Bilaga 1 till användarvillkoren: Personuppgiftsbiträdesavtal

Parter i Avtalet är Iotera Oy (FO-nummer 3454475-1, Tanhuankatu 63b, 33560 Tammerfors, Finland; "Tjänsteleverantören") och den Organisation som har registrerat sig för Tjänsten. Avtalet är en bilaga till Villkoren. Organisationen godkänner det tillsammans med Villkoren när Organisationen skapas i Tjänsten eller när en företrädare för Organisationen godkänner Villkoren i Tjänsten. Om Avtalet och Villkoren står i konflikt i frågor som gäller behandling av personuppgifter har Avtalet företräde. Avtalet tillämpas på personuppgifter som Tjänsteleverantören behandlar för Organisationens räkning när den tillhandahåller Tjänsten. Rollerna är följande: • Beträffande skattedata som hämtas från Skatteförvaltningens gränssnitt och kunduppgifter som Organisationen lagrar i Tjänsten är Organisationen personuppgiftsansvarig eller, om den behandlar uppgifterna för sin kunds räkning, kundens personuppgiftsbiträde. Tjänsteleverantören är personuppgiftsbiträde eller, i det senare fallet, underbiträde. • Beträffande uppgifter ur inkomstregistret (material 312) är arbetsgivaren, dvs. Organisationens kundföretag, personuppgiftsansvarig, Organisationen är arbetsgivarens personuppgiftsbiträde och Tjänsteleverantören är Organisationens underbiträde. Med "personuppgiftsansvarig" avses i Avtalet i varje situation den part för vars räkning Organisationen agerar. När Organisationen agerar som personuppgiftsbiträde försäkrar den att den har den personuppgiftsansvariges tillstånd att använda Tjänsteleverantören som underbiträde på de villkor som anges i Avtalet och att de instruktioner den ger Tjänsteleverantören motsvarar den personuppgiftsansvariges instruktioner. Avtalet gäller inte uppgifter för vilka Tjänsteleverantören är en självständigt personuppgiftsansvarig. Hit hör Användarnas konto- och faktureringsuppgifter, som behandlas enligt integritetspolicyn.

Föremål och ändamål: Tjänsteleverantören behandlar personuppgifter endast i den utsträckning som behövs för att tillhandahålla Tjänsten till Organisationen enligt Villkoren. Tjänsten hämtar uppgifter om Organisationens kunder från Skatteförvaltningens gränssnitt på grundval av den fullmakt som kunden har gett Organisationen i Suomi.fi-fullmakter, och presenterar dem i en samlad vy. Uppgifter ur inkomstregistret hämtas från inkomstregistret med Organisationens eget certifikat på grundval av samma fullmakt. Tjänsten läser endast uppgifter och skickar inga uppgifter till Skatteförvaltningen. Behandlingens art: mottagande, lagring, ordnande, presentation, hämtning, ändring enligt Organisationens instruktioner, överföring på Organisationens begäran (t.ex. export), radering samt skydd och säkerhetskopiering av uppgifter. Varaktighet: Avtalet gäller så länge Tjänsteleverantören behandlar personuppgifter för Organisationens räkning och, beträffande skyldigheter som gäller efter behandlingen, så länge dessa skyldigheter gäller (punkt 10).

Registrerade: • företrädare och kontaktpersoner för företag och sammanslutningar som är Organisationens kunder • enskilda näringsidkare och andra fysiska personer som är Organisationens kunder och vars skattedata behandlas i Tjänsten • inkomsttagare hos arbetsgivarkunder (t.ex. anställda, verkställande direktörer, delägare) • Organisationens Användare Kategorier av personuppgifter: • skattedata som hämtas från Skatteförvaltningens gränssnitt: skattebrev och deklarationer, momsdeklarationer och beslut, förskottsskattebeslut och betalningsläge, beskattningssammanställningar och beslut • kunduppgifter: namn, FO-nummer, kontaktpersonens namn och kontaktuppgifter, Suomi.fi-fullmaktsuppgifter och deras giltighet • uppgifter ur inkomstregistret (material 312): summor per betalningsdag och per månad samt inkomstposter och belopp per inkomsttagare. Varje inkomsttagare identifieras med en pseudonymiserad identifierare som beräknas från inkomsttagarens identifierare (personbeteckning eller utländsk identifierare) med en organisationsspecifik nyckel; själva identifieraren lagras inte och skrivs inte till loggar. Inkomsttagarens namn lagras endast om Organisationen har angett det i namnregistret. Födelsedatum sparas endast för inkomsttagare helt utan identifierare. • uppgifter om Användare som Tjänsten behandlar för Organisationens räkning: namn, e-postadress, roll och revisionsloggar som uppstår vid användningen av Tjänsten (vem som tittade på vems uppgifter och när) Personbeteckningar (hetu) behandlas endast tillfälligt i minnet för att beräkna den pseudonymiserade identifieraren (inkomstregisteruppgifter och inmatning i namnregistret); de lagras inte och skrivs inte till loggar. Särskilda kategorier av personuppgifter (GDPR art. 9) och uppgifter om fällande domar i brottmål (art. 10) behandlas inte medvetet, och Organisationen får inte ange dem i Tjänsten.

Tjänsteleverantören behandlar personuppgifter endast på Organisationens dokumenterade instruktioner, om inte unionsrätten eller medlemsstaternas nationella rätt kräver något annat. I så fall informerar Tjänsteleverantören Organisationen om detta rättsliga krav före behandlingen, om inte lagen förbjuder det. Organisationens dokumenterade instruktioner är detta Avtal, Villkoren samt de uppdrag som Organisationen och dess Användare ger via Tjänstens funktioner och inställningar (till exempel att lägga till en kund, hämta uppgifter och radera uppgifter). Ytterligare instruktioner ges skriftligen till tuki@veronavi.fi. Tjänsteleverantören behandlar inte personuppgifter för egna ändamål, kombinerar dem inte med andra datamängder och lämnar inte ut dem till andra än de underbiträden som tillåts enligt Avtalet, utom på Organisationens instruktion (till exempel uppgiftsförfrågningar till Skatteförvaltningen och e-post som skickas via Tjänsten) eller när lag kräver det. Om Tjänsteleverantören anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning informerar den Organisationen utan dröjsmål. Tjänsteleverantören har då rätt att avbryta efterlevnaden av instruktionen tills Organisationen har bekräftat eller ändrat den.

Tjänsteleverantören säkerställer att de personer som behandlar personuppgifter har åtagit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt och att de har tillgång till uppgifterna endast i den utsträckning som deras uppgifter kräver. Sekretessplikten gäller även efter att Avtalet har upphört.

Tjänsteleverantören vidtar tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR som står i proportion till riskerna med behandlingen. När Avtalet ingås omfattar åtgärderna bland annat: • kryptering av dataöverföring och certifikatbaserad ömsesidig autentisering vid anslutningar till Skatteförvaltningens gränssnitt • kryptering av Skatteförvaltningens fullmaktstoken och andra hemligheter med en separat nyckelhanteringstjänst; hemligheter lagras inte i källkoden • pseudonymisering av inkomstregistrets inkomsttagaridentifierare med en organisationsspecifik nyckel; nyckeln förstörs när Organisationen raderas, varefter identifierarna inte längre kan kopplas till personer • logisk separation av olika Organisationers uppgifter: alla databasfrågor avgränsas med Organisationens identifierare • rollbaserad åtkomstkontroll och synlighetsbegränsningar per kund • revisionslogg över visning och ändring av uppgifter • servrar placerade i Finland (EU) med begränsad åtkomst • dagliga säkerhetskopior av databasen som krypteras före överföringen och lagras skilt från produktionsservern på en separat lagringsplats inom EU (se bilaga A); lagringsleverantören har ingen åtkomst till krypteringsnyckeln Tjänsteleverantören upprätthåller och utvecklar åtgärderna i takt med att tekniken utvecklas. Åtgärderna försämras inte väsentligt under Avtalets giltighetstid. Tjänsteleverantören hävdar inte att Tjänsten eller dess säkerhet är certifierad, om inte en certifiering särskilt har meddelats.

Organisationen ger Tjänsteleverantören ett allmänt förhandstillstånd att anlita underbiträden. De underbiträden som är godkända när Avtalet ingås finns förtecknade i bilaga A. Tjänsteleverantören meddelar planerade ändringar av underbiträden (nytt underbiträde eller byte av underbiträde) i Tjänsten eller per e-post minst 30 dagar innan ändringen införs. Organisationen har rätt att invända mot ändringen av befogade dataskyddsskäl, skriftligen till tuki@veronavi.fi inom 30 dagar från meddelandet. Om parterna inte inom rimlig tid hittar en lösning som tillgodoser invändningen har Organisationen rätt att säga upp avtalet enligt Villkoren med verkan före ändringens ikraftträdande. Uppsägningen medför inga extra avgifter, men förskottsbetalda avgifter återbetalas i regel inte; Tjänsteleverantören kan pröva en ersättning från fall till fall. Tjänsteleverantören ålägger underbiträdet genom skriftligt avtal samma dataskyddsskyldigheter som i Avtalet åläggs Tjänsteleverantören, särskilt tillräckliga garantier att genomföra lämpliga tekniska och organisatoriska åtgärder. Tjänsteleverantören är fullt ansvarig gentemot Organisationen för att underbiträdets skyldigheter fullgörs, såsom för sina egna.

Registrerades rättigheter: Tjänsteleverantören bistår Organisationen med lämpliga tekniska och organisatoriska åtgärder så att Organisationen kan fullgöra sin skyldighet att svara på begäranden om utövande av registrerades rättigheter (GDPR kapitel III). Om en registrerad vänder sig direkt till Tjänsteleverantören med en begäran som gäller uppgifter för vilka Tjänsteleverantören är personuppgiftsbiträde, hänvisar Tjänsteleverantören den registrerade till Organisationen och besvarar inte begäran själv utan Organisationens instruktion. Uppgifter ur inkomstregistret: en inkomsttagare framställer sin begäran om uppgifter i första hand till sin arbetsgivare eller arbetsgivarens redovisningsbyrå. Inkomsttagarens uppgifter identifieras med en pseudonymiserad identifierare. Organisationen kan identifiera personens rader genom att lägga till personen i kundens namnregister med personbeteckning, varefter Organisationen kan lämna ut uppgifterna eller radera namnuppgiften. Detta förfarande omfattar endast de rader som syns på klientkortet, som visar högst klientens 500 senaste inkomsttagarrader. För ett avkortat kort eller äldre sparad historik, och för inkomsttagare utan personbeteckning (utländsk identifierare, enbart födelsedatum eller ingen identifierare), bistår Tjänsteleverantören med en manuell sökning från fall till fall enligt Organisationens instruktion. Rader utan identifierare kan endast matchas med betalningsdag och belopp; om matchningen inte är entydig lämnas uppgifterna inte ut och den personuppgiftsansvarige informeras. Tjänsteleverantören bistår vid behov vid hanteringen av begäran, till exempel med anvisningar eller radering av uppgifter enligt Organisationens instruktion. Artiklarna 32–36 i GDPR: Tjänsteleverantören bistår Organisationen med att fullgöra skyldigheterna i fråga om säkerhet, anmälan av personuppgiftsincidenter och information till registrerade, konsekvensbedömning avseende dataskydd samt föregående samråd med tillsynsmyndigheten, med beaktande av behandlingens art och den information som Tjänsteleverantören har tillgång till. Bistånd ingår i Tjänsten i den mån det är rimligt och ringa. För ovanligt omfattande bistånd eller bistånd som hänför sig till Organisationens egen verksamhet kan Tjänsteleverantören ta ut avgift enligt sin vid var tid gällande timtaxa. Tjänsteleverantören meddelar Organisationen om en sådan avgift i förväg.

Tjänsteleverantören meddelar Organisationen om en personuppgiftsincident som rör uppgifter som behandlas enligt Avtalet utan onödigt dröjsmål och senast 48 timmar efter att ha fått vetskap om incidenten. Meddelandet innehåller, i den mån Tjänsteleverantören känner till dem, de uppgifter som avses i artikel 33.3 i GDPR: • incidentens art, om möjligt inbegripet kategorier av och ungefärligt antal berörda registrerade samt poster • en kontaktpunkt där mer information kan fås • incidentens sannolika konsekvenser • de åtgärder som Tjänsteleverantören har vidtagit eller föreslår för att åtgärda incidenten och lindra dess eventuella negativa effekter Om alla uppgifter inte finns tillgängliga när meddelandet lämnas kan de lämnas i etapper utan ytterligare onödigt dröjsmål. Tjänsteleverantören bistår Organisationen vid utredningen och avgränsningen av incidenten och vid upprättandet av anmälningar till myndigheter och registrerade. Den personuppgiftsansvarige ansvarar för anmälningar till tillsynsmyndigheten och de registrerade, om inte lagen föreskriver något annat. Tjänsteleverantören dokumenterar incidenter.

Organisationen kan radera kund- och organisationsuppgifter i Tjänsten och begära export av sina uppgifter via tuki@veronavi.fi. Tjänsteleverantören levererar de begärda uppgifterna i maskinläsbart format inom 30 dagar från begäran. Om Organisationens enda medlem raderar sitt konto i Tjänsten raderas Organisationen och de personuppgifter som behandlas för dess räkning omedelbart och kan inte återställas efteråt. Organisationen måste därför begära och ta emot sina uppgifter innan kontot raderas. När Organisationens avtal enligt Villkoren upphör genom skriftlig uppsägning kan Organisationen inom 30 dagar efter upphörandet begära att de personuppgifter som behandlas för dess räkning återlämnas i maskinläsbart format, och Tjänsteleverantören raderar dessa personuppgifter senast inom 90 dagar efter upphörandet. När Organisationen raderas förstörs även nyckeln till inkomstregistrets identifierare. Uppgifter som raderats ur det aktiva systemet försvinner ur säkerhetskopiorna när dessa roteras. Säkerhetskopior sparas högst 6 månader och används endast för att återställa Tjänsten efter en störning. Tjänsteleverantören kan spara uppgifter längre än så om unionsrätten eller finsk rätt kräver det (till exempel revisionsloggar och bokföringsmaterial enligt Villkoren och integritetspolicyn). I så fall behandlas uppgifterna endast för det ändamålet och med de skyddsåtgärder som anges i Avtalet.

På Organisationens begäran tillhandahåller Tjänsteleverantören den information som behövs för att visa att de skyldigheter som anges i Avtalet fullgörs, såsom beskrivningar av säkerhetsåtgärder och svar på rimliga säkerhetsenkäter. Om denna information inte räcker får Organisationen, eller en av den befullmäktigad oberoende revisor som är bunden av sekretess, genomföra en revision hos Tjänsteleverantören, som tillåter och bidrar till revisionen. Revisionen genomförs på följande villkor: • Organisationen meddelar skriftligen om revisionen minst 30 dagar i förväg, och omfattning och tidpunkt överenskoms tillsammans med Tjänsteleverantören. • Revisionen genomförs under Tjänsteleverantörens normala arbetstid så att den inte oskäligt stör verksamheten. • Revisionen sker på Organisationens bekostnad. • En revision får genomföras högst en gång per år, om det inte gäller en personuppgiftsincident eller ett krav från en tillsynsmyndighet. • Revisionen får endast gälla behandling enligt Avtalet. Andra kunders uppgifter eller Tjänsteleverantörens affärshemligheter lämnas inte ut. • Revisorn och Organisationen förbinder sig att hålla de uppgifter som erhålls vid revisionen hemliga. Hos Tjänsteleverantörens underbiträden genomförs revision i första hand på grundval av rapporter som underbiträdet tillhandahåller.

Tjänsteleverantören och dess underbiträden behandlar personuppgifter som omfattas av Avtalet endast inom EU/EES, och uppgifterna överförs inte utanför EU/EES. Överföring till ett tredjeland är möjlig endast med Organisationens skriftliga förhandsgodkännande och om villkoren i kapitel V i GDPR är uppfyllda. Tjänsteleverantören behandlar Organisationens faktureringsuppgifter som personuppgiftsansvarig enligt integritetspolicyn, och betaltjänstleverantören Stripe behandlar dem som Tjänsteleverantörens personuppgiftsbiträde. Faktureringsuppgifter omfattas inte av Avtalet. Krypterade säkerhetskopior lagras hos AWS (Amazon Web Services EMEA SARL) inom EU (Sverige). Säkerhetskopiorna krypteras före överföringen, och AWS har ingen åtkomst till krypteringsnyckeln eller innehållet. AWS är ett dotterbolag till amerikanska Amazon.com, Inc., och för eventuella överföringar innehåller AWS:s tillägg om databehandling EU:s standardavtalsklausuler.

Parternas ansvar för skyldigheter enligt Avtalet bestäms enligt avsnittet "Ansvarsbegränsning" i Villkoren, om inte tvingande lagstiftning (inklusive artikel 82 i GDPR om den registrerades rätt till ersättning) föreskriver något annat. Avtalet träder i kraft när Organisationen godkänner Villkoren och gäller så länge Tjänsteleverantören behandlar personuppgifter för Organisationens räkning. Bestämmelserna om sekretess, radering av uppgifter och ansvar gäller även efter att Avtalet har upphört så länge det är nödvändigt. Avtalet ändras i enlighet med avsnittet "Ändringar av villkor" i Villkoren. På Avtalet tillämpas finsk lag, och tvister avgörs enligt Villkoren. Kontakt: tuki@veronavi.fi.

Organisationen godkänner följande underbiträden: • Hetzner Online GmbH (Tyskland) — serverinfrastruktur. Servrarna finns i Finland. Behandlade uppgifter: alla uppgifter som beskrivs i punkt 3. • Elestio Limited (Irland, registreringsnummer 755058) — serverunderhållstjänst. Behandlade uppgifter: alla uppgifter som beskrivs i punkt 3, i den omfattning som underhållsuppgifterna kräver. • Amazon Web Services EMEA SARL (Luxemburg, 38 Avenue John F. Kennedy, L-1855 Luxembourg) — lagring av krypterade säkerhetskopior inom EU (Sverige). Behandlade uppgifter: krypterade säkerhetskopior av alla uppgifter som beskrivs i punkt 3; AWS har ingen åtkomst till innehållet, eftersom säkerhetskopiorna krypteras före överföringen. AWS är ett dotterbolag till amerikanska Amazon.com, Inc.; AWS:s tillägg om databehandling (AWS GDPR DPA) ingår i AWS Service Terms och innehåller EU:s standardavtalsklausuler. Inte underbiträden: • Skatteförvaltningen och Myndigheten för digitalisering och befolkningsdata (Suomi.fi) är datakällor och myndigheter, inte Tjänsteleverantörens underbiträden. • Tjänstens e-postmeddelanden skickas från Tjänsteleverantörens egen server; någon extern e-posttjänst används inte. • Faktureringsuppgifter behandlas av Tjänsteleverantören som personuppgiftsansvarig enligt integritetspolicyn och av Stripe som Tjänsteleverantörens personuppgiftsbiträde; faktureringsuppgifter omfattas inte av Avtalet (se punkt 12).