Personuppgiftsbiträdesavtal

Det här avtalet gäller automatiskt mellan er förening (personuppgiftsansvarig) och Gunnel (personuppgiftsbiträde) när föreningen använder Gunnel. Det reglerar hur Gunnel får behandla personuppgifter på föreningens uppdrag enligt artikel 28 i dataskyddsförordningen (GDPR).

1. Parter

Personuppgiftsansvarig: den förening som har ett konto i Gunnel (fortsättningsvis ”Föreningen”).

Personuppgiftsbiträde: Vindsmide AB, organisationsnummer 559605-8213, som driver tjänsten Gunnel (fortsättningsvis ”Gunnel”).

2. Avtalets syfte

Gunnel behandlar personuppgifter för Föreningens räkning för att tillhandahålla tjänsten enligt användarvillkoren och integritetspolicyn. Avtalet säkerställer att behandlingen sker enligt GDPR och annan dataskyddslagstiftning.

3. Behandlingens art och syfte

Kategorier av registrerade

• Föreningens medlemmar
• Styrelseledamöter, revisorer och andra förtroendevalda
• Föreningens kontakter
• Mötesdeltagare, justerare och de som signerar protokoll
• Föreningens användare av Gunnel

Kategorier av personuppgifter

• Identifikationsuppgifter, som namn, roll och medlemsnummer
• Kontaktuppgifter, som adress, e-post och telefon
• Innehållet i protokoll, transkript, kalender och uppladdade dokument
• Underskrifter med tidpunkt, IP-adress och webbläsare
• Fritext som Föreningen själv skriver, som anteckningar

Gunnel är inte byggt för känsliga personuppgifter enligt artikel 9 i GDPR. Föreningen ska bara lägga in sådana uppgifter om det är nödvändigt och tillåtet, till exempel när ett protokoll måste nämna ett ärende som rör en enskild.

Ändamål

• Protokoll, justering och signering
• Föreningens dokument och register
• Kalender och kallelser
• Mejl som Föreningen skickar via Gunnel
• AI-hjälp, frivilligt och möjligt att stänga av

Behandlingens varaktighet

Så länge Föreningen har ett konto, och därefter enligt punkt 4 om radering.

4. Gunnels åtaganden

• Bara behandla personuppgifterna enligt Föreningens dokumenterade instruktioner, som i huvudsak är användningen av tjänstens funktioner.
• Se till att de som behandlar uppgifterna har tystnadsplikt.
• Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32 i GDPR.
• Hjälpa Föreningen att svara på de registrerades begäranden, till exempel om utdrag eller radering.
• Meddela Föreningen en personuppgiftsincident utan onödigt dröjsmål, och senast inom 72 timmar.
• Hjälpa Föreningen med konsekvensbedömningar och samråd med IMY när det krävs.
• När avtalet upphör ge Föreningen möjlighet att ladda ner sina uppgifter och radera dem senast 90 dagar därefter.

5. Underbiträden

Föreningen ger Gunnel ett allmänt tillstånd att anlita underbiträden enligt den lista som finns under Underbiträden. Gunnel informerar Föreningen med e-post minst 30 dagar innan ett underbiträde läggs till eller byts ut, och Föreningen har rätt att invända. Gunnel har skriftliga avtal med alla underbiträden som ålägger dem samma skyldigheter som det här avtalet.

6. Överföring till tredje land

Föreningens uppgifter lagras i EU. AI-funktionerna innebär överföring till Google LLC i USA, och inloggningen sköts av en global tjänst från Google. Överföringarna sker under EU-kommissionens standardavtalsklausuler (beslut 2021/914). Föreningen kan stänga av AI-funktionerna under Inställningar, Förening, och då skickas ingenting till AI-tjänsten.

7. Säkerhetsåtgärder

• HTTPS-kryptering av all trafik
• Kryptering av lagrade uppgifter
• Lösenord som lagras krypterat och aldrig i klartext
• Varje förenings uppgifter åtskilda från andras, med databasregler som bara släpper in föreningens användare
• Personliga länkar för justering och signering som inte går att gissa
• Löpande uppdateringar av kod och beroenden

8. Föreningens åtaganden

• Se till att det finns en rättslig grund för behandlingen av uppgifterna i Gunnel
• Bara lägga in uppgifter som behövs för föreningens verksamhet
• Informera medlemmarna om att deras uppgifter finns i Gunnel
• Informera de närvarande innan ett möte spelas in för transkribering
• Skydda inloggningsuppgifterna och säga till om någon obehörig kan ha kommit åt dem

9. Granskning

Gunnel lämnar på begäran den information Föreningen behöver för att kunna kontrollera att avtalet följs, till exempel en beskrivning av säkerhetsåtgärderna och behandlingen.

10. Avtalets giltighet

Avtalet gäller från det att Föreningen får ett konto i Gunnel och så länge Gunnel behandlar personuppgifter för Föreningens räkning.

11. Tvister

Svensk rätt gäller för avtalet. Tvister löses i första hand genom förhandling och annars av svensk allmän domstol.

12. Kontakt

Frågor om avtalet eller om dataskydd: hej@gunneldok.se. Vill föreningen ha avtalet underskrivet på papper, mejla oss så skickar vi ett exemplar att skriva under.