Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") är Bilaga 1 till företagsvillkoren för Serviceboken Företag och gäller när Bolaget godkänner villkoren. Vid motstridighet gäller Biträdesavtalet före villkoren i frågor om behandling av personuppgifter.
Bolaget är personuppgiftsansvarig och SeBo Innovations AB, org.nr 559501-2682, är personuppgiftsbiträde.
1. Föremål, varaktighet och art
SeBo behandlar personuppgifter för Bolagets räkning endast för att tillhandahålla Tjänsten enligt företagsvillkoren: att visa Bolagets fordonsflotta, koppla förare till fordon, lagra kvitton och servicehistorik, förmedla verkstadsförfrågningar samt sköta konton och fakturering.
Använder Bolaget leasingmodulen behandlar SeBo dessutom uppgifter för att hålla ordning på Bolagets leasingavtal: läsa av uppladdade avtal, beräkna körsträcka och övermil, påminna inför avtalsslut och föreslå förarbyten. Kopplar Bolaget en körjournal hämtar SeBo mätarställning, förarens namn och körda kilometer per månad, uppdelat på tjänst och privat, från den. Positioner och enskilda resor hämtas inte.
Behandlingen pågår så länge avtalet gäller och avslutas enligt avsnitt 8.
2. Kategorier av registrerade och uppgifter
Registrerade är Bolagets användare (ägare och medlemmar) och de förare Bolaget anger på sina fordon.
Uppgifterna är namn, e-postadress, telefonnummer, roll i Bolaget, inloggningshändelser samt den koppling mellan förare och fordon som Bolaget själv registrerar. Uppgifter i uppladdade kvitton och dokument behandlas i den form Bolaget laddar upp dem. Det gäller även leasingavtal, som kan innehålla namn och personnummer på den som skrivit under.
I leasingmodulen tillkommer fordonens mätarställningar med datum och, om Bolaget kopplat en körjournal, förarens namn där och körda kilometer per fordon och månad, uppdelat på tjänst och privat. Inga känsliga personuppgifter enligt artikel 9 GDPR ska behandlas i Tjänsten.
3. SeBos skyldigheter
SeBo behandlar personuppgifter endast enligt Bolagets dokumenterade instruktioner, som utgörs av företagsvillkoren, detta Biträdesavtal och de val Bolaget gör i Tjänsten. Om SeBo enligt lag måste behandla uppgifter på annat sätt informeras Bolaget innan behandlingen, om inte lagen förbjuder det.
SeBo säkerställer att personer med behörighet att behandla uppgifterna har åtagit sig sekretess, och vidtar de tekniska och organisatoriska säkerhetsåtgärder som krävs enligt artikel 32 GDPR.
4. Säkerhetsåtgärder
Åtkomst till Bolagets uppgifter kräver personlig inloggning och är begränsad till Bolagets egna användare. Trafik skyddas med TLS, lösenord lagras hashade, och åtkomst till driftmiljön är begränsad till namngiven personal med tvåfaktorsautentisering. Säkerhetshändelser loggas. Data lagras inom EU/EES.
5. Underbiträden
Bolaget ger SeBo ett allmänt förhandsgodkännande att anlita underbiträden för drift, e-postutskick, fordonsdata, identifiering och avläsning av dokument. Vilka underbiträden som anlitas framgår av integritetspolicyn och, för leasingmodulen, av listan nedan.
- OpenAI Ireland Ltd: avläsning av leasingavtal som Bolaget laddar upp. Behandlingen sker med datalagring inom EU, och avtalen används inte för att träna modeller. Anlitas bara när Bolaget laddar upp ett avtal för avläsning.
SeBo meddelar Bolagets ägare minst 30 dagar innan ett nytt underbiträde anlitas eller byts ut. Bolaget kan invända skriftligen inom den tiden. Kvarstår invändningen får Bolaget säga upp avtalet till den dag ändringen träder i kraft, utan annan påföljd än att avgiften för påbörjad period inte återbetalas.
SeBo ålägger varje underbiträde samma skyldigheter som följer av detta Biträdesavtal och ansvarar för underbiträdets behandling.
6. De registrerades rättigheter
SeBo bistår Bolaget med lämpliga tekniska och organisatoriska åtgärder så att Bolaget kan besvara begäranden om registerutdrag, rättelse, radering, begränsning, dataportabilitet och invändning. Tjänsten innehåller funktioner för export och radering som Bolaget kan använda själv.
Vänder sig en registrerad direkt till SeBo hänvisar SeBo till Bolaget och underrättar Bolaget utan onödigt dröjsmål.
Det är Bolaget som informerar sina förare. För leasingmodulen finns en färdig text i bilagan nedan, och samma text visas i Tjänsten när Bolaget kopplar en körjournal.
7. Personuppgiftsincidenter och bistånd
SeBo underrättar Bolaget utan onödigt dröjsmål, och senast inom 24 timmar från att incidenten upptäckts, om en personuppgiftsincident som rör Bolagets uppgifter. Underrättelsen innehåller de uppgifter som krävs enligt artikel 33.3 GDPR i den mån de är kända, och kompletteras allteftersom.
SeBo bistår även Bolaget med konsekvensbedömningar och förhandssamråd enligt artiklarna 35 och 36 GDPR, i den utsträckning det är rimligt med hänsyn till behandlingens art och den information SeBo har tillgång till.
8. Radering och återlämnande
När avtalet upphör raderar eller anonymiserar SeBo Bolagets personuppgifter enligt avsnitt 11 i företagsvillkoren, det vill säga senast 90 dagar efter avslut. Bolaget kan dessförinnan exportera sina uppgifter i Tjänsten.
Under avtalets gång raderas körjournalens månadssummor för tjänst och privat när Bolaget kopplar bort körjournalen, och senast efter 13 månader. Uppladdade leasingavtal raderas 12 månader efter att avtalet löpt ut.
Fordonens historik behålls kopplad till respektive fordon och avskild från Bolaget, för fordonets kommande ägare. Uppgifter som SeBo måste behålla enligt lag, till exempel bokföringsunderlag, behålls så länge lagen kräver och behandlas då enbart för det ändamålet.
9. Granskning
SeBo ger Bolaget tillgång till den information som behövs för att visa att skyldigheterna i artikel 28 GDPR fullgörs, och möjliggör granskning, inbegripet inspektion, som utförs av Bolaget eller en av Bolaget utsedd oberoende granskare.
Granskning aviseras minst 30 dagar i förväg, sker under kontorstid, får ske högst en gång per år om inte en incident eller myndighetsbeslut föranleder annat, och får inte störa driften. Bolaget står för sina egna och granskarens kostnader.
10. Ansvar och kontakt
Ansvarsbegränsningen i företagsvillkoren avsnitt 12 gäller även detta Biträdesavtal, i den mån tvingande lag tillåter det.
Frågor om behandlingen ställs till SeBo Innovations AB, org.nr 559501-2682, e-post foretag@serviceboken.com.
Bilaga: Information till förare
En text som Bolaget kan lämna till sina förare när leasingmodulen och en körjournal används. Bolaget fyller i sitt namn och kan komplettera texten.
Vad som registreras om dig
- Ditt namn, kopplat till den bil du kör. Namnet skrivs in av bolaget, eller hämtas från bolagets körjournal.
- Bilens mätarställning, med datum.
- Hur många kilometer bilen körts per månad, uppdelat på tjänst och privat. Bara summan för månaden.
Vad som inte registreras
Var bilen har varit, vilka vägar den kört eller när. Positioner och enskilda resor hämtas aldrig. Inte heller ditt telefonnummer, din e-post eller ditt anställningsnummer från körjournalen.
Varför
För att hålla koll på bolagets leasingavtal: när en ny bil behöver beställas och om en bil är på väg att köra mer än avtalet tillåter. Uppgifterna används inte till att bedöma hur du kör.
Vem som ser uppgifterna
Bolagets ägare och flottansvariga i Serviceboken Företag. Som förare har du inget konto där.
Hur länge
Månadssummorna för tjänst och privat sparas i högst 13 månader och tas bort direkt om körjournalen kopplas bort. Mätarställningarna är bilens historik och sparas så länge bolaget använder tjänsten. Allt tas bort senast 90 dagar efter att bolaget slutat använda tjänsten.
Dina rättigheter
Du kan begära att få veta vilka uppgifter som finns om dig, få fel rättade och i vissa fall få uppgifter raderade. Du kan också invända mot behandlingen. Kontakta i första hand bolaget. Du kan också klaga hos Integritetsskyddsmyndigheten, imy.se.
Bolaget är personuppgiftsansvarigt. SeBo Innovations AB, som driver Serviceboken, är personuppgiftsbiträde.