Personuppgiftsbiträdesavtal (DPA)

Personuppgiftsansvarig ('Kunden'): Det bolag som har accepterat Allmänna Villkor med eAktiebok och därigenom accepterat detta DPA. Kunden är ett aktiebolag eller annan juridisk person som framgår av avtalet/beställningsformuläret.

Personuppgiftsbiträde ('eAktiebok'): Alternativa Nordics AB, org.nr 559528-9058, Magnus Ladulåsgatan 3, 118 63 Stockholm, Sverige.

Parterna har ingått detta DPA som utgör en integrerad del av Allmänna Villkor för tjänsten eAktiebok.se. Vid motstridighet mellan innehållet i detta DPA och Allmänna Villkor gäller vad som anges i detta DPA i frågor som rör behandling av personuppgifter.

Definitioner som framgår av Allmänna Villkor gäller även för detta DPA, om inte annat anges.

eAktiebok tillhandahåller en digital plattform för att upprätta, föra och hantera aktiebok enligt de krav som framgår av aktiebolagslagen. I samband med detta behandlar eAktiebok personuppgifter avseende Kundens aktieägare och i förekommande fall styrelseledamöter och andra personer med registrerade roller hos Kunden.

Kunden är personuppgiftsansvarig för dessa personuppgifter. eAktiebok är i förhållande till Kunden att betrakta som personuppgiftsbiträde och behandlar personuppgifterna uteslutande på Kundens uppdrag och i enlighet med Kundens instruktioner samt i enlighet med villkoren i detta DPA.

Notering: Behandlingsinstruktionen nedan kan på Kundens begäran lyftas till en separat bilaga. Kontakta info@eaktiebok.se om detta önskas.

eAktiebok behandlar personuppgifter uteslutande för att tillhandahålla Tjänsten, det vill säga:

• Lagring och visning av aktieägarinformation i digital aktiebok

• Registrering av aktieöverlåtelser, nyemissioner och övriga bolagshändelser

• Generering av aktiebrevsunderlag och exportfiler (CSV/PDF)

• Åtkomstkontroll och autentisering av Kundens användare

Personuppgifterna får inte behandlas för något annat ändamål utan Kundens skriftliga godkännande, med undantag för vad som krävs enligt tillämplig lagstiftning.

• Aktieägare i Kundens bolag (fysiska och juridiska personer — för juridiska personer behandlas eventuella kontaktpersoners uppgifter)

• Styrelseledamöter och firmatecknare i Kundens bolag, i den mån dessa registreras i Tjänsten

• Kundens egna adminanvändare (kontaktpersoner)

• Namn (för- och efternamn)

• Personnummer / samordningsnummer (för svenska aktieägare)

• Adress (folkbokföringsadress eller postadress)

• E-postadress (för aktieägare och adminanvändare)

• Antal aktier, aktieslag och ägarandel

• Datum för förvärv och eventuell överlåtelse

• IP-adress och inloggningslogg (tekniska uppgifter för säkerhet och support)

Notering: Personnummer behandlas med stöd av 3 kap. 10 § dataskyddslagen (2018:218) för ändamål som rör aktiebok i enlighet med ABL.

Personuppgifter lagras så länge Kundens konto är aktivt. Vid kontots upphörande (frivilligt eller p.g.a. utebliven betalning) bevaras uppgifterna i 30 dagar för exportändamål, varefter de raderas permanent. Uppgifter som eAktiebok är skyldig att bevara enligt lag (t.ex. bokföringsunderlag) hanteras i enlighet med tillämplig lagstiftning.

Kunden åtar sig att:

• Behandla personuppgifter i enlighet med GDPR och tillämplig dataskyddslagstiftning

• Säkerställa att det finns rättslig grund för den behandling som Kunden instruerar eAktiebok att utföra

• Lämna nödvändig information till registrerade i enlighet med GDPR art. 13–14

• Meddela eAktiebok om eventuella ändringar i behandlingsinstruktionerna

• Tillse att eAktiebok erhåller de instruktioner och den information som krävs för att fullgöra sina skyldigheter enligt detta DPA

eAktiebok behandlar personuppgifter uteslutande i enlighet med vad som framgår av vid var tid gällande dataskyddslagstiftning och i enlighet med dokumenterade instruktioner från Kunden, såsom dessa framgår av Allmänna Villkor och detta DPA. Om eAktiebok anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning ska eAktiebok utan dröjsmål informera Kunden om detta.

Om det är påkallat av ändrade processer hos underbiträden som eAktiebok anlitat för tillhandahållandet av Tjänsten, har Personuppgiftsbiträdet rätt att begära att Personuppgiftsansvarig ändrar instruktionen. Vid sådan begäran ska Personuppgiftsansvarig ändra instruktionen inom skälig tid.

eAktiebok säkerställer att personal som behandlar personuppgifterna är bunden av konfidentialitetsåtaganden eller under lagstadgad tystnadsplikt, och att sådan personal är medveten om behandlingens konfidentiella karaktär. Åtkomst till personuppgifter begränsas till personal som behöver åtkomst för att utföra sina arbetsuppgifter.

eAktiebok vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i enlighet med GDPR art. 32. Åtgärderna inkluderar, men är inte begränsade till:

• Kryptering av personuppgifter i transit (TLS 1.2+) och i vila

• Rollbaserad åtkomstkontroll (RBAC) och lösenordshantering

• Regelbunden säkerhetsöversyn och loggning av åtkomst

• Rutiner för säkerhetskopiering och återställning

• Säker hantering av tjänstekonto-autentisering

eAktiebok har rätt att anlita underbiträden för att tillhandahålla Tjänsten. Kunden samtycker generellt till anlitandet av underbiträden i enlighet med detta DPA. En aktuell lista över anlitade underbiträden tillhandahålls på begäran via kontakt till privacy@eaktiebok.se och uppdateras vid förändringar.

eAktiebok ska informera Kunden om planerade förändringar avseende anlitande eller byte av underbiträden minst 30 dagar i förväg via e-post till registrerad adress. Kunden har rätt att skriftligen invända mot sådana förändringar inom denna tid. Om Kunden invänder ska parterna söka en lösning i samförstånd.

eAktiebok ska på begäran redovisa anlitade underbiträden och, i den mån det är känt, underbiträdenas egna underbiträden. eAktiebok ska ingå avtal med underbiträden som ålägger dem minst motsvarande dataskyddsskyldigheter som de som gäller för eAktiebok enligt detta DPA. eAktiebok svarar gentemot Kunden för underbiträdenas fullgörande av sina skyldigheter.

eAktiebok ska, med beaktande av behandlingens art och den information som finns tillgänglig, bistå Kunden med lämpliga tekniska och organisatoriska åtgärder i den mån detta är möjligt, för att uppfylla Kundens skyldighet att besvara begäranden om utövande av den registrerades rättigheter (art. 15–22 GDPR).

eAktiebok ska bistå Kunden i uppfyllandet av skyldigheterna i art. 32–36 GDPR (säkerhet, incidentanmälan, konsekvensbedömning), med beaktande av den information som är tillgänglig för eAktiebok.

eAktiebok har inte rätt att företräda Kunden i förhållande till Integritetsskyddsmyndigheten (IMY) eller gentemot registrerade, om inte Kunden uttryckligen begär detta i det enskilda fallet.

eAktiebok ska utan onödigt dröjsmål underrätta Kunden om en personuppgiftsincident. Underrättelsen ska innehålla:

• Beskrivning av incidentens art, inklusive, om möjligt, kategorier och ungefärligt antal registrerade och personuppgiftsposter som berörs

• Kontaktuppgifter för dataskyddsansvarig eller annan kontaktpunkt

• Sannolika konsekvenser av personuppgiftsincidenten

• De åtgärder som vidtagits eller föreslagits för att åtgärda incidenten

eAktiebok bistår Kunden i att uppfylla skyldigheterna enligt art. 33 (anmälan till IMY) och art. 34 (underrättelse till registrerade) GDPR.

eAktiebok ska på skriftlig begäran tillhandahålla den information som är nödvändig för att visa att skyldigheterna enligt detta DPA fullgörs. Om eAktiebok vid tidpunkten för revisionsbegäran innehar en SOC 2-rapport, ISO 27001-certifiering eller liknande tredjepartscertifiering som täcker det begärda revisionsområdet, ska detta anses utgöra tillräcklig dokumentation, förutsatt att det inte finns skälig misstanke om lagöverträdelse.

Kunden har rätt att genomföra revision en (1) gång per kalenderår, med minst 30 dagars skriftligt förhandsmeddelande och med redovisad agenda för den planerade revisionen. Revisionen genomförs under normal kontorstid och på ett sätt som minimerar störningar i verksamheten. Kunden bär kostnaderna för revisionen om inget annat avtalats.

Vid avslut av detta DPA eller det underliggande avtalet ska eAktiebok, efter Kundens val, antingen återlämna eller radera alla personuppgifter, om inte lagstiftning kräver att personuppgifterna bevaras. Kunden kan exportera sin data via Tjänstens inbyggda exportfunktion (CSV/PDF) under de 30 dagar som följer på kontots upphörande.

eAktiebok behandlar personuppgifter inom EU/EES. I de fall underbiträden anlitas som behandlar uppgifter utanför EU/EES sker detta med stöd av adekvansbieslut eller EU-kommissionens standardavtalsklausuler (SCCs).

Vardera part ansvarar för sina egna överträdelser av GDPR och detta DPA i enlighet med de principer som framgår av GDPR. Ansvarsbegränsningen i §12 i Allmänna Villkor gäller för avtalsbaserade skadeståndsanspråk mellan parterna. Den begränsar inte administrativa sanktioner från tillsynsmyndigheter eller krav från enskilda registrerade i enlighet med GDPR.

Detta DPA regleras av svensk rätt. Tvister som inte kan lösas i samförstånd avgörs av Stockholms tingsrätt som första instans, i enlighet med §17 i Allmänna Villkor.

Detta DPA gäller under den tid eAktiebok behandlar personuppgifter på Kundens uppdrag, det vill säga under hela den tid Kundens konto är aktivt och under den efterföljande 30-dagarsperioden för export och radering.

DPA upphör automatiskt att gälla när all behandling av personuppgifter på Kundens uppdrag upphört och alla uppgifter raderats eller återlämnats i enlighet med avsnitt 5.8.

Dataskyddskontakt hos eAktiebok: Alternativa Nordics AB

E-post: privacy@eaktiebok.se