Detta personuppgiftsbirädesavtal (”DPA”) reglerar behandlingen av personuppgifter som Personuppgiftsbirädet utför på uppdrag av den Personuppgiftsansvarige i samband med användning av Crewless-plattformen. Avtalet utgör en integrerad del av tjänsteavtalet mellan parterna och säkerställer att behandlingen sker i enlighet med EU:s dataskyddsförordning (GDPR) och tillämplig svensk dataskyddslagstiftning. Avtalet träder i kraft när Kunden registrerar sig för tjänsten.

Personuppgiftsbirädet är:

Den Personuppgiftsansvarige är den juridiska person (Kunden) som använder Crewless-plattformen och därmed instruerar Personuppgiftsbirädet att behandla personuppgifter för sin räkning.

Personuppgiftsbirädet behandlar personuppgifter uteslutande för att tillhandahålla tjänsterna i Crewless-plattformen, vilket innefattar bearbetning av projektdokumentation via AI-agenter:

Behandlingen sker enbart enligt den Personuppgiftsansvariges dokumenterade instruktioner. Birädet får inte behandla personuppgifter för något annat ändamål än vad som anges i detta avtal.

Följande kategorier av personuppgifter kan förekomma i behandlingen:

Inga känsliga personuppgifter (särskilda kategorier enligt Art. 9 GDPR) behandlas avsiktligt inom tjänsten.

De registrerade vars personuppgifter kan behandlas inom ramen för tjänsten är:

Personuppgiftsbirädet vidtar följande tekniska och organisatoriska åtgärder för att säkerställa en lämplig skyddsnivå enligt Art. 32 GDPR:

Personuppgiftsbirädet använder följande underbiträden för att tillhandahålla tjänsten. Den Personuppgiftsansvarige godkänner användningen av dessa underbiträden genom att ingå detta avtal.

Personuppgiftsbirädet ska informera den Personuppgiftsansvarige skriftligen minst 30 dagar innan ett nytt underbiträde anläts eller ett befintligt byts ut. Den Personuppgiftsansvarige har rätt att invända mot förändringen.

Vid avtalets upphörande ska Personuppgiftsbirädet, enligt den Personuppgiftsansvariges val, återlämna eller radera samtliga personuppgifter som behandlats inom ramen för tjänsten. Radering genomförs inom 30 dagar från avtalets upphörande. Personuppgiftsbirädet ska på begäran skriftligen bekräfta att radering har skett. Uppgifter som krävs för att uppfylla lagstadgade krav (exempelvis bokföringsskyldighet) kan behållas under den tid lagen kräver.

Personuppgiftsbirädet ska ge den Personuppgiftsansvarige tillgång till all information som krävs för att påvisa efterlevnad av skyldigheterna i Art. 28 GDPR. Birädet ska möjliggöra och bidra till granskningar och inspektioner som utförs av den Personuppgiftsansvarige eller en av denne utsedd revisor. Granskning ska aviseras minst 14 dagar i förväg och genomföras på ett sätt som minimerar störningar i den löpande verksamheten.

Vid en personuppgiftsincident ska Personuppgiftsbirädet utan onödigt dröjsmål, och senast inom 48 timmar från det att incidenten upptäckts, meddela den Personuppgiftsansvarige. Meddelandet ska innehålla:

Birädet ska bistå den Personuppgiftsansvarige med att fullgöra sin anmälningsskyldighet till Integritetsskyddsmyndigheten (IMY) och med kommunikation till berörda registrerade.

Överföring av personuppgifter till länder utanför EU/EES sker enbart när lämpliga skyddsåtgärder är på plats. För underbiträden i USA (OpenRouter) och globalt (Telegram) tillämpas EU:s standardavtalsklausuler (SCC) enligt EU-kommissionens beslut 2021/914, Art. 46.2(c) GDPR. Personuppgiftsbirädet ska säkerställa att samtliga underbiträden som behandlar personuppgifter utanför EU/EES är bundna av motsvarande skyddsåtgärder.

Detta personuppgiftsbirädesavtal gäller så länge tjänsteavtalet mellan parterna är aktivt och Personuppgiftsbirädet behandlar personuppgifter för den Personuppgiftsansvariges räkning. Avtalets förpliktelser avseende sekretess, radering och revision gäller även efter avtalets upphörande.

Frågor om detta personuppgiftsbirädesavtal eller behandlingen av personuppgifter kan riktas till: