Personuppgiftsbiträdesavtal för Klartid

Enligt artikel 28 i dataskyddsförordningen (EU) 2016/679, "GDPR".

Version: [FYLL I: versionsnummer]
Gäller från: [FYLL I: datum]

Parter

Personuppgiftsansvarig ("kunden"): Det företag som använder Klartid, så som det är upplagt i tjänsten med namn och organisationsnummer.

Personuppgiftsbiträde ("vi", "Klartid"): Eden & Lind AB, org.nr 559595-8553, VAT SE559595855301, säte Norrtälje [FYLL I: gatuadress], [FYLL I: postnummer och ort] Kontakt i dataskyddsfrågor: [FYLL I: support-e-post], [FYLL I: telefonnummer]

Avtalet gäller automatiskt så snart kunden börjar använda Klartid, och det är en del av Klartids allmänna villkor.

1. Vad avtalet handlar om

1.1 Kunden lägger in personuppgifter i Klartid — om sina anställda, om inhyrda hantverkare och om sina egna kunder. Kunden bestämmer varför och hur. Kunden är därför personuppgiftsansvarig.

1.2 Vi behandlar de uppgifterna bara för kundens räkning. Vi är personuppgiftsbiträde.

1.3 Det här avtalet gäller inte de uppgifter där Eden & Lind AB själv är personuppgiftsansvarig — kontot hos den som tecknar, uppgifterna om firman som avtalspart, prenumerationen och betalningen, samt våra egna drift- och säkerhetsloggar. Dem beskriver integritetspolicyn.

1.4 Säger det här avtalet emot de allmänna villkoren i en fråga om personuppgifter, gäller det här avtalet.

2. Föremål och varaktighet

2.1 Föremålet är den behandling av personuppgifter som sker när kunden använder Klartid.

2.2 Varaktigheten följer huvudavtalet. Avtalet gäller så länge kunden har en firma i Klartid, och därefter så länge vi har kvar personuppgifter för kundens räkning — det vill säga i högst 12 månader efter att den sista betalda perioden tagit slut, se punkt 12.

3. Behandlingens art och ändamål

3.1 Ändamålet är att leverera Klartid: låta personerna i firman rapportera tid, material, mil, utlägg och frånvaro på arbetsordrar, låta chefen attestera och låsa veckor, och ta fram ett fakturaunderlag som kunden kan exportera.

3.2 Arten av behandling: insamling, registrering, lagring, strukturering, läsning, ändring, framtagning av rapporter och underlag, export, radering och säkerhetskopiering inom ramen för driften.

3.3 Vi gör ingenting utöver det. Vi analyserar inte uppgifterna för egen räkning, säljer dem inte, lämnar dem inte vidare för någon annans ändamål, och tränar ingen AI på dem. Foton och kvitton tolkas inte maskinellt.

4. Typ av personuppgifter

4.1 Om personer i kundens firma

Tjänsten har inget fält för uppgifter av särskild kategori. Klartid registrerar aldrig varför någon är frånvarande. Frånvarotyperna sjuk och vård av barn fanns tidigare i tjänsten och är borttagna — de var uppgifter om hälsa, en särskild kategori av personuppgifter enligt artikel 9 GDPR. Kvar finns bara semester, ledighet och annan frånvaro, som ingenting säger om orsaken.

Begränsningen ligger i databasen och inte bara i appen: kolumnen absence.kind tillåter med ett CHECK-villkor enbart värdena vacation, leave och other (schema/company.sql). Ett försök att spara något annat avvisas av databasen.

Frånvarofunktionen ger därför ingen behandling enligt artikel 9, och utlöser inget krav på konsekvensbedömning enligt artikel 35.

Den enda väg som finns kvar in i tjänsten för en känslig uppgift är fritextfälten. Kunden ska inte lägga in personnummer, diagnoser, sjukskrivningar, uppgifter om fackligt medlemskap eller liknande i noteringar och beskrivningar. Behöver en chef dokumentera något om en enskild frånvarodag skriver han det i sina egna ord i anteckningen på en tidrad — det är då kundens egen dokumentation, i kundens eget ansvar, och inte en uppgift Klartid begär in. I Klartid ser en montör bara sin egen frånvaro; chefen och bokföraren ser hela firmans.

4.2 Om kundens egna kunder

Personnummer lagras aldrig. En privatperson läggs in utan personnummer, och det finns med flit inget fält för det i tjänsten.

5. Kategorier av registrerade

• Kundens anställda: chefer, montörer och lärlingar.
• Inhyrda hantverkare som är anställda i ett annat företag ("gäst").
• Kundens bokförare eller redovisningskonsult, som är utomstående.
• Kundens egna kunder, både företag och privatpersoner.
• Andra personer som kan råka nämnas i fritextfält — en kontaktperson på ett bygge, en granne, en besiktningsman. Kunden ansvarar för vad som skrivs där.

6. Kundens skyldigheter

6.1 Kunden ansvarar för att det finns en rättslig grund för behandlingen, och för att de registrerade fått den information de har rätt till.

6.2 Kunden ansvarar för att rätt personer har rätt roll, och för att den som slutar tas bort ur firman.

6.3 Kunden ansvarar för att inte lägga in fler personuppgifter än nödvändigt, och särskilt för att hålla känsliga uppgifter borta från fritextfälten. Tjänstens egna fält är utformade så att de inte kan bära uppgifter av särskild kategori (se punkt 4.1) — fritexten är därmed den enda väg sådana uppgifter kan komma in, och den vägen är kundens ansvar.

6.4 Kunden ansvarar för att svara de registrerade när de hör av sig. Vi hjälper till enligt punkt 10.

6.5 Kundens instruktion till oss består av det här avtalet, de allmänna villkoren och de funktioner som finns i tjänsten. Vill kunden ge en instruktion utöver det ska den vara skriftlig. Vi får ta betalt för instruktioner som kräver arbete utöver det som ingår i tjänsten, och vi får neka en instruktion som är olaglig eller tekniskt omöjlig.

7. Våra skyldigheter

Vi åtar oss att:

7.1 Bara behandla på kundens dokumenterade instruktion, inklusive vid överföring till tredjeland. Måste vi behandla på annat sätt enligt EU-rätt eller svensk rätt, informerar vi kunden innan behandlingen — om inte lagen förbjuder oss att göra det.

7.2 Säga till om vi anser att en instruktion strider mot dataskyddsreglerna.

7.3 Se till att de som får tillgång till uppgifterna har tystnadsplikt. Hos oss är det [FYLL I: vilka roller/personer hos Eden & Lind som har tillgång — se LÄS-MIG], och de har åtagit sig tystnadsplikt eller omfattas av lagstadgad tystnadsplikt. Åtkomst ges bara till den som behöver den för sitt arbete, och bara så länge han behöver den.

7.4 Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32. Åtgärderna listas i bilaga A.

7.5 Bara anlita underbiträden enligt punkt 8.

7.6 Hjälpa kunden med de registrerades rättigheter enligt punkt 10.

7.7 Hjälpa kunden med säkerhet, incidenter och konsekvensbedömningar enligt artiklarna 32–36, i den utsträckning vi rimligen kan med hänsyn till vad vi vet och vad vi har tillgång till.

7.8 Radera eller lämna tillbaka uppgifterna när avtalet tar slut, enligt punkt 12.

7.9 Ge kunden den information som behövs för att visa att vi följer artikel 28, och tillåta granskning enligt punkt 13.

8. Underbiträden

8.1 Kunden ger oss ett allmänt förhandsgodkännande att anlita underbiträden.

8.2 De underbiträden vi anlitar i dag står i bilaga B.

8.3 Vi har ett skriftligt avtal med varje underbiträde som lägger på dem samma skyldigheter som vi har enligt det här avtalet. Vi ansvarar för underbiträdets arbete som för vårt eget.

8.4 Byter vi eller lägger vi till ett underbiträde säger vi till minst [FYLL I: antal — förslag 30] dagar i förväg, genom mejl till firmans ägare och besked i appen. Har kunden sakliga invändningar mot bytet ska han framföra dem inom varseltiden. Kommer vi inte överens får kunden säga upp huvudavtalet till den dag bytet börjar gälla, utan avgift för tiden därefter.

8.5 Röstinmatningen är i drift och använder underbiträdet Microsoft (bilaga B). Så här fungerar den: den anställde håller in en knapp och säger vad han gjort. Ljudet skickas till en tal-till-text-tjänst hos Microsoft i Sverige (region Sweden Central) och blir text; texten tolkas av en språkmodell hos samma underbiträde i samma region, tillsammans med firmans öppna arbetsordrar (adress, beskrivning, kundens namn) och firmans lista över arbetsmoment, så att rätt jobb och rätt moment kan kännas igen. Svaret är ett utkast. Ljudet sparas inte, och texten sparas inte — varken hos oss eller hos underbiträdet utöver vad som står i bilaga B. Det som sparas i Klartid är det den anställde själv kontrollerar och sparar, som en vanlig tidrad. Röstinmatningen är frivillig för varje rapport; allt går lika bra att knappa in för hand.

8.6 En funktion är förberedd men ännu inte i drift: lagring av foton och kvitton. Tas den i drift och kräver ett nytt underbiträde läggs det till enligt punkt 8.4 innan den tas i bruk.

9. Överföring till tredjeland

9.1 Uppgifterna lagras i EU. Varje firmas databas skapas låst till EU-jurisdiktion och platsen Västeuropa, och det går inte att ändra i efterhand. Detsamma gäller den delade databasen.

9.2 Flera av våra underbiträden ingår i koncerner med bolag i USA. Det kan innebära att personal utanför EU får åtkomst i samband med support, felsökning eller drift.

9.3 Sker en sådan överföring stödjer vi den på EU-kommissionens standardavtalsklausuler och, där det är tillämpligt, på EU–US Data Privacy Framework, tillsammans med de kompletterande skyddsåtgärder som behövs. [KONTROLLERA per leverantör vilken grund som faktiskt gäller — se LÄS-MIG.]

9.4 Bilaga B anger för varje underbiträde var behandlingen sker.

10. Hjälp när en registrerad hör av sig

10.1 Hör en registrerad av sig direkt till oss om uppgifter som ligger i en kunds firma, svarar vi inte i sak. Vi hänvisar till kunden och talar om för kunden att någon hört av sig, utan onödigt dröjsmål.

10.2 Vi hjälper kunden att svara: ta fram vilka uppgifter som finns om en person, rätta, radera, begränsa eller lämna ut i ett maskinläsbart format.

10.3 Mycket klarar kunden själv i tjänsten: chefen ser alla rader per person, kan rätta dem, radera dem och exportera underlag som CSV-fil. Exportfunktionen fungerar även i låsläge — den ligger aldrig bakom en betalvägg.

10.4 Hjälp som går utöver det som finns i tjänsten kan vi ta betalt för, till en rimlig kostnad som vi säger till om i förväg.

11. Personuppgiftsincidenter

11.1 Får vi veta att en personuppgiftsincident inträffat som rör kundens uppgifter, meddelar vi kunden utan onödigt dröjsmål och senast inom [FYLL I: antal — förslag 48] timmar från att vi fick kännedom om den.

11.2 Meddelandet lämnas till firmans ägare på den e-postadress som finns i tjänsten, och innehåller så långt vi vet:

• vad som hänt,
• vilka kategorier av personuppgifter och ungefär hur många registrerade som berörs,
• vilka följder det sannolikt får,
• vad vi har gjort och tänker göra åt det,
• vem hos oss som kan lämna mer information.

11.3 Vet vi inte allt direkt lämnar vi det vi vet först och kompletterar efter hand.

11.4 Det är kunden som anmäler till Integritetsskyddsmyndigheten och som informerar de registrerade, när det krävs. Vi hjälper till med underlaget.

11.5 Vi dokumenterar incidenter som rör kundens uppgifter och lämnar dokumentationen till kunden på begäran.

12. När avtalet tar slut

12.1 När huvudavtalet tagit slut går firman över i låsläge. Allt syns och allt går att exportera under 12 månader räknat från den dag den sista betalda perioden tog slut.

12.2 Efter de 12 månaderna raderar vi firmans personuppgifter.

12.3 Vill kunden att vi raderar tidigare — eller att vi lämnar tillbaka uppgifterna först och sedan raderar — säger han till skriftligt. Då gör vi det inom [FYLL I: antal — förslag 30] dagar från begäran, och bekräftar skriftligt när det är gjort.

12.4 Vi får behålla uppgifter som vi enligt EU-rätt eller svensk rätt måste behålla — framför allt underlag som krävs enligt bokföringslagen (1999:1078), som ska sparas i sju år. Sådana uppgifter behandlas bara för det ändamålet, och raderas när skyldigheten upphört.

12.5 Uppgifter kan ligga kvar en kortare tid i säkerhetskopior och driftloggar efter en radering. De skrivs över enligt vanlig rutin och används inte till något annat under tiden. [FYLL I: hur länge säkerhetskopior sparas — se LÄS-MIG.]

13. Granskning

13.1 Vi ger kunden den information som behövs för att visa att vi följer artikel 28.

13.2 Kunden har rätt att granska vår behandling en gång per år, och därutöver om en tillsynsmyndighet kräver det eller efter en inträffad incident som rör kundens uppgifter.

13.3 Granskningen begärs skriftligt minst [FYLL I: antal — förslag 30] dagar i förväg. Den ska ske på arbetstid, störa driften så lite som möjligt och inte röra andra kunders uppgifter.

13.4 Vi får först svara med dokumentation, revisionsrapporter eller certifikat — våra egna eller våra underbiträdens. Räcker det inte får kunden granska på plats eller genom en oberoende granskare som båda parter godtar. Granskaren ska ha tystnadsplikt.

13.5 Kunden står för sina egna kostnader vid granskningen. Vår tid ersätts till [FYLL I: timpris ex moms] kr per timme ex moms, om inte granskningen visar att vi brustit väsentligt.

14. Ansvar

14.1 Ansvaret mellan parterna följer artikel 82 GDPR och de allmänna villkorens punkt 15.

14.2 Ansvarsbegränsningen i de allmänna villkoren gäller inte en registrerads rätt till ersättning enligt artikel 82 och inte administrativa sanktionsavgifter som riktas mot en part.

15. Ändringar, lag och tvist

15.1 Vi kan ändra det här avtalet när lagen, tillsynspraxis eller tjänsten kräver det. Ändringen varslas på samma sätt som en ändring av de allmänna villkoren.

15.2 Svensk lag gäller. Tvist avgörs enligt de allmänna villkorens punkt 17.

Bilaga A — Säkerhetsåtgärder

De här åtgärderna finns i den byggda tjänsten i dag.

A1. Inloggning och behörighet

• Inga lösenord. Inloggning sker med en sexsiffrig kod i ett mejl som skrivs in i appen. Koden härleds kryptografiskt (HMAC-SHA256) ur e-postadressen, tidpunkten och en serverhemlighet, och gäller i tio minuter.
• Ingenting att stjäla. Det finns med flit ingen tabell för lösenord, sessioner, koder, tokens eller inbjudningar. Inloggningskoden lagras aldrig — den räknas fram vid utskicket och räknas om vid verifieringen. Varken vi eller mejlleverantören sparar den.
• Koden skrivs in i appen, inte i en länk. Den hamnar därför inte i webbadresser, åtkomstloggar eller Referer-huvuden till tredje part.
• Spärr mot mejlbombning och gissning. Begäran om kod begränsas till fem per minut per IP-adress och e-postadress. Inloggningsförsök begränsas på samma sätt, så att en angripare inte kan prova sig fram bland koderna.
• Behörigheten läses vid varje anrop ur databasen — aldrig ur den nyckel appen bär. Den som tagits bort ur en firma i går kommer inte in i dag, även om han har en giltig nyckel kvar. En firma som låstes i går kan inte skriva i dag.
• Appens nyckel gäller högst 30 dagar och förnyas tyst vid varje synkronisering. Signeringsnycklarna kan roteras utan att utestående nycklar dör.

A2. Avskildhet mellan kunder

• Varje kundföretag har en egen databas. Firmans uppgifter ligger inte i en gemensam tabell med ett kundfilter som kan glömmas bort — det finns ingen kundkolumn att filtrera fel på, eftersom databasen i sig är kunden.
• Filnycklar bär kundens identitet i första ledet, och den kontrolleras både vid uppladdning och vid nedladdning. En bokförare som arbetar åt två firmor kan inte hämta den ena firmans filer genom den andras väg.

A3. Vad som lämnar servern

• Rollen styr vad servern skickar ut, inte vad appen visar. En montör får aldrig firmans timpriser med i svaret — fälten finns inte i det han hämtar.
• En inhyrd gäst ser bara de arbetsordrar han tilldelats, deras kunder och sina egna rader. En order han inte har med att göra svarar "finns inte" i stället för "du får inte" — så att han inte ens får veta att den finns.
• Bokföraren kan läsa men aldrig skriva. Att en rad inte heller kan tillhöra en bokförare är tvingat i databasen, inte bara i koden.
• Firmans betalningsidentitet lämnar aldrig servern. Kundnummer och prenumerationsnummer hos Stripe skickas aldrig ut i något svar.

A4. Spårbarhet

• Varje rad bär sin egen historik: vem som skapade den, vem som senast ändrade den, från vilken enhet och när servern tog emot den. Vem som skapade en rad går aldrig att skriva över i efterhand — därför syns det att det var chefen som skrev in montörens glömda timmar.
• Rader raderas mjukt. En raderad rad finns kvar, markerad som raderad, så att gamla underlag går att förstå.
• Revisionslogg över åtkomst, ägarskap och pengar: konto skapat och ändrat, firma skapad och ändrad, person tillagd, roll ändrad, person borttagen, ägarskap överlåtet, prenumerationsstatus ändrad, period stängd.

A5. Uppgifternas riktighet

• Databasen är strikt. Varje tabell har typkontroll och regler som databasen själv tvingar fram. Pengar lagras i heltal ören och tid i heltal minuter — inga decimaltal som kan avrunda fel.
• Priser fryses på raden när den sparas. En senare prisändring rör aldrig gammal historik.
• Samma svar på ett omtag. Skickar en telefon om samma sak efter ett nätavbrott utförs arbetet inte två gånger.

A6. Drift

• Allt går över krypterad förbindelse (HTTPS).
• Uppgifterna lagras i EU och kan inte flyttas ut i efterhand, se punkt 9.
• Hemligheter ligger aldrig i koden. Nycklar och lösenord till leverantörer sätts som hemligheter i driftmiljön och finns inte i något kodarkiv.
• Kortuppgifter kommer aldrig in i Klartid. Betalningen sker hos Stripe.
• Betalningsleverantörens meddelanden signaturkontrolleras innan de får ändra något.
• Kvittologgar rensas efter 45 dagar.

A7. Det vi inte gör

• Ingen bildtolkning, ingen automatisk analys av det som läggs in. Det enda som går genom en språkmodell är röstinmatningen (punkt 8.5): en mening blir ett utkast som en människa kontrollerar innan något sparas. Ingen modell tränas på det.
• Ingen spårning, ingen mätning, inga kakor för statistik eller marknadsföring.
• Ingen försäljning eller vidareutlämning av uppgifter.

A8. Att komma åt uppgifterna igen

• Export ligger aldrig bakom en betalvägg. Även en firma som inte betalat kan läsa och exportera allt.
• Fakturaunderlaget laddas ner som CSV-fil direkt ur appen.

[FYLL I: rutiner för säkerhetskopiering och återläsning, samt hur ofta de provas — se LÄS-MIG. Punkten hör hemma i artikel 32.1 c och saknas i dag.]

Bilaga B — Underbiträden

Följande underbiträden anlitas när det här avtalet börjar gälla.

Inga typsnitt utifrån. Appen levereras med sina egna typsnittsfiler, från samma server som appen själv. Ingen tredje part får besökarens IP-adress eller webbläsarinformation när appen öppnas — appen hämtar över huvud taget ingenting automatiskt från någon annan värd än sin egen.

[KVAR ATT BEDÖMA — ligger utanför tabellen ovan: arbetsorderns kartlänk. Trycker användaren på adressen öppnas Google Maps i en ny flik med adressraden i frågesträngen. Det är ingen automatisk överföring och Google är inte biträde för den, men adressen kan vara en privatpersons bostad. Juristen bör avgöra om det ska nämnas i integritetspolicyn. Koden:kartlank i app/src/skarmar/Order.tsx.]

Ännu inte i drift: lagring av foton och kvitton. Se punkt 8.6.

Underskrifter

Avtalet godkänns när kunden börjar använda Klartid och behöver inte undertecknas. Vill kunden ha ett undertecknat exemplar, hör av dig till [FYLL I: support-e-post].

Det här dokumentet är ett avtalsvillkor, inte juridisk rådgivning.