Personuppgiftsbiträdesavtal

Parter och syfte

Avtalet gäller mellan kunden, som personuppgiftsansvarig, och Cimplex AB, org.nr 559084-7256, Ryttarevägen 18B, 302 62 Halmstad, som personuppgiftsbiträde. Det ingår i villkoren för Fastra och gäller så länge vi behandlar personuppgifter för kundens räkning.

Avtalet uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR). Står något i villkoren som strider mot det här avtalet gäller det här avtalet i frågor om personuppgifter.

Behandlingens ändamål och instruktioner

Vi behandlar personuppgifterna bara för att leverera Fastra till kunden, och bara enligt kundens instruktioner. Instruktionerna är villkoren, det här avtalet och de val kunden gör i Fastra, till exempel vilka uppgifter som läggs in, vilka avier som skickas och vilka användare som får tillgång.

Anser vi att en instruktion strider mot dataskyddsreglerna säger vi till kunden. Vi använder aldrig uppgifterna för egna ändamål och säljer dem aldrig.

Registrerade och personuppgifter

Registrerade: kundens hyresgäster och deras kontaktpersoner, de som signerar avtal, kundens användare och fastighetsskötare, och andra som kunden lägger in, till exempel nyckelinnehavare.

Personuppgifter: namn, personnummer, kontaktuppgifter och adress, hyresavtal, avier, betalningar och skulder, felanmälningar med bilder, besiktningar, nycklar och portkoder, kvitton samt loggar över vem som har gjort vad.

Fastra är inte gjort för känsliga personuppgifter, till exempel om hälsa. Kunden ska inte lägga in sådana uppgifter.

Säkerhet och sekretess

Vi skyddar personuppgifterna med tekniska och organisatoriska åtgärder. Uppgifterna lagras i datacenter i Sverige, och all trafik är krypterad. Personnummer och portkoder lagras krypterade, visas maskerade och varje visning loggas. Varje kunds uppgifter hålls åtskilda från andras, och behörighet styrs per roll. Säkerhetskopior tas varje dygn och sparas i 30 dagar.

Bara de av oss som behöver uppgifterna för att leverera eller ge support på Fastra får tillgång till dem, och de har tystnadsplikt.

Underbiträden

Kunden ger oss tillstånd att anlita underbiträden. Vi tecknar avtal med varje underbiträde med samma skyddsnivå som i det här avtalet, och vi ansvarar för dem som för oss själva. Underbiträden som behandlar kundens personuppgifter i dag:

Drift av servrar och databas i datacenter i Sverige.

Vercel, som driver apparnas webbsidor. Uppgifterna passerar men lagras inte där.

Anthropic, för AI-tolkning av kvitton och importfiler som kunden laddar upp.

En leverantör av e-signering inom EU, för hyresavtal som kunden skickar för signering.

Byter vi eller lägger till ett underbiträde meddelar vi kunden via e-post minst 30 dagar i förväg. Kunden kan invända, och om vi inte kan lösa det kan kunden säga upp avtalet innan ändringen börjar gälla. En aktuell förteckning med namn får kunden genom att mejla support@fastra.se.

Överföring utanför EU/EES

Uppgifterna lagras i Sverige. Behandlar ett underbiträde uppgifter utanför EU/EES sker det bara med stöd i dataskyddsförordningen, till exempel EU–US Data Privacy Framework eller EU-kommissionens standardavtalsklausuler.

Hjälp till kunden

Vi hjälper kunden att besvara registrerades begäran om till exempel tillgång, rättelse eller radering, och med konsekvensbedömningar och förhandssamråd när det behövs. Kommer en begäran direkt till oss skickar vi den vidare till kunden.

Kunden får den information som behövs för att visa att avtalet följs. Kunden kan också, efter överenskommelse och med rimligt varsel, låta granska vår behandling. Kunden står för sina egna kostnader för granskningen.

Personuppgiftsincidenter

Upptäcker vi en personuppgiftsincident som rör kundens uppgifter meddelar vi kunden utan onödigt dröjsmål, och senast inom 48 timmar. Vi berättar vad som har hänt, vilka uppgifter och registrerade som berörs, vilka följder det kan få och vad vi gör åt det, så att kunden kan anmäla incidenten till Integritetsskyddsmyndigheten inom 72 timmar när det krävs.

När avtalet upphör

När kundens abonnemang har upphört blir kontot läsbart, och kunden kan exportera sina uppgifter. Efter 90 dagar raderar vi kundens personuppgifter, efter påminnelser via e-post.

Avier, betalningar, reskontra och kvitton sparas i sju år för kundens räkning, så att kunden kan uppfylla bokföringslagen. Vi behandlar dem inte för något annat och raderar dem när tiden har gått ut. Uppgifter i säkerhetskopior försvinner när kopiorna skrivs över efter 30 dagar.

Ansvar

Parternas ansvar för skador följer dataskyddsförordningen och ansvarsbegränsningen i villkoren.