1. Föremål och giltighetstid

• 1.1 Detta tilläggsavtal reglerar behandlingen av personuppgifter som ingår i kunduppgifterna.
• 1.2 Detta tilläggsavtal gäller under den tid som kunden använder tjänsten och så länge som personuppgiftsbiträdet behandlar personuppgifter på uppdrag av den personuppgiftsansvarige.

2. Behandlingens art och syfte
‍

Behandlaren behandlar personuppgifter uteslutande i syfte att:

• tillhandahålla och driva Tjänsten,
• så att kunden kan använda tjänsten,
• tillhandahålla kundsupport,
• säkerställa säkerheten och systemets integritet,
• att uppfylla lagstadgade skyldigheter.

3. Kategorier av registrerade
‍

Personuppgifter kan avse:

• Kundens anställda
• Kundrepresentanter
• Slutanvändare av kundprojekt
• Andra personer vars personuppgifter ingår i kunduppgifterna

4. Typer av personuppgifter
‍

Beroende på kundens användning kan personuppgifter omfatta:

• Namn
• Kontaktuppgifter
• Yrkestitlar
• Användar-ID
• IP-adresser och användningsdata
• Personuppgifter som ingår i uppladdade dokument eller ritningar

5. Processorns skyldigheter
‍

Processorn ska:

• 5.1 Behandla personuppgifter endast enligt dokumenterade instruktioner från den personuppgiftsansvarige.
• 5.2 Säkerställ att behörig personal iakttar sekretess.
• 5.3 Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder.
• 5.4 Bistå den registeransvarige med begäranden om den registrerades rättigheter när detta är rimligt möjligt.
• 5.5 Meddela den personuppgiftsansvarige utan onödigt dröjsmål om varje personuppgiftsincident.
• 5.6 Inte sälja personuppgifter.
• 5.7 Behandlaren ska säkerställa att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta sekretess eller är bundna av en lämplig lagstadgad sekretessplikt.

6. Anonymisering och förbättring av tjänsten

• 6.1 Behandlaren får använda kunddata i syfte att förbättra, utveckla, testa och träna Tjänsten, inbegripet modeller för maskininlärning, men endast efter det att dessa uppgifter har anonymiserats på ett oåterkalleligt sätt.
• 6.2 Anonymiserade uppgifter får inte identifiera, och får inte kunna identifiera, någon enskild person eller den registeransvarige.
• 6.3 När uppgifterna har anonymiserats ska de inte längre betraktas som personuppgifter enligt detta tilläggsavtal.
• 6.4 Behandlaren får inte använda identifierbara personuppgifter som ingår i kunduppgifterna för egna, oberoende ändamål.

7. Underleverantörer

• 7.1 Den personuppgiftsansvarige ger personuppgiftsbiträdet tillstånd att anlita underbiträdet.
• 7.2 En aktuell förteckning över underleverantörer finns på: https://www.planmetry.com/subprocessors
• 7.3 Behandlaren ska säkerställa att underleverantörer är bundna av skriftliga avtal som ålägger dem dataskyddsförpliktelser som motsvarar dem som anges i detta tilläggsavtal.
• 7.4 Den personuppgiftsansvarige får invända mot en ny underleverantör av personuppgiftsbehandling av rimliga dataskyddsskäl inom trettio (30) dagar från det att han eller hon underrättats.

8. Internationella överföringar
‍

När personuppgifter överförs utanför EES ska personuppgiftsbiträdet säkerställa lämpliga skyddsåtgärder i enlighet med GDPR, däribland:

• Beslut om tillräcklighet, eller
• Standardavtalsklausuler (SCC).

9. Säkerhetsåtgärder
‍

Processorn vidtar lämpliga tekniska och organisatoriska åtgärder, bland annat:

• Kryptering under överföring (TLS)
• Åtkomstkontroll och rollbaserade behörigheter
• Logisk separering av kunddata
• Övervakning och loggning
• Säker molninfrastruktur
• Säkerhetskopiering och katastrofåterställning

10. Revision och bevis på efterlevnad

• 10.1 Behandlaren ska tillhandahålla den information som rimligen krävs för att styrka efterlevnaden.
• 10.2 Revisioner får genomföras:

• högst en gång per kalenderår,
• med minst 30 dagars skriftligt varsel,
• under ordinarie öppettider.

11. Återlämnande och radering

• Vid uppsägning av Tjänsten ska personuppgiftsbiträdet radera eller anonymisera personuppgifterna efter en rimlig lagringstid, som inte får överstiga nittio (90) dagar, såvida inte annat följer av lag.
  ‍
  Den personuppgiftsansvarige ansvarar för att exportera uppgifterna före uppsägningen.

12. Ansvar

• Ansvaret enligt detta tilläggsavtal omfattas av de begränsningar som anges i användarvillkoren.
  ‍
  Inget i detta tilläggsavtal begränsar ansvar som inte kan begränsas enligt tillämplig lag.

Tillägg för företag

• (Gäller endast Enterprise-abonnemang)
  ‍
  Detta avsnitt gäller endast om kunden har ingått ett Enterprise-abonnemangsavtal som uttryckligen omfattar funktioner för datakontroll i Enterprise.

13. Datahosting och kontroll inom företaget

• 13.1 Kundstyrd lagring
  ‍
  Om så överenskommits inom ramen för ett Enterprise-abonnemang kan kunddata lagras i en kundstyrd miljö, till exempel kundens egen molninfrastruktur (t.ex. SharePoint, Azure, AWS eller annan angiven lagringsmiljö).
  ‍
  I sådana fall:

• Planmetry behandlar kunduppgifter uteslutande i syfte att tillhandahålla tjänsten.
• Långsiktig lagring av kunddata sker i den miljö som kunden själv kontrollerar.
• Planmetry lagrar inte separata kopior av kunddata utöver vad som är tekniskt nödvändigt för tillfällig behandling.

• 13.2 Tillfällig behandling och cachelagring
  
  För att tillhandahålla tjänstens funktionalitet kan kunddata tillfälligt behandlas, lagras i cache eller buffras inom den infrastruktur som förvaltas av Planmetry under aktiva sessioner eller tekniska åtgärder.
  
  Sådan tillfällig lagring:

• är begränsad till vad som är tekniskt nödvändigt,
• skrivs automatiskt över eller raderas efter att sessionen avslutats eller efter fastställda kortvariga behandlingsperioder,
• Används inte för oberoende analyser eller modellträning.

• 13.3 Förbud mot användning för träning (Enterprise-alternativet)
  
  Om inte annat uttryckligen avtalats skriftligen får Planmetry inte använda Enterprise-kunddata, inklusive anonymiserade derivat, i syfte att träna eller förbättra maskininlärningsmodeller.
  
  Förbättring av tjänsten för Enterprise-abonnemang ska begränsas till:

• Säkerhetsövervakning,
• Felsökning,
• Prestandaoptimering,
• Sammanställda driftsmått som inte härrör från kundinnehåll.

• 13.4 Äganderätt till och kontroll över data
  
  -kunden behåller full äganderätt till och kontroll över företagskundens data.
  Planmetry får inte:

• utnyttja företagskundernas data i kommersiellt syfte,
• Använd den för egen analys,
• Kombinera den med data från andra kunder för utbildning eller produktutveckling.

• 13.5 Ansvarsfördelning
  
  Om kunden väljer kundstyrd lagring:

• Kunden ansvarar för säkerheten och åtkomstkontrollen i sin angivna lagringsmiljö.
• Planmetry ansvarar för säkerheten vid den behandling som utförs inom den infrastruktur som förvaltas av Planmetry.