Personuppgiftsbiträdesavtal

När Kunden behandlar personuppgifter som personuppgiftsansvarig är Redosum Kundens personuppgiftsbiträde. När Kunden själv behandlar uppgifterna som biträde åt sin uppdragsgivare är Redosum underbiträde, och Kunden ansvarar för att ha stöd för att anlita Redosum.

Redosum behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Detta avtal, Kundens användning av tjänsten och tjänstens inställningar utgör Kundens instruktioner. Redosum informerar Kunden om en instruktion enligt Redosums bedömning strider mot dataskyddsreglerna.

Behandlingen sker för att ta emot och strukturera ekonomiskt underlag, utföra AI-stödd analys, möjliggöra granskning och verifiering, föra dialog med Kundens kunder i tjänsten samt för drift, säkerhet och felsökning av tjänsten.

Kategorier av registrerade: kontaktpersoner, företrädare, anställda och andra personer som förekommer i Kundens kunders ekonomiska underlag, samt Kundens egna användare.

Kategorier av personuppgifter: namn, kontaktuppgifter, roll, uppgifter i bokföring, rapporter och verifikationer, användar- och loggdata.

Dataminimering: Kunden laddar endast upp det underlag som behövs. Känsliga personuppgifter, fullständiga bankkontonummer, kortuppgifter, personnummer och andra ID-handlingar samt hälsouppgifter ska maskeras eller utelämnas om de inte behövs för uppdraget.

Personer som behandlar personuppgifter för Redosums räkning omfattas av tystnadsplikt. Redosum vidtar lämpliga tekniska och organisatoriska åtgärder, bland annat behörighetsstyrning per byrå och kund, tvåstegsverifiering för byråanvändare, krypterad överföring och loggning.

Redosum bistår Kunden, med hänsyn till behandlingens art, när registrerade utövar sina rättigheter och med Kundens skyldigheter enligt artiklarna 32–36 i dataskyddsförordningen.

Redosum informerar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör Kundens uppgifter, med den information som finns tillgänglig.

Kunden ger generellt förhandstillstånd till att Redosum anlitar underbiträden. Redosum informerar om väsentliga ändringar i förväg, och Kunden får invända av sakliga skäl. Redosum ålägger underbiträden motsvarande dataskyddsskyldigheter.

Aktuella underbiträden: Lovable (drift, databas, lagring och AI-förmedling). Redosums Business-workspace hos Lovable omfattas av Lovables personuppgiftsbiträdesavtal. Externa AI-modellleverantörer anlitas via Lovable AI Gateway; vilken modell och leverantör som används kan variera.

Personuppgifter kan överföras till länder utanför EU/EES, bland annat vid AI-bearbetning. Redosum garanterar inte att bearbetningen sker enbart inom EU/EES. Överföring sker endast med tillämpligt överföringsstöd, till exempel EU-kommissionens standardavtalsklausuler.

När avtalet upphör raderar eller återlämnar Redosum Kundens personuppgifter enligt Kundens val, om inte lag kräver fortsatt lagring. Kopior i säkerhetskopior och hos underbiträden raderas enligt deras normala cykler.

Redosum tillhandahåller den information som behövs för att visa att avtalet följs och medverkar vid rimliga granskningar som Kunden eller en av Kunden utsedd granskare genomför efter skriftligt varsel.

Avtalet gäller så länge Redosum behandlar personuppgifter för Kundens räkning. Vid en ny version av avtalet behöver Kunden acceptera den innan nytt underlag kan laddas upp; befintligt material förblir läsbart.