Personuppgiftsbiträdesavtal

Med enkla ord

När ditt företag använder Toimeen bestämmer ditt företag vad som händer med personuppgifterna i dess post och dokument: företaget är personuppgiftsansvarigt. Vi behandlar dessa uppgifter endast för att tillhandahålla Toimeen och endast enligt dina instruktioner, och vi skyddar dem, informerar dig om incidenter, hjälper dig att besvara personers begäranden och raderar uppgifterna när du lämnar oss.

1. Parter och omfattning

Detta avtal ("PUB-avtalet") ingås mellan det företag som använder Toimeen ("den personuppgiftsansvarige", "du") och Fidanet Solution Oy, FO-nummer 3497432-1, Marinkallio 6b, 02320 Espoo, Finland ("personuppgiftsbiträdet", "vi"). Det kompletterar Användarvillkoren och blir en del av dem när du skapar ett konto. Det gäller varje gång vi behandlar personuppgifter för din räkning när vi tillhandahåller Tjänsten.

Begrepp som personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, underbiträde, registrerad och personuppgiftsincident har den betydelse som anges i dataskyddsförordningen GDPR (förordning (EU) 2016/679).

2. Föremål och varaktighet

Vi behandlar personuppgifter för att tillhandahålla den Tjänst som beskrivs i Villkoren: läsa post och dokument, förbereda utkast och förslag, föra godkännandekön och händelseloggen, ansluta till de system du väljer och lagra resultaten för dina användare. Behandlingen pågår så länge ditt konto finns, plus perioden för återlämnande och radering i avsnitt 11. Bilaga I anger kategorierna av uppgifter och registrerade.

3. Dina instruktioner

Vi behandlar personuppgifter endast enligt dina dokumenterade instruktioner: dessa villkor, detta PUB-avtal och det sätt på vilket du använder Tjänstens inställningar och anslutningar. Om lagen kräver annan behandling informerar vi dig först, om inte lagen förbjuder det. Om vi anser att en instruktion strider mot dataskyddslagstiftningen informerar vi dig utan dröjsmål.

En agent skickar, bokar eller ändrar aldrig något utanför Toimeen på egen hand: varje sådan åtgärd väntar på godkännande av en person i ditt företag. Godkännandena är dina instruktioner.

4. Sekretess

Alla på Fidanet Solution Oy som har åtkomst till dina uppgifter omfattas av tystnadsplikt.

5. Säkerhet

Vi vidtar tekniska och organisatoriska åtgärder som är lämpliga i förhållande till risken, i enlighet med artikel 32 i GDPR. Bilaga II beskriver dem. Vi kan förbättra dem, men inte försämra den övergripande skyddsnivån.

6. Underbiträden

Du ger oss ett allmänt tillstånd att anlita underbiträden. Bilaga III förtecknar dem. Innan vi lägger till eller byter ut ett underbiträde som behandlar dina personuppgifter informerar vi dig minst 30 dagar i förväg. Du kan invända av rimliga dataskyddsskäl genom att skriva till hello@toimeen.com inom den tiden; om vi inte kan lösa frågan kan du säga upp avtalet före ändringen.

Vi binder varje underbiträde till dataskyddsskyldigheter som inte är svagare än dessa, och vi förblir ansvariga gentemot dig för deras arbete.

7. Överföringar utanför EU

Dina uppgifter lagras i Finland. När ett underbiträde behandlar dem utanför EU/EES (se bilaga III) grundar sig överföringen på Europeiska kommissionens standardavtalsklausuler (beslut (EU) 2021/914). Du ger oss fullmakt att ingå dessa klausuler med underbiträdet.

8. Begäranden från registrerade

Vi hjälper dig att besvara begäranden från personer som utövar sina rättigheter enligt GDPR, med hänsyn till behandlingens art: vi letar fram, exporterar, rättar eller raderar de berörda uppgifterna när du ber om det. Om en person kontaktar oss direkt om uppgifter som du ansvarar för vidarebefordrar vi begäran till dig utan dröjsmål.

9. Personuppgiftsincidenter

Vi informerar dig om en personuppgiftsincident som berör dina uppgifter utan onödigt dröjsmål och senast inom 48 timmar från att vi fick kännedom om den, med det vi vet om dess art, de uppgifter och personer som berörs, de sannolika konsekvenserna och vad vi har gjort eller föreslår att göra. Vi hjälper dig att fullgöra dina egna skyldigheter enligt artiklarna 33 och 34 i GDPR.

10. Konsekvensbedömningar och granskningar

Vi hjälper dig, i rimlig utsträckning, med konsekvensbedömningar avseende dataskydd och förhandssamråd med myndigheten. Vi ger dig den information som behövs för att visa att vi uppfyller artikel 28 i GDPR. Du får granska att vi följer avtalet en gång per år efter skriftligt meddelande 30 dagar i förväg, under kontorstid, under sekretess och på egen bekostnad, om inte granskningen visar en väsentlig överträdelse av detta PUB-avtal.

11. Återlämnande och radering

När avtalet upphör kan du under 60 dagar begära dina uppgifter i maskinläsbar form. Därefter raderar vi dem inom 30 dagar, om inte unionsrätten eller finsk lag kräver att vi sparar dem.

12. Ansvar och företrädesordning

Ansvaret följer begränsningarna i Villkoren, utom när lagen inte tillåter en begränsning. I frågor om personuppgifter har detta PUB-avtal företräde framför Villkoren. Finsk lag tillämpas, och tvister avgörs så som Villkoren anger.

Bilaga I: Beskrivning av behandlingen

Art och ändamål: lagra och läsa post, bilagor och dokument; förbereda utkast, förslag, fakturor och order för godkännande; registrera beslut; överföra godkänt arbete till anslutna system; efterforskningar i offentliga källor på begäran; skicka aviseringar.

Registrerade:

• den personuppgiftsansvariges användare (ägare, anställda, andra som den bjuder in);
• personer som förekommer i den personuppgiftsansvariges post och dokument: kunders och leverantörers kontaktpersoner, avsändare och mottagare;
• personer som den personuppgiftsansvarige begär efterforskningar om i offentliga källor, om den har slagit på den funktionen.

Kategorier av personuppgifter:

• namn, e-postadresser, telefonnummer, befattningar och företagsuppgifter;
• innehållet i post, bilagor och dokument samt de utkast och förslag som gjorts utifrån dem;
• användarnas inloggningsuppgifter (lösenordshash, sessioner med IP-adress och webbläsare), åtgärder i händelseloggen, chatt-ID på Telegram om det har kopplats;
• efterforskningsresultat från offentliga källor.

Särskilda kategorier: Tjänsten är inte utformad för särskilda kategorier av personuppgifter (artikel 9 i GDPR). För inte in sådana uppgifter i den om du inte har en rättslig grund och har kommit överens med oss om hur de ska hanteras.

Frekvens och varaktighet: kontinuerligt, så länge kontot är aktivt, plus perioden i avsnitt 11.

Bilaga II: Tekniska och organisatoriska åtgärder

• Servrar i Finland (Hetzner, Helsingfors); anslutningar krypterade med TLS.
• Varje företags uppgifter åtskilda i databasen med säkerhet på radnivå.
• Lösenord lagrade som scrypt-hashar; åtkomstnycklar till anslutna tjänster krypterade med AES-256-GCM med en servernyckel som förvaras utanför databasen.
• E-postadresser bekräftas vid registreringen; ett lösenordsbyte loggar ut de andra enheterna, en återställning loggar ut alla enheter; antalet inloggningsförsök är begränsat.
• Roller inom varje företag avgör vem som ser och godkänner vad; en godkännandegräns begränsar stora godkännanden till ägare och administratörer.
• Varje godkännande, avslag och ändring av inställningar registreras i händelseloggen.
• Utgående åtgärder sker endast efter att en person har godkänt dem.
• Åtkomst till servrarna är begränsad till namngivna personer på Fidanet Solution Oy.
• Efterforskningsagenten: endast offentliga källor, identifierar sig som ToimeenBot, respekterar robots.txt, efterforskningar om enskilda personer avstängda som standard, resultat raderas efter 180 dagar som standard.

Bilaga III: Underbiträden

Tjänster som du väljer att ansluta (din postlåda, ditt bokföringsprogram, ditt kassasystem, Telegram och andra) är inte våra underbiträden: de agerar enligt sina egna avtal med dig.