Personuppgiftsbiträdesavtal

Arxify behandlar personuppgifter för Kundens räkning för att tillhandahålla Fitout: planering av jobb och service, kund- och fordonsregister, offerter, tidrapportering, protokoll, fakturaunderlag och de tilläggsmoduler Kunden har valt. Behandlingen omfattar lagring, visning, sammanställning, export, utskick av e-post som Kunden begär och övriga åtgärder som behövs för att Tjänsten ska fungera.

• Kundens användare och anställda: namn, e-postadress, telefonnummer, behörigheter, tidrapporter, frånvaro, certifikat och kompetenser.
• Kundens kunder och deras kontaktpersoner: namn, kontaktuppgifter, adresser, organisationsnummer, offerter och fakturaunderlag.
• Fordon och fordonsägare: registreringsnummer, chassinummer, ägarhistorik och servicehistorik.
• Filer, bilder och fritext som Kunden laddar upp eller skriver in, till exempel certifikat, dokument, bilder och anteckningar.

Frånvaro på grund av sjukdom kan vara en uppgift om hälsa, alltså en känslig personuppgift. Kunden ansvarar för att det finns stöd för att behandla sådana uppgifter, vanligen arbetsrättsliga skyldigheter, och för att inte föra in fler känsliga uppgifter än nödvändigt, till exempel i anteckningar.

Kunden ansvarar för att behandlingen har en rättslig grund och för att de registrerade får information om den. Arxify behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner. Instruktionerna är detta Avtal, Användarvillkoren och de val Kunden gör i Tjänsten, till exempel att slå på en tilläggsfunktion, skicka ett mejl eller koppla en integration.

Anser Arxify att en instruktion strider mot dataskyddsreglerna informerar Arxify Kunden utan dröjsmål. Arxify behandlar uppgifterna på annat sätt endast om unionsrätten eller svensk rätt kräver det, och informerar då Kunden om det inte är förbjudet.

Arxify säkerställer att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

Arxify vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR, bland annat:

• kryptering vid överföring (HTTPS) och hashade lösenord,
• åtskillnad mellan kunder: varje uppgift i Tjänsten hör till en organisation och nås bara av dess användare,
• behörigheter per användare, som Kunden själv administrerar,
• säkerhetskopiering av databasen,
• åtkomst för Arxifys personal endast när det behövs för drift, support eller felsökning.

Kunden ger Arxify ett allmänt förhandstillstånd att anlita de underbiträden som anges nedan. Arxify ingår skriftliga avtal med varje underbiträde som ger motsvarande skydd som detta Avtal och ansvarar gentemot Kunden för att underbiträdet fullgör sina skyldigheter.

Arxify informerar Kunden via e-post eller i Tjänsten minst 30 dagar innan ett underbiträde läggs till eller byts ut. Kunden kan invända inom den tiden. Kommer parterna inte överens får Kunden säga upp Tjänsten till den dag ändringen börjar gälla.

Tjänstens databas och uppladdade filer lagras inom EU. Personuppgifter överförs till land utanför EU/EES endast till de underbiträden som anges i förteckningen och endast med skyddsåtgärder enligt kapitel V GDPR, i första hand EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå.

Arxify hjälper Kunden, med hänsyn till behandlingens art, att tillgodose de registrerades rättigheter (till exempel tillgång, rättelse, radering och dataportabilitet) och att fullgöra skyldigheterna i artiklarna 32–36 GDPR. Mycket kan Kunden göra själv i Tjänsten: rätta och radera uppgifter samt exportera organisationens data. Vänder sig en registrerad direkt till Arxify hänvisas begäran till Kunden.

Arxify underrättar Kunden utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som rör Kundens uppgifter, och lämnar den information Kunden behöver för att anmäla incidenten till Integritetsskyddsmyndigheten och informera de registrerade.

Arxify ställer den information till Kundens förfogande som behövs för att visa att skyldigheterna i detta Avtal och i artikel 28 GDPR fullgörs, och möjliggör och bidrar till granskningar, inklusive inspektioner, som genomförs av Kunden eller av en revisor som Kunden utsett. En granskning aviseras i skälig tid i förväg och sker på Kundens bekostnad.

Avtalet gäller så länge Kunden använder Tjänsten. Raderar Kunden sitt konto kan det återställas i 60 dagar; därefter raderas alla personuppgifter, uppladdade filer inräknade. Kunden kan exportera sina uppgifter innan dess. Säger Kunden upp prenumerationen utan att radera kontot sparas uppgifterna tills Kunden raderar kontot eller ber Arxify göra det.

Uppgifter som Arxify enligt lag måste spara, till exempel bokföringsunderlag för Arxifys egen fakturering, sparas så länge lagen kräver. Uppgifter i säkerhetskopior försvinner när säkerhetskopiorna löper ut.

Parternas ansvar för skada följer artikel 82 GDPR; i övrigt gäller ansvarsbegränsningen i Användarvillkoren. Arxify kan ändra Avtalet med minst 30 dagars varsel via e-post eller i Tjänsten. Vid motstridighet har detta Avtal företräde framför Användarvillkoren i frågor om personuppgifter. Svensk lag gäller, och tvister avgörs enligt Användarvillkoren.

Anthropic anlitas bara för organisationer vars administratör har slagit på AI-genomgången. Att slå på den är Kundens instruktion att använda underbiträdet, och att stänga av den avslutar överföringen. Kundnamn, personnamn, registreringsnummer och verkstadsnamn ersätts med koder innan något skickas; kontaktuppgifter och anteckningar skickas aldrig.

Fortnox och andra system som Kunden själv kopplar till Tjänsten är Kundens egna leverantörer och inte Arxifys underbiträden. Uppgifter skickas dit endast när Kunden begär det. Stripe hanterar Arxifys fakturering av Kunden och behandlar inte Kundens innehåll i Tjänsten.