Personuppgiftsbiträdesavtal

Tillämpning och parter

Detta personuppgiftsbiträdesavtal gäller när det införlivas i ett avtal mellan Stockholm IT Academi AB, som biträde, och den identifierade kunden, som personuppgiftsansvarig. Om kunden själv är biträde måste den ha tillstånd från sin personuppgiftsansvarige att anlita oss. Villkoren omfattar inte behandling där DAWN självständigt är personuppgiftsansvarig.

Publicering innebär inte att ett kundspecifikt biträdesavtal ingås eller att alla leverantörer som stöds godkänns. Före behandling ska accepterad beställning och behandlingsbilaga identifiera kund, behöriga kontakter, aktiverade tjänster, varaktighet, valda mottagare och platser samt tillämpliga överföringsarrangemang. En allmän hänvisning till sidan godkänner inte en oidentifierad leverantör.

Beskrivning av behandlingen

Behandlingen avser kundens konfigurerade tjänst för rekrytering och personalarbete. Åtgärder kan omfatta insamling, lagring, organisering, hämtning, visning, överföring, analys, rättelse, export och radering, inklusive AI-behandling eller röstbehandling när sådan är aktiverad. Ändamålet är att utföra kundens dokumenterade arbetsflöden, inte att bestämma självständiga ändamål för anställning.

Registrerade kan vara sökande, kandidater, anställda, konsulter, chefer, referenspersoner och behöriga användare. Uppgifter kan omfatta identitet, kontaktuppgifter, arbetshistorik, kvalifikationer, ansökningar, personaluppgifter, meddelanden, dokument, intervjumedia, transkript, bedömningar och granskningsloggar. Endast kategorier som behövs för den avtalade tjänsten ingår. Känsliga personuppgifter och uppgifter om lagöverträdelser kräver uttrycklig laglig instruktion och lämpliga skyddsåtgärder. De är inte tillåtna som standard.

Behandlingen pågår under tjänstens avtalstid och processen för återlämning eller radering, med förbehåll för rättslig lagringsskyldighet. Kunden behåller rätten och skyldigheten att ge lagliga instruktioner, granska skyddsåtgärder, genomföra revision och bestämma lagring.

Instruktioner och sekretess

Vi behandlar personuppgifter endast enligt kundens dokumenterade instruktioner, även beträffande överföringar, om inte tillämplig lag kräver annat. Vi informerar kunden om ett sådant lagkrav före behandlingen om lagen inte förbjuder det. Vi informerar skyndsamt om en instruktion förefaller strida mot tillämplig dataskyddslagstiftning och kan pausa instruktionen i väntan på klarläggande.

Behörig personal ska omfattas av sekretess och ha åtkomst begränsad till sitt arbete. Kunduppgifter får inte säljas, användas för annonsering eller återanvändas för orelaterad modellträning enligt detta avtal.

Säkerhetsåtgärder

Vi upprätthåller åtgärder som är lämpliga för behandlingens risker. Tjänstebilagan ska beskriva de åtgärder som faktiskt gäller kunden, inklusive åtkomstkontroll och organisationsavgränsning, krypterad överföring, skydd av behörigheter, privat filåtkomst, loggning, incidenthantering och återställning. Åtgärderna ses över när risk eller tjänst ändras och får inte väsentligt försämras under avtalad tjänst utan likvärdigt skydd.

Säkerhetssidan beskriver relevanta kontroller och begränsningar. Den är inte en certifiering eller ersättning för en kundspecifik säkerhetsbilaga. Ett visst intervall för säkerhetskopiering, återställningsmål, särskild region eller nyckelhantering gäller bara när det uttryckligen dokumenterats och avtalats.

Underbiträden och överföringar

Vi anlitar ett underbiträde endast med kundens föregående särskilda eller allmänna skriftliga tillstånd och inför likvärdiga dataskyddsskyldigheter i avtal. Vi ansvarar fortsatt för att underbiträdet fullgör dessa skyldigheter. Vid allmänt tillstånd lämnar vi skriftlig förhandsinformation om planerade tillägg eller byten och en verklig möjlighet att invända av dataskyddsskäl innan den nya behandlingen börjar.

Kundbilagan anger godkända leverantörer och processen för underrättelse. En befogad invändning som inte lösts ska hanteras genom ett lämpligt alternativ eller avslut av den berörda behandlingen enligt kundavtalet. Överföringar utanför EES kräver dokumenterade instruktioner och en laglig överföringsmekanism. Detta avtal är inte i sig en sådan mekanism eller bevis för att ett leverantörsavtal har ingåtts.

Stöd och incidenter

Med hänsyn till behandlingens art och tillgänglig information hjälper vi kunden med registrerades begäranden, säkerhetsskyldigheter, konsekvensbedömningar och förhandssamråd. Vi vidarebefordrar begäranden som rör kundens uppgifter och bestämmer inte självständigt den lagliga lagringstiden för personaluppgifter.

Vi underrättar kunden utan onödigt dröjsmål när vi får kännedom om en personuppgiftsincident som påverkar kundens uppgifter. Information lämnas när den blir tillgänglig och omfattar incidentens art, berörda uppgifter och personer när de är kända, sannolika konsekvenser, åtgärder och kontaktväg. Kunden ansvarar fortsatt för sina underrättelser till myndigheter och enskilda. Vår underrättelse ersätter inte dessa skyldigheter.

Återlämning, radering och underlag

När behandlingstjänsten upphör återlämnar eller raderar vi personuppgifter enligt kundens val och raderar återstående kopior om inte tillämplig lag kräver lagring. Parterna dokumenterar en praktisk tidsplan som omfattar aktiva uppgifter, objektversioner, säkerhetskopior och leverantörer. Bevarade kopior ska avskiljas från vanlig användning och tas bort när den lagliga lagringen upphör. Vid återställning av en säkerhetskopia ska tillämpliga raderingsinstruktioner tillämpas igen.

Vi tillhandahåller den information som behövs för att visa efterlevnad och möjliggör och medverkar till revision, inklusive inspektioner av kunden eller dess utsedda revisor. Rimliga skydd för sekretess, underrättelse och åtkomst får skydda andra kunder och säkerheten men får inte omintetgöra revisionsrätten. Vi informerar kunden om väsentliga brister och åtgärdar dem.