Kreedl - Personuppgiftsbiträdesavtal

”Personuppgifter”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”behandling”, ”registrerad”, ”personuppgiftsincident” och ”tillsynsmyndighet” har den betydelse som anges i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (”GDPR” eller ”dataskyddsförordningen”). ”Kundens personuppgifter” avser personuppgifter som Kunden lämnar till eller gör tillgängliga för Kreedl, eller som Kreedl samlar in för Kundens räkning när tjänsterna tillhandahålls, inklusive kommunikationens innehåll, inspelningar och transkriptioner, oavsett om uppgifterna identifierar Kunden eller en tredje part som ingår ett avtalsförhållande med Kunden. ”Underbiträde” avser varje tredje part som Kreedl anlitar för att behandla Kundens personuppgifter. ”UK GDPR” avser GDPR i den form den har behållits i Storbritanniens lagstiftning.

Kunden är personuppgiftsansvarig för Kundens personuppgifter. Kreedl är personuppgiftsbiträde för dessa uppgifter. Kreedl är självständigt personuppgiftsansvarig endast för Kundens egna konto-, fakturerings-, användnings- och marknadsföringsuppgifter, eller när en tredje part använder Kreedls tjänster utan att ha ingått ett avtalsförhållande med Kunden. Verksamheten beskrivs närmare i Kreedls dokument Integritetspolicy, som finns på kreedl.com/sv/privacy (”Integritetspolicyn”).

Föremål och ändamål. Drift av en AI-assistent som för Kundens räkning kommunicerar med hyresgäster, boende, användare av fastigheter, sökande, leverantörer och andra personer via telefon, WhatsApp, SMS och e-post och utför de åtgärder som Kunden har godkänt.

Behandlingens art. Mottagande, inspelning, transkribering, lagring, analys och sammanfattning av kommunikation; läsning eller lagring av Kundens register enligt valt läge (avsnitt 4); bokning av tider; utskick av leverantörer; och, när så instrueras, rangordning av sökande eller sammanfattning av offentligt tillgänglig information om bostadssökande.

Kategorier av registrerade. Hyresgäster, boende, bostads- och köpsökande, butikschefer och användare av fastigheter, leverantörer och tekniker, Kundens anställda och företrädare samt varje annan person som kontaktar en byggnad som Kreedl betjänar.

Typer av personuppgifter. Namn, kontaktuppgifter, byggnad och lägenhet eller lokal, hyresperiod och hyresvillkor, hyresbelopp och betalningsstatus, hyreshandlingar, felanmälningar, foton, röstmeddelanden, inspelningar av samtal, transkriptioner, innehåll i meddelanden och metadata. För bostads- och köpsökande dessutom önskat inflyttningsdatum, hushållets storlek, anställning, inkomst, finansieringsform och referenser, när Kunden behöver dem för att bedöma ansökan. Om Kunden instruerar om identitetsverifiering kan de fyra sista siffrorna i det tjeckiska personnumret jämföras med Kundens register; hela numret lagras inte. Kreedl behandlar inte portkoder eller andra fysiska tillträdesuppgifter.

Varaktighet. Personuppgifterna behandlas under den beställda tjänstens löptid och därefter till dess att återlämnande och radering enligt avsnitt 12 har slutförts. Parterna fastställer gränser för lagringstiden så att de återspeglar den tillhandahållna tjänstens art. Gränserna för lagringstiden tar särskilt, men inte uteslutande, hänsyn till att hyresförhållanden mellan Kunden och tredje parter upphör, till skyddet av den personuppgiftsansvariges berättigade intressen i förhållande till dess egendom och till de obligatoriska lagringstider som föreskrivs i allmänt bindande lagstiftning.

4.1 Kunden väljer ett av de tre lägen som beskrivs i Integritetspolicyn. Läge A - ingen åtkomst till Kundens register. Läge B - läsåtkomst till Kundens system utan lagring av register. Läge C - Kundens register lagras av Kreedl. I alla lägen lagrar Kreedl kommunikationens innehåll, inspelningar, transkriptioner och kontaktuppgifter till de personer som kommunicerar med assistenten.

4.2 Kundens dokumenterade instruktioner utgörs av det valda läget, den konfiguration som avtalats vid onboardingen, de inställningar som Kunden gör i Kreedls applikation, de uppgifter som Kunden laddar upp eller gör tillgängliga samt varje skriftlig instruktion som skickas till [email protected]. Att ladda upp uppgifter, aktivera ett abonnemang, skapa en profil eller på annat sätt lämna uppgifter till Kreedl utgör Kundens instruktion att behandla dessa uppgifter för de ändamål som anges i avsnitt 3.

4.3 Kunden kan när som helst ändra läget eller sina instruktioner per e-post, i applikationen eller genom handlande av vilket ändringen tydligt framgår. Kreedl genomför ändringar inom 14 dagar.

4.4 Kreedl får vägra att följa en instruktion som enligt Kreedls rimliga bedömning strider mot GDPR eller annan lag och informerar i så fall Kunden om detta. Kreedl får också behandla Kundens personuppgifter när unionsrätten eller en medlemsstats nationella rätt kräver det; i så fall informerar Kreedl Kunden, om inte lagen förbjuder det.

Kunden intygar och åtar sig att -

• den har, och korrekt fastställer, en giltig rättslig grund för alla Kundens personuppgifter som den samlar in och överför till Kreedl samt för varje kommunikation som den instruerar Kreedl att initiera. Kunden har ensam ansvaret om rättslig grund saknas för att lämna ut eller överföra uppgifterna;
• den fullgör skyldigheten att informera de registrerade enligt artiklarna 12, 13 och 14 i GDPR, inklusive att publicera informationen till uppringare i del A av Kreedls villkor för regelefterlevnad, och bär ensam denna skyldighet oavsett om Kreedl publicerar information om verksamheten i fråga i sin Integritetspolicy. Detta påverkar inte Kreedls informationsskyldighet i egenskap av självständigt personuppgiftsansvarig;
• när den instruerar Kreedl att samla in offentligt tillgänglig information om bostadssökande informerar den dessa personer om varifrån uppgifterna kommer senast vid den första kontakten;
• när den lämnar ut tjeckiska personnummer följer den § 13c i lag nr 133/2000 Sb.;
• den ansvarar för de gränser för självständighet som den sätter och för hanteringen av eskaleringar;
• den vidtar tekniska och praktiska åtgärder som säkerställer bästa möjliga skydd för de registrerades personuppgifter och bär ensam ansvaret för dem, om inte uppgifterna finns på en enhet eller i en databas som uteslutande innehas eller drivs av Kreedl;
• dess instruktioner följer lagen. Kunden ansvarar ensam för att dess instruktioner är lagliga och för alla sanktioner som har samband med att de inte följs. Om någon av parterna drar slutsatsen att genomförandet av en instruktion från Kunden kan förutsätta en konsekvensbedömning avseende dataskydd (”konsekvensbedömning”), skjuts instruktionen upp till dess att dess laglighet har godkänts på grundval av en konsekvensbedömning, vars kostnad bärs av Kunden. Kreedl är dock inte skyldigt att aktivt granska eller på annat sätt kontrollera lagligheten i Kundens instruktioner.

Kreedl -

• behandlar Kundens personuppgifter uteslutande enligt Kundens dokumenterade instruktioner och endast för de ändamål som anges i avsnitt 3;
• säkerställer att personer som är behöriga att behandla Kundens personuppgifter omfattas av sekretess- och tystnadspliktsavtal, när Kreedl har gett dem behörighet att utföra behandlingen;
• vidtar de tekniska och organisatoriska åtgärder som anges i bilaga 1;
• använder inte Kundens personuppgifter för att träna eller finjustera någon AI-modell;
• bistår Kunden vid begäranden från registrerade (avsnitt 9), i fråga om säkerhet, anmälan av personuppgiftsincidenter och konsekvensbedömningar avseende dataskydd (avsnitt 10), med hänsyn till behandlingens art;
• raderar eller återlämnar Kundens personuppgifter i enlighet med avsnitt 12;
• gör den information tillgänglig som krävs för att visa att artikel 28 i GDPR efterlevs och möjliggör granskningar i enlighet med avsnitt 11;
• håller de uppgifter som Kunden gör tillgängliga åtskilda från de uppgifter som Kreedl behandlar som självständigt personuppgiftsansvarig;
• vidtar tekniska och praktiska åtgärder som säkerställer bästa möjliga skydd för de registrerades personuppgifter när uppgifterna finns på en enhet eller i en databas som uteslutande innehas eller drivs av Kreedl.

7.1 Kunden ger Kreedl ett allmänt förhandstillstånd att anlita underbiträden. Den aktuella förteckningen finns i avsnitt 7 i Integritetspolicyn på kreedl.com/sv/privacy.

7.2 Kreedl underrättar Kunden per e-post om tillägg eller byte av underbiträde minst 14 dagar innan ändringen träder i kraft.

7.3 Om Kunden inom 14 dagar från underrättelsen invänder på rimliga dataskyddsgrunder får Kreedl föreslå ett alternativ. Om ingen överenskommelse nås är Kundens enda åtgärd att skriftligen säga upp de berörda tjänsterna, utan sanktioner för den uppsagda delen, med verkan från den dag då bytet av underbiträde träder i kraft. Kreedl är inte skyldigt att byta underbiträde.

7.4 Kreedl ålägger varje underbiträde dataskyddsskyldigheter som inte är mindre stränga än de i detta Biträdesavtal och förblir ansvarigt för att de fullgörs.

7.5 När Kreedl anlitar ett nytt underbiträde ansvarar Kreedl för att ange det nya underbiträdets identitet i Integritetspolicyn och för att underrätta Kunden enligt punkt 7.2, så att Kunden kan fullgöra sin informationsskyldighet enligt avsnitt 5.

Kreedl lagrar Kundens personuppgifter inom Europeiska unionen. AI-behandling och telefoni kan involvera leverantörer utanför EES eller Storbritannien. För varje sådan överföring stöder sig Kreedl på EU:s standardavtalsklausuler, ett beslut om adekvat skyddsnivå (inklusive EU-US Data Privacy Framework när leverantören är certifierad) eller, för uppgifter från Storbritannien, Storbritanniens tillägg om internationella dataöverföringar (UK International Data Transfer Addendum). Kreedl erbjuder på skriftlig begäran en konfiguration med behandling enbart inom EU; det är Kundens ansvar att begära den. Kunden ger Kreedl fullmakt att ingå standardavtalsklausulerna med underbiträden för Kundens räkning. Det brittiska tillägget tillhandahålls på begäran.

Om Kreedl tar emot en begäran från en registrerad som rör Kundens personuppgifter vidarebefordrar Kreedl den till Kunden inom 3 arbetsdagar och besvarar den inte i sak utan instruktion. Kreedl ger skäligt bistånd så att Kunden kan svara inom de lagstadgade tidsfristerna. Bistånd utöver fem begäranden per månad, eller som kräver mer än skälig insats, debiteras enligt Kreedls gällande timpris.

10.1 Kreedl underrättar Kunden om en personuppgiftsincident som rör Kundens personuppgifter utan onödigt dröjsmål och senast 48 timmar efter att ha fått kännedom om den. Den första underrättelsen innehåller den information som då är känd. Parterna ger varandra det bistånd som krävs enligt artiklarna 33 och 34 i GDPR för att undanröja risker, följderna av incidenten och sanktionsavgifter från tillsynsmyndigheten samt för att framgångsrikt utreda incidenten.

10.2 Anmälan till tillsynsmyndigheten och information till de registrerade åligger den part som förvaltar den databas eller enhet där personuppgiftsincidenten inträffade.

10.3 Om Kunden måste genomföra en konsekvensbedömning tillhandahåller Kreedl en beskrivning av behandlingen, åtgärderna i bilaga 1 och skälig ytterligare information som är absolut nödvändig för att utarbeta konsekvensbedömningen. Bedömningen genomförs, godkänns och ägs av Kunden. Kunden bär kostnaden för att utarbeta konsekvensbedömningen.

10.4 Oaktat Kundens godkännande enligt punkt 10.3 är Kreedl inte skyldigt att genomföra en instruktion från Kunden om Kreedl, trots att en konsekvensbedömning finns, har rimliga skäl att misstänka att instruktionen är olaglig, att principen om uppgiftsminimering inte har beaktats tillräckligt vid utarbetandet av konsekvensbedömningen eller att bedömningens kvalitet och legitimitet är bristfällig.

En gång per kalenderår kan Kunden, efter skriftligt meddelande 30 dagar i förväg, begära Kreedls ifyllda säkerhetsenkät, en kopia av bilaga 1 och tillgänglig dokumentation som visar att detta Biträdesavtal efterlevs. En inspektion på plats sker endast på den plats och vid den tidpunkt som en tillsynsmyndighet eller lagen kräver, under förutsättning av sekretess, utan åtkomst till andra Kunders uppgifter och på Kundens bekostnad. Kreedl är inte certifierat enligt ISO 27001 eller SOC 2, garanterar inte att interna granskningar genomförs i enlighet med sådan certifiering, och Kunden är medveten om detta.

12.1 När Kundavtalet upphör, och när som helst på skriftlig begäran, exporterar Kreedl Kundens personuppgifter i ett strukturerat, maskinläsbart format (JSON; ljudfiler för inspelningar) och raderar Kundens personuppgifter inom 30 dagar från avtalets upphörande. Krypterade säkerhetskopior rensas inom 90 dagar. Kreedl bekräftar raderingen skriftligen på begäran. Kreedl får behålla uppgifter när lag kräver det, och endast för det ändamålet.

12.2 Om den rättsliga grund på vilken Kunden innehar en tredje parts uppgifter i förhållande till denna tredje part upphör, informerar Kunden Kreedl om detta och bär ensam ansvaret för att lämna denna information. Kreedl genomför raderingen i enlighet med gränserna för lagring av personuppgifter, om inte Kunden insisterar på att behålla posten för något av sina berättigade intressen, i vilket fall Kunden ska styrka det berättigade intresset. Kunden ansvarar för alla administrativa eller andra sanktioner som uppstår till följd av att Kunden inte har informerat Kreedl om att den rättsliga grunden har upphört, eller av att dess intresse inte är berättigat när detta intresse är grunden för en förlängd lagring av uppgifterna.

13.1 I den största utsträckning som lagen tillåter är Kreedls sammanlagda ansvar som uppstår till följd av eller i samband med detta Biträdesavtal, inklusive administrativa sanktionsavgifter och anspråk från registrerade, begränsat till det belopp som Kunden har betalat under de tolv månader som föregår den händelse som gav upphov till anspråket, och Kreedl ansvarar inte för indirekt skada eller följdskada, utebliven vinst, förlust av data eller skada på anseende.

13.2 Kreedl har ingen skyldighet att hålla Kunden skadeslös.

13.3 Kunden håller Kreedl skadeslöst mot alla anspråk, sanktionsavgifter, förluster eller kostnader (inklusive skäliga advokatkostnader, och inklusive det fall då Kreedl, till följd av ett handlande som inte på något sätt kan tillskrivas Kreedl, lider skada eller blir skyldigt att betala ett anspråk eller en sanktionsavgift enligt punkt 13.1 som överstiger ansvarsbegränsningen i punkt 13.1) som uppstår till följd av Kundens brott mot detta Biträdesavtal eller GDPR, av en instruktion från Kunden, av uppgifter som lämnats utan rättslig grund eller utan att de registrerade har fått föreskriven information när detta Biträdesavtal uttryckligen föreskriver det, eller av de inställningar för självständighet som Kunden har valt.

Detta Biträdesavtal fortsätter att gälla efter att Kundavtalet har upphört, till dess att det sista potentiella anspråket som direkt eller indirekt har samband med rättigheterna och skyldigheterna enligt detta Biträdesavtal har preskriberats enligt tjeckisk lag. Biträdesavtalet regleras av tjeckisk lag och tvister som uppstår enbart enligt detta Biträdesavtal avgörs av behörig domstol i Prag. Det publiceras på engelska och tjeckiska; den engelska versionen har företräde, om inte Kundavtalet anger något annat. Kreedl får ensidigt uppdatera detta Biträdesavtal efter underrättelse per e-post till Kunderna 14 dagar i förväg; fortsatt användning efter dagen för ikraftträdandet innebär att ändringarna godtas.

Kryptering. Kundens personuppgifter krypteras i vila (AES-256 eller motsvarande) och under överföring (TLS 1.2 eller högre). Inspelningar av samtal och filer lagras i krypterad objektlagring.

Åtkomstkontroll. Rollbaserad åtkomst. Endast den personal hos Kreedl som behöver åtkomst för att driva tjänsten har den. Multifaktorautentisering är obligatorisk för all personal hos Kreedl och för all administrativ åtkomst till infrastrukturen. Åtkomsten ses över vid personalförändringar och minst en gång per kvartal.

Loggning och spårbarhet. Varje åtgärd som AI-assistenten vidtar och varje gång personal kommer åt Kundens personuppgifter loggas med tidpunkt och identitet. Loggarna sparas i 12 månader och Kunden har tillgång till dem för sina egna uppgifter.

Hantering av hemligheter. Leverantörers inloggningsuppgifter och API-nycklar lagras i ett system för hantering av hemligheter, aldrig i kod, exponeras aldrig för användare och byts ut när en anställd slutar eller vid misstanke om att de har röjts.

Åtskillnad mellan Kunder. Varje Kunds uppgifter är logiskt åtskilda. Ingen Kund har åtkomst till en annan Kunds uppgifter.

Säkerhetskopior. Krypterade säkerhetskopior minst dagligen, som sparas i 90 dagar; återställning testas minst en gång per år.

Leverantörer av AI-modeller. Modelleverantörerna är avtalsmässigt förbjudna att använda Kundens personuppgifter för träning. Kreedl tränar eller finjusterar inte modeller på Kundens personuppgifter.

Personal. All personal och alla uppdragstagare undertecknar sekretess- och tystnadspliktsavtal och genomgår utbildning i dataskydd innan de får åtkomst. Åtkomsten återkallas samma dag som personen slutar.

Incidenthantering. En dokumenterad rutin med en ansvarig person, underrättelse till Kunden inom 48 timmar och en utvärdering efter incidenten.

Fysisk säkerhet. Infrastrukturen finns hos de leverantörer som anges i Integritetspolicyn, vilka driver certifierade datacenter (ISO 27001 / SOC 2 på leverantörsnivå). Kreedl driver inga egna datacenter.

Radering. Automatiska lagringsregler raderar kommunikationsuppgifter efter 12 månader eller inom en annan period som Kunden fastställer enligt avsnitt 3 och punkt 12.2. Radering vid avtalets upphörande inom 30 dagar, säkerhetskopior inom 90 dagar.