Allmänna villkor och PUB-avtal

Det här är villkoren som gäller när ni använder Wellfish. Offerten eller orderbekräftelsen hänvisar hit. Personuppgiftsbiträdesavtalet (PUB-avtalet) är Bilaga 1, och instruktionerna för behandlingen är Bilaga A. Listan över underbiträden i Bilaga A hämtas från samma källa som sidan Underbiträden.

Allmänna villkor

Dessa villkor gäller mellan Wellfish AB, 559369–1891 (”Leverantören”), och den kund som anges i offert eller orderbekräftelse (”Kunden”). Parterna benämns härefter gemensamt som ”Parterna” och var för sig som ”Part”.

1 Bakgrund

1.1 Leverantören bedriver verksamhet inom hållbarhet, genom att tillhandahålla en mjukvarutjänst innebärande kontinuerligt hållbarhetsarbete och upprättande av hållbarhetsredovisning.

1.2 Kunden har uppdragit åt Leverantören och Leverantören har åtagit sig att utföra uppdrag avseende tillhandahållande av en mjukvarutjänst avseende kontinuerligt hållbarhetsarbete, och upprättande av hållbarhetsredovisning (”Uppdraget”) såsom anges i Avtalet.

2 Definitioner

Om inte sammanhanget eller omständigheterna uppenbarligen föranleder annat ska följande ord och begrepp anses ha den innebörd som anges nedan.

”Dataskyddsförordningen” avser Europaparlamentets och rådets förordning 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG.

“Kundens Data” avser all information, inklusive men inte begränsat till personuppgifter, affärsdata, dokument, filer, transaktionsuppgifter och annan data, som Kunden eller någon som agerar för Kundens räkning tillhandahåller, laddar upp, lagrar, bearbetar eller på annat sätt gör tillgänglig inom ramen för Avtalet.

”Resultat” eller ”Resultatet” avser det resultat, material och dokumentation (inklusive klimatberäkningar, VSME/CSRD-rapport och insamlad data) som Leverantören ska åstadkomma eller leverera inom ramen för Uppdraget för att uppfylla Specifikationen.

”Specifikation” avser beskrivning av Uppdragets omfattning enligt avsnitt fyra (4).

”Uppdraget” avser de tjänster som Leverantören ska utföra för att uppnå Resultat i enlighet med Specifikationen.

3 Avtalets omfattning och handlingar

3.1 Avtalet reglerar de villkor som ska gälla för Uppdraget. Avtalet består av följande handlingar.

i) Detta Avtalsdokument

ii) Bilaga 1 - Personuppgiftsbiträdesavtal med tillhörande instruktion

3.2 I händelse av konflikt mellan bestämmelserna i Avtalet ska handlingarna sinsemellan äga företräde i den ordning som anges ovan, om inte omständigheterna uppenbarligen föranleder annat.

4 Specifikation av Uppdraget

4.1 Leverantören ska till Kunden tillhandahålla en programvarulösning (Wellfish hållbarhetsplattform inklusive hållbarhetgsuide), genom att Kunden erhåller en licens, som möjliggör för Kunden att utföra mätningar, hållbarhetskartläggningar, ta ut rapporter, genomföra analyser, definiera målsättningar och genomföra uppföljning inom ramen för hållbarhetsinitiativ och i enlighet med CSRD (Corporate Sustainability Reporting Directive) och VSME (Voluntary reporting standard for SMEs) (”Tjänsten”).

I Tjänsten ingår följande:

• Hållbarhetskartläggningar:

  • Värdekedjekartläggning

  • Intressentanalys

  • Dubbel väsentlighetsanalys

• Datainsamling:

  • Upplysningskrav enligt ESRS/CSRD

    • ESRS E1-E5

    • ESRS G1

    • ESRS S1-S4

    • ESRS 2

    • Infasningskraven

  • Rapportering för EU-taxonomin

  • Mål & åtgärder

• Klimatredovisning/klimatberäkning:

  • Genomförande av löpande Co2e beräkningar (månatligen)

  • Rapportgenerering

• VSME/CSRD-rapport (avseende av Kunden vid var tid vald period):

  • Rapportgenerering

• Customer support via mail

4.2 Leverantören ska löpande genomföra klimatberäkningar av GHG-utsläpp i Scope 1, 2 och 3 enligt GHG-protokollet (Greenhouse Gas Protocol). Klimatunderlagen går igenom en kvalitetssäkringsprocess, varefter de löpande ska rapporteras in i Leverantörens system. Kunden åtar sig att säkerställa att Leverantören kan hämta relevanta underlag från Kundens bokföringssystem i syfte att Leverantören ska kunna genomföra klimatberäkningarna.

5 Uppdragets genomförande

5.1 Leverantören åtar sig att utföra Uppdraget med omsorg och på ett fackmannamässigt sätt samt med för ändamålet lämplig och kvalificerad personal. Leverantören ska ta de initiativ som krävs för att Leverantören ska erhålla nödvändig kunskap och förståelse för Uppdraget och dess fullgörande. Leverantören ska löpande hålla Kunden underrättad om hur arbetet med Uppdraget fortlöper.

5.2 Leverantören får använda sådan underkonsult för Uppdragets genomförande som Kunden skriftligen godkänt. Ett godkännande av underkonsult enligt denna punkt ger inte underkonsult rätt att behandla personuppgifter för Kundens räkning. Godkännande av underkonsults behandling av personuppgifter för Kundens räkning ska ske i enlighet med bilaga 1.

6 Integration med andra affärssystem

6.1 Leverantören äger endast rätt att hämta sådan del av Kundens data som avser leverantörsfakturor och kvitton. Hämtning ska ske via det API som Kunden anvisar och i övrigt i enlighet med Kundens instruktioner från tid till annan.

7 Leverans

7.1 Kunden ska ges tillgång till inloggningsuppgifter till Leverantörens hemsida där Kunden kontinuerligt kan ta del av Resultatet (inklusive klimatberäkningar och VSME/CSRD-rapport som kan tas ut vid var tid). Rapporterna levereras i det format som Parterna kommer överens om.

7.2 Månatlig klimatberäkning ska, enligt GHG-protokollet, levereras till Kunden senast en (1) månad efter att Kunden har bokfört samtliga verifikat och avslutat den aktuella månadsperioden.

7.3 Kunden ska godkänna Resultatet då det till omfattning och innehåll överensstämmer med Specifikationen.

7.4 Om Kunden inte godkänner Resultatet ska Leverantören åtgärda fel och/eller brist skyndsamt.

8 Ansvar för förseningar och fel

8.1 Leverantören ansvarar för dröjsmål om hela eller delar av Uppdraget eller Resultatet inte har levererats inom den tid som överenskommits utan att det beror på Kunden eller något förhållande som Kunden ansvarar för. Vid sådant dröjsmål äger Kunden rätt att säga upp Avtalet med omedelbar verkan, varvid Kunden har rätt till återbetalning av redan erlagd ersättning för tiden efter att Avtalet har upphört att gälla. Kunden äger även rätt till skadestånd på grund av dröjsmål med de begränsningar som framgår av punkten 12 (Ansvar).

8.2 Leverantören ansvarar för brister i fullgörandet av Uppdraget och för fel i tillhandahållet Resultat, i den omfattning avvikelse föreligger i förhållande till avtalad Specifikation.

8.3 Avhjälper inte Leverantören fel eller brist utan oskäligt uppehåll har Kunden rätt till nedsättning av den avtalade ersättningen med ett belopp som skäligen kan anses motsvara felet eller bristen. Kunden äger även rätt till skadestånd på grund av fel eller brist med de begränsningar som framgår av punkten 12 (Ansvar). Nedsättning av ersättningen som utgått på grund av fel eller brist ska avräknas när skadeståndets storlek framräknas.

8.4 Leverantörens ansvar omfattar inte;

a) fel i Tredjepartsprodukt,

b) fel förorsakade genom Kundens ändring av Resultatet,

c) fel beroende av Kundens användning av Resultatet i strid med Leverantörens föreskrifter.

9 Personuppgifter

9.1 Vid utförandet av Uppdraget kommer Leverantören att behandla personuppgifter för Kundens räkning, varför Parterna ingått ett personuppgiftsbiträdesavtal med tillhörande instruktion, nedan ”Personuppgiftsbiträdesavtal”, i enlighet med Bilaga 1 till detta Avtal.

9.2 Leverantören ska endast behandla personuppgifter i enlighet med Personuppgiftsbiträdesavtalet, Kundens instruktioner och gällande lagstiftning. Vad avser behandling av personuppgifter ska Personuppgiftsbiträdesavtalet äga företräde framför övriga regleringar i Avtalet.

10 Ersättning och betalningsvillkor

10.1 Leverantören fakturerar för Tjänsten årligen i förskott. Betalning av faktura ska ske senast inom tjugo (20) dagar från fakturans utställandedatum. Vid försening utgår dröjsmålsränta enligt lag. Fakturaavgift får inte uttas.

Leverantören har rätt att årligen justera priserna, sådan ändring ska aviseras senast 30 dagar innan ikraftträdandet. Om Kunden inte accepterar det nya priset så äger Kunden rätt att säga upp Avtalet med omedelbar verkan, varvid Kunden har rätt till återbetalning av redan erlagd ersättning för tiden efter att Avtalet har upphört att gälla.

11 Avtalstid

11.1 Avtalet träder i kraft när Kunden har godkänt en offert eller orderbekräftelse som hänvisar till dessa villkor, och löper tills vidare. Vardera Part kan säga upp Avtalet skriftligen med tre (3) månaders uppsägningstid, varvid Kunden har rätt till återbetalning av redan erlagd ersättning för tiden efter att Avtalet har upphört att gälla.

12 Ansvar

12.1 Leverantören ansvarar för skada som Leverantören genom sin försummelse orsakat Kunden, med de begränsningar som anges nedan.

12.2 Parts skadeståndsansvar ska vara begränsat till ersättningen för Uppdraget.

12.3 Beloppsbegränsningen gäller inte i fall som avses i punkt 15 (Intrång), när Part agerat grovt vårdslöst eller med uppsåt, samt vid överträdelse av Gällande rätt (enligt definitionen i Personuppgiftsbiträdesavtalet) eller vid överträdelse av Personuppgiftsbiträdesavtalet (se avsnitt 10 i Personuppgiftsbiträdesavtalet).

12.4 Part ansvarar inte, såvida inte uppsåt eller grov vårdslöshet föreligger, i något fall för utebliven vinst eller annan indirekt skada eller förlust, inklusive den andra Partens eventuella ersättningsskyldighet gentemot tredje man eller förlust av information. Part ska dock äga rätt att göra regressrätt gällande i enlighet med artikel 82 i Dataskyddsförordningen.

12.5 Part ska framställa ersättningsanspråk, för att inte förlora sin rätt till talan, senast sex (6) månader efter det att Parten märkt grunden för kravet, dock senast arton (18) månader från det att Avtalet upphört att gälla.

13 Sekretess

13.1 Parterna förbinder sig att under avtalstiden och under tre (3) år därefter inte till utomstående lämna information avseende Avtalets innehåll och annan information som Parterna fått ta del av med anledning av Avtalet, oavsett om informationen lämnats skriftligen eller muntligen och oberoende av format (”Konfidentiell information”). Parterna förbinder sig att använda Konfidentiell information enbart i syfte att fullgöra sina åtaganden under Avtalet och inte för något annat ändamål. Mottagande Part förbinder sig vidare att vidta erforderliga åtgärder för att förhindra att anställd, underkonsult eller annan mellanman använder eller avslöjar Konfidentiell information för utomstående samt att använda samma nivå av aktsamhet (men inte lägre nivå än skälig aktsamhet) för att undvika utlämnande eller nyttjande av Konfidentiell information som Parten använder avseende sin egen konfidentiella eller upphovsrättsskyddade information.

13.2 Ovanstående gäller inte för sådan information som

1. vid tidpunkten för utlämnandet är eller senare blir tillgänglig för allmänheten på annat sätt än genom Parts överträdelse av Avtalet, eller
2. redan var tillgänglig för mottagande Part eller som denne på egen hand har utvecklat innan ingåendet av Avtalet och som inte, direkt eller indirekt, har erhållits genom överträdelse mot Avtalet.

13.3 Denna sekretessförbindelse förhindrar inte Part från att lämna sådan information som Part har skyldighet att lämna ut enligt lag, dom eller myndighetsbeslut eller avtal med börs eller annan marknadsplats. Om Part skulle ha eller åläggas skyldighet att lämna sådan information, åtar sig Parterna att omedelbart underrätta den andra Parten. Parterna ska göra sitt bästa för att tillse att information som lämnas i enlighet med denna punkt, så långt möjligt, behandlas konfidentiellt av mottagaren av informationen.

14 Immateriella rättigheter

14.1 Leverantören ska behålla all äganderätt och samtliga immateriella rättigheter, inklusive men inte begränsat till upphovsrätt, patent, varumärken och know-how, till Tjänsten och till Tjänsten hörande dokumentation. Kunden erhåller en återkallelig, tidsbegränsad, icke-exklusiv och icke-överlåtbar licens att använda Tjänsten i enlighet med villkoren i detta Avtal.

14.2 Kunden ska behålla all äganderätt och samtliga immateriella rättigheter till Kundens Data som behandlas i Tjänsten och som ingår i Resultatet samt till Resultatet. Leverantören erhåller en återkallelig, tidsbegränsad, icke-exklusiv och icke-överlåtbar licens att använda Kundens Data endast i den utsträckning som är nödvändig för att genomföra Uppdraget och kunna leverera Resultatet enligt detta Avtal.

14.3 Ingen bestämmelse i detta Avtal ska tolkas som att den ger endera parten rätt att använda den andra partens immateriella rättigheter, inklusive men inte begränsat till varumärken, företagsnamn, domännamn eller andra kännetecken, utan föregående skriftligt samtycke från den andra parten.

14.4 Om inte annat uttryckligen anges i detta Avtal, beviljas ingen part någon licens, rätt eller intresse i den andra partens immateriella rättigheter, varken genom avtal, underförstått eller på annat sätt.

14.5 Vid Avtalets upphörande ska Leverantören omedelbart upphöra med all användning av Kundens Data och Resultatet och Kunden ska omedelbart upphöra med all användning av Tjänsten. Kunden äger dock rätt att ladda ned alla rapporter, inklusive Resultatet som har skapats baserat på Kundens data under avtalstiden. Leverantören ska utan dröjsmål efter Avtalets upphörande i enlighet med Kundens instruktioner antingen radera eller återlämna all Kundens Data.

15 Intrång

15.1 Leverantören ska hålla Kunden skadeslös för skadestånd som Kunden ålagts att betala enligt lagakraftvunnen dom eller skiljedom som grundar sig på att Resultatet eller dess användning utgör intrång på annans immateriella rättighet eller egendom. Leverantörens ansvar gäller dock endast om Kunden utan dröjsmål informerar Leverantören om kravet eller påståendet om intrång och Leverantören får full kontroll över kravet samt Kunden bistår Leverantören med information och annan hjälp som rimligen kan begäras av Leverantören.

15.2 Leverantören ska inte vara ansvarig för krav som grundar sig på att (i) Resultatet har kombinerats med eller inkorporerats i annan produkt eller teknologi utan Leverantörens involvering eller godkännande, (ii) Resultatet eller specifikation för Resultatet har ändrats eller använts av Kunden i strid med Leverantörens uttryckliga instruktioner, eller (iii) intrånget orsakats av Kundens egendom eller ändring av Resultatet som har gjorts av Kunden utan Leverantörens involvering eller godkännande.

16 Tredjepartsprodukter

Om Leverantören inom ramen för Avtalet även tillhandahåller Tredjepartsprodukter, gäller Leverantörens licensvillkor för Tredjepartsprodukten framför vad som anges i Avtalet.

17 Publicitet

Ingen Part ska utan medgivande av den andra Parten publicera eller på annat sätt offentliggöra någon information om Parternas mellanhavanden eller om existensen av eller innehållet i Avtalet.

18 Befrielsegrunder

18.1 Part har rätt att skjuta upp fullgörandet av sina förpliktelser och är befriad från påföljd för underlåtenhet att fullgöra sina förpliktelser enligt Avtalet, om fullgörelsen hindras, om fullgörelsen väsentligen försvåras eller om fullgörelsen oskäligen fördyras av en omständighet som ligger utanför Parts kontroll och som Parten varken kunde eller skäligen borde ha förutsett vid tidpunkten för Avtalets ingående. Sådan omständighet (”Befrielsegrundande Omständighet”) kan t.ex. utgöras av krig eller krigsliknande tillstånd, inbördeskrig, mobilisering eller militärinkallelse av motsvarande omfattning, uppror och upplopp, terrorism, sabotage, eldsvåda, översvämning, naturkatastrof, epidemi, pandemi, avbrott i allmänna kommunikationer, avbrott i den allmänna energiförsörjningen, strejk, lockout eller annan generell eller lokal arbetskonflikt (även om Parten själv är part i konflikten), rekvisition, beslag, myndighetsbeslut, handels-, betalnings- eller valutarestriktioner, eller därmed jämställd omständighet. Detsamma gäller om Befrielsegrundande Omständighet föreligger för Parts kontraktsmedhjälpare.

18.2 Part ska meddela den andra Parten om det finns risk för att förpliktelse inte kan fullgöras eller blir fördröjd på grund av en Befrielsegrundande Omständighet. Underlåtelse att lämna sådant meddelande inom skälig tid medför skyldighet att ersätta den skada som hade kunnat undvikas om meddelande lämnats i tid.

18.3 När den Befrielsegrundande Omständigheten har förelegat under sex (6) månader, har var och en av Parterna rätt att säga upp Avtalet till omedelbart upphörande.

19 Överlåtelse av avtal

Part äger rätt att överlåta sina rättigheter och skyldigheter enligt Avtalet endast efter den andre Partens skriftliga godkännande.

20 Ändringar och tillägg

20.1 Leverantören implementerar löpande produktuppdateringar. Väsentliga förändringar i funktionalitet eller integration meddelas med en veckas varsel per e-post till den e-postadress som Kunden angett i offerten eller orderbekräftelsen. Kunden ansvarar för bibehållen funktionalitet samt kompatibilitet med hårdvara, operativsystem, anpassningar och annan mjukvara.

20.2 Övriga ändringar av och tillägg till Avtalet är bindande endast om de är skriftliga och undertecknade av båda Parter.

21 Avtalets upphörande

21.1 Kunden äger rätt att säga upp Avtalet med iakttagande av nittio (90) dagars uppsägningstid avseende ännu inte genomförd del av Uppdraget, utan angivande av skäl. Kunden ska dock erlägga ersättning för

a) utfört arbetet fram till att Avtalet upphör.

21.2 Vardera Part har rätt att säga upp Avtalet med omedelbar verkan om den andra Parten

a) väsentligt bryter mot sina åtaganden enligt Avtalet och inte inom tio (10) dagar efter skriftlig anmodan härom har vidtagit rättelse, eller

b) ställer in sina betalningar, påbörjar förhandlingar om uppgörelse med sina borgenärer, blir föremål för ansökan om konkurs, ger in ansökan om företagsrekonstruktion eller ackord eller dylikt, träder i likvidation eller för det fall en förvaltare utses beträffande alla eller delar av Partens tillgångar.

21.3 Uppsägning ska ske skriftligen för att vara gällande.

22 Konsekvenser av upphörande

22.1 Vid Avtalets upphörande ska båda Parter returnera allt material, information och annat som tillhör den andra Parten med undantag för material som behövs för utövande av de rättigheter som överlever Avtalets upphörande i enlighet med Avtalet.

23 Tillämplig lag och tvister

23.1 Svensk lag ska tillämpas på Avtalet.

23.2 Eventuell tvist angående tolkning eller tillämpning av Avtalet ska slutligen avgöras av allmän domstol, med Stockholms tingsrätt som första instans.

24 Särskilda villkor

24.1 Pris, omfattning, eventuell prövoperiod och implementering framgår av offert eller orderbekräftelse.

Bilaga 1 – Personuppgiftsbiträdesavtal

1. Gällande rätt och definitioner

1.1 Gällande Rätt” är den allmänna dataskyddsförordningen (EU) 2016/679 (”Dataskyddsförordningen”) och tillämplig dataskyddslagstiftning. De definitioner som återfinns i Gällande Rätt och som återkommer i detta Personuppgiftsbiträdesavtal har samma innebörd även om de inte inleds med versaler i detta Personuppgiftsbiträdesavtal, t.ex. ”registrerad”, ”personuppgift”, ”behandling”, ”tredjeland” etc.

2. Ändamålet med behandlingen

2.1 Ändamålet med behandlingen av personuppgifter är att tillhandahålla Tjänsten till den Personuppgiftsansvarige i enlighet med Avtalet (”Ändamål”), se även instruktionerna i Bilaga A.

2.2 Personuppgiftsbiträdet får endast behandla den Personuppgiftsansvariges personuppgifter för Ändamålet och i den mån det är nödvändigt för att uppfylla Personuppgiftsbiträdets skyldigheter enligt detta Personuppgiftsbiträdesavtal samt Avtalet inklusive bilagor.

2.3 Typen av personuppgifter, de kategorier av registrerade vars personuppgifter kommer att behandlas samt behandlingens varaktighet och mottagare av personuppgifter som omfattas av behandlingen samt de tekniska och organisatoriska skyddsåtgärder som ska vidtas framgår av instruktionerna i Bilaga A.

3. Personuppgiftsansvariges särskilda åtaganden

(a) Den Personuppgiftsansvarige ansvarar för att behandlingen av personuppgifter sker enligt Gällande Rätt. Den Personuppgiftsansvarige får endast tillhandahålla Personuppgiftsbiträdet de personuppgifter som behövs för att utföra och administrera Tjänsten enligt Avtalet.

(b)Den Personuppgiftsansvarige är ansvarig för att denne har rätt att överföra personuppgifter till Personuppgiftsbiträdet och att Personuppgiftsbiträdet har rätt att behandla personuppgifterna i samband med utförandet av Tjänsten enligt Avtalet. I händelse av att den Personuppgiftsansvarige avser ändra eller meddela nya instruktioner, som väsentligt påverkar Personuppgiftsbiträdets utförande av Tjänsten, ska Personuppgiftsbiträdet ha rätt att invända mot sådan ändring och Parterna äger då rätt att frånträda detta Personuppgiftsbiträdesavtal och Avtalet med omedelbar verkan. Den Personuppgiftsansvarige ska svara för alla faktiska merkostnader och utgifter som Personuppgiftsbiträdet åsamkas med anledning av att den Personuppgiftsansvarige ändrar eller meddelar nya instruktioner.

4. Personuppgiftsbiträdets särskilda åtaganden

4.1 Personuppgiftsbiträdet åtar sig att:

(a) endast behandla personuppgifter i enlighet med Gällande Rätt, detta Personuppgiftsbiträdesavtal och den Personuppgiftsansvariges dokumenterade instruktioner (som anges i Bilaga A eller som kompletterats skriftligen vid senare tillfälle) såvida inte denna behandling krävs enligt Gällande Rätt som Personuppgiftsbiträdet omfattas av, och i så fall ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida inte sådan information är förbjuden med hänvisning till ett viktigt allmänt intresse enligt denna rätt. Personuppgiftsbiträdet ska omedelbart informera den Personuppgiftsansvarige om Personuppgiftsbiträdet bedömer att en instruktion från den Personuppgiftsansvarige kan anses strida mot Gällande Rätt. Den Personuppgiftsansvarige är dock alltid ansvarig för lämnade instruktioner.

(b) Personuppgifter som Behandlas för Personuppgiftsansvariges räkning ska behandlas konfidentiellt. Anställda och underbiträden som har tillgång till de personuppgifter som behandlas för den Personuppgiftsansvariges räkning har erhållit utbildning och fått instruktioner avseende behandling av personuppgifter som de är ålagda att följa. Anställda och underbiträden ska iaktta konfidentialitet, underteckna sekretessåtagande eller omfattas av en lämplig lagstadgad tystnadsplikt. Personuppgiftsbiträdet eller dess anställda får dock, om dessa är skyldiga enligt tillämplig lagstiftning, eller om det är nödvändigt för fullgörandet av Avtalet eller detta Personuppgiftsbiträdesavtal lämna ut Personuppgifterna.

(c) Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska Personuppgiftsbiträdet vidta de lämpliga tekniska och organisatoriska åtgärder som enligt Gällande Rätt krävs för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, vilket bl.a. inkluderar de åtgärder som räknas upp i artikel 32.1 a) - d) Dataskyddsförordningen. De säkerhetsåtgärder som ska vidtas specificeras närmare i Bilaga A.

(d) Med tanke på behandlingens art, i den mån det är möjligt bistå den Personuppgiftsansvarige med att besvara en registrerads begäran (såsom exempelvis begäran om registerutdrag eller rättelse/uppdatering av personuppgifter som rör den registrerade). För det fall en registrerad kontaktar Personuppgiftsbiträdet direkt med en sådan begäran ska Personuppgiftsbiträdet hänvisa registrerad till den Personuppgiftsansvarige och utan onödigt dröjsmål informera den Personuppgiftsansvarige om begäran. Personuppgiftsbiträdet får inte på egen hand besvara en registrerads begäran.

(e) Med beaktande av behandlingens art och Personuppgiftsbiträdets tillgängliga information, bistå den Personuppgiftsansvarige med att säkerställa att de lagenliga skyldigheter som åläggs den Personuppgiftsansvarige och som innefattar, men inte begränsas till, bland annat informationssäkerhetsåtgärder, konsekvensbedömningar, incidentrapportering samt förhandssamråd, fullgörs.

(f) Personuppgiftsbiträdet ska underrätta den Personuppgiftsansvarige utan onödigt dröjsmål, och senast inom 72 timmar, efter att ha fått vetskap om en personuppgiftsincident. En sådan underrättelse ska innehålla den information som den Personuppgiftsansvarige rimligen behöver för att kunna uppfylla sina rättsliga skyldigheter, vilket bör inkludera åtminstone uppgift om personuppgiftsincidentens art, inbegripet när så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs av incidenten samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs samt en beskrivning av de åtgärder som Personuppgiftsbiträdet har vidtagit eller föreslår för att åtgärda incidenten, inbegripet, när så är lämpligt, åtgärder för att mildra potentiella negativa effekter. Den Personuppgiftsansvarige ansvarar för eventuell rapportering till behörig tillsynsmyndighet och information till berörda registrerade. Personuppgiftsbiträdet ska, med tanke på behandlingens art och den information som Personuppgiftsbiträdet har att tillgå, bistå den Personuppgiftsansvarige vid fullgörande av dess skyldigheter i samband med en personuppgiftsincident. Med beaktande av typen av behandling och den information som Personuppgiftsbiträdets kontaktperson har att tillgå ska Meddelandet:

1. Beskriva personuppgiftsincidentens art och de kategorier av och det ungefärliga antalet Registrerade samt de kategorier av och det ungefärliga antalet Personuppgifter som berörs;
2. Förmedla namnet på och kontaktuppgifterna till Personuppgiftsbiträdes dataskyddskontakt, admin@wellfish.se, eller andra kontaktpunkter där mer information kan erhållas;
3. Beskriva de sannolika konsekvenserna av personuppgiftsincidenten;
4. Beskriva åtgärder som vidtagits av Personuppgiftsbiträdet, eller som föreslås vidtas, för att hantera personuppgiftsincidenten, inklusive där så är lämpligt, åtgärder för att begränsa dess potentiella negativa effekter.
5. Personuppgiftsbiträdet ska vidta nödvändiga åtgärder för att bistå Personuppgiftsansvarige i dennes skyldighet att informera registrerade om personuppgiftsincidenter enligt art 34 Dataskyddsförordningen. Personuppgiftsbiträdet har dock inte att kontakta den registrerade direkt med sådan information.
6. Ge den Personuppgiftsansvarige tillgång till all information som krävs för att visa att de skyldigheter som fastställs i detta Personuppgiftsbiträdesavtal har fullgjorts samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av den Personuppgiftsansvarige eller av en annan tredje part som bemyndigats av den Personuppgiftsansvarige. För det fall den Personuppgiftsansvarige begär att få granska att Personuppgiftsbiträdet fullgör sina skyldigheter enligt Gällande Rätt och detta Personuppgiftsbiträdesavtal ska den Personuppgiftsansvarige skriftligen avisera sin begäran senast 20 arbetsdagar dessförinnan. Innan granskningen påbörjas ska Parterna komma överens om en gransknings- och en tidsplan. Granskningen ska inte störa Personuppgiftsbiträdets löpande verksamhet och ska inte heller innebära rätt att få ta del av information som omfattas av lagstadgad eller avtalad tystnadsplikt. Personuppgiftsbiträdet ska förse den Personuppgiftsansvarige med den information som rimligen krävs för att visa att skyldigheterna har fullgjorts gentemot den Personuppgiftsansvarige. Granskningen ska vara proportionerlig i förhållande till den behandling Personuppgiftsbiträdet har utfört för den Personuppgiftsansvarige. Den Personuppgiftsansvarige har rätt att anlita en utomstående för denna granskning (“Granskare”). Parterna ska gemensamt godkänna Granskare. Granskaren ska åta sig eller annars vara bunden av tystnadsplikt avseende all information som Granskaren får tillgång till vid granskningen. Vardera part ska bära sina kostnader för granskningen.
7. Personuppgiftsbiträdet har endast rätt att överföra personuppgifter till ett tredje land eller en internationell organisation med den Personuppgiftsansvariges skriftliga samtycke.
8. Säkerställa att eventuell överföring av personuppgifter till tredje land sker i enlighet med Gällande Rätt.
9. Personuppgifter som är under behandling eller är avsedda att behandlas får endast överföras till ett tredje land om lämpliga skyddsåtgärder har vidtagits samt på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga. Lämpliga skyddsåtgärder kan exempelvis utgöras av standardiserade dataskyddsbestämmelser som antagits av EU-kommissionen (standardavtalsklausuler, SCC) eller bindande företagsbestämmelser (BCR). Därutöver krävs en bedömning av om de överföringsverktyg (SCC eller BCR) som används för den specifika överföringen kan säkerställa ett effektivt skydd av de personuppgifter som överförs eller om kompletterande åtgärder behöver vidtas i enlighet med EDBP:s rekommendation 01/2020 för att säkerställa en skyddsnivå som är likvärdig med den skyddsnivå som finns inom EU.
10. Löpande hålla Personuppgiftsansvarig informerad om sådan grund för överföring och i den mån adekvat skyddsnivå inte anses garanterad för en överföring till tredje land eller överföring enligt Personuppgiftsbiträdet eller Personuppgiftsansvarigs uppfattning inte längre kan anses tillåten enligt Gällande Rätt omedelbart upphöra med sådan överföring.
11. Säkerställa att bara sådan personal som behöver direkt åtkomst till Personuppgifter för att uppfylla Personuppgiftsbiträdets åtaganden under Personuppgiftsbiträdesavtalet ska ha åtkomst till sådan information. Personuppgiftsbiträdet ska säkerställa att sådan personal är förpliktad att behandla Personuppgifterna med sekretess på samma sätt som Personuppgiftsbiträdet är i enlighet med detta Personuppgiftsbiträdesavtal och att de informeras om hur de får behandla Personuppgifterna.

5. Underleverantörer och tredje land

5.1 Personuppgiftsbiträdet har rätt att anlita ett annat personuppgiftsbiträde för behandling av personuppgifter för den Personuppgiftsansvariges räkning (“Underbiträde”). Anlitande av ett Underbiträde medför inga ändringar i den ansvarsfördelning som gäller mellan Parterna. Om Personuppgiftsbiträdet anlitar ett Underbiträde ska Personuppgiftsbiträdet ingå ett skriftligt avtal med Underbiträdet. Personuppgiftsbiträdet ska ålägga Underbiträdet motsvarande skyldigheter i fråga om dataskydd som åligger Personuppgiftsbiträdet enligt detta Personuppgiftsbiträdesavtal och Gällande Rätt. Personuppgiftsbiträdet ansvarar för Underbiträdens behandling av personuppgifterna i samma utsträckning som Personuppgiftsbiträdets egen behandling enligt detta Personuppgiftsbiträdesavtal.

5.2 Personuppgiftsbiträdet ska minst 30 dagar i förväg skriftligen informera den Personuppgiftsansvarige om sin avsikt att anlita nya eller ersätta befintliga Underbiträden och därigenom ge den Personuppgiftsansvarige möjlighet att inom 30 dagar invända mot sådana ändringar innan den eller de berörda underleverantörerna anlitas. Informationen lämnas per e-post till den e-postadress som den Personuppgiftsansvarige angett i offerten eller orderbekräftelsen, och förteckningen på docs.wellfish.se/sakerhet/underbitraden uppdateras samtidigt. Om Personuppgiftsbiträdet, trots den Personuppgiftsansvariges invändning eller avsaknad av den Personuppgiftsansvariges svar, väljer att ersätta eller anlita ett nytt Underbiträde, äger den Personuppgiftsansvarige rätt att frånträda detta Personuppgiftsbiträdesavtal och Avtalet med omedelbar verkan.

5.3 Om Personuppgiftsbiträdet önskar anlita en ny underleverantör som underbiträde ska Personuppgiftsbiträdet underrätta den Personuppgiftsansvarige om detta på förhand via e-post till den e-postadress som den Personuppgiftsansvarige angett i offerten eller orderbekräftelsen. Den Personuppgiftsansvarige har rätt att motsätta sig ändringar av anlitade underbiträden.

5.4 Vid detta Personuppgiftsbiträdesavtals ingående anlitar Personuppgiftsbiträdet de underbiträden och överför Personuppgifter till tredje land som framgår på bilaga A. Den Personuppgiftsansvarige godkänner att Personuppgiftsbiträdet anlitar de underbiträden och överför personuppgifter till de tredje länder som framgår på bilaga A vid detta Personuppgiftsbiträdesavtals ingående.

6. Ersättning

6.1 Personuppgiftsbiträdet har redovisat för de tekniska och organisatoriska säkerhetsåtgärder som vidtagits i Bilaga A vid ingående av detta avtal. Tekniska åtgärder som enligt vidtagits kring är att Microsoft (Azure) inte använder datan för att träna modeller eller för andra ändamål, och sparar anrop högst 30 dagar för att upptäcka missbruk. Personuppgifter lagras i Sverige. Krypterade säkerhetskopior lagras inom EU (Cloudflare R2). Azure OpenAI lagrar data i Sverige, men språkmodellerna kan bearbeta anrop i andra Azure-regioner enligt Microsofts dataskyddsavtal med EU:s standardavtalsklausuler. Organisatorisk så skriver alla anställda under ett avtal gällande sekretess, immateriella rättigheter, personuppgifter och datasäkerhet. Förbindelser gällande sekretess, immateriella rättigheter, personuppgifter och datasäkerhet för anställda finns att läsa under: https://docs.wellfish.se/villkor/forbindelser-for-anstallda.pdf

6.2 Personuppgiftsbiträdet har rätt till skälig ersättning för arbete för sådant arbete som Personuppgiftsansvarige begär att Personuppgiftsbiträdet ska genomföra för att uppfylla ytterligare tekniska och organisatoriska säkerhetsåtgärder eller som går utöver Gällande Rätt. En förutsättning för ersättningen är att den på förhand har godkänts av den Personuppgiftsansvarige.

7. Utlämnande av personuppgifter och information

7.1 Om det till Personuppgiftsbiträdet kommer in en begäran från registrerad, tillsynsmyndighet eller annan tredje man om att få ta del av uppgifter som Personuppgiftsbiträdet behandlar för Personuppgiftsansvariges räkning ska Personuppgiftsbiträdet utan dröjsmål vidarebefordra begäran till Personuppgiftsansvarige. Personuppgiftsbiträdet, eller den som arbetar under Personuppgiftsbiträdets ledning, får inte lämna ut Personuppgifter eller annan information om behandlingen av Personuppgifter utan uttrycklig dokumenterad instruktion om detta från Personuppgiftsansvarige om inte sådan skyldighet föreligger enligt Gällande Rätt, dom eller myndighetsbeslut. För det fall Personuppgiftsbiträdet, enligt Gällande Rätt är förpliktad att lämna ut Personuppgifter, ska Personuppgiftsbiträdet vidta alla åtgärder för att begära sekretess i samband med att begärd information lämnas ut samt omedelbart informera Personuppgiftsansvarige om detta i den mån Personuppgiftsbiträdet inte är förhindrad att göra detta enligt gällande Gällande Rätt.

8. Kontakt med tillsynsmyndigheten

8.1 Personuppgiftsbiträdet ska informera Personuppgiftsansvarige om eventuella kontakter från tillsynsmyndigheten som rör behandling av Personuppgifter för Personuppgiftsansvariges räkning. Personuppgiftsbiträdet har inte rätt att företräda Personuppgiftsansvarige eller agera för Personuppgiftsansvariges räkning gentemot tillsynsmyndighet.

9. Avtalstid och upphörande

9.1 Detta Personuppgiftsbiträdesavtal gäller från och med det datum när behöriga företrädare för både den Personuppgiftsansvarige och Personuppgiftsbiträdet har undertecknat Avtalet. Detta Personuppgiftsbiträdesavtal gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning för fullgörandet av Avtalet. Om Avtalet upphör att gälla upphör även detta Personuppgiftsbiträdesavtal att gälla.

9.2 När detta Personuppgiftsbiträdesavtal upphör att gälla ska Personuppgiftsbiträdet, på den Personuppgiftsansvariges begäran och enligt dennes val, återlämna eller permanent radera alla personuppgifter som behandlats under Personuppgiftsbiträdesavtalet inom 60 dagar från mottagande av sådan begäran, såvida inte Personuppgiftsbiträdet enligt lag, myndighets- eller domstolsbeslut är skyldig att spara en kopia av personuppgifterna.

9.3 Vid Avtalets upphörande ska Personuppgiftsansvariga skriftligen instruera Personuppgiftsbiträdet om de Personuppgifter som Personuppgiftsbiträdet behandlat för Personuppgiftsansvarigas räkning inom ramen för detta Personuppgiftsbiträdesavtal och om dessa ska (i) återlämnas till den Personuppgiftsansvariga eller (ii) oåterkalleligt raderas. Om Personuppgiftsansvariga inte inkommer med sådan instruktion inom tre månader, ska Personuppgiftsbiträdet oåterkalleligt radera Personuppgifterna utan onödigt dröjsmål.

10. Ansvar

10.1 Ansvaret gentemot en registrerad som lidit skada på grund av en överträdelse av Gällande Rätt eller detta Personuppgiftsbiträdesavtal ska fördelas mellan Parterna i enlighet med artikel 82 i Dataskyddsförordningen. Vardera Part ska själv ansvara för eventuella administrativa sanktionsavgifter som en tillsynsmyndighet har utdömt som en följd av dess behandling.

10.2 Personuppgiftsbiträdet behandlar i egenskap av personuppgiftsbiträde personuppgifter så som de erhålles från den Personuppgiftsansvarige och har inte något ansvar för eventuella följder av att erhållna personuppgifter visar sig vara felaktiga. Den Personuppgiftsansvarige ansvar vidare för att personuppgifterna samlats in och att de registrerade har fått information enligt Gällande Rätt samt att en legal grund föreligger för behandlingen.

11. Rangordning

11.1 Vid motstridigheter i detta personuppgiftsbiträdesavtal och Avtalet ska, vad gäller skyddet av personuppgifter, detta avtal ha företräde. Vid övriga motstridigheter, som inte direkt är hänförliga till skydd av personuppgifter, ska följande tolkningsordning gälla såvida annat inte uttryckligen avtalats;

1. Avtalet
2. Personuppgiftsbiträdesavtalet

12. Tillämplig lag och tvistlösning

12.1 De lagvals- och tvistlösningsmekanismer som anges i Avtalet ska även tillämpas på detta Personuppgiftsbiträdesavtal.

Bilaga A – Instruktioner för behandling av personuppgifter

Utöver vad som framgår av Avtalet förbinder sig Personuppgiftsbiträdet att behandla personuppgifter i enlighet med följande instruktioner.

1. Kategorier av personer som berörs av behandlingen

1.1. De kategorier av registrerade vars personuppgifter Personuppgiftsbiträdet ska behandla är:

1. Den Personuppgiftsansvariges användare och den Personuppgiftsansvariges företrädare
2. Den Personuppgiftsansvariges personal
3. Personer hos tredje part som förekommer i bokföringsunderlag eller på annat sätt omnämns relaterat till den Personuppgiftsansvariges ekonomi, administration och hållbarhetsinformation och som krävs för att tillhandahålla Tjänsten.
4. Den Personuppgiftsansvariges intressenter

2. Personuppgifter

2.1. De kategorier av personuppgifter som Personuppgiftsbiträdet ska behandla innefattar alla eventuella personuppgifter förekommande i data hänförlig till den Personuppgiftsansvariges ekonomi, administration och hållbarhetsinformation som krävs för att tillhandahålla Tjänsten. Det innefattar följande personuppgifter:

1. Kontaktuppgifter till personer hos tredje part, kontaktuppgifter som t.ex. namn, adress, telefonnummer och e-postadresser och roll behandlas om de krävs för att tillhandahålla Tjänsten. Personuppgiftsansvarig ser till att listan underhålls löpande och raderas på begäran.

3. Ändamål

Personuppgiftsbiträdet får endast behandla den Personuppgiftsansvariges personuppgifter för att tillhandahålla Tjänsten samt i den mån det är nödvändigt för att uppfylla Personuppgiftsbiträdets skyldigheter enligt detta Personuppgiftsbiträdesavtal och Avtalet.

4 Skyddsåtgärder och tekniska åtgärder

4.1 Infrastruktur och Säkerhet

Wellfish driver en modern Kubernetes-plattform på dedikerade servrar i Göteborg, vilket ger oss full kontroll över vår infrastruktur och datahantering. All data krypteras systematiskt, och åtkomst till systemen kräver flera säkerhetslager, inklusive VPN och SSH-nycklar. Vår infrastruktur övervakas kontinuerligt genom GDPR-anpassade loggar som bevaras i 90 dagar, och vi implementerar automatiserade säkerhetsuppdateringar genom Renovate/Dependabot för att säkerställa att alla system alltid har de senaste säkerhetspatcharna. Som en del av vår säkerhet finns multifaktorautentisering för alla administrativa konton.

4.2 Datahantering

All datalagring sker inom EU, där huvuddelen av data hanteras på våra egna servrar i Sverige. För backup använder vi Cloudflare R2 inom EU med AES256-kryptering, med en retentionsperiod på 30 dagar. Lokala databasbackuper bevaras i 2 år. De underlag som krävs för GHG-beräkningar (Green House Gas) lagras exklusivt på våra egna servrar, vilket säkerställer maximal kontroll och säkerhet över denna affärskritiska data.

4.3 Systemintegration och API-säkerhet

Wellfish integrationer är primärt byggda mot etablerade bokföringssystem genom deras publika API:er, vilket säkerställer stabila och säkra kopplingar. All kommunikation sker via HTTPS-protokoll med standardiserade autentiseringsmetoder. Den tekniska dokumentationen för dessa integrationer följer bokföringssystemens officiella API-specifikationer. Detta säkerställer att vi följer beprövade säkerhetsstandarder och best practices i våra integrationer.

4.4 Incidenthantering

Wellfish har en omfattande incidenthanteringsprocess som är utformad för att snabbt upptäcka och åtgärda eventuella incidenter. Processen omfattar flera kritiska steg:

(a) Identifiering och Upptäckt:

1. Snabb upptäckt och bekräftelse av incidenter genom våra övervakningssystem.
2. Analys och Avgränsning: Grundlig undersökning och dokumentation av incidentens omfattning och påverkan.

(b) Åtgärd och Återställning: Strukturerad process för att lösa incidenten och återställa normal drift.

(c) Utvärdering: Noggrann uppföljning och rapportering för att förhindra framtida incidenter.

Wellfish kontinuitetsplan (BCP) och katastrofplan (DRP), med mål för återställning och senaste återställningstest, finns på docs.wellfish.se/sakerhet/kontinuitet.

5. Underbiträden

5.1 Personuppgiftsbiträdet anlitar de underbiträden som listas nedan. Förteckningen är densamma som på docs.wellfish.se/sakerhet/underbitraden och utgör en del av denna bilaga. Ändringar meddelas enligt punkt 5.2 i Personuppgiftsbiträdesavtalet.