Integritetspolicy och användarvillkor

Integritetspolicy

1. Inledning

Denna integritetspolicy har tagits fram av SmartCraft Norway AS («SmartCraft» eller «vi») för att ge dig information om vår behandling av personuppgifter och vilka rättigheter du som registrerad har enligt General Data Protection Regulation (Regulation (EU) 2016/679) och den norska personuppgiftslagstiftningen (tillsammans benämnda «Dataskyddslagstiftningen»).

Om du vill ha mer information om vilka personuppgifter vi behandlar om dig, eller vill använda en av dina rättigheter, är du välkommen att kontakta oss.

2. Vad är personuppgifter?

Personuppgifter är alla uppgifter eller bedömningar som kan kopplas till en fysisk person eller en mindre grupp av människor (den/de «Registrerade»). Exempel på vad som räknas som personuppgifter är namn, personnummer, adress, löneuppgifter, anställningsvillkor, telefonnummer och e-postadress.

Med behandling av personuppgifter menar vi insamling, lagring, användning, sammanställning, radering och all annan befattning med personuppgifter som omfattas av Dataskyddslagstiftningen.

3. Vilka behandlar vi personuppgifter om?

Denna integritetspolicy avser vår behandling av personuppgifter om följande personer:

Kontaktpersoner hos kunder, leverantörer och samarbetspartners

Personer som är involverade i projekt som vi arbetar med

Personer som deltar i evenemang arrangerade av SmartCraft Norway, eller som anmäler sig till våra nyhetsbrev

Kandidater för rekrytering

4. SmartCraft Norway som personuppgiftsansvarig och personuppgiftsbiträde

SmartCraft Norway är personuppgiftsansvarig för behandlingen av dina personuppgifter, vilket innebär att vi bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Som personuppgiftsansvarig är vi ansvariga för att följa den dataskyddslagstiftning som gäller vid varje tillfälle när vi behandlar dina personuppgifter. Vi är personuppgiftsansvarig när vi tar emot personuppgifter från en kund i samband med projekt vi utför för kunden, och behandlar personuppgifter för egna ändamål.

När SmartCraft Norway tillhandahåller tjänster åt kunder är det kunderna som är personuppgiftsansvarig, medan SmartCraft Norway fungerar som personuppgiftsbiträde. Om vi behandlar personuppgifter som personuppgiftsbiträde ingår vi ett personuppgiftsbiträdesavtal med den som är personuppgiftsansvarig, jfr GDPR artikel 28.

5. Vilka personuppgifter behandlar SmartCraft Norway?

5.1 Personuppgifter som SmartCraft Norway behandlar och syftet med behandlingen

5.1.1 Programvarutjänster

Vi samlar in och behandlar följande personuppgifter när vi levererar våra produkter till en kund och administrerar kundrelationen:

Kontaktuppgifter: Om du är kundens kontaktperson eller en privatkund (kund som är en fysisk person), samlar vi in och behandlar ditt fullständiga namn, e-postadress, postadress, telefonnummer och befattning, för att etablera och administrera kundrelationen.

Faktureringsinformation: Vi lagrar uppgifter om vilken hjälp vi har utfört för dig, tidpunkten för vår hjälp och hur du tar emot våra fakturor (till exempel per e-post, vanlig post eller liknande), om och när fakturorna/fordringarna har betalats, och om fordringen har gått till inkasso. Vi lagrar uppgifterna i faktureringssyfte och för att utföra vårt uppdrag för kunden. Vi behandlar även faktureringsinformation för att uppfylla våra lagstadgade skyldigheter.

Tidsregistrering och signaturstämpling: Vi lagrar uppgifter om vem som och när en avvikelse skapas/hanteras samt geografisk position. Uppgifter om vem och när en kontrollpunkt/checklista fylls i, när en användare registrerar timmar och vid skapande av order samlas in automatiskt.

5.1.1.1 Personuppgifter som du manuellt kan registrera i systemet är:

Namn, födelsedatum, adress och postnummer, telefonnummer, e-post och fax, befattningsbeskrivning, språk, avdelning och team, närmaste anhörig, utbildning, anställnings-ID, anställningsdatum, provanställning, lön, timlön, tilläggssatser, utbetalningsdatum, arbetstider, egna anteckningar och andra relevanta dokument du vill ladda upp.

Det är inte obligatoriskt att registrera någon av denna information, men i de flesta fall är det lämpligt och nödvändigt för att företaget ska ha tillräcklig dokumentation för sina projekt gentemot myndigheterna (Direktoratet for byggkontroll), samt för lönehantering (för dem som har detta). Uppgifter som registreras manuellt i systemet av varje enskild användare påverkar också hur dokumentation presenteras gentemot myndigheterna.

Uppgifter som samlas in automatiskt är händelser som du som användare utför i systemet. En del av dessa uppgifter används för att på ett tillfredsställande sätt dokumentera de jobb som utförs på ett projekt.

5.1.2 Avtal

Vi samlar in och behandlar signaturer, namn och kontaktuppgifter för att administrera avtal vi ingår med våra leverantörer, kunder och samarbetspartners, och för att utföra vårt uppdrag för kunden.

5.1.3 Marknadsföring via e-post om evenemang och seminarier/webbinarier

Vi inhämtar och behandlar följande personuppgifter när vi skickar e-postmeddelanden om våra evenemang och seminarier/webbinarier: Kontaktuppgifter: Fullständigt namn, e-postadress, postadress, telefonnummer, befattning och eventuell arbetsgivare, för att kunna skicka dig information om evenemang.

5.1.4 Rekrytering av nya medarbetare

Vi inhämtar, behandlar och lagrar följande personuppgifter om sökande och andra aktuella kandidater vid rekrytering av medarbetare: Kontaktuppgifter: Fullständigt namn, e-postadress, postadress, telefonnummer, CV, referenser, befattning och eventuell arbetsgivare, för att rekrytera nya medarbetare.

5.1.5 Besök på vår webbplats

När du besöker vår webbplats lagrar vi vissa kakor (cookies) på din enhet.

Behandling och lagring av uppgifter vid användning av kakor kräver att besökaren informeras om att kakor används, informeras om vilka uppgifter som behandlas, syftet med behandlingen, vem som behandlar uppgifterna och att du har samtyckt till detta (jfr lagen om elektronisk kommunikation).

Användning av kakor följer gällande lag från 2025. Det ställs krav på samtycke som måste vara:

Frivilligt

Specifikt

Informerat

Otvetydigt

Givet genom en aktiv handling

Dokumenterbart

Möjligt att dra tillbaka lika enkelt som det gavs

Du kan läsa mer om vår användning av kakor på vår webbplats.

5.2 Vad är den rättsliga grunden för vår behandling av personuppgifter?

Om du är kundens kontaktperson (till exempel om kunden är en juridisk person), behandlar vi dina kontaktuppgifter eftersom det är nödvändigt för ändamål kopplade till SmartCraft Norways berättigade intressen. Det berättigade intresset är etableringen och administreringen av kundrelationen vi har med kunden som du är kontaktperson för.

Vid utförande av konsulttjänster behandlar vi personuppgifter om andra personer än kunden eftersom det är nödvändigt för ändamål kopplade till SmartCraft Norways berättigade intressen. Det berättigade intresset är att behandlingen är nödvändig för att vi ska kunna leverera konsulttjänster till kunden. Vi bedömer att detta intresse inte är oförenligt med hänsyn till din integritet. Om sådana ärendeuppgifter innehåller särskilda kategorier av personuppgifter, behandlar vi dessa uppgifter eftersom det är nödvändigt för att kunden ska kunna fastställa, göra gällande eller försvara rättsliga anspråk.

Vi behandlar även faktureringsinformation för att uppfylla våra lagstadgade skyldigheter enligt bokföringslagstiftningen.

Vi behandlar personuppgifterna som beskrivs i punkt 5.1 för ändamål kopplade till SmartCraft Norways berättigade intressen. Vi använder de data vi samlar in för att kunna ge dig de produkter och tjänster vi erbjuder, vilket även inkluderar användning av data för att förbättra och anpassa användarupplevelsen. Vi använder också data för att kunna kommunicera med dig, till exempel om uppdateringar, nya funktioner, säkerhet eller annan information som är relevant för dig.

Vi använder data för följande ändamål:

Optimering av användarupplevelsen: För att kunna leverera systemet på ett bra och enkelt sätt för dig som användare behöver vi data för att kunna fatta välgrundade beslut om vad som ska ändras och förbättras. Denna praxis är nödvändig för att uppfylla det användaravtal vi har med dig.

Support: Vi använder data för att kunna besvara frågor och ärenden du har avseende våra produkter och tjänster. Denna praxis är nödvändig för att uppfylla avtalet vi har med dig.

Förbättringar av systemet: Vi samlar löpande in data för att kunna förbättra och utveckla våra system. Dessutom används data för att underhålla och förbättra prestandan, samt för att utveckla och lägga till nya funktioner. Vi använder data som vad du klickar på och hur länge du befinner dig på en sida för att kunna göra välgrundade prioriteringar i syfte att förbättra systemet. Denna praxis är nödvändig för att uppfylla avtalet vi har med dig.

Säkerhet: Vi använder data för att kunna förbättra säkerheten i våra system, samt för att kunna förebygga bedrägerier och säkerhetsöverträdelser. Felrapporter i sådana sammanhang gör att vi alltid kan se vilka säkerhetsbrister som kan uppstå.

Kommunikation, marknadsföring och annonsering: Vi använder data för att kunna leverera och personalisera vår kommunikation med dig. Vi kan kontakta dig internt i vissa programvaror via vår chattfunktion, via e-post eller våra supportsidor för att informera dig om uppdateringar, nya funktioner och möjligheter. Dessutom används denna typ av kommunikation för att informera om eventuella säkerhetsöverträdelser. Kakor används för att ge dig så relevant reklam från oss som möjligt. Du har alltid möjlighet att avregistrera dig från denna typ av kommunikation.

Vi bedömer att dessa intressen överstiger hänsyn till din integritet.

Vi behandlar personuppgifterna som beskrivs i punkt 5.1 för ändamål kopplade till SmartCraft Norways berättigade intressen, vilka är att rekrytera och anställa aktuella kandidater i vårt företag.

6. Delning av personuppgifter och användning av personuppgiftsbiträden

Vi anlitar olika tjänsteleverantörer som tillhandahåller IT-tjänster och andra administrativa tjänster åt oss. Vi har ingått personuppgiftsbiträdesavtal med dessa tjänsteleverantörer som ålägger de berörda företagen att säkerställa att personuppgifter som dessa tjänsteleverantörer eventuellt behandlar på våra vägnar lagras på ett säkert sätt, att de inte hamnar i obehörigas händer, och att de inte heller används för andra ändamål.

Vi lämnar inte ut dina personuppgifter till andra aktörer än dem som nämns ovan, om vi inte är lagstadgade skyldiga att lämna ut denna information.

7. Hur länge lagrar vi dina personuppgifter?

Vi raderar eller anonymiserar personuppgifter när de inte längre är nödvändiga för det ändamål de samlades in för, samt i enlighet med följande raderingsrutiner:

Faktureringsinformation och personuppgifter relaterade till detta lagras under den tidsperiod som följer av lagstadgade krav, såsom bokföringslagstiftningen.

Personuppgifter angivna i avsnittet om evenemang, som vi har samlat in och använder i samband med marknadsföringsaktiviteter, sparas så länge det föreligger en kundrelation, eller i förekommande fall tills du drar tillbaka ditt samtycke till denna behandling. Vi anser att en sådan relation föreligger så länge du under de senaste åren har tagit emot en leverans av en produkt från oss, eller du har deltagit i ett evenemang arrangerat av SmartCraft Norway.

8. Vilka rättigheter har du?

Du har följande rättigheter i samband med vår behandling av dina personuppgifter:

Tillgång: Du kan kontakta oss om du vill veta mer om vilka personuppgifter vi behandlar om dig.

Rättelse: Om de personuppgifter vi innehar om dig är felaktiga kan du begära att vi rättar dessa.

Radering: Du kan be oss att radera dina personuppgifter, vilket vi respekterar och följer, om vi inte exempelvis är skyldiga att lagra dina personuppgifter, eller om de relevanta personuppgifterna är nödvändiga för att fastställa, göra gällande eller försvara rättsliga anspråk. Begränsning av behandlingen: Du kan i enlighet med dataskyddslagstiftningen även begära att vår behandling av dina personuppgifter begränsas, om villkoren för detta enligt dataskyddslagstiftningen är uppfyllda. Om behandlingen begränsas lagras dina personuppgifter enbart.

Invändning mot behandlingen: Du har rätt att invända mot behandlingen av dina personuppgifter.

Dataportabilitet: Om vi behandlar personuppgifter om dig baserat på samtycke eller för att genomföra ett avtal, och personuppgifterna behandlas automatiserat, kan du be oss att lämna ut personuppgifterna till dig eller till en tredje part i ett strukturerat, allmänt använt och maskinläsbart format.

Observera att det kan gälla undantag och begränsningar från rättigheterna ovan. Till exempel kan vi inte lämna ut personuppgifter om det strider mot tystnadsplikt, eller om vi är rättsligt skyldiga att lagra uppgifterna.

Om du vill utöva en av dina rättigheter kan du kontakta oss. Vi upplyser om att vi kan behöva be dig identifiera dig, eller eventuellt använda en annan kommunikationskanal, eftersom vi kan behöva säkerställa att du är den du utger dig för att vara.

9. Vad gör vi för att säkerställa att dina personuppgifter är skyddade?

Som personuppgiftsansvarig för dina personuppgifter har vi det övergripande ansvaret för att säkerställa att dina personuppgifter behandlas och lagras på ett säkert sätt. Detta innebär att vi måste vidta tekniska och organisatoriska åtgärder som är ägnade att säkerställa tillfredsställande informationssäkerhet.

Av säkerhetsskäl är det begränsat hur mycket vi kan gå in på vilka tekniska säkerhetsåtgärder vi har genomfört och etablerat. Vi kan dock säga att alla våra medarbetare är ålagda tystnadsplikt avseende dina personuppgifter där detta är nödvändigt, att vi har vidtagit tekniska och organisatoriska åtgärder för att säkerställa integritet och tillgänglighet av dina personuppgifter, och att sådana uppgifter inte kommer på avvägar. Vid användning av artificiell intelligens bedömer vi eventuella konsekvenser för skyddet av dina personuppgifter innan persondata behandlas av AI-system. I samband med bedömningen av integritetsskyddskonsekvenser utgår vi från den klassificering av AI-system som EU:s AI-förordning föreskriver, så att graden av risk vid AI-systemen är avgörande för konsekvensbedömningen.

10. Datatilsynet och gällande dataskyddslagstiftning

[Obs: Tjänsten drivs av SmartCraft Norway AS och norsk lag gäller. Svenska användare kan kontakta svenska Integritetsskyddsmyndigheten (IMY) vid klagomål. Se kontaktuppgifter på imy.se.]

Datatilsynet (norsk datainspektionen) är ansvarig för att kontrollera integritetsskyddsregelverket och för att utöva tillsyn över norska bolags behandling av personuppgifter. Du kan kontakta oss när du vill om du har klagomål om vår behandling av dina personuppgifter. Du kan även klaga till Datatilsynet eller till en tillsynsmyndighet i ett EU/EES-land där du bor eller arbetar, eller där den påstådda överträdelsen har ägt rum.

Kontaktinformation till Datatilsynet hittar du på deras webbplats. På webbplatsen hittar du även ytterligare information om våra skyldigheter och dina rättigheter enligt gällande dataskyddslagstiftning.

Den vid var tid gällande dataskyddslagstiftningen finns tillgänglig på Lovdata. Personopplysningsloven (norska personuppgiftslagen) hittar du där.

11. Ändringar

Från tid till annan kan vi revidera denna integritetspolicy till följd av att vår behandling av personuppgifter förändras eller till följd av ny dataskyddslagstiftning. När integritetspolicyn ändras publiceras en uppdaterad version på vår webbplats.

Vi rekommenderar därför att du då och då läser igenom integritetspolicyn när du besöker vår webbplats. Den senaste uppdateringen av denna integritetspolicy gjordes den 1 juni 2025.

Användarvillkor för SmartCraft Flow

Vänligen läs dessa villkor noga innan du använder SmartCraft Flow (nedan kallat Lösningen), eftersom du genom att använda Lösningen godkänner dessa villkor, som utgör ett juridiskt avtal. Om du använder Lösningen som representant för en organisation godkänner du dessa villkor på organisationens vägnar.

1. Definitioner

«Du», «kunden», «användare» eller «din» avser den person eller organisation som är registrerad hos oss för att använda Lösningen.

«Vi», «vår» eller «oss» avser SmartCraft Norway AS, ett bolag registrerat i Norge med organisationsnummer 927150182 och registrerad adress Strandgata 3, 3513 Hønefoss, Norge, våra anställda, direktörer, närstående bolag och dotterbolag.

«Lösningen» avser vår webbplats och tjänster sammantaget. Med webbplatsen avses SmartCraftSpark.com och andra webbplatser som vi kan komma att driva i framtiden, inklusive alla underdomäner och webbplatser kopplade till dessa domäner.

2. Licens

Vi ger dig en icke-exklusiv, icke-överlåtbar licens att använda Lösningen, förutsatt att du uppfyller dessa villkor.

3. Dina skyldigheter

Du får inte använda, försöka, tillåta eller göra det möjligt för andra att använda Lösningen för att:

sälja, vidarelicensiera, tilldela användarrättigheter eller på annat sätt ge eller överlåta rättigheter i Lösningen eller tillhörande material till tredje part,

ladda upp, tillgängliggöra eller på annat sätt dela information som (i) kränker tredje parts rättigheter, inklusive men inte begränsat till rättigheter avseende immateriell egendom och personuppgifter, eller (ii) innehåller olagligt, skadligt eller annat kränkande material,

hacka, kringgå tekniska begränsningar, skapa gränssnitt mot Lösningen, testa säkerheten eller konfigurationen av Lösningen, eller

kopiera, ändra, skapa bearbetningar eller härledda verk av Lösningen, dess innehåll eller tillhörande material, eller bedriva bakåtkompilering eller på annat sätt försöka upptäcka eller återskapa källkoden till Lösningen och tillhörande applikationer.

Du ska använda Lösningen i enlighet med norsk lag, förordningar och de vid var tid gällande villkoren, och ge oss det bistånd som är nödvändigt för att vi ska kunna leverera Lösningen.

Du ska hålla oss skadelös från varje anspråk och alla tvister som uppstår mot oss från tredje part som en följd av din användning av Lösningen i strid med dessa villkor.

4. Immateriella rättigheter

Alla rättigheter till Lösningen, anpassningar som görs, tillhörande applikationer, funktioner, innehåll, material och data som du får tillgång till genom Lösningen, inklusive men inte begränsat till dokumentpaket, beräkningar, olika verktyg, namn, logotyper, varumärken, text och bilder m.m., tillhör SmartCraft Norway AS och/eller de SmartCraft Norway AS härleder sina rättigheter från. Med de begränsningar som följer av norsk lag har du inte rätt att kopiera, ladda ner, använda eller tillgängliggöra innehåll och material från Lösningen utan skriftligt förhandsgodkännande från SmartCraft Norway AS.

Om du lämnar synpunkter på hur Lösningen kan vidareutvecklas eller på annat sätt ändras eller förbättras, tillfaller all äganderätt, upphovsrätt och andra relevanta materiella och immateriella rättigheter till sådana synpunkter och resultat av sådana synpunkter SmartCraft Norway AS.

Dessa rättigheter omfattar även rätt till ändring och vidareöverlåtelse, jfr lov 15. juni 2018 nr. 40 om opphavsrett til åndsverk mv. (åndsverkloven) § 68 (norsk upphovsrättslagstiftning).

Du behåller äganderätten till data som laddas upp i Lösningen och som lagras eller behandlas med hjälp av Lösningen («Kunddata»). Detsamma gäller resultatet av sådan behandling av Kunddata. Vi har tillgång till Kunddata i den utsträckning som är nödvändig för att vi ska kunna leverera Lösningen och användarstöd enligt avtal, och har rätt att använda aggregerade och anonymiserade Kunddata för alla affärsändamål. Bestämmelser i personuppgiftsbiträdesavtalet ska inte hindra detta.

5. Konton

För att använda Lösningen måste du skapa ett konto. Du ansvarar för att hålla din kontoinformation konfidentiell och för alla aktiviteter som sker under ditt konto. Du ska informera oss omedelbart om du upptäcker obehörig användning av ditt konto. Vi förbehåller oss rätten att stänga av eller avsluta konton som används i strid med dessa villkor.

6. Betalning och förnyelse

Betalning för användning av Lösningen sker antingen månadsvis eller årsvis, beroende på den betalningsplan du väljer. Alla betalningar sker i förskott. Priserna för tjänsten anges i ditt avtal eller på vår webbplats och kan justeras i enlighet med punkt 7 (Ändringar).

Om betalning uteblir eller vi inte får tillräcklig betalningsinformation förbehåller vi oss rätten att stänga av din åtkomst till Lösningen tills utestående betalning har mottagits. Du ansvarar för eventuella kostnader som uppstår i samband med försenad betalning, inklusive inkassokostnader.

7. Ändringar av ditt abonnemang

Du kan när som helst lägga till eller ta bort användarlicenser. Ändringar träder i kraft från nästa betalningsperiod, om inte annat uttryckligen avtalats. Ytterligare licenser debiteras från inköpsdatum till slutet av innevarande betalningsperiod, och kostnaderna faktureras omedelbart. Minskningar av antalet licenser träder i kraft från början av nästa betalningsperiod.

Om du vill uppgradera eller nedgradera ditt abonnemang kan du göra det via ditt konto. Ändringar i funktionalitet eller kostnader till följd av uppgradering eller nedgradering träder i kraft från nästa betalningsperiod, om inte annat avtalats.

Prisjusteringar: Om inte annat uttryckligen avtalats med kunden förbehåller vi oss rätten att justera priserna för tjänsten. Prisändringar träder i kraft vid nästa betalningsperiod, och vi meddelar dig om sådana ändringar senast 30 dagar innan de träder i kraft. Om du inte accepterar de nya priserna kan du säga upp abonnemanget i enlighet med punkt 8 (Uppsägning och avstängning).

8. Uppsägning och avstängning

Du kan när som helst säga upp ditt abonnemang genom att skriftligen meddela oss via våra angivna kommunikationskanaler. Abonnemanget upphör vid slutet av din innevarande betalningsperiod, och ingen återbetalning ges för betalda men oanvända perioder.

Vid avstängning försöker vi meddela dig i förväg och ge dig en rimlig frist för att rätta till brottet, om inte avstängningen är nödvändig för att förhindra ytterligare missbruk eller skada.

Vi förbehåller oss rätten att stänga din åtkomst till Lösningen och/eller vidta andra rimliga åtgärder för att förhindra fortsatt missbruk om vi misstänker eller upptäcker brott mot dessa villkor. I sådana fall meddelar vi dig så snart som möjligt innan Lösningen stängs av.

9. Ditt innehåll

För att bättre förstå hur vår tjänst används kan vi analysera (i) innehållet aggregerat och på anonymiserad basis, och (ii) med hjälp av tredjepartsanalysverktyg inklusive men inte begränsat till Google Tag Manager, Google Analytics.

10. Ansvar och ansvarsbegränsningar

Vi förbehåller oss att det kan förekomma fel och unoggrannheter i Lösningens innehåll, och att avbrott i Lösningen kan förekomma till följd av underhåll och uppdateringar. All användning av information från Lösningen sker på din egen risk.

Ersättning för indirekta förluster kopplade till användning av Lösningen kan inte krävas. Indirekta förluster innefattar, men är inte begränsade till, utebliven vinst och förtjänst av alla slag, uteblivna besparingar och anspråk från tredje part med undantag för utdömt skadeståndsansvar för kränkning. Dataförlust räknas som indirekt förlust med undantag för Kundens rimliga kostnader för rekonstruktion av sådana data. Detta gäller även om parterna har informerats om möjligheten till sådana förluster. Vårt samlade årliga skadeståndsansvar under dessa villkor är begränsat till det årliga vederlaget för Lösningen. Begränsningen gäller även för personuppgiftsbiträdesavtalet.

11. Ändringar

Vi förbehåller oss rätten att göra ändringar i Villkoren och Lösningen (inklusive men inte begränsat till att ta bort och lägga till funktionalitet) utan att meddela Användaren. Detta gäller även om ändringen görs för att uppfylla ett lagkrav.

Vid väsentliga ändringar till nackdel för Användare ombeds Användare att godkänna ändringen vid nästa inloggning. Om Användare fortsätter att använda Lösningen efter att ändringen har trätt i kraft anses dessa som accepterade.

12. Allmänna bestämmelser

Dessa villkor är underställda norsk lag, och eventuella tvister ska behandlas av Oslo tingrett (Oslos tingsrätt).

SmartCraft Norway AS – Personuppgiftsbiträdesavtal

1. Avtalets syfte

Detta avtal reglerar Personuppgiftsbiträdets behandling av personuppgifter på uppdrag av Personuppgiftsansvarig, i enlighet med kraven i GDPR och norsk dataskyddslagstiftning. Avtalet ska säkerställa att personuppgifter behandlas på ett säkert och lagligt sätt, och att de registrerades rättigheter tillvaratas.

För att få åtkomst till Tjänsten måste Personuppgiftsansvarig lämna vissa uppgifter till Personuppgiftsbiträdet, inklusive korrekt namn, kontaktinformation och e-postadress för varje enskild användare. Dessutom måste användarna av Tjänsten tillåta att Personuppgiftsbiträdet lagrar och hämtar information via kakor («cookies»), eftersom det är nödvändigt för de inloggnings-/utloggningsprocedurer som används i Tjänsten och för att säkerställa att obehöriga personer inte får åtkomst till Tjänsten. Samtycket är frivilligt, ges genom en aktiv handling och kan återtas.

2. Omfång

Avtalet gäller all behandling av personuppgifter i anknytning till SmartCraft Norways lösning SmartCraft Flow, nedan kallat Lösningen. Personuppgiftsansvarig använder lösningen för administration av åtkomst till systemet, offerter, kalkyler, användare, timmar, projekt, checklistor, avvikelser, besiktningar m.m.

3. Ändamål med behandlingen

De personuppgifter som behandlas via Lösningen används för följande ändamål:

Administration av användardata

Analys av användarmönster för optimering av systemet

Användarstödskommunikation och underhåll av systemet

Kommunikation om driftsmeddelanden och uppdateringar

Åtkomstkontroll för att säkerställa att obehöriga inte får åtkomst till systemet

4. Personuppgiftsansvarigs skyldigheter

Personuppgiftsansvarig ansvarar för att säkerställa att behandlingen av personuppgifter sker i överensstämmelse med personuppgiftslagen och dataskyddsförordningen (se GDPR artikel 24). Personuppgiftsansvarig ansvarar även för att det finns rättslig grund för de personuppgifter som Personuppgiftsbiträdet instrueras att behandla i detta avtal (se punkt 7).

5. Personuppgiftsbiträdets skyldigheter

Personuppgiftsbiträdet förbinder sig att tillhandahålla all information som är nödvändig för att påvisa att skyldigheterna enligt detta avtal och enligt dataskyddsförordningens artikel 28 efterlevs.

6. Kategorier av personuppgifter

Personuppgifter som kan behandlas innefattar:

Namn, e-postadress, telefonnummer och befattning

Användaraktivitet i systemet (t.ex. loggning av inloggningar, besökta sidor, klickade knappar, IP-adresser, enhetstyp)

Information registrerad av användare själva, inklusive offertinformation

Kakor för inloggning och analys

7. Rättslig grund

Personuppgiftsbiträdet behandlar personuppgifter baserat på följande rättsliga grunder:

Samtycke: För användning av kakor och prenumeration på nyhetsbrev

Berättigat intresse: För administration av affärsförbindelser, systemoptimering och säkerhet

Avtalsuppfyllelse: För att leverera Lösningen i enlighet med avtal med Personuppgiftsansvarig

8. Anlitande av underleverantörer

Personuppgiftsbiträdet anlitar underleverantörer för att leverera Lösningen. Dessa inkluderar, men är inte begränsade till:

Microsoft Azure (lagring och drift)

Atlas (lagring)

MongoDB (lagring)

Mixpanel, Hotjar INC (mätning och spårning)

Intercom.io (supportkommunikation och användarlagring)

Google, Meta, Schibsted (marknadsföring)

Alla underleverantörer omfattas av personuppgiftsbiträdesavtal som säkerställer att personuppgifter behandlas i enlighet med GDPR. Personuppgiftsbiträdet ska underrätta Personuppgiftsansvarig om eventuella planer på att anlita andra personuppgiftsbiträden än de som nämns här, så att Personuppgiftsansvarig ges möjlighet att motsätta sig dessa ändringar.

9. Lagring av data

Personuppgifter lagras på säkra servrar inom EU/EES, huvudsakligen hos Microsoft Azure i Norge. Personuppgiftsbiträdet genomför tekniska och organisatoriska åtgärder för att skydda personuppgifter, inklusive kryptering (Transport Layer Security) och åtkomstkontroll.

10. De registrerades rättigheter

De registrerade har följande rättigheter enligt GDPR:

Tillgång: Rätt att få veta vilka personuppgifter som behandlas

Rätt till rättelse: Begära korrigering av felaktiga uppgifter

Rätt till radering: Begära radering av personuppgifter («rätten att bli glömd»)

Rätt till begränsning av behandlingen

Rätt att invända mot behandlingen

Rätt till dataportabilitet

Personuppgiftsansvarig ansvarar för att hantera förfrågningar från de registrerade, men Personuppgiftsbiträdet bistår med nödvändig information. Vid krav på radering från en registrerad ska Personuppgiftsbiträdet utan onödigt dröjsmål informera Personuppgiftsansvarig.

11. Säkerhetsåtgärder

Personuppgiftsbiträdet förbinder sig att genomföra nödvändiga säkerhetsåtgärder för att skydda personuppgifterna. Detta inkluderar skydd mot obehörig åtkomst, förstörelse, ändring eller offentliggörande av data. Personuppgiftsbiträdet följer riktlinjer från ISO27001 för interna processer rörande säkerhet.

11.1 Tekniska åtgärder

Kryptering av data: All data som överförs mellan användarna och systemet är krypterad med hjälp av Transport Layer Security (TLS) för att förhindra obehörig åtkomst under överföring.

Lagring på säkra servrar: Personuppgifter lagras på servrar i datacenter som uppfyller strikta säkerhetsstandarder.

Brandväggar och nätverkssäkerhet: Personuppgiftsbiträdet använder brandväggar och säkerhetsprogramvara för att övervaka och kontrollera trafiken till och från servrarna, och för att skydda mot externa attacker.

Regelbundna säkerhetsuppdateringar: Programvara och system uppdateras regelbundet för att säkerställa att de senaste säkerhetsuppdateringarna och felrättningarna är implementerade.

Säkerhetskopiering och dataåterställning: Regelbundna säkerhetskopior av data görs för att säkerställa att information kan återställas vid händelser som dataförlust eller säkerhetsintrång. Dessa säkerhetskopior lagras på separata platser med samma säkerhetsnivå som produktionsdata.

Åtkomstkontroll: Åtkomst till personuppgifter är begränsad till auktoriserad personal som har ett tydligt behov av åtkomst till data. Åtkomster revideras regelbundet för att säkerställa att de är i linje med roller och ansvar.

Säker autentisering: Användarna måste använda säkra autentiseringsmetoder som tvåfaktorsautentisering (2FA) för åtkomst till systemet.

Personuppgiftsbiträdet ska, på begäran av Personuppgiftsansvarig, kunna påvisa att de auktoriserade personerna är bundna av sekretess eller tystnadsplikt. Skyldigheten till konfidentialitet gäller även efter att personuppgiftsbiträdesuppdraget har slutförts.

11.2 Organisatoriska åtgärder

Utbildning i datasäkerhet: Alla anställda hos Personuppgiftsbiträdet som har tillgång till personuppgifter genomgår regelbunden utbildning i datasäkerhet och integritetsskydd för att säkerställa att de är uppdaterade på gällande lagkrav och bästa praxis.

Säkerhetspolicy: Personuppgiftsbiträdet har infört interna säkerhetspolicyer som beskriver hur personuppgifter ska behandlas på ett säkert sätt och i enlighet med GDPR. Policyerna täcker bland annat hantering av informationssäkerhet, skydd av arbetsstationer och hur man hanterar säkerhetsintrång.

Loggning och övervakning: Personuppgiftsbiträdet för logg över åtkomster till och användning av systemet. Detta gör det möjligt att upptäcka och utreda obehörig eller misstänkt aktivitet i systemet.

Avvikelserapportering: Alla säkerhetsintrång eller misstankar om intrång i datasäkerheten ska omedelbart rapporteras till Personuppgiftsbiträdet, som därefter meddelar Personuppgiftsansvarig i enlighet med GDPR. En plan för hantering av säkerhetsintrång har upprättats och inkluderar rutiner för rapportering till relevanta myndigheter, såsom Datatilsynet / Integritetsskyddsmyndigheten (IMY), om det krävs.

Riskbedömning: Personuppgiftsbiträdet genomför regelbundna riskbedömningar av sina tekniska och organisatoriska åtgärder för att säkerställa att de är tillräckliga för att skydda personuppgifter. Eventuella svagheter eller brister ska hanteras proaktivt genom uppdaterade säkerhetsåtgärder.

11.3 Tredje parter och underleverantörer

Säkerhetskrav för underleverantörer: Personuppgiftsbiträdet kräver att alla underleverantörer som behandlar personuppgifter på Personuppgiftsbiträdets vägnar implementerar motsvarande säkerhetsåtgärder som beskrivs i detta avtal.

Överföring av data utanför EU/EES: Personuppgifter överförs inte till ett land utanför EU/EES.

12. Lagringstid

Personuppgifter raderas eller anonymiseras när de inte längre är nödvändiga för det ändamål de samlades in för, eller när Personuppgiftsansvarig begär radering i enlighet med avtalet.

13. Avvikelser och säkerhetsintrång

Vid avvikelser ska Personuppgiftsbiträdet utan onödigt dröjsmål meddela Personuppgiftsansvarig. Personuppgiftsansvarig ansvarar för att meddela Datatilsynet / Integritetsskyddsmyndigheten (IMY) om det krävs, i enlighet med dataskyddsförordningens art. 33. Om ett säkerhetsintrång innebär risk för de registrerades rättigheter måste meddelandet till Personuppgiftsansvarig innehålla den information som krävs för att Personuppgiftsansvarig ska kunna ge en utförlig beskrivning av intrånget till Datatilsynet / IMY. Vid sådan risk måste även den registrerade underrättas, och meddelandet måste innehålla den information som krävs för att Personuppgiftsansvarig ska kunna uppfylla underrättelseskyldigheten på ett tydligt sätt.

14. Uppsägning och radering

Vid avtalets upphörande förbinder sig Personuppgiftsbiträdet att radera alla personuppgifter inom en rimlig tidsperiod efter att Personuppgiftsansvarig har kopierat nödvändig data. Personuppgiftsbiträdet ska skriftligen bekräfta att radering har skett.

15. Lagval och domstol

[Obs: Originaldokumentet hänvisar till norsk lag och Oslo tingsrätt. SmartCraft Norway AS är ett norskt bolag och norsk lag gäller för dessa villkor.]

Avtalet är underställt norsk lag, och eventuella tvister ska behandlas av Oslo tingrett (Oslos tingsrätt).