Personuppgiftsbiträdesavtal

• Personuppgiftsansvarig: kunden, dvs. det företag eller den organisation som använder tjänsten.
• Personuppgiftsbiträde: Vertex Studios (Enskild firma, innehavare Eddie Korial), Opphemsgatan 4, 582 37 Linköping, Sverige.

Avtalet gäller endast den behandling där Vertex Studios behandlar personuppgifter på kundens instruktion. För Vertex Studios egna kund- och kontaktuppgifter är Vertex Studios själv personuppgiftsansvarig, se integritetspolicyn.

Behandling av personuppgifter som utförs som en del av leveransen av Vertex Social AI: mottagande, lagring och bearbetning av kundens media och innehåll, AI-analys, innehållsgenerering, planering, schemaläggning och publicering till kundens egna sociala konton.

Behandlingen pågår så länge kunden har ett aktivt konto i tjänsten och så länge det behövs för att fullgöra avtalet. Avtalet upphör när kundavtalet upphör och radering eller återlämnande enligt punkt 14 har genomförts.

Typisk behandling omfattar:

• mottagning av uppladdat material
• lagring
• organisering och strukturering
• AI-analys av bilder och innehåll
• innehållsgenerering (captions, hashtags, förslag)
• schemaläggning
• publicering
• överföring till anslutna sociala medier
• säkerhetskopiering
• felsökning och support
• radering

Ändamålet är att leverera tjänsten enligt kundens användning och instruktioner — inte att använda uppgifterna för egna ändamål.

• namn och kontaktuppgifter för kundens användare
• användarkonto, roll och inloggningsrelaterad information
• bilder och video där personer kan förekomma
• texter, captions och kommentarer som kunden lägger in
• metadata om material (filnamn, tidpunkt, teknisk information, AI-analysresultat)
• information om kundens anslutna sociala konton
• logg- och användningsinformation kopplad till kundens användare

Tjänsten är inte avsedd för särskilda kategorier av personuppgifter enligt artikel 9 GDPR. Kunden ska inte använda tjänsten som register för exempelvis journaldata, medicinska, politiska eller religiösa uppgifter.

• kundens användare i tjänsten
• kundens anställda
• kundens kunder och besökare
• kundens leverantörer och samarbetspartners
• följare och personer som interagerar med kundens sociala kanaler
• personer som förekommer i uppladdade bilder eller filmer

Kundens dokumenterade instruktion utgörs av detta avtal, användarvillkoren och kundens faktiska användning av tjänstens funktioner. Vertex Studios behandlar personuppgifter endast enligt denna instruktion och inte för egna ändamål. Om vi bedömer att en instruktion strider mot dataskyddslagstiftning informerar vi kunden.

Vertex Studios säkerställer att personer som behandlar personuppgifter är bundna av sekretess och endast får åtkomst i den utsträckning arbetsuppgifterna kräver.

Vi vidtar lämpliga tekniska och organisatoriska åtgärder, bland annat:

• kryptering av trafik (HTTPS/TLS)
• lösenord hanteras hashade av inloggningstjänsten; Vertex Studios kan inte se lösenord
• rollbaserad åtkomstkontroll (owner, admin, editor, viewer)
• isolering mellan organisationer i databasen (row level security) och serversidiga behörighetskontroller
• privat fillagring där åtkomst kräver tidsbegränsade, signerade länkar
• åtkomsttoken för sociala konton lagras serversidigt och exponeras inte via API eller gränssnitt
• revisionslogg för känsliga administrativa händelser
• säkerhetskopiering hos underbiträde

Vi anger inga säkerhetscertifieringar och inga garantier om lagringsregion som inte är verifierade.

Kunden godkänner att Vertex Studios anlitar underbiträden för hosting, databas, lagring, inloggning, e-post och AI. Aktuell förteckning med underbiträdenas juridiska företagsnamn, roll, ändamål, datakategorier och — där det är verifierat — behandlingsregion och överföringsmekanism finns på /subprocessors och utgör bilaga till detta avtal. Kunden kan begära förteckningen skriftligt. Vi ålägger underbiträden motsvarande skyldigheter som i detta avtal och informerar kunden i förväg vid byte eller tillägg av underbiträde, så att kunden kan invända.

Mottagare som inte är underbiträden — exempelvis Meta för de Instagram- och Facebook-konton kunden själv kopplar — redovisas separat i samma förteckning under "Övriga mottagare och tredjepartsplattformar".

Vertex Studios bistår kunden med att uppfylla begäran om tillgång, rättelse, radering, begränsning, invändning och dataportabilitet, i den mån uppgifterna behandlas i tjänsten. Om en begäran kommer direkt till oss avseende kundens material vidarebefordras den till kunden. Kunden kan själv radera material, inlägg och kopplingar i tjänsten.

Vertex Studios informerar kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör kundens personuppgifter, och lämnar den information kunden behöver för sin egen anmälan till tillsynsmyndighet.

Vi bistår kunden vid konsekvensbedömning (DPIA) och förhandssamråd när det är relevant för behandlingen i tjänsten. Kunden har rätt att på begäran få information som visar att detta avtal följs, och att genomföra revision eller granskning. Revision ska aviseras i skälig tid, ske under normal arbetstid och inte störa driften onödigt.

Databas, fillagring och inloggning ligger i EU/EES (region Irland), verifierat i tjänstens egen konfiguration. Överföring till tredjeland sker endast om det finns en giltig grund enligt kapitel V GDPR. Vi anger inte överföringsmekanism för en leverantör förrän den är verifierad och dokumenterad; status per leverantör redovisas på sidan underbiträden.

När avtalet upphör raderar vi personuppgifterna, eller återlämnar dem om kunden begär det, utom där lagring krävs enligt lag. Kunden bör exportera relevant material innan kontot stängs. Se radering av data.

Avtalet godkänns i tjänsten av kontots ägare i egenskap av behörig representant för företaget. Godkännandet sparas med konto, användare, tidpunkt och avtalsversion. Användare med rollen editor eller viewer kan inte godkänna avtalet för organisationens räkning.

Behöver ni ett undertecknat exemplar eller har frågor, kontakta vertexstudioss@hotmail.com.