PUB-avtal, i klartext.

01Parter och omfattning

Det här personuppgiftsbiträdesavtalet (”PUB-avtalet”) gäller mellan er som kund och Curant AB. Det ingår i våra allmänna villkor och gäller när vi behandlar personuppgifter för er räkning för att leverera de säljtjänster ni beställer av oss.

• PersonuppgiftsansvarigNi som kundFöretaget som anges i beställningenKallas ”ni” i avtalet
• PersonuppgiftsbiträdeCurant ABKungsgatan 12, 111 35 StockholmOrg.nr XXXXXX-XXXXKallas ”vi” eller ”oss”

För de uppgifterna är ni personuppgiftsansvarig och vi ert personuppgiftsbiträde enligt art. 28 i dataskyddsförordningen (GDPR).

Vissa uppgifter behandlar vi för egna ändamål, och då är vi själva personuppgiftsansvariga: för vår egen försäljning och marknadsföring, för vår kundrelation med er och för vår spärrlista – när någon ber att inte bli kontaktad sparar vi det som behövs för att respektera det hos alla kunder. Den behandlingen beskrivs i vår integritetspolicy, inte i det här avtalet.

Begrepp som personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde och personuppgiftsincident har samma betydelse som i GDPR. Med GDPR menas EU:s dataskyddsförordning (2016/679) och de svenska regler som kompletterar den.

02Vad vi behandlar

Ett personuppgiftsbiträdesavtal ska beskriva behandlingen (art. 28.3). Här är vår beskrivning.

Föremål

De personuppgifter vi behöver för att leverera de säljtjänster ni beställer: att bygga prospektlistor, nå ut via telefon, mejl och LinkedIn samt boka möten.

Behandlingens art

Insamling, lagring, strukturering, sökning och uppdatering, kontakt med prospekt, inspelning av samtal när ni har slagit på det, rapportering till er och radering.

Ändamål

Att boka kvalificerade möten åt er och rapportera om era kampanjer. Inget annat.

Varaktighet

Så länge vi levererar tjänster till er, och därefter tills uppgifterna har raderats eller lämnats tillbaka (se När uppdraget upphör).

Typer av personuppgifter

• Kontaktuppgifter: namn, titel, företag samt telefonnummer och mejladress i tjänsten.
• En länk till personens yrkesprofil, till exempel på LinkedIn.
• Anteckningar och utfall från samtalen, och samtalsinspelningar när inspelning är påslagen.
• De mejl och LinkedIn-meddelanden vi växlar med personen för er räkning.
• Mötesuppgifter: tid, deltagare och den briefing vi lämnar till ert team.
• För er personal: namn, jobbmejl och jobbtelefon, tillgänglighet i kalendern och användarkonton i kundportalen.

Kategorier av registrerade

• Prospekt och kontaktpersoner på de företag ni vill nå.
• Er personal som tar de möten vi bokar eller använder kundportalen.

Vi ber inte om, och ni ska inte skicka oss, känsliga personuppgifter (art. 9, till exempel om hälsa eller medlemskap i fackförening), uppgifter om lagöverträdelser eller personnummer.

03Era instruktioner

Vi behandlar personuppgifterna bara enligt era dokumenterade instruktioner. De utgörs av det här avtalet, de allmänna villkoren och er beställning samt de kampanjbriefer ni godkänner (målgrupp, listor, manus och kanaler). Nya instruktioner lämnar ni skriftligt – det går bra att mejla.

Om vi anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning säger vi till direkt, och vi kan pausa den delen av arbetet tills ni har bekräftat eller ändrat instruktionen.

Om lag kräver att vi behandlar uppgifterna på något annat sätt informerar vi er innan vi gör det, om inte lagen förbjuder det.

Som personuppgiftsansvarig ansvarar ni för att det finns en rättslig grund för behandlingen, för de listor och uppgifter ni ger oss och för att berätta om begränsningar vi behöver känna till, till exempel personer som har invänt mot att bli kontaktade. Det är också ni som bestämmer om samtal ska spelas in.

04Sekretess och säkerhet

Alla hos oss som har tillgång till uppgifterna har tystnadsplikt, genom avtal eller enligt lag, och får bara den åtkomst som deras arbete kräver.

Vi skyddar uppgifterna med tekniska och organisatoriska åtgärder som står i proportion till risken (art. 32). Det innebär bland annat att vi:

• bara ger åtkomst till dem som arbetar med era kampanjer, och tar bort den när den inte längre behövs
• kräver flerfaktorsautentisering i de verktyg där era uppgifter finns
• krypterar uppgifterna både vid överföring och i lagring
• loggar åtkomst till de system där era uppgifter finns
• utbildar vår personal i dataskydd och säker hantering när de börjar, och sedan regelbundet
• regelbundet raderar uppgifter som inte längre behövs för era kampanjer
• ser över och testar åtgärderna, och uppdaterar dem när hot och verktyg förändras

Vi kan ändra åtgärderna över tid, men aldrig så att den samlade skyddsnivån sänks.

05Underbiträden och överföringar

Ni ger oss ett allmänt förhandstillstånd att anlita underbiträden. Det här är de vi använder i dag:

Vi meddelar er minst 30 dagar innan vi lägger till eller byter ut ett underbiträde. Under den tiden kan ni invända av sakliga skäl som rör dataskydd. Hittar vi ingen lösning tillsammans får ni säga upp den del av tjänsterna som berörs.

Varje underbiträde är bundet av ett skriftligt avtal med samma skyldigheter för dataskydd som i det här avtalet. Vi ansvarar gentemot er för hur de behandlar uppgifterna.

Överföring utanför EU/EES

Uppgifterna lagras inom EU. Vi för bara över dem till ett land utanför EU/EES när GDPR tillåter det: till ett land som EU har bedömt har en adekvat skyddsnivå, eller med lämpliga skyddsåtgärder som EU-kommissionens standardavtalsklausuler och kompletterande åtgärder när de behövs. Det gäller även när ett underbiträdes personal kommer åt uppgifterna från ett land utanför EU/EES, till exempel för support.

06Stöd och granskning

Vi hjälper er att uppfylla era egna skyldigheter enligt GDPR, så långt det är rimligt med hänsyn till behandlingens art och den information vi har.

Begäranden från registrerade

Om någon vill få tillgång till, rätta eller radera sina uppgifter, eller invänder mot hur de används, hjälper vi er att svara med den information och de verktyg vi har. Kommer begäran till oss skickar vi den vidare till er utan onödigt dröjsmål, och vi svarar inte själva om ni inte ber oss om det.

Ett undantag: ber någon att inte bli kontaktad igen slutar vi direkt i alla kanaler, sätter personen på vår spärrlista inom en arbetsdag och meddelar er.

Konsekvensbedömningar och IMY

Vi hjälper er med konsekvensbedömningar avseende dataskydd (art. 35) och era övriga skyldigheter enligt art. 32–⁠36, bland annat vid förhandssamråd med Integritetsskyddsmyndigheten (IMY) när ett sådant behövs.

Behöver ni hjälp utöver det som normalt ingår i tjänsterna kommer vi först överens med er om omfattning och eventuell kostnad.

Information och granskning

På begäran ger vi er den information ni behöver för att visa att vi uppfyller våra skyldigheter enligt det här avtalet och art. 28.

Ni, eller en oberoende granskare med tystnadsplikt, får granska oss, även genom inspektioner, med minst 30 dagars varsel, under kontorstid, högst en gång per år och på er bekostnad. Begränsningen gäller inte efter en personuppgiftsincident eller när en tillsynsmyndighet kräver en granskning.

07Personuppgifts­incidenter

Om vi får kännedom om en personuppgiftsincident som rör era uppgifter meddelar vi er utan onödigt dröjsmål, och senast inom 48 timmar.

Vi ger er det ni behöver för att anmäla incidenten till IMY och vid behov informera de registrerade (art. 33.3):

• vad som har hänt, vilka kategorier av registrerade och personuppgifter som berörs och ungefär hur många
• de sannolika konsekvenserna
• vad vi har gjort, eller föreslår, för att hantera incidenten och begränsa skadan
• en kontaktperson som kan svara på era frågor

Har vi inte all information på en gång skickar vi det vi vet och kompletterar efter hand. Som personuppgiftsansvarig beslutar ni om incidenten ska anmälas till IMY och om de registrerade ska informeras.

08När uppdraget upphör

Avtalet gäller så länge vi behandlar personuppgifter för er räkning, även efter att själva tjänsterna har upphört.

När tjänsterna upphör väljer ni om vi ska radera personuppgifterna eller lämna tillbaka dem till er. Det gör vi inom 30 dagar, och därefter raderar vi alla kvarvarande kopior.

Vi sparar bara uppgifter som vi enligt lag måste spara, och bara så länge lagen kräver. De skyddas då enligt det här avtalet. Uppgifter på vår spärrlista sparas enligt vår integritetspolicy.

På begäran bekräftar vi skriftligt att uppgifterna har raderats.

09Ansvar, rangordning och lag

Parternas ansvar enligt det här avtalet följer ansvarsbestämmelserna i våra allmänna villkor, inklusive ansvarsbegränsningarna. Det begränsar inte de registrerades rättigheter enligt GDPR.

Om det här avtalet och villkoren, eller en beställning, säger olika saker om personuppgifter gäller det här avtalet.

Vi kan uppdatera det här standardavtalet när lagstiftning, myndigheters vägledning eller våra tjänster förändras. Väsentliga ändringar meddelar vi innan de börjar gälla, och vi sänker aldrig skyddet för era uppgifter utan ert godkännande.

På avtalet tillämpas svensk lag, och tvister avgörs av Stockholms tingsrätt.

10Kontakta oss

Använd den här adressen för instruktioner, invändningar mot underbiträden och allt annat som rör avtalet. Meddelanden om personuppgiftsincidenter skickar vi till den kontaktperson ni har angett.