Personuppgiftsbiträdesavtal (PUB-avtal)

Verksamheten: den personuppgiftsansvarige som anges i punkt 1.

Biträdet: NotAStartup AB, personuppgiftsbiträde enligt punkt 1.

Tjänsten: verksamhetssystemet Omsio, inklusive tillhörande mobilapplikationer och gränssnitt.

Personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person, enligt GDPR art. 4.1.

Registrerad: den fysiska person som personuppgifterna avser.

Behandling: varje åtgärd som vidtas med personuppgifter, enligt GDPR art. 4.2.

Underbiträde: tredje part som Biträdet anlitar för att behandla personuppgifter för Verksamhetens räkning.

Personuppgiftsincident: säkerhetsincident enligt GDPR art. 4.12.

Dataskyddslagstiftning: GDPR samt kompletterande svensk lagstiftning, däribland lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Personuppgiftsbiträde: NotAStartup AB, org.nr 559566-4250 ("Biträdet"), som bedriver del av sin verksamhet under det särskilda företagsnamnet Omsio Care Systems.

Personuppgiftsansvarig: Den verksamhet som registrerar konto i Omsio och som beslutar om ändamål och medel för behandlingen ("Verksamheten").

Verksamheten är personuppgiftsansvarig för uppgifter som registreras om placerade individer, anställda, familjehem och övriga registrerade. Biträdet behandlar uppgifterna enbart för Verksamhetens räkning.

Biträdet får endast behandla personuppgifter enligt Verksamhetens dokumenterade instruktioner. Användarvillkoren, dokumentationen för Omsio och Verksamhetens konfiguration i Omsio utgör de huvudsakliga instruktionerna. Ytterligare instruktioner kan lämnas skriftligen till support@omsio.se, som även är Biträdets kontaktpunkt för frågor om dataskydd.

Om Biträdet bedömer att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning informerar Biträdet Verksamheten utan dröjsmål.

Biträdet säkerställer att personer som är behöriga att behandla personuppgifter har förbundit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt. Sekretessåtagandet gäller även efter anställningens upphörande.

Samtliga underbiträden är bundna av skriftliga avtal som ålägger dem motsvarande dataskyddsåtaganden som detta Avtal, enligt Bilaga C.

Detta gäller även underbiträdena för AI-funktionerna i Omsio (AI-assistenten Lisa och taldikteringen Diktera). Inget underbiträde får använda uppgifterna för att träna AI-modeller.

Biträdet meddelar Verksamheten i Omsio eller via e-post minst 30 dagar i förväg innan ett nytt underbiträde anlitas eller ersätts. Verksamheten har under denna period rätt att göra invändningar. Vid berättigad invändning som inte kan lösas tekniskt eller avtalsmässigt har Verksamheten rätt att säga upp tjänsten utan kostnad.

Uppgifterna i Omsio lagras inom EU/EES. Vissa underbiträden är etablerade i USA, till exempel för e-postutskick, push-notiser och AI-assistenten Lisa. Överföringen sker då under EU-kommissionens standardavtalsklausuler (SCC) enligt GDPR kapitel V. Vilka underbiträden det gäller, var de behandlar uppgifterna och på vilken grund framgår av Bilaga C.

Biträdet överför inte personuppgifter till andra tredje länder utan att först säkerställa laglig grund enligt GDPR kapitel V och informera Verksamheten i förväg.

AI-funktionerna i Omsio omfattas av EU:s AI-förordning (Förordning (EU) 2024/1689) och behandlas enligt följande principer, som kompletterar Verksamhetens roll som personuppgiftsansvarig och, om tillämpligt, deployer enligt AI-förordningen:

• Aktivering: AI-funktionerna, taldikteringen inräknad, aktiveras per verksamhet och kan när som helst stängas av för hela Verksamheten. När de är avstängda skickas inga uppgifter från Verksamheten till AI-underbiträdena.
• Transparens (Art. 50): Biträdet markerar tydligt i gränssnittet när innehåll har genererats eller bearbetats av AI, så att slutanvändaren vet att hen interagerar med AI.
• Mänsklig övervakning: AI-utdata är beslutsstöd, inte beslutsfattande. Omsio fattar inga automatiserade beslut om enskilda i den mening som avses i GDPR Art. 22 eller AI-förordningens högrisk-bestämmelser.
• Riskklassificering: Nuvarande AI-funktioner är klassificerade som begränsad risk. Biträdet omprövar klassificeringen löpande och informerar Verksamheten i förväg om en funktion riskerar att klassificeras som högrisk enligt AI-förordningens Annex III.
• Stöd för FRIA: Om en AI-funktion klassificeras som högrisk och Verksamheten måste genomföra en konsekvensbedömning för grundläggande rättigheter enligt AI-förordningens Art. 27, bistår Biträdet med tekniskt och organisatoriskt underlag.
• Underbiträden: Vilka underbiträden AI-funktionerna använder, var de behandlar uppgifterna och på vilken grund framgår av Bilaga C. Biträdet meddelar Verksamheten 30 dagar i förväg innan ett sådant underbiträde anlitas eller ersätts, enligt punkt 4.

Biträdet bistår Verksamheten — i den utsträckning det är möjligt med hänsyn till behandlingens art — med:

• Att uppfylla registrerades rättigheter enligt GDPR kap. III (Art. 12–22), bland annat genom funktioner i Omsio för åtkomst, rättelse, radering och dataportabilitet
• Säkerhet i behandlingen enligt Art. 32
• Anmälan av personuppgiftsincidenter till tillsynsmyndighet (Art. 33) och kommunikation med registrerade (Art. 34)
• Konsekvensbedömningar avseende dataskydd (Art. 35) och förhandssamråd (Art. 36)

Stöd enligt denna punkt lämnas utan särskild kostnad i den utsträckning det kan tillhandahållas genom Tjänstens standardfunktioner. För stöd som kräver väsentliga manuella insatser därutöver äger Biträdet rätt till skälig ersättning enligt vid var tid gällande prislista. Biträdet informerar Verksamheten om sådan kostnad innan arbetet påbörjas.

Biträdet underrättar Verksamheten utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident. Underrättelsen innehåller den information som krävs enligt GDPR Art. 33.3 i den utsträckning Biträdet har tillgång till informationen.

Biträdet tillhandahåller Verksamheten den information som krävs för att visa att skyldigheterna i GDPR Art. 28 efterlevs. Verksamheten har rätt att genomföra revision, antingen genom granskning av tillgänglig dokumentation (t.ex. säkerhetsrapporter och underleverantörscertifikat) eller, om det krävs, på plats efter skriftlig framställan med rimlig framförhållning. Revisioner sker under ordinarie arbetstid och med iakttagande av Biträdets sekretess- och säkerhetsregler. Verksamheten bär sina egna kostnader för revisionen.

Revision enligt denna punkt får genomföras högst en gång per kalenderår, om inte tillsynsmyndighet eller tvingande lag kräver annat, eller om en personuppgiftsincident som berör Verksamheten har inträffat.

Vid Avtalets upphörande, eller på Verksamhetens begäran, väljer Verksamheten om personuppgifterna ska återlämnas eller raderas. Om inget val görs raderas uppgifterna senast 90 dagar efter avslut. Befintliga lagstadgade krav på lagring (t.ex. enligt bokföringslagen eller socialtjänstlagen) går före raderingen.

Parternas ansvar regleras av GDPR Art. 82. I förhållandet mellan parterna gäller därutöver ansvarsbegränsningen i avtalet mellan parterna (Avtalet punkt 10). För skador som uppkommit till följd av brott mot tvingande dataskyddsregler gäller dock, i stället för den ordinarie begränsningen, ett förhöjt ansvarstak om två (2) gånger de avgifter Verksamheten erlagt under de senaste tolv (12) månaderna. Ansvarsbegränsningen enligt denna punkt gäller inte vid uppsåt eller grov vårdslöshet.

Biträdet kan uppdatera Avtalet för att återspegla nya lagkrav eller förändringar i tjänsten. Väsentliga ändringar meddelas minst 30 dagar i förväg via e-post eller i Omsio. Om Verksamheten inte godtar en väsentlig ändring har Verksamheten rätt att säga upp tjänsten utan kostnad innan ändringen träder i kraft.

Avtalet regleras av svensk lag. Tvister avgörs av allmän svensk domstol med Stockholms tingsrätt som första instans, om inte annat följer av tvingande lag.

Kategorier av uppgifter:

• Identitetsuppgifter (namn, personnummer, kontaktuppgifter)
• Placeringsrelaterade uppgifter (journaler, rapporter, bedömningar, mål)
• Avtals- och signeringsuppgifter
• Tekniska uppgifter (IP-adress, sessionsdata, revisionsloggar)

Känsliga uppgifter

• Känsliga uppgifter enligt GDPR Art. 9 (uppgifter om hälsa, etniskt ursprung och liknande, i den utsträckning Verksamheten registrerar dem)
• Uppgifter om lagöverträdelser enligt GDPR Art. 10 (i förekommande fall)

Kategorier av registrerade:

• Placerade individer och deras närstående
• Familjehem, jourhem och konsulenter
• Anställda och förtroendevalda inom Verksamheten
• Externa kontakter, till exempel handläggare inom socialtjänsten och samarbetspartners, i den utsträckning Verksamheten registrerar dem
• Övriga personer som förekommer i dokumentationen

Biträdet genomför lämpliga tekniska och organisatoriska åtgärder enligt GDPR Art. 32, anpassade efter behandlingens art och risker för registrerade. Åtgärderna innefattar bland annat:

• AES-256-kryptering vid lagring och TLS 1.2+ vid överföring
• BankID-autentisering
• Row Level Security på samtliga databastabeller
• Mandantisolering mellan verksamheter på databasnivå
• Rollbaserad åtkomstkontroll med fem fördefinierade roller
• Revisionsloggar med fullständig ändringshistorik (vem, vad, när)
• Rutiner för incidenthantering, behörighetstilldelning och löpande riskbedömning
• Dagliga säkerhetskopior enligt Biträdets vid var tid gällande rutiner

Detaljerad teknisk beskrivning finns på omsio.se/sakerhet.

Verksamheten ger Biträdet generellt godkännande att anlita de underbiträden som vid var tid framgår av den auktoritativa listan på omsio.se/underleverantorer. Listan anger för varje underbiträde funktion, lokalisering och överföringsmekanism.