Flowtly – Personuppgiftsbiträdesavtal

Detta är en svensk översättning av den engelska versionen, som tillhandahålls för enkelhetens skull. Den engelskspråkiga versionen är bindande (se avsnitt 1). Engelsk version · Polsk version

1. Allmänna bestämmelser och avtalets föremål

Detta personuppgiftsbiträdesavtal (”PUB-avtalet”) ingås mellan den Organisation som använder plattformen Flowtly, i egenskap av personuppgiftsansvarig i den mening som avses i artikel 4(7) i förordning (EU) 2016/679 av den 27 april 2016 (”GDPR”) (”Personuppgiftsansvarig”), och Flowtly Prosta Spółka Akcyjna, med säte i Warszawa (01-194), ul. Młynarska 8/12, Polen, registrerat i företagsregistret inom det nationella domstolsregistret under KRS 0001188143, NIP 5273180297, REGON 542625051 (”Flowtly” eller ”Personuppgiftsbiträde”), i egenskap av personuppgiftsbiträde i den mening som avses i artikel 4(8) GDPR.

PUB-avtalet preciserar Parternas skyldigheter avseende den behandling av personuppgifter som avses i § 11 i villkoren för plattformen Flowtly (”Datasäkerhet”) och gäller varje behandling av personuppgifter som Flowtly utför för den Personuppgiftsansvariges räkning och enligt dennes dokumenterade instruktioner i samband med tillhandahållandet av tillgång till plattformen. PUB-avtalet ändrar inte de ansvarsregler och ansvarsbegränsningar som anges i § 12 i villkoren – se avsnitt 13.

PUB-avtalet genomför kraven i artikel 28 GDPR och finns tillgängligt på denna sida i den version som anges i versionshistoriken (avsnitt 13). PUB-avtalet gäller för en Organisation som använder plattformen på samma grund som villkoren – i den lydelse som gäller för den Organisationen – som hänvisar till detta dokument. Den engelskspråkiga versionen av detta dokument är den bindande versionen; denna svenska översättning tillhandahålls, liksom alla översättningar, inklusive den polska, för enkelhetens skull.

2. Definitioner

Begrepp som skrivs med stor begynnelsebokstav och som inte definieras i detta PUB-avtal har den betydelse som de ges i villkoren för plattformen Flowtly. I detta PUB-avtal avses med:

• GDPR – Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter;
• Personuppgiftsansvarig – Organisationen i egenskap av personuppgiftsansvarig i den mening som avses i artikel 4(7) GDPR, som agerar genom personer som är behöriga att företräda den; detta ska skiljas från rollen ”Administratör” enligt villkoren, som betecknar en användarroll på plattformen och inte ställning som personuppgiftsansvarig;
• TOM (tekniska och organisatoriska åtgärder) – de åtgärder som beskrivs i Flowtlys dokument ”Tekniska och organisatoriska åtgärder”, som utgör bilaga 1 till detta PUB-avtal;
• Underbiträde – ett annat personuppgiftsbiträde som Flowtly i sin tur anförtror behandling av personuppgifter för att fullgöra detta PUB-avtal;
• Personuppgiftsincident – en incident i den mening som avses i artikel 4(12) GDPR.

3. Behandlingens varaktighet

Detta PUB-avtal gäller under löptiden för avtalet om tillgång till plattformen mellan den Personuppgiftsansvarige och Flowtly enligt villkoren och upphör när det avtalet upphör eller löper ut, med förbehåll för bestämmelser som till sin natur fortsätter att gälla efter upphörandet, inklusive skyldigheten att radera eller återlämna uppgifter som beskrivs i avsnitt 11.

4. Behandlingens art, ändamål och omfattning; kategorier av uppgifter och registrerade

Behandlingens art och ändamål. Flowtly behandlar personuppgifter uteslutande för att ge den Personuppgiftsansvarige tillgång till plattformen, i enlighet med villkoren och den Personuppgiftsansvariges dokumenterade instruktioner. Behandlingsåtgärderna omfattar i synnerhet: insamling, lagring, hämtning, ändring, export och radering av uppgifter inom organisationskontot, som utförs i samband med plattformens funktioner för personal och löner, projekt, debitering och fakturering – vilka är verktyg som stödjer Organisationens hantering av dessa områden och inte ett bokföringsverktyg, enligt § 12(2) i villkoren – samt lagring av uppgifter på servrar som förvaltas av Flowtly, teknisk support och säkerställande av plattformens säkerhet och kontinuitet.

Kategorier av registrerade omfattar i synnerhet: den Personuppgiftsansvariges anställda och medarbetare, Användare och Administratörer, uppdragstagare och deras företrädare, arbetssökande – i den mån den Personuppgiftsansvarige använder den relevanta funktionen på plattformen – och andra fysiska personer vars uppgifter den Personuppgiftsansvarige eller dess Användare för in i plattformen i samband med användningen av den.

Kategorier av personuppgifter omfattar i synnerhet: identifierings- och kontaktuppgifter, personal- och anställningsuppgifter (inklusive ersättning, arbetstid och uppgifter om ledighet), debiterings- och faktureringsuppgifter, uppgifter om uppdragstagare samt – i den mån den Personuppgiftsansvarige på lagligt sätt för in dem i plattformen, när det är nödvändigt för att fullgöra skyldigheter enligt arbetsrätten eller socialförsäkringsrätten – särskilda kategorier av uppgifter som avses i artikel 9 GDPR (t.ex. hälsouppgifter i samband med sjukfrånvaro, medlemskap i fackförening). Ansvaret för den rättsliga grunden för att föra in sådana uppgifter i plattformen vilar på den Personuppgiftsansvarige. Den närmare omfattningen av kategorierna av uppgifter motsvarar den omfattning som beskrivs i sekretesspolicyn.

5. Personuppgiftsbiträdets skyldigheter

Flowtly åtar sig att:

1. endast behandla personuppgifter på dokumenterade instruktioner från den Personuppgiftsansvarige – även när det gäller överföringar av personuppgifter till ett tredjeland eller en internationell organisation – om inte Flowtly är skyldigt att göra det enligt unionsrätten eller en medlemsstats nationella rätt som Flowtly omfattas av, och i så fall ska Flowtly informera den Personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida sådan information inte är förbjuden enligt den rätten av viktiga skäl som rör allmänintresset;
2. säkerställa att personer med behörighet att behandla personuppgifter har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt (se avsnitt 7);
3. vidta och upprätthålla de tekniska och organisatoriska åtgärder som beskrivs i TOM, i enlighet med artikel 32 GDPR (se avsnitt 8);
4. uppfylla de villkor för anlitande av Underbiträden som beskrivs i avsnitt 9;
5. ge den Personuppgiftsansvarige det bistånd som beskrivs i avsnitt 10;
6. efter det att tillhandahållandet av tjänster avseende behandling har avslutats radera eller återlämna alla personuppgifter till den Personuppgiftsansvarige och radera befintliga kopior, i enlighet med avsnitt 11, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt;
7. ge den Personuppgiftsansvarige tillgång till all information som krävs för att visa att de skyldigheter som fastställs i artikel 28 GDPR har fullgjorts samt möjliggöra och bidra till granskningar, inbegripet inspektioner, i enlighet med avsnitt 11.

6. Den Personuppgiftsansvariges instruktioner

Villkoren, konfigurationen av plattformen och det sätt på vilket den Personuppgiftsansvarige och de Användare som denne har bemyndigat använder plattformen betraktas som den Personuppgiftsansvariges dokumenterade instruktioner, liksom separata instruktioner som skickas i dokumenterad form (inklusive e-post) till business.support@flowtly.eu. Den Personuppgiftsansvarige ansvarar för lagligheten i de instruktioner som denne lämnar. Om en instruktion från den Personuppgiftsansvarige enligt Flowtlys bedömning strider mot GDPR eller annan dataskyddslagstiftning ska Flowtly utan dröjsmål informera den Personuppgiftsansvarige om detta.

7. Konfidentialitet

Flowtly säkerställer att endast personer som Flowtly har bemyndigat har åtkomst till personuppgifter, i den utsträckning som är nödvändig för att utföra deras arbetsuppgifter, och att dessa personer är bundna av tystnadsplikt avseende personuppgifter, även efter det att deras anställning eller uppdrag hos Flowtly har upphört.

8. Säkerhet i samband med behandlingen (artikel 32 GDPR)

Flowtly vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen, med beaktande av den senaste utvecklingen, genomförandekostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt risken för fysiska personers rättigheter och friheter. Den aktuella beskrivningen av dessa åtgärder utgörs av Flowtlys dokument ”Tekniska och organisatoriska åtgärder”, som utgör bilaga 1 till detta PUB-avtal.

Flowtly kommer inte att sänka den övergripande säkerhetsnivå för behandlingen som beskrivs i TOM under detta PUB-avtals löptid (”åtagandet att inte sänka säkerhetsnivån”); att ersätta en viss åtgärd med en annan som ger en likvärdig eller högre skyddsnivå utgör inte en sänkning. Varje ändring av TOM – inklusive varje sådant utbyte – registreras som en ny, daterad version i den versionshistorik som finns tillgänglig på det dokumentets sida, så att den version av TOM som gällde ett visst behandlingsdatum alltid kan fastställas utifrån denna historik.

9. Anlitande av underbiträden (Underbiträden)

Den Personuppgiftsansvarige ger Flowtly ett allmänt skriftligt förhandstillstånd att anlita Underbiträden för att fullgöra detta PUB-avtal (artikel 28(2) GDPR). Flowtly ingår ett avtal med varje Underbiträde som ålägger detta samma skyldigheter avseende dataskydd som gäller för Flowtly enligt detta PUB-avtal, även när det gäller tekniska och organisatoriska åtgärder. Flowtly förblir fullt ansvarigt gentemot den Personuppgiftsansvarige för att ett Underbiträde fullgör sina skyldigheter avseende dataskydd, i enlighet med artikel 28(4) GDPR.

Flowtly underrättar den Personuppgiftsansvarige om varje planerat tillägg eller utbyte av Underbiträden minst 30 dagar i förväg, med angivande av det nya Underbiträdet och omfattningen av dess verksamhet, och ger den Personuppgiftsansvarige möjlighet att invända mot ändringen. Invändningar, med skäl som grundar sig på berättigade dataskyddsskäl, skickas till business.support@flowtly.eu inom 30 dagar från underrättelsen; om ingen invändning görs inom denna period betraktas det som ett godkännande av ändringen. Flowtly kommer inte att påbörja behandling av den Personuppgiftsansvariges personuppgifter genom ett nytt Underbiträde innan invändningsperioden har löpt ut eller, om en invändning har gjorts i tid, innan den har lösts. Vid en berättigad invändning som inte kan tillgodoses på annat sätt ska Parterna i god tro komma överens om hur de ska gå vidare, inklusive, vid behov, att säga upp tjänsteavtalet i den mån det skulle kräva användning av det Underbiträdet.

Underbiträden som för närvarande anlitas, i överensstämmelse med plattformens sekretesspolicy:

Underbiträde	Behandlingens omfattning	Plats för behandlingen
Google Cloud (Google Ireland Limited)	Hosting av plattformen och molninfrastruktur	EU (europe-west1, Belgien)
Stripe	Betalningshantering	EU/utanför EES, beroende på transaktionen
Kontomatik	Integration av bankuppgifter	Polen (EU)
Functional Software, Inc. (Sentry)	Övervakning av systemfel	USA
Anthropic, PBC	Behandling av dokumentinnehåll för AI-baserade funktioner (dokumentanalys, assistent)	USA
Postmark (ActiveCampaign, Inc.)	Utskick av transaktionell e-post (fakturor, påminnelser, aviseringar)	USA

Förteckningen ovan återspeglar läget per publiceringsdagen för den aktuella versionen av detta PUB-avtal och uppdateras i enlighet med det förfarande som beskrivs ovan. Den aktuella förteckningen över Underbiträden finns också tillgänglig på begäran, som skickas till adressen ovan.

10. Bistånd till den Personuppgiftsansvarige; personuppgiftsincidenter

Utövande av de registrerades rättigheter. Med beaktande av behandlingens art bistår Flowtly den Personuppgiftsansvarige, i den mån det är möjligt – genom lämpliga tekniska och organisatoriska åtgärder som finns tillgängliga på plattformen och genom support som begärs via adressen i avsnitt 6 – med att fullgöra dennes skyldighet att besvara begäranden från registrerade som utövar sina rättigheter enligt kapitel III GDPR.

Efterlevnad av artiklarna 32–36 GDPR. Flowtly bistår den Personuppgiftsansvarige med att säkerställa att skyldigheterna enligt artiklarna 32–36 GDPR fullgörs, inklusive skyldigheten att anmäla en personuppgiftsincident till tillsynsmyndigheten och den separata skyldigheten att informera de registrerade när en incident sannolikt leder till en hög risk för deras rättigheter och friheter, samt konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheten, med beaktande av behandlingens art och den information som Flowtly har tillgång till.

Personuppgiftsincidenter. Flowtly underrättar den Personuppgiftsansvarige om en personuppgiftsincident som Flowtly har identifierat utan onödigt dröjsmål och under alla omständigheter senast 48 timmar efter att Flowtly fått vetskap om den, utan att invänta att incidentens samtliga omständigheter har fastställts. Den första underrättelsen innehåller den information som anges i artikel 33(3) GDPR i den mån den finns tillgänglig vid tidpunkten och kompletteras stegvis allteftersom ytterligare omständigheter fastställs. Tidsfristen på 48 timmar är Flowtlys längsta avtalsenliga tidsfrist för denna första underrättelse och befriar inte Flowtly från skyldigheten att agera utan onödigt dröjsmål när detta är möjligt tidigare; den är oberoende av den tidsfrist på 72 timmar inom vilken den Personuppgiftsansvarige, i egenskap av personuppgiftsansvarig, ska anmäla incidenten till tillsynsmyndigheten enligt artikel 33(1) GDPR, när anmälan krävs.

11. Behandlingens upphörande; granskningar och inspektioner

Behandlingens upphörande. Efter det att tillhandahållandet av tjänster avseende behandling har avslutats meddelar den Personuppgiftsansvarige Flowtly, i dokumenterad form, inom 30 dagar från den händelsen, om Flowtly ska radera eller återlämna personuppgifterna; om något sådant meddelande inte lämnas inom denna period har Flowtly rätt att radera uppgifterna. Flowtly utför den valda åtgärden – radering från produktionssystemen, eller återlämnande i ett allmänt använt elektroniskt format följt av radering – inom en rimlig tid som inte överstiger 30 dagar från mottagandet av den Personuppgiftsansvariges instruktion, såvida inte unionsrätten eller polsk rätt kräver att Flowtly behåller uppgifterna ytterligare på grund av en rättslig förpliktelse som direkt binder Flowtly (t.ex. skatte- eller bokföringsregler avseende Flowtlys egen bokföring) – vilket inte omfattar den Personuppgiftsansvariges egen bokföring som behandlas på plattformen. Säkerhetskopior som innehåller raderade uppgifter förblir skyddade i enlighet med TOM och skrivs över i den ordinarie rotationscykel för säkerhetskopior som beskrivs där, utan att raderade uppgifter återställs till produktionssystemet.

Granskningar och inspektioner. Flowtly ger den Personuppgiftsansvarige tillgång till all information som krävs för att visa att skyldigheterna enligt artikel 28 GDPR har fullgjorts, och möjliggör för den Personuppgiftsansvarige, eller en revisor som den Personuppgiftsansvarige har bemyndigat, att genomföra granskningar, inbegripet inspektioner, av att behandlingen överensstämmer med detta PUB-avtal, samt medverkar vid genomförandet av dessa. En granskning genomförs efter minst 30 dagars skriftligt förhandsmeddelande, under Flowtlys normala kontorstid, på ett sätt som är så lite störande för Flowtlys verksamhet som rimligen är möjligt och som respekterar konfidentialiteten för information som rör Flowtlys övriga kunder, högst en gång per kalenderår – dessa begränsningar gäller inte när granskningen genomförs i samband med en rimlig misstanke om en personuppgiftsincident eller annan väsentlig bristande efterlevnad av detta PUB-avtal, eller på begäran av en behörig tillsynsmyndighet. Tillhandahållandet av information enligt första meningen är inte begränsat till en gång per år.

12. Internationella överföringar av uppgifter

Merparten av behandlingen av personuppgifter sker inom Europeiska ekonomiska samarbetsområdet (EES) – plattformens infrastruktur och dess OCR-behandling av dokument upprätthålls i EU-regionen hos den leverantör som anges i avsnitt 9. Tre av de Underbiträden som anges i avsnitt 9 – Functional Software, Inc. (verksamt under namnet Sentry), Anthropic, PBC och Postmark (ActiveCampaign, Inc.) – är etablerade i USA, utanför EES. Flowtly säkerställer att överföringar av personuppgifter till dessa Underbiträden – och varje annan överföring av personuppgifter utanför EES som kan ske i samband med de övriga Underbiträdena eller deras egna underbiträden – sker på grundval av en lämplig mekanism enligt kapitel V GDPR: i synnerhet de standardavtalsklausuler som godkänts genom kommissionens genomförandebeslut (EU) 2021/914 (enligt den modul som är lämplig för förhållandet mellan Flowtly och Underbiträdet), eller – i den mån ett visst Underbiträde stödjer sig på det – ramen för dataskydd mellan EU och USA (EU–U.S. Data Privacy Framework), vid behov kompletterad med ytterligare skyddsåtgärder om en konsekvensbedömning av överföringen visar att det är nödvändigt. Information om den mekanism som tillämpas för ett visst Underbiträde görs tillgänglig för den Personuppgiftsansvarige på begäran som skickas till adressen i avsnitt 6.

13. Ansvar och slutbestämmelser

Den begränsning av Flowtlys ansvar som anges i § 12 i villkoren (”Ansvar”) tillämpas på motsvarande sätt på behandlingen av personuppgifter enligt detta PUB-avtal, i den utsträckning som är rättsligt tillåten. Detta påverkar inte tvingande lag, inklusive: artikel 82 GDPR när det gäller registrerades anspråk mot Flowtly, tillsynsmyndigheternas befogenheter enligt GDPR samt den polska civillagens bestämmelser om ansvar för skada som orsakats uppsåtligen.

Frågor som inte regleras i detta PUB-avtal regleras, i tillämpliga delar, av villkoren, inklusive deras bestämmelser om tillämplig lag och tvistlösning. Detta PUB-avtal regleras av polsk rätt.

Detta dokument är den version som publicerades den 28 oktober 2026. Historiken över eventuella tidigare versioner finns tillgänglig nedan.