Personuppgiftsbiträdesavtal

• Personuppgiftsansvarig: företaget som använder Hyvla och har godkänt avtalet ("ni").
• Personuppgiftsbiträde: Naya Group AB, org.nr 559512-8207 ("Hyvla", "vi").

Avtalet är en del av användarvillkoren och gäller från att ägaren godkänner dem. Om avtalet och villkoren säger olika saker om personuppgifter gäller det här avtalet.

Avtalet gäller de personuppgifter vi behandlar för er räkning när vi levererar Hyvla. Det gäller så länge ni använder Hyvla och fram till att uppgifterna har raderats eller lämnats tillbaka (punkt 14).

Vi lagrar, ordnar, visar, sammanställer, skickar (till exempel offerter och fakturor via e-post) och raderar uppgifter – det som behövs för att ni ska kunna sköta personal, tid, frånvaro, planering, kunder, offerter, fakturor och filer i Hyvla.

Vi använder aldrig uppgifterna för egna syften, säljer dem eller använder dem för reklam.

• Er personal och andra som arbetar åt er, till exempel inhyrda och lärlingar.
• Personalens närmast anhöriga.
• Era kunder – privatpersoner och kontaktpersoner hos företag och bostadsrättsföreningar.
• Era leverantörer och deras kontaktpersoner.
• Andra som syns i filer ni laddar upp, till exempel personer på bilder från arbetsplatser.

• Namn och kontaktuppgifter: e-post, telefon och adress.
• Personalens klädstorlekar, anställningsuppgifter och lön.
• Närmast anhörig: namn, relation och kontaktuppgifter.
• Tidrapporter, planering och vilka projekt någon arbetat på.
• Frånvaro, till exempel semester, sjukdom och vård av barn (VAB).
• Personnummer, när det behövs – för ROT-avdrag, personalliggare och lön.
• Ritningar, bilder från arbetsplatser och kvitton.
• Offerter, fakturor, betalningar och anteckningar om kunder och projekt.
• Inloggningsuppgifter (lösenord och PIN sparas bara hashade).

Sjukfrånvaro är en uppgift om hälsa och räknas som en känslig personuppgift (artikel 9 GDPR). Hyvla sparar bara att personen var sjuk och när – inte varför. Skriv aldrig in diagnoser eller andra uppgifter om hälsa i fritextfält.

Bara ägare och administratörer i ert företag, och personen själv, kan se frånvaron. Ni ansvarar för att ha laglig grund för att behandla uppgifterna och för vilka i företaget som får administratörsbehörighet.

Personnummer ska bara fyllas i när det behövs, till exempel för ROT-avdrag eller personalliggare.

Vi behandlar bara uppgifterna enligt era instruktioner. Instruktionerna är det här avtalet, villkoren och det ni gör i Hyvla, till exempel när ni lägger till, ändrar, skickar eller raderar något.

Om vi tycker att en instruktion strider mot dataskyddsreglerna säger vi till. Kräver en lag att vi behandlar uppgifter på annat sätt informerar vi er först, om lagen tillåter det.

Alla hos Hyvla som kan komma åt uppgifterna har tystnadsplikt. Vi tittar bara på era uppgifter när det behövs, till exempel för att ge support som ni bett om eller rätta ett fel.

Vi skyddar uppgifterna bland annat så här:

• All trafik till och från Hyvla är krypterad (HTTPS).
• Lösenord och PIN-koder sparas hashade, aldrig i klartext.
• Varje företags uppgifter hålls åtskilda. Användare kommer bara åt sitt eget företag.
• Roller styr vad var och en ser. Anställda ser inte lön eller andras frånvaro.
• Inloggningen spärras en stund efter flera felaktiga försök.
• Filer ligger i privat lagring och kan bara öppnas via Hyvla av den som har behörighet.
• Databasen säkerhetskopieras av databasleverantören.
• Vi väljer leverantörer med lagring i EU där det går.

Ni ansvarar för säkerheten på er sida, till exempel att användarna har bra lösenord och att ni tar bort konton för personer som slutat.

Ni ger oss tillstånd att anlita underbiträdena nedan. Vi har avtal med dem som ger samma skydd som det här avtalet, och vi ansvarar för att de följer det.

Vill vi byta eller lägga till ett underbiträde meddelar vi er minst 30 dagar innan. Ni kan invända. Hittar vi ingen lösning kan ni säga upp avtalet innan ändringen börjar gälla.

Vi för bara över uppgifter till länder utanför EU/EES när det finns ett giltigt skydd enligt GDPR, till exempel EU-U.S. Data Privacy Framework eller EU:s standardavtalsklausuler.

Om uppgifter kommer bort, läcker eller kommer i fel händer meddelar vi er utan onödigt dröjsmål efter att vi fått veta det. Vi berättar vad som hänt, vilka uppgifter som berörs, vad det kan få för följder och vad vi gör åt det.

Det är ni som anmäler incidenten till Integritetsskyddsmyndigheten (IMY) när det behövs, normalt inom 72 timmar. Vi hjälper er med underlaget.

I Hyvla kan ni själva se, rätta, exportera och radera uppgifter. Behöver ni mer hjälp för att svara på en begäran från en person – till exempel om att få ut eller radera sina uppgifter – hjälper vi till.

Kommer en sådan begäran direkt till oss skickar vi den vidare till er. Vi hjälper också till med konsekvensbedömningar och kontakter med IMY när det behövs.

Ni kan exportera era uppgifter under avtalstiden och i 30 dagar efter att det upphört (SIE, CSV och PDF). Senast 90 dagar efter att avtalet upphört raderar vi uppgifterna och filerna. Kopior i säkerhetskopior försvinner inom ytterligare 30 dagar.

Vi sparar bara uppgifter längre om en lag kräver det.

Vi ger er den information som behövs för att visa att vi följer avtalet. Ni får granska oss, själva eller genom en oberoende granskare med tystnadsplikt. Säg till minst 30 dagar innan. Granskning görs på er bekostnad och högst en gång per år, om det inte har skett en incident.

Varje part ansvarar för sina egna skyldigheter enligt GDPR. För skador gäller artikel 82 GDPR. I övrigt gäller ansvarsbegränsningen i användarvillkoren, så långt lagen tillåter.

Ändringar i avtalet meddelas på samma sätt som ändringar i villkoren. Frågor om avtalet, kontakta oss på support@naya.nu.