Research Automators policy för hur bolaget behandlar och skyddar personuppgifter i rollerna personuppgiftsansvarig, personuppgiftsbiträde och underbiträde. Gäller all personal och beskriver åtagandena mot kunder.
1. Syfte och tillämpningsområde
Research Automators Sweden AB (“Research Automators”) åtar sig att skydda personuppgifter och respektera integriteten för de personer vars personuppgifter behandlas i samband med bolagets verksamhet och tjänster.
Denna policy beskriver de principer och ansvarsområden som gäller för Research Automators behandling av personuppgifter. Beroende på behandlingsaktiviteten och de tjänster som tillhandahålls kan Research Automators agera:
- som personuppgiftsansvarig för behandling som utförs för egna ändamål;
- som personuppgiftsbiträde vid tillhandahållande av enkät-, konsult- eller relaterade tjänster för en kunds räkning; eller
- som underbiträde vid tillhandahållande av sitt enkätsystem, tillhörande tekniska tjänster och support till en kund som själv agerar som personuppgiftsbiträde.
Research Automators ansvar beror på bolagets roll i förhållande till den aktuella behandlingsaktiviteten.
Research Automators behandlar personuppgifter i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (“GDPR”), annan tillämplig dataskyddslagstiftning samt, när Research Automators agerar som personuppgiftsbiträde eller underbiträde, de dokumenterade instruktioner och avtalsenliga skyldigheter som gäller för den aktuella behandlingen.
2. Dataskyddsprinciper
Research Automators ska hantera personuppgifter i enlighet med de dataskyddsprinciper som anges i GDPR och på ett sätt som är anpassat till bolagets roll i den aktuella behandlingsaktiviteten.
När Research Automators agerar som personuppgiftsansvarig ska bolaget säkerställa att personuppgifter:
- behandlas lagligt, korrekt och öppet;
- samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte vidarebehandlas på ett sätt som är oförenligt med dessa ändamål;
- är adekvata, relevanta och begränsade till vad som är nödvändigt för dessa ändamål;
- är korrekta och, när så är nödvändigt, hålls uppdaterade;
- inte bevaras i identifierbar form längre än vad som är nödvändigt för dessa ändamål; och
- behandlas med lämplig säkerhet, inklusive skydd mot obehörig eller otillåten behandling samt mot oavsiktlig förlust, förstöring eller skada.
När Research Automators agerar som personuppgiftsbiträde eller underbiträde fastställs ändamålen med behandlingen, de kategorier av personuppgifter som ska behandlas samt relevanta lagringskrav av eller för den personuppgiftsansvariges räkning. Research Automators ska endast behandla sådana personuppgifter i enlighet med tillämpliga dokumenterade instruktioner, det relevanta personuppgiftsbiträdesavtalet (“DPA”) och tillämplig lag.
Oavsett om Research Automators agerar som personuppgiftsansvarig, personuppgiftsbiträde eller underbiträde ska bolaget vidta lämpliga tekniska och organisatoriska åtgärder för den behandling som bolaget ansvarar för.
3. Behandling av kunddata i rollen som personuppgiftsbiträde
Kunden, i egenskap av personuppgiftsansvarig, ansvarar fortsatt för att fastställa ändamålen med och den rättsliga grunden för behandlingen, de kategorier av personuppgifter som ska behandlas samt för att säkerställa att behandlingen är laglig.
Om de avtalade tjänsterna omfattar operativt stöd vid genomförandet av enkäter eller andra behandlingsaktiviteter får Research Automators utföra sådana aktiviteter inom ramen för kundens dokumenterade instruktioner utan att därigenom bestämma ändamålen med behandlingen.
4. Tillhandahållande av systemtjänster som underbiträde
När Research Automators tillhandahåller sitt enkätsystem, tillhörande tekniska tjänster och support till en kund som själv behandlar personuppgifter för en personuppgiftsansvarigs räkning, agerar Research Automators som underbiträde i förhållande till sådan behandling.
I denna roll är Research Automators behandling begränsad till vad som är nödvändigt för att tillhandahålla, driva, underhålla, säkra och ge support för de avtalade systemtjänsterna, i enlighet med de dokumenterade instruktioner som gäller för Research Automators och relevanta avtalsarrangemang.
Research Automators bestämmer inte de ändamål för vilka kundens personuppgifter behandlas eller vilka kategorier av personuppgifter som kunden för in i systemet, annat än i den utsträckning Research Automators självständigt bestämmer sådana frågor inom ramen för en separat behandlingsaktivitet där Research Automators agerar som personuppgiftsansvarig.
Teknisk support som tillhandahålls av Research Automators kan innebära åtkomst till kundens personuppgifter när detta är nödvändigt för att utreda eller lösa ett supportärende. Sådan åtkomst ska begränsas till vad som skäligen är nödvändigt för detta ändamål och omfattas av tillämpliga åtkomstkontroller och sekretesskrav.
5. Åtkomst och sekretess
Åtkomst till personuppgifter ska begränsas till personal som behöver sådan åtkomst för behöriga ändamål inom ramen för sina arbetsuppgifter.
Research Automators ska tillämpa lämpliga åtkomstkontroller med beaktande av bolagets roll, behandlingens art och de tjänster som tillhandahålls.
Personal som är behörig att behandla personuppgifter ska omfattas av lämpliga sekretessförpliktelser och ska få lämpliga instruktioner samt, där det är relevant, utbildning om hantering och skydd av personuppgifter.
När Research Automators agerar som personuppgiftsbiträde eller underbiträde ska personalen endast behandla kundens personuppgifter i den utsträckning som är nödvändig för att tillhandahålla de avtalade tjänsterna och i enlighet med tillämpliga dokumenterade instruktioner.
6. Informationssäkerhet
Research Automators ska införa och upprätthålla lämplig systemfunktionalitet samt tekniska och organisatoriska åtgärder som är utformade för att göra det möjligt för de parter som är involverade i den aktuella behandlingen, inklusive personuppgiftsansvarig, personuppgiftsbiträde och underbiträde, i tillämpliga fall, att skydda personuppgifter mot oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande eller obehörig åtkomst.
Säkerhetsåtgärder ska fastställas med beaktande av den aktuella behandlingens art, omfattning, sammanhang och ändamål, den senaste tekniska utvecklingen, genomförandekostnader samt riskerna för fysiska personers rättigheter och friheter, i den utsträckning detta är tillämpligt på Research Automators roll.
När Research Automators agerar som personuppgiftsbiträde eller underbiträde ska bolaget genomföra de säkerhetsåtgärder som krävs enligt tillämpligt DPA och, där så krävs, ge skäligt stöd för att möjliggöra för den relevanta personuppgiftsansvarige eller det relevanta personuppgiftsbiträdet att uppfylla sina tillämpliga säkerhetskrav.
Research Automators upprätthåller separata rutiner och kontroller för informationssäkerhet.
7. Inbyggt dataskydd och dataskydd som standard
Research Automators ska beakta krav på dataskydd och informationssäkerhet vid utformning, utveckling, val och drift av system och tjänster som innefattar personuppgifter.
När Research Automators agerar som personuppgiftsansvarig ska bolaget tillämpa principerna om inbyggt dataskydd och dataskydd som standard i enlighet med tillämplig lag.
När Research Automators tillhandahåller system eller tjänster som personuppgiftsbiträde eller underbiträde ska bolaget, med beaktande av tjänstens och behandlingens art, utforma och driva dessa tjänster på ett sätt som stödjer kunderna i att uppfylla sina tillämpliga dataskyddsskyldigheter.
Research Automators ska sträva efter att begränsa sin egen åtkomst till och behandling av kundens personuppgifter till vad som är nödvändigt för att tillhandahålla de avtalade tjänsterna. Enkätsystemet ska, där så är lämpligt, tillhandahålla funktionalitet som gör det möjligt för kunder att konfigurera åtkomst, lagring, radering och andra aspekter av personuppgiftsbehandlingen i enlighet med sina krav.
Kunden ansvarar fortsatt för att fastställa hur sådan funktionalitet konfigureras och används i förhållande till behandling där kunden, eller en annan part för vars räkning kunden agerar, bestämmer ändamålen och de väsentliga medlen för behandlingen.
8. Underbiträden som anlitas av Research Automators
När Research Automators agerar som personuppgiftsbiträde eller underbiträde och anlitar ett annat personuppgiftsbiträde för att behandla kundens personuppgifter i samband med tjänsterna ska Research Automators säkerställa att detta sker i enlighet med tillämpligt DPA och GDPR.
Research Automators ska säkerställa att lämpliga avtalsenliga dataskyddsskyldigheter åläggs sådana underbiträden, inklusive skyldigheter som är utformade för att säkerställa en lämplig skyddsnivå för de aktuella personuppgifterna.
Research Automators ska upprätthålla information om de underbiträden som används vid tillhandahållandet av bolagets tjänster och ska hantera tillägg eller ersättning av underbiträden i enlighet med tillämpliga DPA:er och eventuella tillämpliga krav på godkännande eller underrättelse.
9. Internationella överföringar av personuppgifter
Research Automators strävar efter att behandla kundens personuppgifter inom EU/EES eller i länder som av Europeiska kommissionen har bedömts erbjuda en adekvat skyddsnivå, med förbehåll för de arrangemang som gäller för den aktuella tjänsten.
När överföringar som genomförs av Research Automators kräver lämpliga skyddsåtgärder enligt tillämplig dataskyddslagstiftning ska Research Automators, i den utsträckning detta är tillämpligt på bolagets roll i den aktuella behandlingen, säkerställa att en lämplig överföringsmekanism finns på plats, såsom Europeiska kommissionens standardavtalsklausuler, och vidta de kompletterande tekniska, organisatoriska eller avtalsmässiga åtgärder som krävs för att säkerställa en lämplig skyddsnivå.
Survey Automator har också valfria AI-funktioner, och det är kunden som avgör om de ska användas. De använder OpenAI:s API. Personuppgifter skickas inte till OpenAI: namn, e-postadresser och annan data som markerats som Skyddad undantas från rapportering och AI, och kunden kan markera fler frågor och bakgrundsvariabler som Skyddade. OpenAI använder inte datan för träning och raderar den efter 30 dagar.
10. Molntjänster
För personuppgifter och annan känslig kundinformation används i första hand – som en molntjänst - Survey Automators egna funktioner för säker filöverföring och lagring. Vi använder Microsoft Office samt Googles molntjänster för mail och office-paket. Notion för dokumentation och samordning av reklamkampanjer. Duo för 2FA till servrar och vissa andra externa tjänster. Pingdom för övervakning av servrar. ChatGPT och Claude. Utöver dessa beskrivs underbiträden enligt vårt PUB-avtal.
Grundregel är att personuppgifter inte ska sparas i externa molntjänster samt att alla molntjänster vi använder ska ha 2FA.
11. Personuppgiftsincidenter
Research Automators ska upprätthålla rutiner för att identifiera, rapportera, utreda och hantera misstänkta eller bekräftade personuppgiftsincidenter.
När Research Automators agerar som personuppgiftsansvarig ska bolaget bedöma personuppgiftsincidenter och, där så krävs, anmäla dem till behörig tillsynsmyndighet och informera berörda registrerade i enlighet med tillämplig lag.
När Research Automators agerar som personuppgiftsbiträde ska bolaget utan onödigt dröjsmål underrätta den relevanta personuppgiftsansvarige efter att ha fått kännedom om en personuppgiftsincident som påverkar personuppgifter som behandlas för dennes räkning, i enlighet med tillämpligt DPA.
När Research Automators agerar som underbiträde ska bolaget underrätta det personuppgiftsbiträde som anlitat Research Automators i enlighet med tillämpliga avtalsarrangemang, så att relevanta parter i behandlingskedjan kan fullgöra sina respektive skyldigheter.
Research Automators ska tillhandahålla skäligt samarbete och information avseende en personuppgiftsincident i den utsträckning detta krävs enligt tillämplig lag och avtalsarrangemang.
12. Lagring och radering
När Research Automators agerar som personuppgiftsansvarig ska personuppgifter inte bevaras längre än vad som är nödvändigt för de ändamål för vilka de behandlas, med förbehåll för tillämpliga rättsliga krav.
När Research Automators agerar som personuppgiftsbiträde eller underbiträde fastställs lagringstider för kundens personuppgifter av tillämpliga dokumenterade instruktioner och avtalsarrangemang.
Research Automators ska tillhandahålla och upprätthålla avtalad funktionalitet och avtalade rutiner för lagring och radering av kundens personuppgifter och ska radera eller återlämna sådana uppgifter efter att de relevanta tjänsterna har upphört, i den utsträckning detta krävs enligt tillämpligt DPA, dokumenterade instruktioner och tillämplig lag.
Research Automators ska inte självständigt bevara kundens personuppgifter för ändamål som saknar samband med tillhandahållandet av de avtalade tjänsterna, såvida inte sådan lagring krävs enligt lag eller avser en separat behandlingsaktivitet där Research Automators agerar som personuppgiftsansvarig.
13. Registrerades rättigheter
Research Automators respekterar de rättigheter som fysiska personer har enligt tillämplig dataskyddslagstiftning.
När Research Automators agerar som personuppgiftsansvarig ska begäranden från registrerade rörande deras personuppgifter hanteras i enlighet med tillämplig dataskyddslagstiftning.
När Research Automators agerar som personuppgiftsbiträde ska Research Automators, med beaktande av behandlingens art och i den utsträckning det skäligen är möjligt, bistå den relevanta personuppgiftsansvarige med att fullgöra sina skyldigheter avseende registrerades rättigheter, i enlighet med tillämpligt DPA.
När Research Automators agerar som underbiträde ska sådant bistånd normalt lämnas till det personuppgiftsbiträde som anlitat Research Automators, i enlighet med tillämpliga avtalsarrangemang.
Om Research Automators mottar en begäran direkt från en registrerad som avser kundens personuppgifter och där Research Automators endast agerar som personuppgiftsbiträde eller underbiträde, ska Research Automators inte självständigt avgöra hur begäran ska hanteras eller besvaras, utan ska hantera eller vidarebefordra begäran i enlighet med tillämpliga instruktioner och avtalsarrangemang.
14. Samarbete och regelefterlevnad
När Research Automators agerar som personuppgiftsbiträde eller underbiträde ska bolaget tillhandahålla sådan information och sådant samarbete som krävs enligt tillämplig lag och relevant DPA för att visa att bolaget uppfyller sina tillämpliga dataskyddsskyldigheter.
Research Automators ska samarbeta med kunder i samband med konsekvensbedömningar avseende dataskydd, samråd med tillsynsmyndigheter och andra regulatoriska krav i den utsträckning detta krävs enligt tillämplig lag, med beaktande av behandlingens art och den information som är tillgänglig för Research Automators.
Ingenting i denna policy ska tolkas som att ansvar som enligt tillämplig dataskyddslagstiftning åligger den personuppgiftsansvarige eller någon annan part i behandlingskedjan överförs till Research Automators.
15. Efterlevnad och översyn
All personal hos Research Automators som är involverad i behandling av personuppgifter förväntas följa denna policy, tillämpliga interna policyer och rutiner samt instruktioner som är relevanta för deras respektive ansvarsområden.
Research Automators ska upprätthålla lämplig dokumentation samt lämpliga policyer och rutiner för att stödja efterlevnaden av bolagets tillämpliga skyldigheter avseende dataskydd och informationssäkerhet.
Denna policy ska ses över regelbundet och uppdateras vid behov till följd av förändringar i lagstiftning, vägledning från tillsynsmyndigheter, Research Automators tjänster eller behandlingsaktiviteter, avtalskrav eller identifierade risker.