We use necessary cookies to make our website work. With your consent, we also use analytics and performance cookies to improve our services. You can withdraw your consent at any time. Read our Privacy Policy to learn more.
Corvenia AB («Leverandøren») vil, for å levere SaaS-tjenestene inkludert eventuelle avtalte Leveranser og Konsulenttjenester i henhold til det avtalte Bestillingsskjemaet, som vil utgjøre analyse og aggregert innsamling av finansielle data samt rapportering av finansielle nøkkeltall og andre operative data, behandle personopplysninger som databehandler.
Kunden som er angitt i Bestillingsskjemaet, vil være behandlingsansvarlig når Leverandøren behandler personopplysninger på vegne av Kunden. Kundens innledende instrukser og ytterligere opplysninger om behandlingen fremgår av punkt 4 nedenfor.
Begrepene som er definert i artikkel 4 i EUs personvernforordning («GDPR»), skal gjelde for denne databehandleravtalen.
Denne databehandleravtalen utgjør en integrert del av Avtalen og gjelder så lenge Leverandøren behandler personopplysninger på vegne av Kunden, og er en integrert del av Bestillingsskjemaet. Denne databehandleravtalen gjelder ikke for behandling av personopplysninger som Leverandøren utfører som selvstendig behandlingsansvarlig.
Leverandøren garanterer at den har iverksatt egnede tekniske og organisatoriske tiltak på en slik måte at behandlingen av personopplysninger under denne databehandleravtalen oppfyller kravene i gjeldende personvernlovgivning og sikrer vern av de registrertes rettigheter og friheter.
Dersom Leverandøren ikke oppfyller sine forpliktelser etter denne databehandleravtalen, utgjør dette et avtalebrudd.
Dersom SaaS-tjenestene omfatter innhenting eller behandling av personopplysninger som stammer fra et Datterselskap (som definert i Bruksvilkårene) eller et annet konsernselskap av Kunden, garanterer og erklærer Kunden at den, i forholdet mellom Kunden og slikt Datterselskap eller konsernselskap, har et gyldig rettslig grunnlag og nødvendig intern fullmakt til å instruere Leverandøren om å behandle slike personopplysninger på vegne av Kunden, herunder, der det er relevant, en avtale om datadeling eller konsernintern behandling mellom Kunden og det aktuelle Datterselskapet eller konsernselskapet.
Leverandøren opptrer som databehandler utelukkende på vegne av, og mottar instrukser utelukkende fra, Kunden som er angitt i Bestillingsskjemaet. Leverandøren inngår ikke et separat forhold mellom behandlingsansvarlig og databehandler med noe Datterselskap eller konsernselskap av Kunden under denne databehandleravtalen, og Kunden er eneansvarlig for å sikre at instruksene til Leverandøren om personopplysninger fra Datterselskaper eller konsernselskaper er i samsvar med gjeldende personvernlovgivning.
Partene kan avtale en separat ordning for behandling av personopplysninger der et Datterselskap eller konsernselskap er angitt som selvstendig behandlingsansvarlig part i denne databehandleravtalen, forutsatt at dette er skriftlig og signert av Leverandøren og det aktuelle Datterselskapet eller konsernselskapet.
Leverandøren garanterer at den oppfyller kravene i GDPR artikkel 28 ved å:
a) Kun behandle personopplysninger etter Kundens instrukser i denne databehandleravtalen eller senere skriftlige instrukser, uten at dette begrenser Leverandørens rettigheter etter Bruksvilkårene.
b) Varsle Kunden dersom Leverandøren mener at en instruks er i strid med gjeldende personvernlovgivning.
c) Sikre at personer som behandler personopplysninger, er underlagt taushetsplikt.
d) Iverksette egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå for personopplysningene som er tilpasset risikoen.
e) Bistå Kunden med plikten til å besvare forespørsler fra registrerte som ønsker å utøve sine rettigheter etter GDPR.
f) Oppfylle kravene til varsling av og bistand ved brudd på personopplysningssikkerheten.
g) Bistå Kunden med vurderinger av personvernkonsekvenser og eventuelt samarbeid med relevant tilsynsmyndighet.
h) Umiddelbart skriftlig informere Kunden om enhver rettslig forpliktelse som krever at Leverandøren utleverer personopplysninger som Leverandøren behandler på vegne av Kunden.
i) Påvise etterlevelse av forpliktelsene i GDPR artikkel 28 ved å gjøre nødvendig informasjon tilgjengelig på Kundens forespørsel.
j) Tillate og bidra til rimelige revisjoner som Kunden ber om.
k) Slette eller tilbakelevere personopplysninger og kopier, etter Kundens valg, ved opphør av tjenestene knyttet til behandlingen, uten at dette begrenser Leverandørens rettigheter etter Bruksvilkårene.
På grunn av det usikre omfanget av punkt e, f, g og j ovenfor kan disse oppgavene bli fakturert særskilt etter medgått tid og materialer i henhold til gjeldende satser.
Formålet med behandlingen er levering av SaaS-tjenestene, inkludert eventuelle avtalte Leveranser og Konsulenttjenester i henhold til det avtalte Bestillingsskjemaet, som kan beskrives slik:
Leverandøren har utviklet en skybasert programvareplattform som skal automatisere og forbedre innsamling av finansielle data og rapportering av finansielle nøkkeltall og andre operative data, slik at kundene kan hente ut dyp innsikt for beslutningstaking og konsernregnskap.
Systemet bruker maskinlæringssystemer fra tredjeparter og manuell veiledning og verifisering fra brukerne (human-in-the-loop) for å velge ut og hente data direkte fra porteføljeselskapers og datterselskapers regnskapssystemer, prosjektsystemer, Excel-rapporter og BI-verktøy. Resultatet fra programvareplattformen struktureres og optimaliseres av utvalgte maskinlæringssystemer fra tredjeparter og manuell veiledning fra brukerne (human-in-the-loop). Dette verifiserte resultatet kan analyseres videre av utvalgte maskinlæringssystemer fra tredjeparter for å presentere beslutningsutkast av data og brukerkonfigurerbare automatiseringer («Agenter») for kundenes ansatte (human-in-the-loop), for å løse ulike problemstillinger knyttet til datainnsamling og rapportering, analyse og beslutningstaking, prognoser osv. Kunden får tilgang til systemet via et nettgrensesnitt, der Kunden vil ha den funksjonaliteten som er beskrevet for hver programvareløsning i Bestillingsskjemaet som er inngått mellom Leverandøren og Kunden, og som omfatter leveransen av systemet.
Leverandøren vil behandle personopplysningene som Kunden gjør tilgjengelige gjennom sin bruk av programvaren i henhold til Bestillingsskjemaet. Disse opplysningene kan omfatte, men er ikke begrenset til, følgende kategorier:
Behandling av andre kategorier av opplysninger på vilkårene i denne avtalen kan særskilt avtales mellom Partene og angis skriftlig i et vedlegg til Bestillingsskjemaet.
Kunden gir Leverandøren tillatelse til å engasjere underdatabehandlere fra tredjeparter for spesifikke behandlingsaktiviteter, inkludert bruk av maskinlæringssystemer fra tredjeparter, forutsatt at:
Leverandøren er ansvarlig for sine egne underdatabehandlere.
Leverandøren vil varsle Kunden om planlagte endringer av underdatabehandlere eller behandlingssteder minst tretti (30) dager i forveien, og gi Kunden anledning til å protestere på rimelig grunnlag basert på gjeldende personvernlovgivning. Dersom Kunden protesterer, vil Leverandøren gjøre kommersielt rimelige anstrengelser for å imøtekomme innsigelsen, blant annet ved å foreslå en alternativ underdatabehandler eller tilpasse den aktuelle behandlingen. Dersom Leverandøren ikke er i stand til dette, er Kundens eneste og eksklusive beføyelse å si opp det eller de Bestillingsskjemaene som berøres av innsigelsen, uten ytterligere ansvar for noen av Partene for det oppsagte omfanget; tidligere opparbeidede rettigheter og forpliktelser skal bestå etter slik oppsigelse. Dersom Kunden ikke protesterer innen varslingsperioden, anses endringen som godtatt.
Leverandøren skal iverksette og opprettholde egnede tekniske og organisatoriske tiltak i henhold til GDPR artikkel 32, under hensyntagen til den tekniske utviklingen, gjennomføringskostnadene, behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene for de registrertes rettigheter og friheter. Tiltakene skal, der det er hensiktsmessig, omfatte:
Leverandøren kan oppdatere sine sikkerhetstiltak fra tid til annen, forutsatt at oppdateringene ikke vesentlig reduserer det samlede beskyttelsesnivået for personopplysninger.
Leverandørens primære infrastruktur for hosting og AI-behandling (Microsoft Azure, inkludert Azure OpenAI Service) er konfigurert til å lagre og behandle personopplysninger innenfor EU/EØS. Personopplysningene som kreves for behandlingen, krever ikke noe ytterligere overføringsgrunnlag så lenge denne EU/EØS-konfigurasjonen opprettholdes og behandlingen utelukkende skjer innenfor EØS.
Dersom personopplysninger likevel overføres ut av EØS, herunder i forbindelse med en underdatabehandlers levering av tjenester, skal Leverandøren sikre at det foreligger nødvendige garantier, som standardkontraktsbestemmelser (SCC) vedtatt av Europakommisjonen eller andre mekanismer godkjent etter GDPR, og skal gi Kunden relevant informasjon på forespørsel.
Ved brudd på personopplysningssikkerheten som omfatter personopplysninger behandlet på vegne av Kunden, skal Leverandøren varsle Kunden uten ugrunnet opphold, og under enhver omstendighet senest 48 timer etter å ha blitt kjent med bruddet. Varselet skal, i den grad opplysningene er tilgjengelige, beskrive:
Leverandøren skal samarbeide med Kunden og treffe de rimelige tiltak Kunden anviser for å bistå i undersøkelse, begrensning og utbedring av bruddet.
Denne databehandleravtalen gjelder så lenge Leverandøren leverer plattformen til Kunden. Ved oppsigelse skal Leverandøren oppbevare Kundedata i 30 dager etter Oppsigelsesdatoen i samsvar med Bruksvilkårene, og i denne perioden kan Kunden be om tilbakelevering av personopplysninger ved skriftlig melding senest fem virkedager før Oppsigelsesdatoen. Etter utløpet av denne perioden, eller etter tidligere skriftlig bekreftelse fra Kunden om at dataene ikke skal overføres, skal Leverandøren slette alle gjenværende personopplysninger, med unntak av det som må oppbevares etter gjeldende lov eller er tillatt etter Bruksvilkårene.
Ethvert brudd på denne databehandleravtalen skal anses som et brudd på Bruksvilkårene, og ansvarsbegrensningene og øvrige beføyelser i Bruksvilkårene skal gjelde for alle krav som oppstår under eller i forbindelse med denne databehandleravtalen.
Denne databehandleravtalen skal reguleres av og tolkes i samsvar med svensk rett, uten hensyn til lovvalgsregler. Enhver tvist som oppstår under eller i forbindelse med denne databehandleravtalen, skal løses i samsvar med tvisteløsningsmekanismen i Bruksvilkårene.
