Personuppgiftsbiträdesavtal

1. Bakgrund och parter

Detta personuppgiftsbiträdesavtal gäller mellan tandkliniken (personuppgiftsansvarig, "kliniken") och Reputano AB (under bildande) (personuppgiftsbiträde, "biträdet") och är en del av de allmänna villkoren. Det uppfyller kraven i artikel 28 i dataskyddsförordningen.

2. Behandlingens art, syfte och varaktighet

Biträdet behandlar personuppgifter för att skicka SMS med en länk till klinikens Google-profil efter besök som kliniken registrerat, för att hantera avregistreringar och för att visa kliniken statistik över utskick och klick. Behandlingen pågår så länge avtalet gäller.

3. Kategorier av registrerade och uppgifter

Registrerade: klinikens patienter som sagt ja till ett SMS, personer som skrivit omdömen om kliniken på Google, och klinikens användare av tjänsten. Uppgifter:

• Mobilnummer, som raderas 30 dagar efter besöket
• Tid för besöket och för samtycket, och vem på kliniken som registrerade det
• Status för SMS:et (skickat, levererat, klickat, avregistrerat)
• En kryptografisk hash av numret, för att avregistreringar ska gälla och länken i gamla SMS ska fungera. Besöken med sin hash raderas efter 13 månader. Avregistreringar sparas som hash så länge kliniken använder tjänsten.
• Omdömen från Google: namnet och texten som de står på Google, betyget och klinikens svar
• Klinikens användare: namn, e-postadress och vad de gjort i tjänsten

4. Inga känsliga uppgifter

Biträdet behandlar inga uppgifter om hälsa, behandlingar eller journaler, utöver det en person själv skrivit offentligt i ett omdöme på Google. Kliniken registrerar bara mobilnumret. Svar på omdömen kontrolleras automatiskt så att de inte nämner behandlingar eller bekräftar att någon är patient, och svar på 1–3 stjärnor publiceras bara efter klinikens godkännande.

5. Instruktioner

Biträdet behandlar personuppgifterna endast enligt klinikens dokumenterade instruktioner, som är detta avtal och klinikens inställningar i tjänsten. Biträdet informerar kliniken om det anser att en instruktion strider mot dataskyddsreglerna.

6. Säkerhet

Biträdet vidtar bland annat följande åtgärder:

• Varje klinik ser bara sina egna uppgifter, upprätthållet av databasen (radnivåskydd) och inte bara av koden
• All trafik krypteras (HTTPS). Hemligheter, till exempel nycklar till Google, lagras krypterade
• Personal hos biträdet loggar in med tvåstegsverifiering, och allt vi gör i en kliniks konto loggas och syns för kliniken
• Loggen över åtgärder går inte att ändra eller tömma från tjänsten
• Säkerhetskopior hos driftleverantören sparas i 7 dagar

7. Sekretess

Personer hos biträdet som har åtkomst till personuppgifterna har tystnadsplikt och får bara ta del av dem när det behövs för att leverera tjänsten eller hjälpa kliniken.

8. Underbiträden

Kliniken ger biträdet ett allmänt förhandstillstånd att anlita underbiträdena nedan. Biträdet meddelar kliniken minst 30 dagar innan ett nytt underbiträde anlitas, och kliniken kan invända. Biträdet ansvarar för underbiträdena som för sig självt.

9. Överföring till tredje land

Personuppgifterna lagras inom EU/EES. Där ett underbiträde är ett bolag utanför EU/EES sker eventuell överföring med stöd av EU-kommissionens standardavtalsklausuler eller motsvarande skyddsåtgärd.

10. Hjälp till kliniken

Biträdet hjälper kliniken att besvara begäranden från registrerade (till exempel om radering), och tillhandahåller en export av klinikens uppgifter i tjänsten. Biträdet hjälper också kliniken med konsekvensbedömningar och förhandssamråd när det behövs.

11. Personuppgiftsincidenter

Biträdet underrättar kliniken utan onödigt dröjsmål, och senast inom 24 timmar efter att en personuppgiftsincident upptäckts, med den information kliniken behöver för att kunna anmäla incidenten inom 72 timmar.

12. Radering vid avtalets slut

När avtalet upphör raderar biträdet klinikens personuppgifter inom 30 dagar, efter att kliniken getts möjlighet att ladda ner dem. Uppgifterna försvinner ur säkerhetskopiorna inom ytterligare 7 dagar. En loggrad om att raderingen skett sparas.

13. Granskning

Biträdet ger kliniken den information som behövs för att visa att avtalet följs, och möjliggör granskning efter skriftlig begäran med rimligt varsel.