Personuppgiftsbiträdesavtal

1. Parter och föremål

Detta avtal ingås mellan kunden som personuppgiftsansvarig och EAS International, Klybeckstr. 141, 4057 Basel, Schweiz som personuppgiftsbiträde (leverantören). Leverantörens företrädare i EU enligt artikel 27 GDPR: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Föremålet är behandlingen av personuppgifter som kunden matar in i eller samlar in via Batteriepass Online. Art, ändamål, typer av uppgifter och kategorier av registrerade beskrivs i bilaga 1. Avtalet gäller under tjänsteavtalets löptid, inklusive läsfasen enligt avsnitt 8 i villkoren.

2. Instruktioner

Leverantören behandlar uppgifterna uteslutande inom ramen för tjänsteavtalet och enligt kundens dokumenterade instruktioner. Kunden ger instruktioner genom att använda programvarans funktioner (till exempel publicera ett pass, tilldela åtkomstnivåer, skicka en leverantörsförfrågan, exportera, radera) och i textform till info@batteriepass-online.eu. Instruktioner utöver den avtalade omfattningen behandlas som ändringsönskemål och kan debiteras separat.

Om leverantören anser att en instruktion är olaglig informerar den kunden utan dröjsmål och får skjuta upp verkställandet tills den bekräftats.

Tillhandahållandet av passinnehåll för allmänheten, personer med berättigat intresse och myndigheter sker i enlighet med förordning (EU) 2023/1542 i den konfiguration som kunden har valt och anses utgöra en instruktion från kunden.

3. Leverantörens skyldigheter

• Konfidentialitet: alla personer som deltar i behandlingen är bundna av tystnadsplikt. Kunduppgifter nås endast i den mån det är nödvändigt för drift, support eller felsökning.
• Säkerhet: leverantören vidtar de tekniska och organisatoriska åtgärderna i bilaga 3 och anpassar dem till den senaste utvecklingen utan att sänka skyddsnivån.
• Bistånd: leverantören bistår kunden med programvarans hjälpmedel (export, rättelse, radering, åtkomstlogg) vid fullgörandet av de registrerades rättigheter samt vid konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheten, i den mån informationen finns hos leverantören.
• Anmälan: leverantören underrättar kunden om personuppgiftsincidenter som rör kunduppgifter utan onödigt dröjsmål, senast inom 48 timmar efter att ha fått kännedom om dem, till den e-postadress som finns sparad i kontot, med de uppgifter som finns tillgängliga enligt artikel 33.3 GDPR.
• Förfrågningar från registrerade: om registrerade vänder sig direkt till leverantören vidarebefordrar denne förfrågan till kunden utan eget sakligt svar, i den mån förfrågan avser kunduppgifter.
• Bevisning: på begäran gör leverantören tillgänglig den information som behövs för att visa att detta avtal efterlevs, särskilt en beskrivning av åtgärderna i bilaga 3 och rapporter om säkerhetsincidenter.
• Radering: efter behandlingens slut raderar leverantören uppgifterna i enlighet med avsnitt 8 i villkoren, om det inte finns en lagstadgad lagringsskyldighet. För publicerade batteripass räknas den lagstadgade skyldigheten att hålla dem tillgängliga enligt artikel 77.8 i förordning (EU) 2023/1542 som lagringsskyldighet.

4. Kundens granskningsrätt

Kunden får kontrollera efterlevnaden av detta avtal en gång per år och när det finns särskild anledning. Kontrollen sker i första hand genom granskning av dokumentation, rapporter och intyg från underbiträden. En granskning på plats är möjlig efter föregående meddelande med skälig frist (minst 14 dagar) under normal kontorstid, förutsatt att den inte äventyrar andra kunders uppgifter. För granskningar som överstiger en per år eller som inte föranleds av en incident får leverantören debitera den uppkomna arbetsinsatsen till ett skäligt pris.

5. Underbiträden

Kunden samtycker till anlitandet av de underbiträden som anges i bilaga 2. Leverantören ålägger dem dataskyddsskyldigheter som motsvarar dem som avtalats här.

Leverantören informerar kunden om planerade ändringar (tillägg eller utbyte) minst 30 dagar i förväg per e-post. Kunden får inom denna frist invända av viktiga dataskyddsskäl. Vid invändning får vardera parten säga upp tjänsteavtalet med verkan från dagen för ändringen; avsnitt 8 i villkoren påverkas inte.

6. Behandling i tredjeländer

Uppgifterna lagras på servrar i Tyskland. Leverantören är etablerad i Schweiz, för vilket det finns ett beslut om adekvat skyddsnivå från Europeiska kommissionen; åtkomst från Schweiz är därför tillåten. Behandling i andra tredjeländer sker endast med kundens samtycke och på grundval av lämpliga skyddsåtgärder enligt kapitel V GDPR.

7. Kundens skyldigheter

Kunden ansvarar för att behandlingen är laglig, särskilt för den rättsliga grunden för att publicera uppgifter om fysiska personer i pass, för att informera de registrerade och för att kontakten med leverantörer och sökande är laglig. Kunden tilldelar åtkomstnivåer och åtkomstbeviljanden på eget ansvar och kontrollerar att de uppgifter som görs tillgängliga via programvaran uppfyller lagkraven.

Kunden anger i kontot en e-postadress som kan nås i dataskyddsfrågor och håller den aktuell.

8. Ansvar, avtalstid, slutbestämmelser

För ansvar gäller avsnitt 11 i villkoren; artikel 82 GDPR påverkas inte. Detta avtal upphör med tjänsteavtalet men fortsätter att gälla så länge leverantören håller kunduppgifter tillgängliga enligt avsnitt 8 i villkoren. I övrigt gäller villkorens slutbestämmelser. Vid motstridighet mellan detta avtal och villkoren har detta avtal företräde i dataskyddsfrågor.

Bilaga 1 – Behandlingens föremål

• Art och ändamål: hosting, lagring, visning, export och överföring av innehåll i batteripass och tillhörande dokument; utskick av e-post för kundens räkning (leverantörsförfrågningar, beslut om åtkomst); loggning av åtkomst till skyddat innehåll; tillhandahållande av API och webhooks.
• Typer av uppgifter: namn, befattningar och kontaktuppgifter för kontaktpersoner hos kunden, dess leverantörer och personer som ansöker om åtkomstbeviljanden (e-postadress, organisation, roll, ändamål, styrkande handlingar); innehåll i passfält och dokument i den mån de innehåller uppgifter om fysiska personer (till exempel den ekonomiska aktörens ansvariga person, undertecknare av EU-försäkringar om överensstämmelse); åtkomstloggar (förkortad hashad IP-adress, user agent, tidpunkt, åtkomstnivå); uppgifter som kunden överför till API:et.
• Kategorier av registrerade: anställda och kontaktpersoner hos kunden, dess leverantörer och affärspartner; personer som begär åtkomst till skyddat passinnehåll (myndigheter, reparations- och återvinningsaktörer, köpare); besökare på offentliga passidor.
• Särskilda kategorier av personuppgifter (artikel 9 GDPR) omfattas inte av behandlingen; kunden matar inte in sådana uppgifter i programvaran.

Bilaga 2 – Underbiträden

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Tyskland – datacentertjänster (servrar, databas, dokumentlagring, säkerhetskopior) i Falkenstein och Nürnberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Tyskland – utskick av e-post för kundens räkning.
• Stripe Payments Europe Ltd., Dublin, Irland, behandlar kundens betalningsuppgifter som självständigt personuppgiftsansvarig och är inte underbiträde för kunduppgifter i den mening som avses i detta avtal.

Bilaga 3 – Tekniska och organisatoriska åtgärder

• Fysisk åtkomst och systemåtkomst: servrar i ISO 27001-certifierade datacenter hos Hetzner; administration endast via nyckelbaserad SSH och ett privat nätverk; databasen kan inte nås från det publika internet.
• Dataåtkomst: rollbaserade behörigheter (ägare, redaktör, läsare) per organisation; separation av klienter på databasnivå via organisations-ID i varje förfrågan; åtkomstnivåer för passinnehåll (allmänheten, berättigat intresse, myndighet) upprätthålls på serversidan i en enda filterfunktion.
• Autentisering: lösenord som scrypt-hashar; sessioner med slumpmässiga token i databasen, 30 dagar; e-postverifiering före skrivbehörighet; begränsningar av inloggnings-, registrerings- och återställningsförsök; API-nycklar lagras endast som hashar.
• Överföring: TLS för alla anslutningar; Content Security Policy; signerade webhooks (HMAC) med krypterat lagrade hemligheter.
• Integritet: varje publicering av ett pass skapar en version med hashkedja (föregående hash); granskningslogg över alla skrivande åtgärder; ingenting raderas fysiskt innan de avtalade fristerna har löpt ut.
• Tillgänglighet: daglig säkerhetskopiering av databas och dokumentlagring med minst 30 dagars lagring på en andra plats; regelbundna återställningstester; övervakning av tillgänglighet.
• Separation: produktionsdata åtskilda från utvecklings- och testmiljöer; pass i abonnemanget Pilot är märkta som testdata.
• Organisation: uppgiftsminimering inbyggd i programvaran (endast fält som krävs för passet); säkerhetsgranskning vid varje ändring av tjänsten; dokumentation av incidenter; regelbundna uppdateringar av systemkomponenter.