Personuppgifts­biträdesavtal (DPA)

1. Parter

Personuppgiftsansvarig: Kunden ("ni") — det företag som använder NPA.

Personuppgiftsbiträde: Elias Salloum (privatperson), som driver tjänsten Nordic Procurement Analytics ("NPA", "vi").

2. Behandlingens omfattning

Föremål och varaktighet

NPA behandlar personuppgifter för att tillhandahålla SaaS-tjänsten medan kontot används samt 30 dagar efter att kontot avslutats för säker radering.

Syfte

Leverans av leverantörsanalys-plattform: lagring av data, beräkning av KPI:er, generering av rapporter och rankningar.

Typer av personuppgifter

• Användarkontouppgifter (namn, e-post, lösenord-hash, IP)
• Leverantörers kontaktuppgifter (om kunden laddar upp dessa)
• Namn på kundens inköpare eller handläggare (om de finns i uppladdade filer)
• Affärs- och transaktionsdata kopplad till leverantörer

Kategorier av registrerade

• Kundens anställda och företrädare som använder plattformen
• Kontaktpersoner hos kundens leverantörer (om sådana ingår i uppladdad data)

3. NPA:s skyldigheter

NPA åtar sig att:

• Endast behandla personuppgifter enligt kundens dokumenterade instruktioner.
• Säkerställa att personal som behandlar uppgifter har tystnadsplikt.
• Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt GDPR Artikel 32.
• Bistå kunden vid begäran från registrerade om utövande av deras rättigheter.
• Bistå kunden vid säkerhetsincidenter, konsekvensbedömningar och förhandssamråd.
• Radera eller återlämna personuppgifter efter avtalets slut enligt kundens val.
• Underrätta kunden om personuppgiftsincident inom 72 timmar.

4. Tekniska och organisatoriska säkerhetsåtgärder

• Kryptering i transit: TLS 1.2+ för all kommunikation.
• Kryptering i vila: Krypterad lagring på infrastrukturnivå.
• Åtkomstkontroll: Varje kunds data är åtskild; behörighetsnivåerna Administratör, Full behörighet och Endast se per arbetsyta.
• Autentisering: Lösenord lagras hashade (PBKDF2). Tvåstegsverifiering finns och kan krävas per arbetsyta. Automatisk utloggning efter 60 minuters inaktivitet.
• Loggning: Händelselogg per arbetsyta (inklusive varje AI-anrop), raderas automatiskt efter 12 månader.
• Lagringstid: Uppladdade filer raderas 36 månader efter importen, rader ur dem 36 månader efter att de senast förekom i en fil, analyser efter 60 månader.
• Backup: Databasen säkerhetskopieras löpande och kopiorna sparas i 3 dagar. Raderade eller överskrivna filer finns kvar som tidigare versioner i högst 3 dagar.
• Sårbarhetshantering: Regelbunden patchning av beroenden.

5. Underbiträden

NPA använder följande underbiträden. Kunden godkänner att NPA anlitar dessa:

• Drift: Render Services, Inc., drift av tjänsten och databasen på servrar i Frankfurt, Tyskland.
• Fillagring: Amazon Web Services EMEA SARL, lagring av uppladdade filer i Stockholm.
• E-post: Amazon Web Services EMEA SARL (Amazon SES) i Stockholm, utgående mejl och mejl som kunden skickar till tjänsten.
• AI-tolkning: Anthropic PBC, USA. Används när en ny fil läses in, när en kolumn har fått nytt namn sedan förra filen och när en användare ber om ett KPI-förslag för en enskild kolumn. Tar emot kolumnrubriker, maskerade exempelvärden och en sammanfattning per kolumn. Datum, tal, ID-nummer, belopp, längre text och värden i kolumner som brukar innehålla namn, kontaktuppgifter eller kommentarer ersätts med platshållare innan något skickas. Korta enordsvärden i övriga kolumner (svar och kategorier) skickas som de är, och för mängder och andelar skickas bara lägsta, högsta och genomsnittligt värde. Text som en användare själv skriver till AI:n skickas som den är. Anthropic använder inte uppgifterna för att träna modeller.

NPA meddelar kunden minst 30 dagar innan nya underbiträden anlitas. Kunden har rätt att invända.

6. Överföring till tredje land

Behandlingen sker inom EU/EES, med undantag för AI-tolkningen hos Anthropic i USA (se avsnitt 5). Överföringen sker enligt Anthropics personuppgiftsbiträdesavtal, som ingår i deras kommersiella villkor och bygger på EU-kommissionens standardavtalsklausuler. Render och Amazon Web Services behandlar data på servrar inom EU/EES; de har amerikanska moderbolag och deras personuppgiftsbiträdesavtal bygger också på standardavtalsklausulerna.

7. Bistånd och granskning

NPA bistår kunden vid revisioner och inspektioner, inklusive att tillhandahålla relevant dokumentation. Kunden har rätt att granska NPA:s efterlevnad max en gång per år, eller vid skälig misstanke om brott mot avtalet.

8. Personuppgiftsincident

Vid personuppgiftsincident underrättar NPA kunden utan onödigt dröjsmål och senast inom 72 timmar. Underrättelsen innehåller incidenttyp, omfattning, åtgärder och kontaktperson.

9. Avtalets upphörande

När kunden raderar sin arbetsyta raderas all data, alla uppladdade filer och händelseloggen direkt. Vid avtalets upphörande i övrigt raderar NPA all kunddata inom 30 dagar, om inte annat avtalats. Kunden kan begära dataexport innan radering.

10. Ändringar

Detta DPA kan komma att uppdateras för att följa gällande lagstiftning. Ändringar meddelas kunden minst 30 dagar i förväg.

11. Tillämplig lag

Svensk lag och EU:s dataskyddsförordning (GDPR).

Detta är en mall. För en signerad version, skriv via kontaktformuläret.