Personuppgiftsbiträdesavtal

1. Föremål, art och ändamål

Vi behandlar personuppgifter endast för att tillhandahålla Tjänsten till Kunden: hantering av konton och platser, genomförande av utbildning i AI-kunnighet, bedömning av test och kunskapskontroller, utfärdande och verifiering av certifikat, utskick av e-post, förande av utbildningsbevis och granskningsspår samt tillhandahållande av rapporter och exporter. Behandlingen omfattar insamling, lagring, organisering, användning, överföring till de underbiträden som anges nedan, radering och övriga åtgärder som behövs för dessa ändamål.

2. Varaktighet

Detta DPA gäller så länge vi behandlar personuppgifter för Kunden: under abonnemangets löptid och den därpå följande perioden fram till radering som beskrivs i punkt 11.

3. Registrerade och kategorier av uppgifter

• Registrerade: Kundens anställda som tilldelats en plats samt Kundens administratörer.
• Identifierings- och kontaktuppgifter: namn, e-post, avdelning, yrkesroll och föredraget språk.
• Kontouppgifter: lösenordshash (Argon2id), uppgifter för tvåstegsverifiering om den används, inloggningstider och IP-adresser.
• Utbildningsuppgifter: tilldelade kurser, framsteg och tid i lektioner, svar i test och kunskapskontroller, resultat och försök, certifikat, bekräftelser av Kundens AI-policy.
• Registreringar som Kunden matar in: inventeringen av AI-verktyg och andra uppgifter som administratörerna matar in.
• Granskningslogg över viktiga åtgärder med tid och upphovsperson.

Tjänsten är inte utformad för särskilda kategorier av personuppgifter (art. 9 GDPR) och Kunden får inte mata in sådana.

4. Kundens instruktioner

Vi behandlar uppgifterna endast enligt Kundens dokumenterade instruktioner. Detta DPA, användarvillkoren samt Kundens administratörers inställningar och åtgärder i Tjänsten utgör Kundens fullständiga instruktioner. Vi informerar Kunden om vi anser att en instruktion strider mot dataskyddslagstiftningen, och vi får behandla uppgifter på annat sätt endast om unionsrätten eller medlemsstatens nationella rätt kräver det; i så fall informerar vi Kunden i förväg, om inte lagen förbjuder det.

5. Konfidentialitet

Endast personer som behöver åtkomst för att driva eller ge support för Tjänsten har åtkomst till uppgifterna, och de omfattas av tystnadsplikt.

6. Säkerhetsåtgärder

• Tjänsten och alla uppgifter körs på en server i ett datacenter i Tyskland (EU).
• Krypterade anslutningar (HTTPS); lösenord lagras endast som Argon2id-hashar; signerade sessionscookies som bara är åtkomliga via HTTP.
• Strikt åtskillnad mellan kunder: varje begäran kontrolleras mot den inloggade användaren och dennes företag.
• Tvåstegsverifiering för administratörer, obligatorisk för våra egna supportkonton och tillgänglig för varje administratör hos Kunden.
• Begränsning av antalet försök vid inloggning, återställning av lösenord och verifiering av certifikat.
• Lagrade hemligheter, som inloggningsuppgifter för e-postavsändare och nycklar för tvåstegsverifiering, är krypterade (AES-256-GCM).
• Testsvar bedöms på servern; rätt svar når aldrig webbläsaren.
• Granskningslogg över viktiga åtgärder och en logg över säkerhetshändelser som sparas i 30 dagar.
• Säkerhetskopior som sparas i upp till 30 dagar och en dokumenterad rutin för säkerhetsincidenter.

7. Supportåtkomst

Behörig supportpersonal hos MadHoney får logga in på Kundens administratörskonto för att konfigurera kontot eller lösa ett problem på Kundens begäran, eller när det behövs för att skydda Tjänsten. Sådan åtkomst är begränsad till administrationspanelen (aldrig lektioner, test eller certifikat för anställdas räkning), är tidsbegränsad och registreras i Kundens granskningslogg.

8. Underbiträden

• Hostinger International Ltd. (Cypern) - hyra av den virtuella privata server som Tjänsten körs på; datacenter i Tyskland (EU).
• ZONER a.s. (Tjeckien) - SMTP-server för leverans av e-post (inbjudningar, påminnelser, aviseringar); datacenter i Brno.

Kunden lämnar ett allmänt godkännande till att underbiträden anlitas. Vi ålägger var och en av dem dataskyddsskyldigheter som motsvarar detta DPA. Vi informerar Kundens administratörer via e-post minst 30 dagar innan ett underbiträde läggs till eller byts ut; Kunden kan invända av sakliga skäl och, om vi inte kan lösa invändningen, säga upp abonnemanget innan ändringen träder i kraft.

Paddle.com Market Ltd behandlar betalnings- och faktureringsuppgifter som självständig personuppgiftsansvarig (Merchant of Record) och får inga uppgifter om Kundens anställda.

9. Bistånd till Kunden

Administratörer kan se, rätta, exportera och radera sina anställdas uppgifter direkt i Tjänsten. Med hänsyn till behandlingens art hjälper vi också Kunden att besvara de registrerades begäranden och att fullgöra sina skyldigheter enligt artiklarna 32-36 i GDPR (säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning avseende dataskydd och förhandssamråd). Begäranden från anställda som når oss vidarebefordras till Kunden.

10. Personuppgiftsincidenter

Vi underrättar Kundens administratörer om en personuppgiftsincident utan onödigt dröjsmål och senast 48 timmar efter att vi fått kännedom om den, med den information som finns tillgänglig enligt artikel 33.3 i GDPR, och kompletterar den när ytterligare fakta blir kända. Vi vidtar åtgärder för att begränsa incidenten och mildra dess följder.

11. Radering och återlämnande av uppgifter

Under abonnemanget kan Kunden när som helst exportera sina rapporter, utbildningsbevis och granskningsspår. Efter abonnemangets slut kan administratörerna fortfarande logga in i 90 dagar, enbart för att exportera uppgifter; därefter raderas företaget och alla dess uppgifter automatiskt, om inte Kunden begär tidigare radering. Kopior i säkerhetskopior skrivs över inom 30 dagar. Uppgifter som vi enligt lag måste spara (t.ex. fakturor) omfattas inte av denna punkt.

12. Granskningar

Vi ställer den information till Kundens förfogande som behövs för att visa att detta DPA efterlevs och möjliggör granskningar, inklusive inspektioner, som utförs av Kunden eller en revisor med tystnadsplikt. Granskningar sker efter skäligt skriftligt förhandsbesked, under kontorstid, högst en gång per år (utom efter en personuppgiftsincident) och på Kundens bekostnad, utan att störa Tjänsten eller ge åtkomst till andra kunders uppgifter.

13. Kundens skyldigheter

Kunden ansvarar för att ha en rättslig grund för behandlingen, för att informera sina anställda och för att de uppgifter och instruktioner som Kunden ger oss är lagliga.

14. Ansvar och tillämplig lag

Ansvar enligt detta DPA följer användarvillkoren, om inte GDPR föreskriver något annat. Detta DPA regleras av tjeckisk rätt; tvister som uppstår ur det avgörs av behöriga domstolar i Tjeckien med lokal behörighet enligt vårt säte. Kontakt i dataskyddsfrågor: sales@guard-ai.eu.