Personuppgiftsbiträdesavtal – Navigator

Detta Personuppgiftsbiträdesavtal ingås mellan:

1. Kunden, såsom definierad i Avtalet (”Personuppgiftsansvarige”), och
2. Brilliant, såsom definierad i Avtalet (”Personuppgiftsbiträdet”), Drottninggatan 26, 111 51 Stockholm, Sverige.

Detta Personuppgiftsbiträdesavtal utgör en integrerad del av Avtal om Brilliants tjänster mellan den Personuppgiftsansvarige och Brilliant (”Avtalet”), inklusive de allmänna villkor för Brilliants tjänster som utgör en del av Avtalet (”Villkoren”).

Den Personuppgiftsansvarige och Personuppgiftsbiträdet benämns nedan var för sig ”Part” och gemensamt ”Parterna”.

1. Bakgrund

1.1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 (”Dataskyddsförordningen”) kräver att ett skriftligt avtal ingås mellan den Personuppgiftsansvarige och Personuppgiftsbiträdet när Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning. Parterna har därför ingått detta Personuppgiftsbiträdesavtal för att efterkomma de rättigheter och skyldigheter som respektive Part har enligt Tillämplig dataskyddslagstiftning.

1.2 Vid bristande överensstämmelse mellan detta Personuppgiftsbiträdesavtal och andra avtal som ingåtts mellan Parterna ska, i situationer rörande Behandlingen, bestämmelserna i detta Personuppgiftsbiträdesavtal äga företräde.

2. Definitioner

2.1 I detta Personuppgiftsbiträdesavtal avses med:

”Personuppgifter” – All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet.

”Personuppgiftsansvarig” – Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av Personuppgifter.

”Behandling” – Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, inbegripet men inte begränsat till insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring.

”Underbiträde” – Tredje part som anlitas av Personuppgiftsbiträdet för Behandling för den Personuppgiftsansvariges räkning.

”SCC” – Standardavtalsklausuler för överföring av Personuppgifter till tredje land, enligt EU-kommissionens beslut av den 4 juni 2021, eller andra standardavtalsvillkor som ändrar eller ersätter SCC.

”Personuppgiftsbiträde” – Fysisk eller juridisk person som behandlar Personuppgifter för den Personuppgiftsansvariges räkning.

”Registrerad” – Fysisk person vars Personuppgifter behandlas.

”Tillämplig dataskyddslagstiftning” – Dataskyddsförordningen, dataskyddslagen, annan tillämplig lagstiftning, rättspraxis och/eller beslut från Integritetsskyddsmyndigheten.

I övrigt ska, om inte annat framgår av detta Personuppgiftsbiträdesavtal, begrepp som används i detta Personuppgiftsbiträdesavtal tolkas i enlighet med Tillämplig dataskyddslagstiftning.

3. Behandling

3.1 Personuppgiftsbiträdet ansvarar för att all Behandling sker i enlighet med villkoren i detta Personuppgiftsbiträdesavtal samt Tillämplig dataskyddslagstiftning.

3.2 Utöver att Behandling ska ske enligt villkoren i punkt 3.1 ovan får Personuppgiftsbiträdet endast utföra Behandling enligt den Personuppgiftsansvariges vid var tid lämnade och dokumenterade instruktioner, såvida inte Personuppgiftsbiträdet är skyldigt att enligt gällande rätt behandla Personuppgifterna, Bilaga 1. I sistnämnda fall ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige om sådan skyldighet innan Behandling påbörjas, i den mån det är tillåtet för Personuppgiftsbiträdet att lämna sådan information till den Personuppgiftsansvarige enligt aktuell reglering.

3.3 För det fall Personuppgiftsbiträdet saknar instruktioner som Personuppgiftsbiträdet anser nödvändiga för Behandling, eller om Personuppgiftsbiträdet anser att en instruktion från den Personuppgiftsansvarige strider mot detta Personuppgiftsbiträdesavtal och Tillämplig dataskyddslagstiftning, ska Personuppgiftsbiträdet utan dröjsmål underrätta den Personuppgiftsansvarige och därefter invänta instruktion från den Personuppgiftsansvarige.

4. Skyldighet att bistå den Personuppgiftsansvarige

4.1 Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran ta fram information om Personuppgifterna, rätta, blockera, radera, begränsa samt överföra dessa till den Personuppgiftsansvarige.

4.2 Personuppgiftsbiträdet ska agera i enlighet med nyss nämnda begäran utan onödigt dröjsmål. För det fall den Personuppgiftsansvarige raderar, eller instruerar Personuppgiftsbiträdet att radera, Personuppgifter som innehas av Personuppgiftsbiträdet ska Personuppgiftsbiträdet säkerställa att Personuppgifter som raderats inte kan återskapas av den andra Parten eller av någon annan part.

4.3 För det fall en Registrerad begär information från den Personuppgiftsansvarige ska Personuppgiftsbiträdet utan onödigt dröjsmål hänskjuta begäran till den Personuppgiftsansvarige samt bistå den Personuppgiftsansvarige med att besvara sådan begäran i enlighet med Tillämplig dataskyddslagstiftning.

4.4 Personuppgiftsbiträdet ska, med beaktande av typen av Behandling och den information som Personuppgiftsbiträdet har tillgång till, bistå den Personuppgiftsansvarige med att genomföra konsekvensbedömningar samt bistå med att genomföra förhandssamråd med Integritetsskyddsmyndigheten för det fall en konsekvensbedömning visar en hög risk.

5. Skyldighet att anmäla personuppgiftsincidenter

5.1 Personuppgiftsbiträdet ska efter att ha fått vetskap om en personuppgiftsincident utan onödigt dröjsmål underrätta den Personuppgiftsansvarige. Personuppgiftsbiträdet ska bistå den Personuppgiftsansvarige med att informera den Registrerade om personuppgiftsincidenten om en sådan personuppgiftsincident sannolikt leder till en hög risk för den Registrerades rättigheter och friheter. En sådan underrättelse ska åtminstone innehålla:

• personuppgiftsincidentens art;
• kategorier av Registrerade;
• det ungefärliga antalet Registrerade som berörs;
• de kategorier av, och det ungefärliga antalet, personuppgiftsposter som berörs;
• namnet på och kontaktuppgifterna till Personuppgiftsbiträdets dataskyddsombud, om ett sådant har utsetts, eller annan kontaktperson från vilken mer information kan erhållas; och
• de sannolika konsekvenserna av personuppgiftsincidenten och de åtgärder som har vidtagits eller bör vidtas av Personuppgiftsbiträdet för att åtgärda personuppgiftsincidenten eller mildra dess potentiella negativa effekter.

5.2 I den utsträckning det inte är möjligt för Personuppgiftsbiträdet att tillhandahålla informationen som anges i punkt 5.1 ovan samtidigt, får informationen tillhandahållas av Personuppgiftsbiträdet i omgångar utan onödigt ytterligare dröjsmål.

6. Skyldighet att upprätta register över behandling

6.1 Personuppgiftsbiträdet ska upprätta ett register över all Behandling som sker på uppdrag av den Personuppgiftsansvarige samt på den Personuppgiftsansvariges eller Integritetsskyddsmyndighetens uttryckliga begäran överlämna ett skriftligt register som minst ska innehålla:

1. namn och kontaktuppgifter till Personuppgiftsbiträdet och i förekommande fall namn och kontaktuppgifter till Underbiträden som Personuppgiftsbiträdet anlitar samt deras dataskyddsombud;
2. den Behandling av Personuppgifterna som utförs av Personuppgiftsbiträdet på den Personuppgiftsansvariges uppdrag;
3. i förekommande fall, överföring av Personuppgifterna till tredje land, det tredje land där uppgifterna behandlas samt vilka skyddsåtgärder som vidtagits i anledning av överföringen; samt
4. en allmän beskrivning av vilka tekniska och organisatoriska åtgärder som vidtagits för att upprätthålla en lämplig skyddsnivå.

7. Information om ändrad behandling

7.1 Personuppgiftsbiträdet ska skriftligen och senast trettio (30) dagar innan en planerad ändring av Behandlingen, inbegripet men inte begränsat till tekniska och organisatoriska ändringar som kan påverka Personuppgiftsbiträdets efterlevnad av Tillämplig dataskyddslagstiftning, informera den Personuppgiftsansvarige. Innan sådan ändring genomförs ska den Personuppgiftsansvarige lämna sitt skriftliga medgivande därtill.

8. Kontakt med Integritetsskyddsmyndigheten

8.1 Personuppgiftsbiträdet ska bistå den Personuppgiftsansvarige i kontakten med Integritetsskyddsmyndigheten, inbegripet men inte begränsat till att på den Personuppgiftsansvariges begäran tillhandahålla information som begärts från Integritetsskyddsmyndigheten. För undvikande av missförstånd får Personuppgiftsbiträdet inte röja Personuppgifter eller information om Behandlingen utan uttrycklig och föregående instruktion från den Personuppgiftsansvarige.

8.2 Personuppgiftsbiträdet ska utan oskäligt dröjsmål underrätta den Personuppgiftsansvarige om denne kontaktas av Integritetsskyddsmyndigheten angående Behandlingen. Personuppgiftsbiträdet får inte representera den Personuppgiftsansvarige eller agera för den Personuppgiftsansvariges räkning i förhållande till Integritetsskyddsmyndigheten eller annan tredje part.

9. Sekretess

9.1 Parternas sekretessåtaganden regleras av avsnitt 8 (Sekretess) i Villkoren, vilka äger tillämpning även på Behandling av Personuppgifter enligt detta Personuppgiftsbiträdesavtal.

10. Säkerhet

10.1 Personuppgiftsbiträdet förbinder sig att vidta tekniska och organisatoriska åtgärder för att skydda de Personuppgifter som behandlas enligt detta Personuppgiftsbiträdesavtal i enlighet med Tillämplig dataskyddslagstiftning. Personuppgiftsbiträdet ska särskilt tillse att de tekniska och organisatoriska åtgärderna följer tillämpliga standardavtal, branschnormer samt riktlinjer utfärdade och godkända av Integritetsskyddsmyndigheten.

10.2 Tekniska och organisatoriska åtgärder inbegriper men är inte begränsade till pseudonymisering och kryptering av Personuppgifterna, förmåga att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft i de system som används vid Behandlingen, förmåga att återställa tillgängligheten och tillgången till Personuppgifter i rimlig tid vid en fysisk eller teknisk incident, samt ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa Behandlingens säkerhet. En närmare beskrivning av Personuppgiftsbiträdets tekniska och organisatoriska säkerhetsåtgärder finns i Bilaga 2.

10.3 Personuppgiftsbiträdet ska kunna säkerställa att Behandlingen sker enligt detta Personuppgiftsbiträdesavtal och Tillämplig dataskyddslagstiftning samt ska upprätthålla tillräcklig dokumentation som bekräftar att Personuppgiftsbiträdet uppfyller sina åtaganden enligt detta Personuppgiftsbiträdesavtal.

11. Anlitande av Underbiträden

11.1 Personuppgiftsbiträdet har ett allmänt skriftligt förhandstillstånd från den Personuppgiftsansvarige att anlita och ersätta Underbiträden för Behandling enligt detta Personuppgiftsbiträdesavtal. Personuppgiftsbiträdet ska informera den Personuppgiftsansvarige om eventuella planer på att anlita eller ersätta Underbiträden, så att den Personuppgiftsansvarige har möjlighet att invända mot sådana förändringar. Personuppgiftsbiträdet ska tillse att samtliga Underbiträden är bundna av skriftliga avtal som ålägger Underbiträdena samma skyldigheter avseende Behandlingen som de skyldigheter som gäller enligt detta Personuppgiftsbiträdesavtal. För det fall ett Underbiträde inte fullgör sina skyldigheter enligt detta Personuppgiftsbiträdesavtal och Tillämplig dataskyddslagstiftning, är Personuppgiftsbiträdet fullt ansvarigt gentemot den Personuppgiftsansvarige för utförandet av Underbiträdets skyldigheter.

11.2 Bilaga 3 innehåller en lista över Underbiträden per dagen för detta Personuppgiftsbiträdesavtals ikraftträdande.

11.3 Om den Personuppgiftsansvarige invänder mot en förändring avseende Underbiträden ska Parterna i god anda diskutera konsekvenserna av förändringen för att nå en lösning som är tillfredsställande för båda Parterna. Kan ingen lösning nås som är tillfredsställande för båda Parterna äger respektive Part rätt att säga upp Personuppgiftsbiträdesavtalet med trettio (30) dagars uppsägningstid.

12. Överföring till tredje land

12.1 Den Personuppgiftsansvarige instruerar Personuppgiftsbiträdet att inte överföra Personuppgifter till tredje land eller internationell organisation i situationer där: (i) mottagarlandet eller organisationen inte av Europeiska kommissionen erkänts ha en adekvat skyddsnivå för Personuppgifter; eller (ii) mottagarlandet eller organisationen inte omfattas av en lämplig skyddsåtgärd (inklusive men inte begränsat till SCC och bindande företagsbestämmelser) som erkänts av relevanta myndigheter eller domstolar som ett tillräckligt skydd för Personuppgifter.

12.2 Om den Personuppgiftsansvarige vill ändra sina instruktioner avseende överföringar till tredje land eller internationell organisation ska Parterna i god anda diskutera konsekvenserna av de ändrade instruktionerna. Kan ingen lösning nås som är tillfredsställande för båda Parterna äger respektive Part rätt att säga upp Personuppgiftsbiträdesavtalet med trettio (30) dagars uppsägningstid.

13. Rapport om vidtagna åtgärder

13.1 Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran en (1) gång per år tillställa den Personuppgiftsansvarige en skriftlig rapport som specificerar vilka åtgärder Personuppgiftsbiträdet har vidtagit för att uppfylla åtagandena enligt detta Personuppgiftsbiträdesavtal.

14. Kontroll av Personuppgiftsbiträdets behandling

14.1 Personuppgiftsbiträdet medger att på begäran från den Personuppgiftsansvarige, med hjälp av en oberoende tredje part, kontrollera att Personuppgiftsbiträdets Behandling sker i enlighet med Tillämplig dataskyddslagstiftning samt detta Personuppgiftsbiträdesavtal, inbegripet men inte begränsat till att ge den oberoende tredje parten tillträde till Personuppgiftsbiträdets lokaler och datorutrustning i den omfattning som krävs för detta ändamål. Kontrollen enligt denna bestämmelse ska genomföras senast fjorton (14) dagar efter att begäran från den Personuppgiftsansvarige mottagits. Kontrollen ska genomföras under ordinarie arbetstid.

15. Ansvar

15.1 För det fall Part vill kräva ersättning av den andra Parten för skada som den andra Parten eller annan än Part lider till följd av Parts, eller av denne anlitad underleverantörs, Behandling i strid med detta Personuppgiftsbiträdesavtal och/eller Tillämplig dataskyddslagstiftning, ska ansvaret för sådan skada vara begränsat i enlighet med avsnitt 10 (Ansvarsbegränsning) i Villkoren.

15.2 Begränsningen av Parternas ersättningsansvar enligt punkt 15.1 ovan gäller inte administrativ sanktionsavgift beslutad av Integritetsskyddsmyndigheten eller domstol enligt artikel 83 i Dataskyddsförordningen. Parterna är överens om att Part inte kan få ersättning från den andra Parten för administrativ sanktionsavgift som Part blir skyldig att erlägga enligt beslut av Integritetsskyddsmyndigheten och/eller domstol. Det erinras om att Personuppgiftsbiträdet och den Personuppgiftsansvarige således kan bli ansvariga för administrativa sanktionsavgifter enligt artikel 83 i Dataskyddsförordningen.

15.3 Personuppgiftsbiträdet ska under den tid som detta Personuppgiftsbiträdesavtal gäller ha en ansvarsförsäkring som omfattar Behandlingen och som gäller till betryggande belopp. Ansvarsförsäkringen ska omfatta skadeståndsskyldighet för ren förmögenhetsskada. Med ren förmögenhetsskada förstås ekonomisk skada som uppkommer utan samband med att någon lider person- eller sakskada. På den Personuppgiftsansvariges begäran ska Personuppgiftsbiträdet överlämna försäkringsbrev eller annat bevis om att sådan ansvarsförsäkring finns.

16. Ersättning och betalningsvillkor

16.1 Parterna är överens om att Personuppgiftsbiträdet inte har rätt till någon särskild ersättning från den Personuppgiftsansvarige för utförandet av uppdraget enligt detta Personuppgiftsbiträdesavtal.

16.2 Eventuella önskemål om Personuppgiftsbiträdets assistans, eller förfrågningar om specifika dataformat, vid export av den Personuppgiftsansvariges personuppgifter till en annan databas kommer att vara föremål för Personuppgiftsbiträdets standardtimavgift på SEK 950.

17. Avtalstid och uppsägning

17.1 Detta Personuppgiftsbiträdesavtal gäller under samma avtalstid som Avtalet, enligt avsnitt 5 (Avtalstid och uppsägning) i Villkoren, och så länge Behandling av Personuppgifter sker enligt detta Personuppgiftsbiträdesavtal.

17.2 Rätten att säga upp Avtalet i förtid regleras av avsnitt 5 (Avtalstid och uppsägning) i Villkoren.

17.3 När detta Personuppgiftsbiträdesavtal har upphört ska Personuppgiftsbiträdet snarast återlämna eller, för det fall den Personuppgiftsansvarige så begär, radera samtliga Personuppgifter, inklusive samtliga kopior därav, samt därefter skriftligen intyga för den Personuppgiftsansvarige att återlämnande eller radering har skett.

18. Övrigt

18.1 Överlåtelse av Personuppgiftsbiträdets rättigheter och skyldigheter enligt detta Personuppgiftsbiträdesavtal till tredje part får endast ske efter den Personuppgiftsansvariges uttryckliga, föregående och skriftliga samtycke.

18.2 Ändringar av och tillägg till detta Personuppgiftsbiträdesavtal ska, för att vara bindande för Parterna, vara skriftligen avfattade och undertecknade av båda Parterna.

19. Kontaktinformation

19.1 Meddelanden mellan Parterna enligt detta Personuppgiftsbiträdesavtal ska ske i enlighet med punkt 11.1 (Meddelanden) i Villkoren.

19.2 Kontaktinformation till Brilliant Future AB:

Brilliant Future AB
Drottninggatan 26, 4 tr
111 51 Stockholm
+46 (0)8 692 91 00
dpo@brilliantfuture.se

19.3 Kontaktinformation till Kund

20. Lagval

20.1 För tillämpning och tolkning av detta Personuppgiftsbiträdesavtal ska punkt 11.4 (Tillämplig lag och tvistlösning) i Villkoren äga tillämpning.

Bilaga 1 – Instruktion för Behandling vid kundundersökningar

Denna bilaga utgör den Personuppgiftsansvariges instruktion till Personuppgiftsbiträdet om Behandlingen enligt punkt 3.2 i detta Personuppgiftsbiträdesavtal avseende kundundersökningar. För det fall Behandlingen ska ändras måste Personuppgiftsbiträdet enligt punkt 7 inhämta skriftligt medgivande från den Personuppgiftsansvarige till sådan ändring.

Ändamål

Uppgifterna används för att kunna använda verktyget Navigator samt för att genomföra undersökningar, analyser och rapportering kopplade till olika kundundersökningar och coachning av medarbetare.

Konversationsanalys

Uppgifter behandlas för att möjliggöra automatiserad analys av kundkonversationer (t.ex. samtalstranskript och textbaserade interaktioner).

Kategorier av uppgifter

Användare

Namn, användarnamn, e-postadress, användar-ID och textkommentarer.

Respondenter

E-postadress, telefonnummer, ljud- och textkommentarer samt bakgrundsinformation som definieras av den Personuppgiftsansvarige, såsom kund-ID.

Kategorier av registrerade

Den Personuppgiftsansvariges kunder och medarbetare.

Behandlingsaktiviteter

Utskick av undersökningar till kunder och/eller medarbetare via telefon, sms eller e-post. Medarbetaruppgifter används för rapportering i webbportalen för samtliga agenter och chefer.

Konversationsanalys

Behandling av ljud- och textkonversationer för att generera transkript, sammanfattningar, ämnen, teman och kategorier.

Plats för behandling

All behandling sker inom Europeiska unionen (EU). Viss tillfällig och begränsad behandling kan ske i USA hos mottagare som omfattas av EU-US Data Privacy Framework. Se vidare Bilaga 3.

Behandlingens varaktighet

Följande regler gäller för lagring av uppgifter (respondenter, respondentsvar, historik och organisationsdata):

1. Respondentdata (telefonnummer, e-postadress) och tillhörande attribut som klassificeras som personuppgifter rensas efter 548 dagar.*
2. Användardata (namn, användar-ID, e-postadress) rensas efter 730 dagar om ingen inloggningsaktivitet har registrerats.
3. Kommentarer från medarbetarundersökningar raderas efter 730 dagar.
4. Coachkommentarer rensas efter fem (5) år.

*Personuppgifter tas bort och svaren anonymiseras för benchmarkändamål.

Kundspecifika inställningar för lagringstider kan konfigureras i plattformen.

Konversationsanalys

Analysresultat (ämnen, sentiment, aggregerade insikter) följer samma lagringstider som det underliggande undersöknings- eller coachningsprogrammet, om inte annat har avtalats. Rå transkriberad text och ljud som används för konversationsanalys förstörs omedelbart efter behandlingen, om inte annat har avtalats.

Informationssäkerhet

Personuppgiftsbiträdet är certifierat enligt ISO/IEC 27001:2022 och bedriver sin verksamhet i enlighet med standardens krav, bland annat de tillhörande kraven på kryptering, säkerställande av konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen, förmåga att i rimlig tid återställa tillgängligheten och tillgången till personuppgifter vid en personuppgiftsincident, regelbunden testning, radering av uppgifter samt undersökning och utvärdering av säkerhetsåtgärdernas effektivitet. I enlighet med ISO/IEC 27001 genomför Personuppgiftsbiträdet regelbundet nya riskanalyser med motsvarande åtgärder vid behov.

Bilaga 2 – Tekniska och organisatoriska säkerhetsåtgärder

Denna bilaga kompletterar punkt 10 i Personuppgiftsbiträdesavtalet mellan den Personuppgiftsansvarige och Brilliant Future AB (Personuppgiftsbiträdet). Den innehåller en samlad beskrivning av de tekniska och organisatoriska säkerhetsåtgärder som används för att säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft i de behandlingsaktiviteter som utförs inom Brilliant Futures portfölj av produkter och plattformar.

De kontroller som beskrivs i denna bilaga ingår i Brilliant Futures ledningssystem för informationssäkerhet (ISMS), som är certifierat enligt ISO/IEC 27001:2022.

1. Styrning och organisatoriska säkerhetsåtgärder

1.1 Ledningssystem för informationssäkerhet (ISMS)

Brilliant Future är certifierat enligt ISO/IEC 27001:2022 och upprätthåller ett formellt ledningssystem för informationssäkerhet (ISMS) i enlighet med standardens krav. ISMS omfattar:

• Riskhantering
• Incidenthantering
• Säkerhets- och integritetspolicy, inklusive intern utbildning i säkerhetsmedvetenhet
• Hantering av slutpunkter och tillgångar, inklusive policy för åtkomstkontroll och identitetshantering
• Hantering av leverantörer och underbiträden
• Process för programvarans utvecklingslivscykel
• Kontinuitetsplanering

1.2 Roller och ansvar

• Verkställande direktör (vd): har det yttersta ansvaret för att säkerställa att våra säkerhetspolicyer och deras mål efterlevs.
• Teknikchef (CTO): har det övergripande ansvaret för att implementera tekniska kontroller i syfte att uppnå policy- och säkerhetsmålen.
• Dataskyddsombud (DPO): säkerställer efterlevnad av GDPR och genomförande av konsekvensbedömningar (DPIA) samt övervakar styrningen av dataskyddet.
• Ledningsgruppen: ansvarar för att säkerställa att all personal inom teamen följer processer och rutiner.

Samtliga medarbetare genomgår bakgrundskontroll före anställning och får regelbunden obligatorisk utbildning i policyer, säkerhet och dataskydd.

2. Produktstyrning och produktutveckling

Brilliant Future upprätthåller ett strukturerat ramverk för produktstyrning (t.ex. SDLC) i enlighet med ISO/IEC 27001 för att säkerställa att all plattformsfunktionalitet utformas, implementeras och underhålls i enlighet med krav på säkerhet, dataskydd och regelefterlevnad.

2.1 Struktur för produktstyrning

• Strategisk tillsyn: produktstyrningen är förankrad i ledningsgruppen och stöds av tvärfunktionella forum för produktstrategi som säkerställer samordning mellan affärsmål, säkerhetskrav och regulatoriska skyldigheter.
• Tydligt ansvar: samtliga produkter har utsedda produktchefer, UX-ansvariga, tekniska ledare och arkitekter som ansvarar för prioritering av färdplanen, teknisk integritet och regelefterlevnad.
• Ändringshantering: all funktionsutveckling, alla konfigurationsändringar och arkitekturuppdateringar följer en formell process för ändrings- och releasehantering, inklusive konsekvensbedömningar avseende konfidentialitet, integritet, tillgänglighet och dataskydd.

2.2 Programvarans utvecklingslivscykel (SDLC)

Brilliant Future följer en dokumenterad SDLC-process som omfattar:

• Principerna om inbyggd säkerhet och inbyggt dataskydd (security by design och privacy by design).
• Affärsunderlag och riskbedömning för nya funktioner.
• Processer för kodgranskning och kollegial granskning av alla ändringar.
• Automatiserad och manuell testning, inklusive enhets-, regressions-, prestanda- och acceptanstestning.
• Kontinuerlig integration och kontinuerlig driftsättning med godkännandesteg.
• Tydlig åtskillnad mellan utvecklings-, test- och produktionsmiljöer.
• Säkerhets- och kodskanning inbyggd i utvecklings- och releaseflödet.

3. Tekniska säkerhetsåtgärder

3.1 Infrastruktursäkerhet

• Samtliga produktionssystem driftas i datacenter inom EU (egen drift och Azure Cloud) med hög fysisk säkerhetsnivå (efterlevnad av ISO 27001 och SOC 2).
• Redundant nätverks- och elinfrastruktur säkerställer hög tillgänglighet.
• Brandväggar, segmentering och virtuella nätverk begränsar nätverkstrafiken.
• Övervakning med Microsoft Defender, Microsoft Defender for Cloud, Microsoft Front Door och OpenVAS.

3.2 Kryptering

• Data under överföring: krypteras med TLS 1.2 eller högre.
• Lagrad data: krypteras med kryptering av databaser och lagring enligt branschstandard (TDE eller motsvarande). Krypteringsnycklar lagras separat i säkra nyckelvalvstjänster.

3.3 Åtkomstkontroll

• Rollbaserad åtkomstkontroll (RBAC) enligt principen om minsta behörighet.
• Flerfaktorsautentisering (MFA) för privilegierade konton.
• Åtskillnad mellan produktions-, staging- och utvecklingsmiljöer.
• All administrativ åtkomst loggas och övervakas.

3.4 Autentisering och kundisolering

• Stöd för enkel inloggning (SSO) baserad på SAML eller OIDC.
• Logisk åtskillnad av kunddata genom mekanismer för kundisolering (tenant isolation).
• Ingen insyn i eller åtkomst till andra kunders miljöer är möjlig.

3.5 Loggning, övervakning och detektering

• Centraliserad loggning av användaraktivitet, administrativa åtgärder och systemhändelser (inklusive applikationsloggning och Microsoft Front Door/WAF).
• Övervakning av säkerhetshändelser i applikationer och på slutpunkter (inklusive Microsoft Defender, Microsoft Defender for Cloud, Microsoft Defender for Endpoint och E5 Security).

3.6 Sårbarhetshantering

• Sårbarhetsskanning av infrastruktur och applikationer.
• Årliga penetrationstester av tredje part genom certifierade partner.
• Patchhantering och härdning som säkerställer snabb uppdatering av operativsystem, ramverk och beroenden.

3.7 Applikationssäkerhet

• Säker utvecklingslivscykel (SDLC) där dataskydd och säkerhet hanteras tidigt i utvecklingen (”shift left”).
• Kodgranskning samt automatiserad skanning av beroenden och säker kod enligt OWASP.
• Kvalitetssäkring och testning omfattar enhets-, prestanda-, funktions- och regressionstestning.

3.8 Skyddsåtgärder för AI och databehandling

• AI-funktionerna tränas inte på kunddata.
• AI används inte för automatiserade beslut som påverkar enskilda personer.
• Promptdesign, pseudonymisering, maskering av personuppgifter och innehållsfiltrering tillämpas där det är tillämpligt.

4. Riskhantering

Brilliant Future tillämpar en formaliserad riskhanteringsprocess som en del av ledningssystemet för informationssäkerhet (ISMS), i enlighet med ISO/IEC 27001 och kravet på ansvarsskyldighet i GDPR.

4.1 Riskidentifiering och riskbedömning

• Risker identifieras genom löpande workshoppar med ledningen, systemägare, säkerhetsspecialister och driftteam.
• Varje risk bedöms utifrån sannolikhet, påverkan och potentiella konsekvenser för konfidentialitet, integritet, tillgänglighet och dataskydd.
• Risker vid behandling av personuppgifter utvärderas särskilt enligt artikel 32 i GDPR, med beaktande av behandlingens art, omfattning, sammanhang och ändamål.
• Samtliga risker dokumenteras i Brilliant Futures centrala riskregister, där åtgärder följs upp och granskas regelbundet.

5. Incidenthantering

Brilliant Future upprätthåller en strukturerad process för incidenthantering i enlighet med ISO/IEC 27001 och kraven i GDPR. Processen säkerställer upptäckt, eskalering, begränsning och rapportering av verksamhetskritiska incidenter, säkerhetsincidenter och potentiella personuppgiftsincidenter.

• Definierad process för incidenthantering med rutiner för eskalering och kommunikation samt fastställda roller och ansvar.
• Underrättelse till den Personuppgiftsansvarige om personuppgiftsincidenter och säkerhetsincidenter utan onödigt dröjsmål.
• Utvärderingar efter incidenter (t.ex. post mortem-analyser) för att förhindra upprepning.

6. Hantering av underbiträden och leverantörer

• Samtliga Underbiträden omfattas av krav på dataskydd och säkerhet i enlighet med Brilliant Futures policy.
• Samtliga leverantörer utvärderas och granskas i enlighet med vår policy för leverantörshantering.
• Överföringar utanför EU/EES sker endast med stöd av EU-US Data Privacy Framework eller lämpliga standardavtalsklausuler (SCC).
• Bilaga 3 innehåller en förteckning över samtliga godkända Underbiträden.

Bilaga 3 – Underbiträden

Namn	Organisationsnummer	Adress	Plats för behandling	Ändamål
Nion AB (tidigare Nordicstation AB)	556583-0964	Hudiksvallsgatan 6, 113 30 Stockholm	Sverige/EU	Partner för utveckling, drift och outsourcing
TeleOffice/Customer First AB	556653-8558	Vallgatan 5B, 170 67 Solna	Sverige/EU	Teknisk lösning för telefoni, sms samt inkommande och utgående telefonundersökningar
Twilio Inc. (SendGrid)	4518652	101 Spear Street, Fifth Floor, San Francisco, USA	EU och USA. Omfattas av och är certifierat enligt EU-US Data Privacy Framework.	E-post, inbjudningar och påminnelser till respondenter
Microsoft Corporation	256796	One Microsoft Way, Redmond, Washington, USA	Sverige och EU. Omfattas av och är certifierat enligt EU-US Data Privacy Framework.	Tjänster, applikationer och drift i Azure (t.ex. App/Web Services, databas/lagring, Functions, Azure OpenAI)
Pendo.io Inc.	463519724	301 Hillsborough St, Raleigh, NC 27603, USA	EU. Omfattas av och är certifierat enligt EU-US Data Privacy Framework.	Hjälpcenter, kundsupport och analys
HubSpot Inc.	11717417	Ground Floor, Two Dockland Central, Guild St, North Wall, Dublin, D01 K2C5, Irland	EU. Omfattas av och är certifierat enligt EU-US Data Privacy Framework.	Kundrelationshantering (CRM) och kundsupport