Personuppgiftsbiträdesavtal

Avtalet ingås mellan det företag eller den enskilda näringsidkare som abonnerar på FlowDule (“den personuppgiftsansvarige”) och FlowDule ApS (“personuppgiftsbiträdet”). Det är en integrerad del av kundens avtal om FlowDule och gäller från den dokumenterade accepten eller det senare ikraftträdandedatum som framgår av den publicerade versionen.

Endast en person som är dokumenterat behörig att förplikta den personuppgiftsansvarige får acceptera avtalet och bilagorna. FlowDule registrerar minst kund, acceptant, behörighet, versioner, dokumenthash, metod och tidpunkt. Väsentliga ändringar varslas enligt punkt 16 och kan accepteras aktivt i plattformen eller genom fortsatt användning efter ikraftträdandet.

Avtalet reglerar enbart FlowDules behandling för den personuppgiftsansvariges räkning. FlowDules behandling för egna avtals-, faktureringar-, användaradministrations-, support-, säkerhets- och lagstadgade ändamål beskrivs i FlowDules integritetspolicy och faller utanför detta avtal.

FlowDule tillhandahåller en multi-tenant SaaS-plattform med de moduler som den personuppgiftsansvarige väljer, exempelvis bokning, klientadministration, journal och dokumentation, kommunikation, betalning, webbshop/event, rapportering och AI-assistans, som är en del av journalmodulen och kan stängas av för kedjan efter begäran.

Behandlingen pågår så länge FlowDule levererar tjänsten samt under den kontrollerade export-, återlämnande-, raderings- och backupperioden efter upphörandet. Ändamål, moduler, registrerade, datakategorier, behandlingsställen och retention fastställs av kedjans inställningar i plattformen.

Behandlingen kan omfatta insamling, registrering, organisering, lagring, sökning, visning, anpassning, överföring enligt instruktion, begränsning, export och radering. Ändamålet är enbart att leverera, säkra, underhålla och supporta de funktioner som den personuppgiftsansvarige har beställt och instruerat om.

FlowDule får inte använda kundens klient- eller journaluppgifter för marknadsföring, allmän produktanalys, modellträning eller andra egna sekundära ändamål. Drifttelemetri får endast användas för FlowDules egna säkerhets- och driftändamål, när den inte innebär återanvändning av kundens innehåll och behandlingen har en självständig rättslig grund.

Den slutliga avgränsningen följer kedjans egna inställningar i plattformen: aktiverade moduler och AI-funktionerna i dem, lagringsregler och landsprofil. Inställningarna är tillgängliga för kunden i kedjans inställningar och utgör tillsammans med detta avtal kundens dokumenterade instruktion. Kunden får inte aktivera en kategori eller grupp av registrerade som inte omfattas av den accepterade instruktionen.

FlowDule behandlar enbart personuppgifter enligt dokumenterad instruktion från den personuppgiftsansvarige, inbegripet vid överföring till tredjeland. Instruktionen består av detta avtal, kedjans inställningar i plattformen vid varje tidpunkt och efterföljande skriftliga anvisningar som FlowDule har accepterat. Kunden ändrar sin instruktion genom att ändra inställningarna; ändringen registreras med tidpunkt och användare.

• Om unionsrätten eller dansk rätt kräver en behandling utanför instruktionen underrättar FlowDule kunden om kravet före behandlingen, om inte lagen förbjuder underrättelse av viktiga skäl av allmänt intresse.
• FlowDule underrättar omgående kunden om en instruktion enligt FlowDules bedömning strider mot GDPR eller annan dataskyddslagstiftning, och kan skjuta upp den berörda åtgärden medan parterna klarlägger frågan.
• Nya moduler, AI-use cases, datakategorier, regioner eller ändamål omfattas inte automatiskt. De kräver uppdaterad instruktion och, när ändringen är väsentlig, ny accept.

Den personuppgiftsansvarige bestämmer ändamålen och de väsentliga medlen och ansvarar för att instruktionen och behandlingen är laglig. Det omfattar bland annat rättslig grund enligt artikel 6 och 9, nationella rättsliga grunder, informationsskyldighet, rättigheter, yrkesmässiga journal- och lagringskrav, användarstyrning och eventuella samtycken.

Kunden ska välja korrekt yrkesprofil. En egenföretagande psykoterapeut omfattas inte enbart på grund av titeln av de journalregler som gäller för legitimerad hälso- och sjukvårdspersonal. Om kunden är legitimerad hälso- och sjukvårdspersonal eller omfattas av särregler ska den relevanta profilen och retentionen dokumenteras före produktionssättning.

FlowDule säkerställer att personer med åtkomst till personuppgifter omfattas av lämplig sekretess och endast behandlar dem enligt instruktion. Åtkomst tilldelas efter arbetsrelaterat behov, minsta behörighet och personlig identitet och omprövas regelbundet.

Supportåtkomst till kundens innehåll kräver ett konkret ärende eller annan dokumenterad nödvändighet, lämpligt godkännande och loggning. Nödåtkomst ska vara tidsbegränsad, efterkontrolleras och stängas omgående när behovet upphör.

FlowDule genomför och underhåller lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 med hänsyn till behandlingens karaktär, omfattning, sammanhang, ändamål och risk. De bindande åtgärderna framgår av den versions- och hashbundna TOMS-bilagan, som accepteras tillsammans med detta avtal.

• åtkomstkontroll, autentisering, roll- och behörighetsstyrning samt loggning och efterkontroll
• kryptering under överföring och, där det är relevant, i vila, nyckel- och hemlighetshantering samt miljöseparation
• sårbarhets-, ändrings-, patch- och leverantörsstyrning
• säkerhetskopiering, återställning, kontinuitet, radering och dokumenterade kontroller
• incidentberedskap och regelbunden prövning och utvärdering av åtgärdernas effektivitet

Interna mål för backup, RPO, RTO eller svarstider är inte kundgarantier, om de inte uttryckligen har tagits in i ett accepterat SLA. TOMS-bilagan beskriver de åtgärder som tillämpas i produktionen.

Med hänsyn till behandlingens karaktär och de uppgifter som FlowDule förfogar över bistår FlowDule kunden med att uppfylla skyldigheterna enligt artikel 12-23 och artikel 32-36.

• De registrerades rättigheter: sökning, åtkomst, export, rättelse, begränsning och radering, där plattformen och lagen tillåter det. FlowDule svarar inte den registrerade direkt utan kundens instruktion.
• Säkerhet och incidenter: relevanta tekniska uppgifter, incidentdata och avhjälpande enligt punkt 11.
• Konsekvensbedömning och förhandssamråd: produkt-, säkerhets-, leverantörs- och behandlingsuppgifter som kunden rimligen behöver. FlowDules produkt-DPIA ersätter inte kundens egen bedömning.
• Myndighetsförfrågningar: FlowDule underrättar kunden, om det inte är förbjudet enligt lag, och lämnar endast ut uppgifter på giltig rättslig grund och så snävt som möjligt.

Sedvanligt och rimligt bistånd ingår. Oproportionerligt omfattande särskilt arbete kan faktureras efter föregående information och accept, om inte behovet beror på FlowDules avtalsbrott.

Kunden ger ett generellt skriftligt tillstånd till de underbiträden som framgår av den accepterade förteckningen. Förteckningen anger minst juridisk enhet, tjänst/ändamål, datakategorier, behandlingsländer, eventuella tredjelandsöverföringar och grund.

FlowDule underrättar om ett planerat tillägg eller byte minst 30 dagar före ikraftträdandet. Kunden kan inom fristen framföra en sakligt motiverad dataskyddsinvändning. Parterna söker en rimlig lösning; om ingen lösning nås kan kunden säga upp den berörda tjänsten från ändringsdatumet och få proportionell återbetalning av oförbrukad förskottsbetalning för den delen.

FlowDule ingår ett skriftligt avtal som ålägger underbiträdet minst samma relevanta dataskyddsskyldigheter, och FlowDule förblir fullt ansvarigt gentemot kunden för underbiträdets uppfyllande av dem.

FlowDule underrättar kunden utan onödigt dröjsmål efter att ha fått kännedom om en incident som rör kundens personuppgifter. Målet är en första underrättelse senast 24 timmar efter intern bekräftelse; detta mål begränsar inte kravet på underrättelse utan onödigt dröjsmål.

Underrättelsen lämnas i etapper om det är nödvändigt och innehåller så långt det är möjligt incidentens karaktär, berörda kategorier och ungefärligt antal registrerade och registreringar, sannolika konsekvenser, vidtagna eller föreslagna åtgärder samt en kontaktpunkt. FlowDule dokumenterar händelsen och samarbetar om begränsning och utredning.

Kunden fattar som personuppgiftsansvarig beslut om anmälan till den danska tillsynsmyndigheten (Datatilsynet) och underrättelse till de registrerade. FlowDule gör inte anmälan för kundens räkning utan uttrycklig skriftlig instruktion.

Behandlingen sker som utgångspunkt inom EU/EES i de regioner som framgår av underbiträdesförteckningen. Fjärråtkomst från ett tredjeland är också en överföring och ska omfattas av instruktionen.

Varje överföring utan beslut om adekvat skyddsnivå kräver en giltig grund enligt kapitel V i GDPR, normalt EU-kommissionens gällande standardavtalsklausuler, samt en dokumenterad transfer impact assessment och nödvändiga kompletterande åtgärder. FlowDule säkerställer för varje överföring en giltig överföringsgrund som täcker den faktiska leverantörs-, support- och åtkomstkedjan.

Tar FlowDule eller ett underbiträde emot en myndighetsförfrågan prövas giltighet och omfattning, kunden underrättas när det är lagligt, och endast det nödvändiga lämnas ut. FlowDule dokumenterar förfrågan och bestrider oproportionerliga eller olagliga krav när det finns rimlig grund.

FlowDule ställer till förfogande alla uppgifter som är nödvändiga för att visa att artikel 28 följs, och möjliggör och bidrar till revisioner, inbegripet inspektioner, som utförs av kunden eller av en oberoende revisor som kunden har bemyndigat.

Kontroll genomförs riskbaserat och inleds normalt med uppdaterad TOMS, leverantörs- och kontrollmaterial, testresultat samt relevanta oberoende rapporter. Kunden kan genomföra ytterligare revision en gång per år och därutöver efter en incident, ett myndighetskrav eller dokumenterad konkret misstanke om väsentlig bristande efterlevnad.

Revision varslas normalt minst 30 dagar i förväg, avgränsas till kundens behandling och genomförs utan åtkomst till andra kunders uppgifter, credentials eller detaljer som skapar ny säkerhetsrisk. Kunden bär rimliga särskilda kostnader, om inte revisionen visar väsentligt avtalsbrott från FlowDules sida. Begränsningarna får inte hindra en nödvändig revision eller en behörig myndighets befogenheter.

Vid upphörande raderar eller återlämnar FlowDule enligt kundens val alla personuppgifter och befintliga kopior, om inte unionsrätten eller dansk rätt kräver lagring. Kundens val och eventuella undantag dokumenteras.

• Kunden kan exportera under avtalet och i minst 30 kalenderdagar efter den avtalade övergångsperioden. Format, datakategorier, relationer och metadata följer Handelsvillkoren och den gällande exportbeskrivningen.
• Efter uttagsperioden raderas produktionsdata kontrollerat. FlowDule utfärdar ett raderingskvitto med kund, instruktion/version, kategorier, tidpunkt, ansvarig, backuputgång och eventuella lagliga undantag - utan det raderade innehållet.
• Säkerhetskopior raderas vid dokumenterad rotation (30 dagar). Fram till utgången är de isolerade och omfattas av samma skydd och får inte återinföras i ordinarie drift. Vid restore återanvänds raderingsledgern och giltiga legal holds innan miljön öppnas.
• FlowDules bokföringsskyldighet kan omfatta egna faktura- och redovisningsuppgifter, men ger inte i sig grund för att bevara kundens klient- eller journaluppgifter.

AI-funktionerna i journalen är en del av journalmodulen och är tillgängliga för kedjor som har aktiverat journalmodulen och för kedjans användare utifrån deras roll; det finns inget särskilt aktiveringssteg för varje enskild AI-funktion. FlowDule stänger av AI för kedjan efter begäran, med de undantag som framgår av AI-informationen. De flesta AI-resultat är utkast som en kompetent användare aktivt ska kontrollera före lagring, kommunikation eller yrkesmässig användning. Vissa resultat godkänns inte var för sig: den automatiska anteckningsåterkopplingen till behandlaren, maskinöversättningen av delat innehåll för klienten och översättningen av supportärenden och plattformsmeddelanden. Sammanfattning, nyckelord och nästa steg skrivs på anteckningen när behandlaren har begärt dem; behandlaren ska läsa dem och kan rätta eller ta bort dem.

AI får inte fatta självständigt beslut om diagnos, triage, behandling, åtkomst eller något annat automatiserat individuellt beslut. Kundens klient- och journaluppgifter får inte användas för träning av allmänna modeller. FlowDule ska kunna dokumentera leverantörsvillkor, dataflöde, retention och radering före produktionsaktivering.

FlowDule kan föreslå ändringar vid lag-, säkerhets- eller produktändringar. En ändring får inte ensidigt utvidga ändamål, datakategorier, AI-use cases, regioner eller överföringar eller sänka skyddsnivån. Väsentliga ändringar varslas minst 30 dagar före ikraftträdandet. Den personuppgiftsansvarige kan acceptera ändringen i plattformen före det datumet eller invända mot den. Om den personuppgiftsansvarige fortsätter att använda plattformen efter det datumet betraktas denna fortsatta användning som accept av den nya versionen, och accepten registreras med version, dokumenthash och tidpunkt för varslet. Om den personuppgiftsansvarige inte vill vara bunden kan de berörda delarna av avtalet sägas upp med verkan från den tidpunkt då ändringen skulle träda i kraft.

En senare instruktion har företräde endast inom sitt uttryckliga omfång och får inte ålägga FlowDule att handla olagligt. Vid konflikt om behandling av personuppgifter går detta avtal och bilagorna före handelsvillkoren.

Parternas ansvar följer artikel 82 GDPR och tvingande rätt. Eventuella avtalsrättsliga begränsningar följer Handelsvillkoren, men kan inte begränsa de registrerades eller myndigheternas rättigheter eller avvika från ansvar som inte lagligen kan begränsas.

Avtalet upphör när FlowDule inte längre behandlar personuppgifter för kundens räkning och alla skyldigheter om återlämnande, radering och dokumentation är uppfyllda. Bestämmelser om sekretess, revision, ansvar och dokumentation består i den utsträckning som deras ändamål kräver.

Avtalet regleras av dansk rätt. Behörig domstol följer Handelsvillkoren, utan att detta begränsar Datatilsynets eller andra behöriga myndigheters befogenheter.

Någon särskild bilaga fylls inte i per kund. Kundens dokumenterade instruktion är kedjans egna inställningar i plattformen tillsammans med detta avtal, se punkt 4 och 5. Ändringar i inställningarna registreras med tidpunkt och användare. Tabellen visar var de enskilda delarna av instruktionen framgår.

Den accepterade TOMS-bilagan identifieras med titel, version och dokumenthash i Bilaga A. Bilagan lämnas till kunden vid accept av avtalet och kan när som helst begäras via privacy@flowdule.com. Den offentliga Säkerhetsbeskrivningen är endast informativ; vid motstridighet har den accepterade TOMS-bilagan företräde.

Den accepterade offentliga underbiträdesförteckningen identifieras med version och hash i Bilaga A. FlowDule tar endast ett underbiträde i bruk för personuppgifter när juridisk enhet, tjänst, ändamål, datakategorier, behandlingsregion, supportåtkomst, personuppgiftsbiträdesavtal och överföringsgrund är på plats, och, vid överföring till ett land utanför EU och EES, en överföringsbedömning (transfer impact assessment) med de kompletterande åtgärder som är nödvändiga.