Personuppgiftsbiträdesavtal (DPA)

1. Syfte

Detta personuppgiftsbiträdesavtal reglerar hur LetsCloudIT AB behandlar personuppgifter för kundens räkning i samband med användningen av Cloudclarity.

Avtalet kompletterar kundens abonnemangs- och tjänsteavtal.

2. Roller och ansvar

Kunden är personuppgiftsansvarig och bestämmer ändamålet med behandlingen.

LetsCloudIT AB är personuppgiftsbiträde och behandlar personuppgifter enligt kundens dokumenterade instruktioner.

3. Behandlingens omfattning

Behandlingen kan omfatta:

• Användaruppgifter och kontaktinformation.
• Organisations- och systeminformation.
• Molnrelaterad resursmetadata.
• Information som förekommer i kostnadsdata och resurstaggning.
• Tekniska loggar och information om tjänstens användning.

Behandlingens syfte är att tillhandahålla kostnadsanalys, rapportering, prognoser och optimeringsfunktioner.

Behandlingen pågår så länge kunden använder tjänsten och i förekommande fall under den efterföljande period som krävs för återlämning eller radering.

4. LetsCloudIT:s skyldigheter (GDPR 28.3)

Enligt GDPR artikel 28.3 åtar sig LetsCloudIT att:

• (a) Endast behandla personuppgifter enligt kundens dokumenterade instruktioner, inklusive vid överföring av personuppgifter till ett tredje land, såvida unionens eller medlemsstatens rätt inte föreskriver sådan behandling. Om lagstiftningen föreskriver sådan behandling ska LetsCloudIT informera kunden om kravet innan behandlingen, om inte lagen förbjuder det av viktiga skäl av allmänt intresse.
• (b) Säkerställa att personer som är behöriga att behandla personuppgifter har åtagit sig sekretess eller är bundna av lagstadgad sekretess.
• (c) Vidta alla säkerhetsåtgärder som krävs enligt GDPR artikel 32.
• (d) Endast anlita underbiträden på de villkor som anges i avtalets avsnitt 5.
• (e) Med beaktande av behandlingens art bistå kunden att fullgöra sina skyldigheter att besvara registrerades begäranden om utövande av rättigheter.
• (f) Bistå kunden att uppfylla sina skyldigheter gällande säkerhet, anmälan av personuppgiftsincidenter och dataskyddskonsekvensbedömningar (GDPR artiklarna 32–36).
• (g) När tjänsten upphört radera eller återlämna alla personuppgifter till kunden och radera befintliga kopior, såvida unionens eller medlemsstatens rätt inte kräver lagring.
• (h) Tillåta och bistå med granskningar, inklusive inspektioner, som genomförs av kunden eller en annan av kunden auktoriserad granskare.

5. Underbiträden

LetsCloudIT får anlita underbiträden för att tillhandahålla tjänsten.

Underbiträden ska omfattas av skriftliga avtal med motsvarande dataskyddskrav.

Aktuella underbiträden och deras behandlingsområden framgår av sidan Underbiträden och AI-tjänster.

Kunden informeras om planerade förändringar enligt villkoren i avtalet och har möjlighet att invända på sakliga dataskyddsgrunder.

6. Överföring av personuppgifter

Personuppgifter ska behandlas inom EU/EES där detta är möjligt.

Om personuppgifter behöver överföras till ett land utanför EU/EES ska överföringen ske i enlighet med GDPR och med tillämpliga skyddsåtgärder.

7. Personuppgiftsincidenter

LetsCloudIT ska utan onödigt dröjsmål informera kunden om en personuppgiftsincident som påverkar kundens personuppgifter.

Informationen ska, i den mån den finns tillgänglig, beskriva incidentens art, omfattning och vidtagna eller planerade åtgärder.

8. Radering och återlämning

När kundens avtal upphör ska LetsCloudIT, enligt kundens instruktioner, återlämna eller radera personuppgifter.

Undantag gäller när fortsatt lagring krävs enligt tillämplig lagstiftning.

Radering från säkerhetskopior kan ske enligt ordinarie gallringsrutiner.

9. Granskning

LetsCloudIT ska på begäran tillhandahålla relevant information för att visa att skyldigheterna enligt detta avtal uppfylls.

Kunden har rätt att genomföra eller låta genomföra rimliga granskningar enligt överenskomna former.

10. Giltighet

Detta avtal gäller så länge LetsCloudIT behandlar personuppgifter för kundens räkning.

Avtalet regleras av svensk lag och kompletterar huvudavtalet mellan parterna.

Bilaga 1 – Beskrivning av behandlingen

Behandlingens föremål och varaktighet:

• Behandlingens föremål: kundinformation som lagras och analyseras i Cloudclarity.
• Behandlingens varaktighet: så länge kunden använder tjänsten och, i förekommande fall, den efterföljande period som krävs för återlämning eller radering.

Behandlingens art och syfte:

• Insamling, lagring, analys och presentation av kostnads- och resursdata från kundens Azure-miljö.
• Syfte: kostnadsanalys, rapportering, prognoser och optimeringsfunktioner.

Kategorier personuppgifter:

• Användaruppgifter och kontaktinformation (namn, e-postadress, företag).
• Organisations- och systeminformation.
• Molnrelaterad resursmetadata (resursnamn, taggar, miljöer).
• Kostnadsdata, information om tjänstens användning samt tekniska loggar.

Kategorier registrerade: kundens användare och administratörer av tjänsten.

Bilaga 2 – Tekniska och organisatoriska säkerhetsåtgärder

Säkerhetsåtgärderna beskrivs i detalj på sidan Datalagring och säkerhet och omfattar bland annat:

• Behörighetsstyrd åtkomst till lagrad information.
• Separering av kunders information.
• Säker hantering av autentisering och åtkomst.
• Övervakning och loggning.
• Säkerhetskopiering och återställningsrutiner (säkerhetskopior gallras inom 60 dagar).
• Primär lagringsregion: Sweden Central.

Bilaga 3 – Underbiträden

Följande underbiträden används för att tillhandahålla tjänsten:

Förteckningen uppdateras på sidan Underbiträden och AI-tjänster.