Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal (“DPA”) utgör en del av och kompletterar användarvillkoren (Terms of Service) mellan Rukkor AB (“Rukkor”) och Kunden, och reglerar Rukkors behandling av personuppgifter som personuppgiftsbiträde för Kundens räkning. Vid konflikt med användarvillkoren har detta DPA företräde vad gäller behandlingen av personuppgifter.

1. Roller

Rukkor behandlar personuppgifter enbart som personuppgiftsbiträde enligt Kundens dokumenterade instruktioner; Kunden är personuppgiftsansvarig och är ensam ansvarig för den rättsliga grunden för personuppgifter som Kunden behandlar via tjänsterna. Tillhandahållandet av tjänsterna utgör Kundens primära instruktion.

2. Sekretess

Rukkor säkerställer att personal som är behörig att behandla personuppgifter är bunden av sekretess och har utbildats; åtkomst begränsas till dem som behöver den.

3. Säkerhet

Rukkor upprätthåller lämpliga tekniska och organisatoriska åtgärder, inklusive kryptering under överföring och i vila, rollbaserad åtkomst och MFA för administrativ åtkomst, regelbunden testning samt rutiner för motståndskraft och återställning. Nuvarande åtgärder beskrivs i Trust Center (www.rukkor.com/legal/trust-center).

4. Säkerhetsincidenter

Rukkor underrättar Kunden utan onödigt dröjsmål och inom 72 timmar från det att Rukkor fått kännedom om en personuppgiftsincident, med tillgänglig information, och bistår med skyldigheterna enligt artiklarna 33–34 GDPR.

5. Registrerades rättigheter

Kunden ansvarar för att besvara registrerades begäranden; Rukkor lämnar kommersiellt rimlig hjälp och vidarebefordrar utan att svara varje begäran som Rukkor tar emot direkt, om inte lag kräver annat.

6. Underbiträden

Kunden lämnar ett allmänt godkännande till att anlita de underbiträden som anges i bilaga 2. Rukkor lämnar skäligt förhandsbesked om tillägg/byten; Kunden kan invända på skäliga dataskyddsgrunder inom 14 dagar, och olösta invändningar ger rätt att säga upp de berörda tjänsterna. Rukkor förblir ansvarigt för sina underbiträdens utförande i den utsträckning Rukkor är ansvarigt.

7. Internationella överföringar

Personuppgifter i Rukkor-produkten driftas uteslutande inom EU (Tyskland) och överförs inte till någon amerikanskägd molnleverantör. Där något underbiträde är beläget utanför EES (se bilaga 2) sker överföringar med stöd av EU:s standardavtalsklausuler eller en annan mekanism enligt kapitel V; sådana överföringar är begränsade till fakturerings- eller transportmetadata och omfattar aldrig innehåll i Rukkor-produkten.

8. Lagring och radering

Rukkor behåller personuppgifter under avtalstiden plus upp till tre (3) år (under vilka Kunden kan återaktivera och exportera), och raderar dem sedan permanent. På Kundens skriftliga begäran dessförinnan raderar Rukkor inom 30 dagar, utom där lag kräver lagring.

9. Ansvar

Omfattas av ansvarsbegränsningarna i användarvillkoren; vardera parten kan kräva bidrag från den andra i den utsträckning den parten är ansvarig.

10. Löptid, lag och kontakt

Detta DPA gäller under avtalets löptid och regleras av svensk lag (Ystads tingsrätt). Kontakt: Rukkor AB, Besökaregränd 2D, 271 42 Ystad, Sverige, support@rukkor.com.

Bilaga 1 — Beskrivning av behandlingen

Bilaga 2 — Godkända underbiträden

Rukkors aktuella underbiträden publiceras på www.rukkor.com/legal/sub-processors, vilket utgör en del av detta DPA. Listan är grupperad per tjänst och anger varje underbiträdes ändamål, plats och överföringsmekanism. För Rukkor-produkten stannar innehållet inom EU (Hetzner; Berget AI när AI är aktiverat) och övriga leverantörer behandlar endast fakturerings- eller transportmetadata. Rukkor underrättar Kunden om varje tillägg eller byte, och Kunden kan invända enligt avsnitt 6.