1. Parter och företräde
Kundföretaget är personuppgiftsansvarig (”Ansvarig”) och Great Big AB, org.nr 559270-0958, är personuppgiftsbiträde (”Biträdet”) för behandling i Arbetsrapport. Avtalet kompletterar kundens huvudavtal och har företräde i dataskyddsfrågor.
2. Föremål, varaktighet och instruktioner
Biträdet behandlar konto-, arbets-, frånvaro-, attest- och exportuppgifter för att tillhandahålla Arbetsrapport under avtalstiden och endast enligt dokumenterade instruktioner. Kunden ansvarar för att instruktionerna är lagliga.
3. Behandlingens detaljer
| Del | Beskrivning |
|---|---|
| Registrerade | Anställda, konsulter, chefer och administratörer hos kunden |
| Uppgifter | Identitet, kontakt, arbetstid, projekt, ersättningar, frånvarokategori, attest- och revisionshistorik |
| Särskilda kategorier | Sjukfrånvaro kan indikera hälsa; diagnoser ska inte registreras |
| Ändamål | Arbetsrapportering, granskning, godkännande och export av löneunderlag |
| Frekvens | Löpande under avtalstiden |
4. Biträdets skyldigheter
- Behandla uppgifter endast enligt dokumenterade instruktioner.
- Säkerställa sekretess för personer med åtkomst.
- Vidta lämpliga tekniska och organisatoriska åtgärder.
- Hjälpa kunden med rättigheter, säkerhet, konsekvensbedömningar och myndighetskontakter i rimlig omfattning.
- Radera eller återlämna uppgifter när tjänsten avslutas enligt kundens val, med undantag för lagkrav och tidsbegränsade backups.
- Tillhandahålla information för att visa efterlevnad och möjliggöra proportionerliga revisioner.
5. Personuppgiftsincidenter
Biträdet ska underrätta kunden utan onödigt dröjsmål efter att ha fått kännedom om en incident som rör kunduppgifter och lämna tillgänglig information om art, omfattning, sannolika konsekvenser och åtgärder. Kunden ansvarar för eventuell anmälan till IMY och information till registrerade.
6. Underbiträden
Kunden lämnar allmänt skriftligt godkännande till underbiträden i den publicerade listan. Great Big AB ska informera om avsedda väsentliga ändringar och ge kunden möjlighet att invända på saklig dataskyddsgrund.
7. Tredjelandsöverföring
Biträdet får endast överföra uppgifter utanför EU/EES med giltig överföringsmekanism och nödvändiga kompletterande skydd. Fly.io uppger behandling i USA för vissa stöd- och backupfunktioner.
8. Säkerhetsbilaga
- Rollbaserad åtkomst och företagsisolering
- Hashade lösenord och serverhashade sessionstoken
- TLS/HTTPS, säkra HttpOnly-sessioncookies och rate limiting
- Krypterad Fly-volym i Stockholm
- Revisions- och händelsehistorik
- Återställningsbara krypterade snapshots med nuvarande standardretention fem dagar
9. Giltighet och signering
DPA kan godkännas av en behörig företagsrepresentant vid företagsintroduktionen, senare genom en uttrycklig elektronisk administratörsacceptans eller genom ett separat undertecknat avtal. Systemet registrerar kundföretag, behörig användare, DPA-version, språk och exakt tidpunkt.
Att endast öppna eller läsa denna sida innebär inte att företaget har ingått avtalet. Vanliga medarbetare bekräftar endast att de har läst informationen och ingår inte DPA för arbetsgivarens räkning.
Relaterade dokument
Tidigare versioner
Inga tidigare publicerade versioner.