Personuppgiftsbiträdesavtal (DPA)

1. Parter och bakgrund

Detta avtal är ett personuppgiftsbiträdesavtal enligt artikel 28 i GDPR mellan kunden (personuppgiftsansvarig) och Refaris (personuppgiftsbiträde). Avtalet gäller för all behandling av personuppgifter som Refaris utför för kundens räkning inom tjänsten.

2. Behandlingens omfattning och ändamål

Refaris behandlar personuppgifter om kandidater och referenser uteslutande för att tillhandahålla tjänsten: skicka inbjudningar och påminnelser, samla in referenssvar och sammanställa rapporter.

Behandlingen pågår så länge kundens konto är aktivt. Refaris behandlar aldrig uppgifterna för egna ändamål.

3. Refaris förpliktelser

Behandla personuppgifter endast enligt kundens dokumenterade instruktioner.

Säkerställa att personer med åtkomst till uppgifterna omfattas av sekretess.

Vidta lämpliga tekniska och organisatoriska åtgärder: krypterad överföring och lagring, tvåfaktorautentisering, automatisk utloggning, åtkomstbegränsningar och spärrad administratörsåtkomst till kunddata.

Bistå kunden vid begäranden från registrerade (t.ex. tillgång, rättelse, radering) och vid konsekvensbedömningar.

Underrätta kunden utan onödigt dröjsmål vid personuppgiftsincidenter.

Radera eller återlämna all persondata när avtalet upphör, enligt kundens val.

4. Underbiträden

Refaris använder underbiträden för drift (t.ex. molnhosting inom EU/EES och e-post-/SMS-leverans). En aktuell förteckning över underbiträden tillhandahålls på begäran.

LinkedIn Ireland Unlimited Company används för frivillig identitetsverifiering av referenter (namn hämtas via OpenID Connect).

Refaris ansvarar för att underbiträden omfattas av motsvarande dataskyddsskyldigheter. Kunden informeras om nya underbiträden och kan invända inom 14 dagar.

5. Tredjelandsöverföring

Personuppgifter lagras och behandlas inom EU/EES. Överföring till tredjeland sker endast om det krävs för tjänsten och då med giltigt överföringsgrund enligt GDPR (t.ex. EU-kommissionens standardavtalsklausuler).

6. Granskningsrätt

Kunden har rätt att en gång per år, eller vid motiverad misstanke om överträdelse, få information som visar att Refaris uppfyller detta avtal. Granskning kan ske genom skriftliga frågor eller, om det inte räcker, genom revision enligt särskild överenskommelse.

7. Ansvar och giltighet

Ansvarsbegränsningarna i användarvillkoren gäller även för detta avtal. Avtalet gäller så länge kunden använder tjänsten och upphör när kontot avslutas och uppgifterna raderats.