer, de personer som bjuds in att svara om en chef, och kundens kontaktpersoner och administratörer.

Uppgifter

Namn, e-postadress, organisation, roll, nivå och erfarenhet som chef, bransch, chefens svar, mål och anteckningar, kollegornas svar och kommentarer, samt tekniska uppgifter som tidsstämplar och leveransstatus för e-post. Ardevo efterfrågar inga känsliga personuppgifter enligt artikel 9.

Varaktighet

Avtalstiden enligt villkoren, och därefter tills uppgifterna har raderats enligt avsnitt 10.

3. Instruktioner

Ardevo behandlar personuppgifterna bara enligt kundens dokumenterade instruktioner. Instruktionerna är villkoren, det här avtalet och de val kunden gör i tjänsten. Ardevo informerar kunden direkt om en instruktion enligt Ardevos bedömning strider mot dataskyddsreglerna. Kunden ansvarar för att det finns en rättslig grund för behandlingen och för att informera de registrerade.

Resultat från Ardevo får inte användas som underlag för lön, befordran, uppsägning eller andra beslut om en enskild persons anställning. Ardevo behandlar inte uppgifterna för sådana ändamål.

4. Sekretess

Den som arbetar för Ardevo och har åtkomst till personuppgifterna har tystnadsplikt. Åtkomst ges bara när det behövs för att leverera tjänsten, till exempel vid support och felsökning. Ardevos support kan se vilka som är inbjudna och om de har svarat, men inte vad de svarade.

5. Säkerhet

Ardevo vidtar de åtgärder som krävs enligt artikel 32, bland annat:

• krypterad överföring och krypterad lagring,
• åtkomst bara för den som behöver den,
• en rapport först när minst sju har svarat, och enskilda svar visas aldrig,
• organisationens samlade bild först när minst fem chefer har en rapport,
• regelbunden översyn av kod och beroenden.

6. Underbiträden

Kunden ger Ardevo ett allmänt tillstånd att anlita de underbiträden som står på ardevo.se/sakerhet, i dag Neon, Vercel, Resend, PostHog, den AI-leverantör som AI Gateway väljer och, när någon bokar en genomgång, Cal.com. Ardevo meddelar kunden minst 30 dagar innan ett underbiträde läggs till eller byts. Kunden kan invända under den tiden. Kan parterna inte enas får kunden säga upp avtalet utan kostnad från den dag bytet görs. Ardevo ser till att varje underbiträde har samma skyldigheter som Ardevo har enligt det här avtalet, och ansvarar mot kunden för underbiträdets arbete.

7. Överföring till tredje land

Svar, resultat och utvecklingsarbete lagras inom EU. Tre underbiträden behandlar uppgifter i USA: Resend sparar mejl, loggar och kontakter där i ungefär 30 dagar, Cal.com sparar bokningar där, och Vercels loggar kan behandlas där. Mejlen innehåller namn, målets text och personliga länkar, men inga svar, poäng eller anteckningar. Överföringen bygger på EU:s standardavtalsklausuler, och för Resend också på EU–US Data Privacy Framework. Eventuell åtkomst från USA hos underbiträden med amerikanska ägare regleras på samma sätt.

8. De registrerades rättigheter

Ardevo hjälper kunden att svara på begäranden från de registrerade, till exempel om tillgång, rättelse och radering. En begäran som kommer direkt till Ardevo skickas vidare till kunden.

9. Personuppgiftsincidenter

Ardevo meddelar kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident. Meddelandet innehåller den information som artikel 33.3 kräver, så långt den finns. Ardevo hjälper också kunden med konsekvensbedömningar och förhandssamråd enligt artiklarna 35 och 36.

10. När avtalet upphör

Kunden får på begäran en exportfil med chefer, rapporter och resultat per område. Kollegornas enskilda svar ingår aldrig. Ardevo raderar uppgifterna senast 90 dagar efter att avtalet har upphört, förutom det Ardevo måste spara enligt lag.

11. Granskning

Ardevo ger kunden den information som behövs för att visa att avtalet följs, och möjliggör granskningar som kunden eller en granskare som kunden utser gör. En granskning begärs skriftligt med minst 30 dagars varsel, görs högst en gång per år om inte en incident ger skäl till mer, och bekostas av kunden.

12. När en chef som börjat på egen hand blir en del av kundens avtal

En chef kan använda Ardevo på egen hand innan kunden har ett avtal. Då är Ardevo AB personuppgiftsansvarig för chefens uppgifter, enligt integritetspolicyn.

När kunden godkänner avtalet för chefen blir kunden personuppgiftsansvarig för chefens uppgifter i Ardevo, också det chefen har gjort tidigare, och Ardevo blir biträde. Chefen får veta det i ett mejl samma dag. Det ändrar inte vad som syns: chefens egna anteckningar och planer visas fortfarande bara för chefen. Kunden ser var chefen är i arbetet, och chefens resultat bara som en del av den samlade bilden.

13. Övrigt

Ansvaret mellan parterna regleras i villkoren. Vid motstridighet mellan villkoren och det här avtalet gäller det här avtalet i frågor om personuppgifter. Avtalet regleras av svensk rätt, och tvister avgörs av Stockholms tingsrätt som första instans.

Ardevo AB, Stockholm. info@ardevo.se