PERSONUPPGIFTSBITRÄDESAVTAL (PUB)

Detta personuppgiftsbiträdesavtal (”PUB-avtalet”) reglerar Squinity AB:s behandling av personuppgifter för Kundens räkning i samband med tillhandahållandet och driften av FastighetsOS. PUB-avtalet utgör en integrerad del av parternas avtal och syftar till att säkerställa att personuppgifter behandlas uteslutande enligt Kundens dokumenterade instruktioner och i enlighet med tillämplig dataskyddslagstiftning, inklusive Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR).

Kunden är personuppgiftsansvarig för den behandling av personuppgifter som sker inom ramen för FastighetsOS. Squinity AB är personuppgiftsbiträde och behandlar personuppgifter uteslutande för Kundens räkning, i enlighet med detta PUB-avtal och Kundens dokumenterade instruktioner. Squinity AB behandlar inte personuppgifter för egna ändamål och fastställer inte själv ändamål eller väsentliga medel för behandlingen.

Behandlingen av personuppgifter omfattar tillhandahållande, drift, teknisk administration, support, felsökning, säkerhet, underhåll och vidareutveckling av FastighetsOS samt andra åtgärder som är nödvändiga för att fullgöra parternas avtal och säkerställa tjänstens funktionalitet.

Behandlingen kan omfatta identifierande uppgifter såsom namn, användar-ID och lägenhetsbeteckning, kontaktuppgifter såsom e-postadress och telefonnummer, kontouppgifter, boende- eller medlemsinformation samt tekniska uppgifter såsom IP-adress, loggar och sessionsdata.

Bostadsrättsföreningar och andra organisationer kan enligt lag, stadgar eller interna rutiner behöva behandla personnummer, exempelvis för säker identifiering av medlemmar eller hantering av medlemsförteckningar. FastighetsOS tillhandahåller en teknisk plattform som möjliggör sådan behandling, om och i den utsträckning Kunden väljer att använda personnummer för dessa ändamål.

Användning av personnummer är inte obligatorisk för att använda FastighetsOS och initieras uteslutande av Kunden. Squinity AB behandlar personnummer endast i egenskap av personuppgiftsbiträde och i enlighet med detta PUB-avtal och Kundens instruktioner. Kunden ansvarar för att det finns giltig rättslig grund för behandlingen samt för att registrerade informeras i enlighet med tillämplig dataskyddslagstiftning.

Personuppgifter som behandlas kan avse administratörer, kontaktpersoner, styrelseledamöter, boende, medlemmar samt andra slutanvändare som av Kunden ges tillgång till FastighetsOS.

Squinity AB behandlar personuppgifter i enlighet med Kundens dokumenterade instruktioner. Instruktioner lämnas genom Kundens användning av FastighetsOS, inklusive dess funktioner, inställningar och behörighetsstruktur, samt vid behov genom skriftlig kommunikation. Squinity AB är inte skyldigt att följa instruktioner som strider mot tillämplig lagstiftning eller detta PUB-avtal och ska i sådana fall informera Kunden utan onödigt dröjsmål.

Squinity AB får behandla personuppgifter i den utsträckning som krävs för att uppfylla rättsliga skyldigheter enligt tillämplig lag. Om sådan behandling sker ska Kunden informeras, såvida inte sådan information är förbjuden enligt lag.

Squinity AB ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter mot obehörig eller otillåten åtkomst, förlust, förstöring, ändring eller spridning. Säkerhetsåtgärderna omfattar bland annat behörighetsstyrning, åtkomstkontroll, loggning, säkerhetskopiering samt krav på sekretess för personal med åtkomst till personuppgifter.

Kunden godkänner att Squinity AB anlitar underbiträden för att tillhandahålla hela eller delar av FastighetsOS. Squinity AB ansvarar för att underbiträden åtar sig dataskyddsskyldigheter som motsvarar dem som följer av detta PUB-avtal och ansvarar fullt ut för underbiträdens behandling av personuppgifter såsom för egen räkning.

Squinity AB ska informera Kunden om planerade väsentliga förändringar avseende underbiträden. Kunden har rätt att inom skälig tid från sådan information invända mot ett nytt underbiträde av berättigade skäl som rör dataskydd. Om parterna inte kan enas har Kunden rätt att säga upp den del av tjänsten som påverkas av ändringen.

Personuppgifter behandlas som huvudregel inom EU/EES. Squinity AB använder underbiträden som tillhandahåller datacenter inom EU/EES, vilket innebär att personuppgifter normalt lagras och behandlas inom detta område.

I vissa situationer kan begränsad teknisk åtkomst till personuppgifter förekomma från tredje land, exempelvis för teknisk drift, support eller underhåll. Sådan åtkomst sker endast när det är nödvändigt och i enlighet med tillämplig dataskyddslagstiftning, med stöd av EU-kommissionens standardavtalsklausuler samt kompletterande tekniska och organisatoriska skyddsåtgärder för att säkerställa en i allt väsentligt likvärdig skyddsnivå.

Squinity AB ska, med beaktande av behandlingens art och i den mån det är möjligt, bistå Kunden vid fullgörandet av Kundens skyldigheter enligt dataskyddslagstiftningen. Detta omfattar bland annat hantering av begäranden från registrerade enligt artiklarna 15–22 GDPR samt bistånd vid genomförande av konsekvensbedömningar och samråd med tillsynsmyndighet.

Squinity AB ska utan onödigt dröjsmål och, när det är möjligt, senast inom fyrtioåtta (48) timmar från det att bolaget fått kännedom om en personuppgiftsincident underrätta Kunden. Underrättelsen ska innehålla den information som Squinity AB rimligen kan tillhandahålla vid tidpunkten. Kunden ansvarar för att bedöma incidenten, vidta nödvändiga åtgärder samt fullgöra eventuella skyldigheter gentemot tillsynsmyndighet och registrerade enligt GDPR.

Squinity AB ska på begäran kunna visa att behandlingen av personuppgifter sker i enlighet med detta PUB-avtal och tillämplig dataskyddslagstiftning. Detta kan ske genom tillhandahållande av relevant dokumentation avseende säkerhetsåtgärder, underbiträden och rutiner för hantering av personuppgiftsincidenter.

Squinity AB vidtar tekniska och organisatoriska säkerhetsåtgärder som minst omfattar kryptering av personuppgifter vid överföring (TLS), kryptering av lagrade uppgifter där det är tekniskt möjligt, strikt behörighetsstyrning enligt principen om minsta privilegium, regelbunden säkerhetskopiering, dokumenterade rutiner för incidenthantering samt sekretessåtaganden för personal med åtkomst till personuppgifter.

Kunden ansvarar för att behandlingen av personuppgifter har giltig rättslig grund enligt tillämplig dataskyddslagstiftning, att registrerade informeras i enlighet med artiklarna 13 och 14 GDPR samt att endast personuppgifter som är adekvata, relevanta och nödvändiga för ändamålet behandlas. Kunden ansvarar även för riktigheten i de personuppgifter som behandlas, för korrekt behörighetsstyrning samt för att Squinity AB endast ges instruktioner som är förenliga med gällande lag.

När FastighetsOS eller detta PUB-avtal upphör ska Squinity AB, i enlighet med Kundens skriftliga instruktioner, radera eller återlämna personuppgifter som behandlats för Kundens räkning inom skälig tid efter avtalets upphörande, om inte fortsatt lagring krävs enligt lag. Om Kunden inte lämnar instruktioner inom trettio (30) dagar har Squinity AB rätt att radera eller anonymisera uppgifterna.

Squinity AB ska behandla personuppgifter konfidentiellt och säkerställa att personal, konsulter och andra som ges åtkomst till personuppgifter omfattas av bindande sekretessåtaganden. Sekretessåtagandet gäller även efter detta PUB-avtals upphörande.

Kunden har rätt att, högst en (1) gång per kalenderår och efter skriftlig överenskommelse, följa upp att Squinity AB uppfyller sina skyldigheter enligt detta PUB-avtal. Sådan uppföljning ska genomföras på ett sätt som inte oskäligt stör Squinity AB:s verksamhet eller påverkar andra kunders säkerhet. Squinity AB kan tillgodose detta genom att tillhandahålla relevant dokumentation eller oberoende tredjepartsrapport. Kunden ansvarar för sina egna kostnader i samband med uppföljningen.