We use necessary cookies to make our website work. With your consent, we also use analytics and performance cookies to improve our services. You can withdraw your consent at any time. Read our Privacy Policy to learn more.
Corvenia AB (”Leverantören”) kommer, för att tillhandahålla SaaS-tjänsterna inklusive eventuella överenskomna Leveranser och Konsulttjänster enligt det överenskomna Beställningsformuläret, vilket utgör analys och aggregerad insamling av finansiell data samt rapportering av finansiella nyckeltal och annan operativ data, att behandla personuppgifter i egenskap av personuppgiftsbiträde.
Den Kund som anges i Beställningsformuläret är personuppgiftsansvarig när Leverantören behandlar personuppgifter för Kundens räkning. Kundens initiala instruktioner och ytterligare uppgifter om behandlingen framgår av avsnitt 4 nedan.
De begrepp som definieras i artikel 4 i EU:s allmänna dataskyddsförordning (”GDPR”) ska tillämpas på detta biträdesavtal.
Detta biträdesavtal utgör en integrerad del av Avtalet och gäller så länge Leverantören behandlar personuppgifter för Kundens räkning, samt utgör en integrerad del av Beställningsformuläret. Detta biträdesavtal gäller inte för behandling av personuppgifter som Leverantören utför i egenskap av självständigt personuppgiftsansvarig.
Leverantören garanterar att den har vidtagit lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att dess behandling av personuppgifter enligt detta biträdesavtal uppfyller kraven i tillämplig dataskyddslagstiftning och säkerställer skyddet av de registrerades rättigheter och friheter.
Om Leverantören underlåter att fullgöra sina skyldigheter enligt detta biträdesavtal utgör det ett avtalsbrott.
Om SaaS-tjänsterna innefattar hämtning eller behandling av personuppgifter som härrör från ett Dotterbolag (enligt definitionen i Användarvillkoren) eller annat koncernbolag till Kunden, garanterar och intygar Kunden att den, i förhållandet mellan Kunden och sådant Dotterbolag eller koncernbolag, har en giltig rättslig grund och erforderliga interna befogenheter för att instruera Leverantören att behandla sådana personuppgifter för Kundens räkning, inklusive i förekommande fall ett avtal om datadelning eller koncernintern behandling mellan Kunden och berört Dotterbolag eller koncernbolag.
Leverantören agerar som personuppgiftsbiträde uteslutande för räkning av, och tar endast emot instruktioner från, den Kund som anges i Beställningsformuläret. Leverantören ingår inte genom detta biträdesavtal något separat förhållande mellan personuppgiftsansvarig och personuppgiftsbiträde med något Dotterbolag eller koncernbolag till Kunden, och Kunden har ensam ansvaret för att säkerställa att dess instruktioner till Leverantören avseende personuppgifter från Dotterbolag eller koncernbolag är förenliga med tillämplig dataskyddslagstiftning.
Parterna kan komma överens om ett separat arrangemang för personuppgiftsbehandling där ett Dotterbolag eller koncernbolag anges som självständigt personuppgiftsansvarig part till detta biträdesavtal, förutsatt att detta sker skriftligen och undertecknas av Leverantören och berört Dotterbolag eller koncernbolag.
Leverantören garanterar att den uppfyller kraven i artikel 28 GDPR genom att:
a) Endast behandla personuppgifter enligt Kundens instruktioner i detta biträdesavtal eller senare skriftliga instruktioner, utan att detta påverkar Leverantörens rättigheter enligt Användarvillkoren.
b) Underrätta Kunden om Leverantören anser att en instruktion strider mot tillämplig dataskyddslagstiftning.
c) Säkerställa att de personer som behandlar personuppgifter omfattas av tystnadsplikt.
d) Vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå för personuppgifterna som är lämplig i förhållande till risken.
e) Bistå Kunden i dess skyldighet att besvara begäranden från registrerade som vill utöva sina rättigheter enligt GDPR.
f) Uppfylla kraven på anmälan av och bistånd vid personuppgiftsincidenter.
g) Bistå Kunden vid konsekvensbedömningar avseende dataskydd och vid eventuellt samarbete med behörig tillsynsmyndighet.
h) Omedelbart skriftligen informera Kunden om varje rättslig skyldighet som kräver att Leverantören lämnar ut personuppgifter som Leverantören behandlar för Kundens räkning.
i) Visa att skyldigheterna enligt artikel 28 GDPR efterlevs genom att på Kundens begäran tillhandahålla nödvändig information.
j) Möjliggöra och bidra till rimliga granskningar som Kunden begär.
k) Efter Kundens val radera eller återlämna personuppgifter och kopior när tjänsterna som avser behandlingen upphör, utan att detta påverkar Leverantörens rättigheter enligt Användarvillkoren.
Eftersom omfattningen av punkterna e, f, g och j ovan är osäker kan dessa uppgifter komma att debiteras på löpande räkning enligt gällande priser.
Ändamålen med behandlingen är leverans av SaaS-tjänsterna inklusive eventuella överenskomna Leveranser och Konsulttjänster enligt det överenskomna Beställningsformuläret, vilka kan beskrivas enligt följande:
Leverantören har utvecklat en molnbaserad mjukvaruplattform som syftar till att automatisera och förbättra insamling av finansiell data och rapportering av finansiella nyckeltal och annan operativ data, så att kunder kan ta fram djupgående insikter som underlag för beslutsfattande och koncernredovisning.
Systemet använder maskininlärningssystem från tredje part samt manuell vägledning och verifiering från användarna (human-in-the-loop) för att välja ut och hämta data direkt från portföljbolagens och dotterbolagens redovisningssystem, projektsystem, Excel-rapporter och BI-verktyg. Resultatet från mjukvaruplattformen struktureras och optimeras av utvalda maskininlärningssystem från tredje part samt genom manuell vägledning från användarna (human-in-the-loop). Detta verifierade resultat kan analyseras vidare av utvalda maskininlärningssystem från tredje part för att presentera beslutsunderlag i form av datautkast och användarkonfigurerbara automatiseringar (”Agenter”) för kundernas personal (human-in-the-loop), i syfte att lösa olika frågor rörande datainsamling och rapportering, analys och beslutsfattande, prognoser m.m. Kunden får tillgång till systemet via ett webbgränssnitt, genom vilket Kunden har tillgång till den funktionalitet som beskrivs för respektive mjukvarulösning i det Beställningsformulär som ingåtts mellan Leverantören och Kunden och som omfattar leveransen av systemet.
Leverantören kommer att behandla de personuppgifter som Kunden tillhandahåller genom sin användning av mjukvaran i enlighet med Beställningsformuläret. Dessa uppgifter kan omfatta, men är inte begränsade till, följande kategorier:
Behandling av andra kategorier av uppgifter på de villkor som anges i detta avtal kan särskilt avtalas mellan Parterna och förtecknas skriftligen i en bilaga till Beställningsformuläret.
Kunden ger Leverantören tillstånd att anlita underbiträden från tredje part för specifika behandlingsaktiviteter, inklusive användning av maskininlärningssystem från tredje part, förutsatt att:
Leverantören ansvarar för sina egna underbiträden.
Leverantören ska underrätta Kunden om planerade byten av underbiträden eller behandlingsplatser minst trettio (30) dagar i förväg och ge Kunden möjlighet att invända på skäliga grunder baserade på tillämplig dataskyddslagstiftning. Om Kunden invänder ska Leverantören göra kommersiellt rimliga ansträngningar för att tillgodose invändningen, bland annat genom att föreslå ett alternativt underbiträde eller anpassa den aktuella behandlingen. Om Leverantören inte kan göra detta är Kundens enda och exklusiva åtgärd att säga upp det eller de Beställningsformulär som berörs av invändningen, utan ytterligare ansvar för någon av Parterna avseende den uppsagda omfattningen; tidigare upplupna rättigheter och skyldigheter ska bestå efter sådan uppsägning. Om Kunden inte invänder inom underrättelseperioden ska ändringen anses godkänd.
Leverantören ska vidta och upprätthålla lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, med beaktande av den senaste utvecklingen, genomförandekostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerades rättigheter och friheter. Åtgärderna ska, när det är lämpligt, omfatta:
Leverantören får uppdatera sina säkerhetsåtgärder från tid till annan, förutsatt att uppdateringarna inte väsentligt sänker den övergripande skyddsnivån för personuppgifter.
Leverantörens primära infrastruktur för hosting och AI-behandling (Microsoft Azure, inklusive Azure OpenAI Service) är konfigurerad för att lagra och behandla personuppgifter inom EU/EES. De personuppgifter som krävs för behandlingen kräver ingen ytterligare grund för överföring så länge denna EU/EES-konfiguration upprätthålls och behandlingen uteslutande sker inom EES.
Om personuppgifter trots detta överförs utanför EES, inklusive i samband med ett underbiträdes tillhandahållande av tjänster, ska Leverantören säkerställa att lämpliga skyddsåtgärder finns på plats, såsom standardavtalsklausuler (SCC) antagna av Europeiska kommissionen eller andra mekanismer som godkänts enligt GDPR, och på begäran förse Kunden med relevant information.
Vid en personuppgiftsincident som omfattar personuppgifter som behandlas för Kundens räkning ska Leverantören underrätta Kunden utan onödigt dröjsmål och under alla omständigheter senast 48 timmar efter att ha fått kännedom om incidenten. Underrättelsen ska, i den mån uppgifterna finns tillgängliga, beskriva:
Leverantören ska samarbeta med Kunden och vidta de rimliga åtgärder som Kunden anvisar för att bistå vid utredning, begränsning och åtgärdande av incidenten.
Detta biträdesavtal gäller så länge Leverantören tillhandahåller plattformen till Kunden. Vid uppsägning ska Leverantören behålla Kunddata i 30 dagar efter Uppsägningsdagen i enlighet med Användarvillkoren, under vilken period Kunden kan begära att personuppgifterna återlämnas genom skriftligt meddelande senast fem arbetsdagar före Uppsägningsdagen. Efter utgången av denna period, eller efter Kundens tidigare skriftliga bekräftelse på att uppgifterna inte ska överföras, ska Leverantören radera alla återstående personuppgifter, utom i den mån lagring krävs enligt tillämplig lag eller är tillåten enligt Användarvillkoren.
Varje brott mot detta biträdesavtal ska anses utgöra ett brott mot Användarvillkoren, och de ansvarsbegränsningar och övriga påföljder som anges i Användarvillkoren ska tillämpas på alla anspråk som uppstår enligt eller i samband med detta biträdesavtal.
Detta biträdesavtal ska regleras av och tolkas i enlighet med svensk rätt, utan tillämpning av dess lagvalsregler. Tvister som uppstår på grund av eller i samband med detta biträdesavtal ska avgöras i enlighet med den tvistlösningsmekanism som anges i Användarvillkoren.
