Personuppgiftsbiträdesavtal (PUB-avtal)

1. Parter och roller

1.1 Avtalet gäller mellan kunden, som är huvudman för skolan (till exempel en kommun eller en fristående skolas huvudman), och Viafocus AB, org.nr 559547-4882 (vi). Kunden är personuppgiftsansvarig och vi är personuppgiftsbiträde.

1.2 Avtalet hör till kundens avtal om tjänsterna, som består av användarvillkoren (/sv/terms-of-service) och en eventuell beställning (huvudavtalet). Ord som används i dataskyddsförordningen (GDPR) har samma betydelse här.

2. Hur avtalet ingås

2.1 Avtalet ingås när en behörig företrädare för kunden godkänner det i Viafocus administrationsvy, innan den första eleven läggs in. Det kan också ingås genom att parterna skriver under ett separat exemplar.

2.2 Den som godkänner avtalet för kundens räkning intygar att hen har rätt att företräda kunden.

2.3 Avtalet omfattar behandling i Focuspilot och Studio.

3. Behandlingens art och ändamål

3.1 Vi behandlar personuppgifter åt kunden för att tillhandahålla tjänsterna enligt huvudavtalet:

• Focuspilot: att lärare ska kunna styra och följa elevernas skoldatorer under lektioner och prov.

• Studio: att lärare ska kunna skapa lektioner och prov och att elever ska kunna svara på dem.

• AI-funktioner som kunden eller läraren slår på.

• Drift, support, säkerhet och felsökning av tjänsterna.

3.2 Behandlingen består av insamling, lagring, visning för behöriga användare, överföring mellan tjänstens delar och radering.

3.3 Vi använder aldrig uppgifterna för egna syften. Vi säljer dem inte, visar ingen reklam och tränar inte AI på dem.

3.4 Avtalet gäller inte uppgifter som vi själva är personuppgiftsansvariga för, till exempel kundkonton, fakturering, webbplatsen och vårdnadshavares konton. De beskrivs i integritetspolicyn (/sv/privacy-policy).

4. Registrerade och uppgifter

4.1 De registrerade är elever och den personal som kunden ger konto i tjänsterna, till exempel lärare och administratörer.

4.2 Vilka uppgifter som behandlas beror på vilka funktioner kunden använder:

• Namn, e-post, skola, klass eller grupp, årskurs och roll.

• I Focuspilot: vilken webbsida eller vilket program som är öppet och dess titel, försök att öppna blockerade sidor, händelser under prov och uppgifter om datorn.

• Skärmbilder, bara medan en lärare har eleven i sin vy. De sparas inte.

• I Studio: lektioner, svar, resultat, lärarens kommentarer och privata anteckningar.

• Det som lärare skriver till AI-funktionerna.

• Frivilligt, bara om kunden väljer det: personnummer och profilbild.

4.3 Mer om uppgifterna står i integritetspolicyn (/sv/privacy-policy) och i Bilaga 1.

5. Kundens instruktioner

5.1 Vi behandlar uppgifterna bara enligt kundens dokumenterade instruktioner. Instruktionerna är detta avtal, huvudavtalet, Bilaga 1 och de inställningar kunden gör i tjänsterna. Andra instruktioner lämnas skriftligt.

5.2 Kräver lag inom EU eller i Sverige att vi behandlar uppgifterna på annat sätt informerar vi kunden först, om lagen inte förbjuder det.

5.3 Anser vi att en instruktion strider mot dataskyddsreglerna säger vi till kunden direkt.

5.4 Kunden ansvarar för att instruktionerna är lagliga, för den rättsliga grunden och för att informera de registrerade.

6. Tystnadsplikt och personal

6.1 Bara personal som behöver det för drift, support eller underhåll får tillgång till uppgifterna. De har tystnadsplikt genom avtal eller lag.

6.2 För kunder som är myndigheter gäller även lagen (2020:914) om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.

6.3 Begär en myndighet eller någon annan att få ut kundens uppgifter hänvisar vi till kunden. Vi lämnar bara ut uppgifter när lagen kräver det och berättar det för kunden om vi får.

7. Säkerhet

7.1 Vi vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32 i GDPR, med hänsyn till att uppgifterna rör barn och elever.

7.2 All trafik är krypterad, och databaser och fillagring är krypterade. Varje kunds uppgifter hålls åtskilda från andras. Kommandon till elevers datorer tas bara emot från konton som kunden har gett behörighet. Vår personal har tillgång bara när det behövs för support eller underhåll.

7.3 Åtgärderna beskrivs närmare i Bilaga 1. Vi får ändra dem om skyddsnivån inte blir lägre.

7.4 Kunden ansvarar för säkerheten på sin sida, till exempel för vilka som får konton och behörigheter.

8. Underbiträden

8.1 Kunden ger ett allmänt förhandstillstånd till att vi anlitar underbiträden. Aktuella underbiträden, vad de gör och var uppgifterna finns står på /sv/subprocessors.

8.2 Vi meddelar kunden i förväg, minst 30 dagar innan ett nytt eller bytt underbiträde börjar behandla kundens uppgifter. Meddelandet skickas med e-post till kundens kontaktperson, och listan uppdateras.

8.3 Kunden kan invända skriftligt, på sakliga grunder, inom den tiden. Vi försöker då först lösa invändningen, till exempel genom att inte använda underbiträdet för kundens uppgifter. Löser vi den inte får kunden säga upp den berörda tjänsten till dagen då ändringen gäller, och vi betalar tillbaka förbetald avgift för tiden därefter.

8.4 Krävs ett byte omedelbart för säkerheten eller driften meddelar vi kunden så snart som möjligt. Kunden har samma rätt att invända.

8.5 Vi ålägger varje underbiträde samma dataskyddsskyldigheter som i detta avtal genom ett skriftligt avtal, och vi ansvarar för underbiträden som för oss själva.

9. Överföring utanför EU/EES

9.1 Vi överför uppgifter utanför EU/EES bara med skydd enligt kapitel V i GDPR: EU–US Data Privacy Framework om leverantören är certifierad, annars EU-kommissionens standardavtalsklausuler.

9.2 Vilka underbiträden som behandlar uppgifter utanför EU/EES, och med vilket skydd, står på /sv/subprocessors. All AI körs inom EU (Microsoft Azure). Kunden kan använda en egen AI-nyckel hos en leverantör som kunden själv har avtal med; då går frågorna dit. Kunden kan få en kopia av skyddsåtgärderna från oss.

10. Hjälp till kunden

10.1 Registrerades rättigheter. Vi hjälper kunden att svara på begäran från registrerade, till exempel om tillgång, rättelse eller radering. Kommer en begäran till oss skickar vi den vidare till kunden inom fem arbetsdagar. Vi svarar inte själva om kunden inte ber oss.

10.2 Konsekvensbedömning. Vi lämnar den information kunden behöver för en konsekvensbedömning (DPIA) och ett eventuellt förhandssamråd med IMY, bland annat Bilaga 1. Vårt underlag för konsekvensbedömningen finns på /sv/dpia.

10.3 Personuppgiftsincidenter. Vi meddelar kunden utan onödigt dröjsmål, och senast 24 timmar efter att vi konstaterat en personuppgiftsincident som rör kundens uppgifter.

10.4 Meddelandet beskriver, så långt vi vet: vad som har hänt, vilka och ungefär hur många registrerade och uppgifter som berörs, troliga följder och vilka åtgärder vi har vidtagit eller föreslår. Det vi inte vet ännu lämnar vi så snart vi vet det. Kunden anmäler till IMY och informerar de registrerade. Vi hjälper till.

11. Radering och återlämnande

11.1 När huvudavtalet upphör raderar vi kundens personuppgifter eller lämnar tillbaka dem, enligt kundens val. Kunden kan begära en export till och med 30 dagar efter avtalets slut. Vi levererar den i maskinläsbart format inom 30 dagar.

11.2 Vi raderar kundens uppgifter inom 30 dagar efter avtalets slut, eller när en begärd export har levererats. På begäran bekräftar vi raderingen skriftligt. Uppgifter som lag kräver att vi sparar sparas så länge lagen kräver.

11.3 Under avtalstiden raderar vi en enskild elevs uppgifter inom 30 dagar när kunden begär det.

12. Information och granskning

12.1 Vi ger kunden den information som behövs för att visa att vi följer detta avtal och artikel 28 i GDPR, till exempel Bilaga 1 och listan över underbiträden.

12.2 Kunden, eller en oberoende granskare som kunden anlitar och som har tystnadsplikt, får granska att vi följer avtalet, också genom inspektion. Kunden meddelar granskningen skriftligt i rimlig tid i förväg. Granskningen görs så att den inte stör driften eller röjer andra kunders uppgifter.

12.3 Vi samarbetar med Integritetsskyddsmyndigheten (IMY) när den begär det.

13. Ansvar

13.1 Ansvaret och dess begränsningar följer huvudavtalet, avsnitt 20 i användarvillkoren. För brott mot detta avtal eller GDPR gäller det högre taket där. Begränsningarna gäller inte ansvar mot registrerade enligt artikel 82 i GDPR.

13.2 Behandlar vi uppgifterna i strid med kundens instruktioner eller för egna syften räknas vi som personuppgiftsansvariga för den behandlingen.

14. Avtalstid och upphörande

14.1 Avtalet gäller från att det ingås och så länge vi behandlar personuppgifter åt kunden, alltså tills uppgifterna har raderats eller lämnats tillbaka enligt avsnitt 11.

14.2 Avtalet kan inte sägas upp för sig så länge vi behandlar personuppgifter åt kunden. Det upphör när huvudavtalet har upphört och uppgifterna har raderats eller lämnats tillbaka.

14.3 Tystnadsplikten och det som till sin natur ska gälla efter avtalets slut fortsätter att gälla.

15. Vilket avtal som gäller först

15.1 Har kunden och vi skrivit under ett eget PUB-avtal, till exempel enligt kundens egen mall, gäller det i stället för detta standardavtal.

15.2 I frågor om personuppgifter gäller detta avtal före huvudavtalet. Vid motstridighet mellan avtalet och Bilaga 1 gäller avtalet.

15.3 Svensk lag gäller. Tvister avgörs enligt huvudavtalet.

16. Kontakt

Relaterade dokument: användarvillkor /sv/terms-of-service, integritetspolicy /sv/privacy-policy, underbiträden /sv/subprocessors.