Databehandlingsavtal

Calco behandlar personuppgifter för den Personuppgiftsansvariges räkning i syfte att leverera Calco-tjänsten, inklusive generering av offerter och tillhörande funktioner. Behandlingen sker uteslutande för att göra tjänstens funktioner tillgängliga för den Personuppgiftsansvarige och i enlighet med villkoren och detta Avtal. Behandlingen pågår så länge den Personuppgiftsansvarige använder tjänsten.

När Calco använder samlade mönster från flera kunder för att förbättra tjänsten (t.ex. vilken grossistartikel som passar en offertrad) sker det som självständigt personuppgiftsansvarig och endast med mönster som minst tre oberoende företag har bekräftat. Priser samt slutkunders namn och adresser ingår inte. Se Calcos integritetspolicy.

• Slutkunders och kontakters personuppgifter: namn, adress och kontaktuppgifter (e-post, telefon)
• Innehåll i offerter, inklusive uppdragsbeskrivningar samt bilder och dokument som den Personuppgiftsansvarige laddar upp och som kan innehålla personuppgifter
• Slutkunders svar på offertlänkar: tidpunkt och IP-adress vid godkännande eller avböjande, en eventuell motivering till avböjande och kvittens på information om ångerrätt
• Mejl i en ansluten inkorg (Microsoft 365 eller Google Workspace), om den Personuppgiftsansvarige ansluter den: avsändarens namn och e-post, ämne, text och uppgifter om bilagor
• Uppgifter som delas med eller tas emot från ett partnerföretag via Calco Connect, samt namn, e-post, telefon och organisationsnummer för inbjudna företag
• Den Personuppgiftsansvariges egna anställda (användare): namn, e-post, telefon och användaraktivitet i tjänsten, inklusive IP-adress och webbläsaruppgifter i revisionsloggen
• Åtkomstnycklar och token till system som den Personuppgiftsansvarige ansluter (ordersystem, bokföring och inkorg), krypterade med AES-256

Calco behandlar endast personuppgifter enligt dokumenterade instruktioner från den Personuppgiftsansvarige, inklusive vad gäller överföring till tredjeland, om inte EU-rätt eller dansk rätt kräver något annat. Instruktionerna utgörs av detta Avtal, villkoren och den Personuppgiftsansvariges användning av tjänsten. Calco informerar omedelbart den Personuppgiftsansvarige om Calco anser att en instruktion strider mot dataskyddsreglerna.

Calco säkerställer att de personer som är behöriga att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt. Åtkomst ges endast till personer för vilka det är nödvändigt för att uppfylla Calcos skyldigheter.

Calco vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, enligt artikel 32, inklusive kryptering under överföring (TLS 1.2 eller senare), kryptering av API-nycklar och andra känsliga inloggningsuppgifter via Supabase Vault, åtkomststyrning och row-level security i databasen samt loggning av åtkomst och händelser.

Den Personuppgiftsansvarige ger härmed ett allmänt godkännande till att Calco anlitar följande underbiträden:

• Supabase Inc. (databas, inloggning och fillagring - data lagras inom EU, Frankfurt)
• Cloudflare Inc. (drift, nätverk och anonym statistik - USA, globalt nätverk)
• Anthropic PBC (beräkning av offerter och bedömning av mejl i inkorgen - USA)
• Resend Inc. (utskick av e-post - USA)
• Stripe (betalning - Irland/USA)
• Expo / 650 Industries Inc. (pushnotiser och appuppdateringar - USA)
• Telegram (interna driftlarm till Calcos team - Förenade Arabemiraten)
• Google (kalenderinbjudan vid onboarding samt läsning av Gmail, endast om det ansluts - Irland/USA)
• Microsoft (läsning av Outlook-inkorgen, endast om den ansluts - Irland/USA)
• De order- och bokföringssystem som den Personuppgiftsansvarige själv väljer att ansluta: Apacta, Minuba, Ordrestyring, Kompas4, e-conomic, Dinero, Billy eller Fortnox

Adressuppslag för beräkning av resekostnad: danska adresser slås upp hos Dataforsyningen (danska staten), norska hos Kartverket (norska staten) och svenska hos OpenStreetMap Foundation (Nominatim, Storbritannien - EU-beslut om adekvat skyddsnivå). Endast gata, husnummer, postnummer och ort skickas - aldrig namn eller andra uppgifter om kunden.

Calco aviserar ändringar i anlitandet av underbiträden minst 30 dagar i förväg, och den Personuppgiftsansvarige kan invända mot ändringen. Överföringar till tredjeland sker med stöd av EU-kommissionens standardavtalsklausuler (SCC) och, där mottagaren är certifierad, EU-US Data Privacy Framework. Calco ingår ett skriftligt avtal med varje underbiträde som ålägger detta samma dataskyddsskyldigheter som i detta Avtal, och Calco ansvarar för att underbiträdena fullgör dessa.

Calco bistår, i den mån det är möjligt, den Personuppgiftsansvarige med lämpliga tekniska och organisatoriska åtgärder för att besvara begäranden från registrerade om utövande av deras rättigheter, inklusive tillgång, rättelse, radering, begränsning, dataportabilitet och invändning.

Calco bistår den Personuppgiftsansvarige med att säkerställa efterlevnaden av skyldigheterna enligt artiklarna 32-36, inklusive säkerhet vid behandling, anmälan av personuppgiftsincidenter till tillsynsmyndigheten och de registrerade, konsekvensbedömningar avseende dataskydd (DPIA) samt förhandssamråd med tillsynsmyndigheten, med hänsyn till behandlingens art och den information som Calco har tillgång till.

Calco underrättar den Personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident. Underrättelsen innehåller den relevanta informationen om incidenten, inklusive incidentens art, de berörda kategorierna av uppgifter och registrerade, de sannolika konsekvenserna samt de åtgärder som har vidtagits eller föreslås vidtas.

Vid tjänstens upphörande raderar eller återlämnar Calco, enligt den Personuppgiftsansvariges val, alla personuppgifter senast 30 dagar efter upphörandet och raderar befintliga kopior, såvida inte EU-rätt eller dansk rätt kräver fortsatt lagring av personuppgifterna.

Calco tillhandahåller den Personuppgiftsansvarige all information som krävs för att visa att skyldigheterna i detta Avtal efterlevs och möjliggör och bidrar till revisioner, inklusive inspektioner, som utförs av den Personuppgiftsansvarige eller en annan revisor som den Personuppgiftsansvarige har bemyndigat.