Personuppgiftsbiträdesavtal – Insight

Detta Personuppgiftsbiträdesavtal ingås mellan:

1. Kunden, såsom definierad i Avtalet (”Personuppgiftsansvarige”), och
2. Brilliant, såsom definierad i Avtalet (”Personuppgiftsbiträdet”), Drottninggatan 26, 111 51 Stockholm, Sverige.

Detta Personuppgiftsbiträdesavtal utgör en integrerad del av Avtal om Brilliants tjänster mellan den Personuppgiftsansvarige och Brilliant (”Avtalet”), inklusive de allmänna villkor för Brilliants tjänster som utgör en del av Avtalet (”Villkoren”).

Den Personuppgiftsansvarige och Personuppgiftsbiträdet benämns nedan var för sig ”Part” och gemensamt ”Parterna”.

1. Bakgrund

1.1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 (”Dataskyddsförordningen”) kräver att ett skriftligt avtal ingås mellan den Personuppgiftsansvarige och Personuppgiftsbiträdet när Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning. Parterna har därför ingått detta Personuppgiftsbiträdesavtal för att efterkomma de rättigheter och skyldigheter som respektive Part har enligt Tillämplig dataskyddslagstiftning.

1.2 Vid bristande överensstämmelse mellan detta Personuppgiftsbiträdesavtal och andra avtal som ingåtts mellan Parterna ska, i situationer rörande Behandlingen, bestämmelserna i detta Personuppgiftsbiträdesavtal äga företräde.

2. Definitioner

2.1 I detta Personuppgiftsbiträdesavtal avses med:

”Personuppgifter” – All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet.

”Personuppgiftsansvarig” – Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av Personuppgifter.

”Behandling” – Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, inbegripet men inte begränsat till insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring.

”Underbiträde” – Tredje part som anlitas av Personuppgiftsbiträdet för Behandling för den Personuppgiftsansvariges räkning.

”SCC” – Standardavtalsklausuler för överföring av Personuppgifter till tredje land, enligt EU-kommissionens beslut av den 4 juni 2021, eller andra standardavtalsvillkor som ändrar eller ersätter SCC.

”Personuppgiftsbiträde” – Fysisk eller juridisk person som behandlar Personuppgifter för den Personuppgiftsansvariges räkning.

”Registrerad” – Fysisk person vars Personuppgifter behandlas.

”Tillämplig dataskyddslagstiftning” – Dataskyddsförordningen, dataskyddslagen, annan tillämplig lagstiftning, rättspraxis och/eller beslut från Integritetsskyddsmyndigheten.

I övrigt ska, om inte annat framgår av detta Personuppgiftsbiträdesavtal, begrepp som används i detta Personuppgiftsbiträdesavtal tolkas i enlighet med Tillämplig dataskyddslagstiftning.

3. Behandling

3.1 Personuppgiftsbiträdet ansvarar för att all Behandling sker i enlighet med villkoren i detta Personuppgiftsbiträdesavtal samt Tillämplig dataskyddslagstiftning.

3.2 Utöver att Behandling ska ske enligt villkoren i punkt 3.1 ovan får Personuppgiftsbiträdet endast utföra Behandling enligt den Personuppgiftsansvariges vid var tid lämnade och dokumenterade instruktioner, såvida inte Personuppgiftsbiträdet är skyldigt att enligt gällande rätt behandla Personuppgifterna, Bilaga 1. I sistnämnda fall ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige om sådan skyldighet innan Behandling påbörjas, i den mån det är tillåtet för Personuppgiftsbiträdet att lämna sådan information till den Personuppgiftsansvarige enligt aktuell reglering.

3.3 För det fall Personuppgiftsbiträdet saknar instruktioner som Personuppgiftsbiträdet anser nödvändiga för Behandling, eller om Personuppgiftsbiträdet anser att en instruktion från den Personuppgiftsansvarige strider mot detta Personuppgiftsbiträdesavtal och Tillämplig dataskyddslagstiftning, ska Personuppgiftsbiträdet utan dröjsmål underrätta den Personuppgiftsansvarige och därefter invänta instruktion från den Personuppgiftsansvarige.

4. Skyldighet att bistå den Personuppgiftsansvarige

4.1 Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran ta fram information om Personuppgifterna, rätta, blockera, radera, begränsa samt överföra dessa till den Personuppgiftsansvarige.

4.2 Personuppgiftsbiträdet ska agera i enlighet med nyss nämnda begäran utan onödigt dröjsmål. För det fall den Personuppgiftsansvarige raderar, eller instruerar Personuppgiftsbiträdet att radera, Personuppgifter som innehas av Personuppgiftsbiträdet ska Personuppgiftsbiträdet säkerställa att Personuppgifter som raderats inte kan återskapas av den andra Parten eller av någon annan part.

4.3 För det fall en Registrerad begär information från den Personuppgiftsansvarige ska Personuppgiftsbiträdet utan onödigt dröjsmål hänskjuta begäran till den Personuppgiftsansvarige samt bistå den Personuppgiftsansvarige med att besvara sådan begäran i enlighet med Tillämplig dataskyddslagstiftning.

4.4 Personuppgiftsbiträdet ska, med beaktande av typen av Behandling och den information som Personuppgiftsbiträdet har tillgång till, bistå den Personuppgiftsansvarige med att genomföra konsekvensbedömningar samt bistå med att genomföra förhandssamråd med Integritetsskyddsmyndigheten för det fall en konsekvensbedömning visar en hög risk.

5. Skyldighet att anmäla personuppgiftsincidenter

5.1 Personuppgiftsbiträdet ska efter att ha fått vetskap om en personuppgiftsincident utan onödigt dröjsmål underrätta den Personuppgiftsansvarige. Personuppgiftsbiträdet ska bistå den Personuppgiftsansvarige med att informera den Registrerade om personuppgiftsincidenten om en sådan personuppgiftsincident sannolikt leder till en hög risk för den Registrerades rättigheter och friheter. En sådan underrättelse ska åtminstone innehålla:

• personuppgiftsincidentens art;
• kategorier av Registrerade;
• det ungefärliga antalet Registrerade som berörs;
• de kategorier av, och det ungefärliga antalet, personuppgiftsposter som berörs;
• namnet på och kontaktuppgifterna till Personuppgiftsbiträdets dataskyddsombud, om ett sådant har utsetts, eller annan kontaktperson från vilken mer information kan erhållas; och
• de sannolika konsekvenserna av personuppgiftsincidenten och de åtgärder som har vidtagits eller bör vidtas av Personuppgiftsbiträdet för att åtgärda personuppgiftsincidenten eller mildra dess potentiella negativa effekter.

5.2 I den utsträckning det inte är möjligt för Personuppgiftsbiträdet att tillhandahålla informationen som anges i punkt 5.1 ovan samtidigt, får informationen tillhandahållas av Personuppgiftsbiträdet i omgångar utan onödigt ytterligare dröjsmål.

6. Skyldighet att upprätta register över behandling

6.1 Personuppgiftsbiträdet ska upprätta ett register över all Behandling som sker på uppdrag av den Personuppgiftsansvarige samt på den Personuppgiftsansvariges eller Integritetsskyddsmyndighetens uttryckliga begäran överlämna ett skriftligt register som minst ska innehålla:

1. namn och kontaktuppgifter till Personuppgiftsbiträdet och i förekommande fall namn och kontaktuppgifter till Underbiträden som Personuppgiftsbiträdet anlitar samt deras dataskyddsombud;
2. den Behandling av Personuppgifterna som utförs av Personuppgiftsbiträdet på den Personuppgiftsansvariges uppdrag;
3. i förekommande fall, överföring av Personuppgifterna till tredje land, det tredje land där uppgifterna behandlas samt vilka skyddsåtgärder som vidtagits i anledning av överföringen; samt
4. en allmän beskrivning av vilka tekniska och organisatoriska åtgärder som vidtagits för att upprätthålla en lämplig skyddsnivå.

7. Information om ändrad behandling

7.1 Personuppgiftsbiträdet ska skriftligen och senast trettio (30) dagar innan en planerad ändring av Behandlingen, inbegripet men inte begränsat till tekniska och organisatoriska ändringar som kan påverka Personuppgiftsbiträdets efterlevnad av Tillämplig dataskyddslagstiftning, informera den Personuppgiftsansvarige. Innan sådan ändring genomförs ska den Personuppgiftsansvarige lämna sitt skriftliga medgivande därtill.

8. Kontakt med Integritetsskyddsmyndigheten

8.1 Personuppgiftsbiträdet ska bistå den Personuppgiftsansvarige i kontakten med Integritetsskyddsmyndigheten, inbegripet men inte begränsat till att på den Personuppgiftsansvariges begäran tillhandahålla information som begärts från Integritetsskyddsmyndigheten. För undvikande av missförstånd får Personuppgiftsbiträdet inte röja Personuppgifter eller information om Behandlingen utan uttrycklig och föregående instruktion från den Personuppgiftsansvarige.

8.2 Personuppgiftsbiträdet ska utan oskäligt dröjsmål underrätta den Personuppgiftsansvarige om denne kontaktas av Integritetsskyddsmyndigheten angående Behandlingen. Personuppgiftsbiträdet får inte representera den Personuppgiftsansvarige eller agera för den Personuppgiftsansvariges räkning i förhållande till Integritetsskyddsmyndigheten eller annan tredje part.

9. Sekretess

9.1 Parternas sekretessåtaganden regleras av avsnitt 8 (Sekretess) i Villkoren, vilka äger tillämpning även på Behandling av Personuppgifter enligt detta Personuppgiftsbiträdesavtal.

10. Säkerhet

10.1 Personuppgiftsbiträdet förbinder sig att vidta tekniska och organisatoriska åtgärder för att skydda de Personuppgifter som behandlas enligt detta Personuppgiftsbiträdesavtal i enlighet med Tillämplig dataskyddslagstiftning. Personuppgiftsbiträdet ska särskilt tillse att de tekniska och organisatoriska åtgärderna följer tillämpliga standardavtal, branschnormer samt riktlinjer utfärdade och godkända av Integritetsskyddsmyndigheten.

10.2 Tekniska och organisatoriska åtgärder inbegriper men är inte begränsade till pseudonymisering och kryptering av Personuppgifterna, förmåga att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft i de system som används vid Behandlingen, förmåga att återställa tillgängligheten och tillgången till Personuppgifter i rimlig tid vid en fysisk eller teknisk incident, samt ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa Behandlingens säkerhet. En närmare beskrivning av Personuppgiftsbiträdets tekniska och organisatoriska säkerhetsåtgärder finns i Bilaga 2.

10.3 Personuppgiftsbiträdet ska kunna säkerställa att Behandlingen sker enligt detta Personuppgiftsbiträdesavtal och Tillämplig dataskyddslagstiftning samt ska upprätthålla tillräcklig dokumentation som bekräftar att Personuppgiftsbiträdet uppfyller sina åtaganden enligt detta Personuppgiftsbiträdesavtal.

11. Anlitande av Underbiträden

11.1 Personuppgiftsbiträdet har ett allmänt skriftligt förhandstillstånd från den Personuppgiftsansvarige att anlita och ersätta Underbiträden för Behandling enligt detta Personuppgiftsbiträdesavtal. Personuppgiftsbiträdet ska informera den Personuppgiftsansvarige om eventuella planer på att anlita eller ersätta Underbiträden, så att den Personuppgiftsansvarige har möjlighet att invända mot sådana förändringar. Personuppgiftsbiträdet ska tillse att samtliga Underbiträden är bundna av skriftliga avtal som ålägger Underbiträdena samma skyldigheter avseende Behandlingen som de skyldigheter som gäller enligt detta Personuppgiftsbiträdesavtal. För det fall ett Underbiträde inte fullgör sina skyldigheter enligt detta Personuppgiftsbiträdesavtal och Tillämplig dataskyddslagstiftning, är Personuppgiftsbiträdet fullt ansvarigt gentemot den Personuppgiftsansvarige för utförandet av Underbiträdets skyldigheter.

11.2 Bilaga 3 innehåller en lista över Underbiträden per dagen för detta Personuppgiftsbiträdesavtals ikraftträdande.

11.3 Om den Personuppgiftsansvarige invänder mot en förändring avseende Underbiträden ska Parterna i god anda diskutera konsekvenserna av förändringen för att nå en lösning som är tillfredsställande för båda Parterna. Kan ingen lösning nås som är tillfredsställande för båda Parterna äger respektive Part rätt att säga upp Personuppgiftsbiträdesavtalet med trettio (30) dagars uppsägningstid.

12. Överföring till tredje land

12.1 Den Personuppgiftsansvarige instruerar Personuppgiftsbiträdet att inte överföra Personuppgifter till tredje land eller internationell organisation i situationer där: (i) mottagarlandet eller organisationen inte av Europeiska kommissionen erkänts ha en adekvat skyddsnivå för Personuppgifter; eller (ii) mottagarlandet eller organisationen inte omfattas av en lämplig skyddsåtgärd (inklusive men inte begränsat till SCC och bindande företagsbestämmelser) som erkänts av relevanta myndigheter eller domstolar som ett tillräckligt skydd för Personuppgifter.

12.2 Om den Personuppgiftsansvarige vill ändra sina instruktioner avseende överföringar till tredje land eller internationell organisation ska Parterna i god anda diskutera konsekvenserna av de ändrade instruktionerna. Kan ingen lösning nås som är tillfredsställande för båda Parterna äger respektive Part rätt att säga upp Personuppgiftsbiträdesavtalet med trettio (30) dagars uppsägningstid.

13. Rapport om vidtagna åtgärder

13.1 Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran en (1) gång per år tillställa den Personuppgiftsansvarige en skriftlig rapport som specificerar vilka åtgärder Personuppgiftsbiträdet har vidtagit för att uppfylla åtagandena enligt detta Personuppgiftsbiträdesavtal.

14. Kontroll av Personuppgiftsbiträdets behandling

14.1 Personuppgiftsbiträdet medger att på begäran från den Personuppgiftsansvarige, med hjälp av en oberoende tredje part, kontrollera att Personuppgiftsbiträdets Behandling sker i enlighet med Tillämplig dataskyddslagstiftning samt detta Personuppgiftsbiträdesavtal, inbegripet men inte begränsat till att ge den oberoende tredje parten tillträde till Personuppgiftsbiträdets lokaler och datorutrustning i den omfattning som krävs för detta ändamål. Kontrollen enligt denna bestämmelse ska genomföras senast fjorton (14) dagar efter att begäran från den Personuppgiftsansvarige mottagits. Kontrollen ska genomföras under ordinarie arbetstid.

15. Ansvar

15.1 För det fall Part vill kräva ersättning av den andra Parten för skada som den andra Parten eller annan än Part lider till följd av Parts, eller av denne anlitad underleverantörs, Behandling i strid med detta Personuppgiftsbiträdesavtal och/eller Tillämplig dataskyddslagstiftning, ska ansvaret för sådan skada vara begränsat i enlighet med avsnitt 10 (Ansvarsbegränsning) i Villkoren.

15.2 Begränsningen av Parternas ersättningsansvar enligt punkt 15.1 ovan gäller inte administrativ sanktionsavgift beslutad av Integritetsskyddsmyndigheten eller domstol enligt artikel 83 i Dataskyddsförordningen. Parterna är överens om att Part inte kan få ersättning från den andra Parten för administrativ sanktionsavgift som Part blir skyldig att erlägga enligt beslut av Integritetsskyddsmyndigheten och/eller domstol. Det erinras om att Personuppgiftsbiträdet och den Personuppgiftsansvarige således kan bli ansvariga för administrativa sanktionsavgifter enligt artikel 83 i Dataskyddsförordningen.

15.3 Personuppgiftsbiträdet ska under den tid som detta Personuppgiftsbiträdesavtal gäller ha en ansvarsförsäkring som omfattar Behandlingen och som gäller till betryggande belopp. Ansvarsförsäkringen ska omfatta skadeståndsskyldighet för ren förmögenhetsskada. Med ren förmögenhetsskada förstås ekonomisk skada som uppkommer utan samband med att någon lider person- eller sakskada. På den Personuppgiftsansvariges begäran ska Personuppgiftsbiträdet överlämna försäkringsbrev eller annat bevis om att sådan ansvarsförsäkring finns.

16. Ersättning och betalningsvillkor

16.1 Parterna är överens om att Personuppgiftsbiträdet inte har rätt till någon särskild ersättning från den Personuppgiftsansvarige för utförandet av uppdraget enligt detta Personuppgiftsbiträdesavtal.

16.2 Eventuella önskemål om Personuppgiftsbiträdets assistans, eller förfrågningar om specifika dataformat, vid export av den Personuppgiftsansvariges personuppgifter till en annan databas kommer att vara föremål för Personuppgiftsbiträdets standardtimavgift på SEK 950.

17. Avtalstid och uppsägning

17.1 Detta Personuppgiftsbiträdesavtal gäller under samma avtalstid som Avtalet, enligt avsnitt 5 (Avtalstid och uppsägning) i Villkoren, och så länge Behandling av Personuppgifter sker enligt detta Personuppgiftsbiträdesavtal.

17.2 Rätten att säga upp Avtalet i förtid regleras av avsnitt 5 (Avtalstid och uppsägning) i Villkoren.

17.3 När detta Personuppgiftsbiträdesavtal har upphört ska Personuppgiftsbiträdet snarast återlämna eller, för det fall den Personuppgiftsansvarige så begär, radera samtliga Personuppgifter, inklusive samtliga kopior därav, samt därefter skriftligen intyga för den Personuppgiftsansvarige att återlämnande eller radering har skett.

18. Övrigt

18.1 Överlåtelse av Personuppgiftsbiträdets rättigheter och skyldigheter enligt detta Personuppgiftsbiträdesavtal till tredje part får endast ske efter den Personuppgiftsansvariges uttryckliga, föregående och skriftliga samtycke.

18.2 Ändringar av och tillägg till detta Personuppgiftsbiträdesavtal ska, för att vara bindande för Parterna, vara skriftligen avfattade och undertecknade av båda Parterna.

19. Kontaktinformation

19.1 Meddelanden mellan Parterna enligt detta Personuppgiftsbiträdesavtal ska ske i enlighet med punkt 11.1 (Meddelanden) i Villkoren.

19.2 Kontaktinformation till Brilliant Future AB:

Brilliant Future AB
Drottninggatan 26, 4 tr
111 51 Stockholm
+46 (0)8 692 91 00
dpo@brilliantfuture.se

19.3 Kontaktinformation till Kund

20. Lagval

20.1 För tillämpning och tolkning av detta Personuppgiftsbiträdesavtal ska punkt 11.4 (Tillämplig lag och tvistlösning) i Villkoren äga tillämpning.

Bilaga 1 – Instruktion för Behandling vid kund- och medarbetarundersökningar samt 360° Feedback

Denna bilaga utgör den Personuppgiftsansvariges instruktion till Personuppgiftsbiträdet om Behandlingen enligt punkt 3.2 i detta Personuppgiftsbiträdesavtal avseende kund- och medarbetarundersökningar samt 360° Feedback. För det fall Behandlingen ska ändras måste Personuppgiftsbiträdet enligt punkt 7 inhämta skriftligt medgivande från den Personuppgiftsansvarige till sådan ändring.

Ändamål

Kundundersökningar

Uppgifterna används vid undersökningar av den Personuppgiftsansvariges kunder avseende kundupplevelse. Uppgifterna används för analys och framtagande av rapporter och nyckeltal. Kundundersökningarna är inte anonyma, men personuppgifter lagras pseudonymiserat och krypterat. Överföringar av data mellan komponenter i systemet, till underliggande system och till Underbiträden sker krypterat.

Medarbetarundersökningar

Uppgifterna används vid medarbetarundersökningar avseende medarbetarupplevelse och ledarskapskartläggning. Uppgifterna används för analys och framtagande av rapporter och nyckeltal. Svar från mätningarna anonymiseras innan de överförs, utan koppling till några personuppgifter, till en analysdatabas för att kunna analyseras och förbättra framtida rekommendationer, skapa benchmark och ge övergripande insikter, exempelvis i bloggar.

360° Feedback

Chefens och kollegornas svar i en 360-gradersundersökning är aldrig anonyma, vilket innebär att svaren kan härledas till en individ och därför utgör personuppgifter. Medarbetarens svar är anonyma och omfattas av samma anonymitetsregler som gäller för medarbetarundersökningar.

Kategorier av uppgifter

Kund- och medarbetarundersökningar samt 360° Feedback

Namn, e-post och bakgrundsinformation som tillhandahålls av kunden (exempelvis kön, ålder, segmentering). Bakgrundsinformationen kan variera över tid.

Medarbetarundersökningar

Svar från mätningarna lagras pseudonymiserade och krypterade och behandlas som personuppgifter i enlighet med detta Personuppgiftsbiträdesavtal. Bakgrundsinformation används för att analysera resultat på aggregerad nivå.

360° Feedback

Svar lagras pseudonymiserade och krypterade (back end/data at rest) och behandlas som personuppgifter i enlighet med detta Personuppgiftsbiträdesavtal. Chefers och kollegors svar i en 360-gradersundersökning är inte anonyma.

Kategorier av registrerade

Kundundersökningar: kunder.

Medarbetarundersökningar och 360° Feedback: medarbetare och ledare.

Behandlingsaktiviteter

Utskick av undersökningar och rapporter. Analys och presentation av resultat i Brilliants plattform, där specifika roller får tillgång till resultat.

Plats för behandling

All behandling och lagring sker i datacenter inom Europeiska unionen (EU). Viss tillfällig och begränsad behandling kan ske i USA hos mottagare som omfattas av EU-US Data Privacy Framework. Se vidare Bilaga 3.

Behandlingens varaktighet

Följande regler gäller för lagring av data (respondenter, respondentsvar, historik och organisationsdata):

1. All data sparas i plattformen så länge avtalet/prenumerationen är aktiv. Funktioner som gör det möjligt för den Personuppgiftsansvarige att rensa enstaka användare/respondenter och svar finns i plattformen.
2. När avtalet/prenumerationen upphör rensas all data och historik i plattformen.
3. Den Personuppgiftsansvarige har rätt att ”pausa” avtalet/prenumerationen. Personuppgiftsbiträdet sparar då respondentdata, historik och organisationsdata mot en avgift enligt Personuppgiftsbiträdets vid var tid gällande prislista. Under en pausad prenumeration har den Personuppgiftsansvarige inte tillgång till plattformen och behöver begära åtkomst igen via vår kundsupport.

Brilliant Future har rätt att använda anonymiserad respondentdata i syfte att skapa benchmark för ytterligare och djupare analys. Brilliant Future garanterar att benchmarkdata är anonymiserad och inte kan hänföras till vare sig fysisk eller juridisk person.

Informationssäkerhet

Personuppgiftsbiträdet är certifierat enligt ISO/IEC 27001:2022 och arbetar enligt standardens krav på kryptering, säkerställande av konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen, förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en personuppgiftsincident, regelbunden testning, radering av data, undersökning och utvärdering av effektiviteten hos säkerhetsåtgärderna m.m. I enlighet med ISO/IEC 27001 genomför Personuppgiftsbiträdet kontinuerligt nya riskanalyser med tillhörande åtgärder vid behov.

Bilaga 2 – Tekniska och organisatoriska säkerhetsmekanismer

Denna bilaga kompletterar punkt 10 i Personuppgiftsbiträdesavtalet mellan den Personuppgiftsansvarige och Brilliant Future AB (Personuppgiftsbiträdet). Den ger en samlad beskrivning av de tekniska och organisatoriska säkerhetsmekanismer som används för att säkerställa konfidentialitet, riktighet, tillgänglighet och motståndskraft i de behandlingar som utförs inom Brilliant Futures produktportfölj och plattformar.

De kontroller som beskrivs i denna bilaga utgör en del av Brilliant Futures ledningssystem för informationssäkerhet (Information Security Management System, ISMS), som är certifierat enligt ISO/IEC 27001:2022.

1. Styrning och organisatoriska säkerhetsåtgärder

1.1 Ledningssystem för informationssäkerhet (ISMS)

Brilliant Future är certifierat enligt ISO/IEC 27001:2022 och upprätthåller ett formellt ledningssystem för informationssäkerhet (ISMS) i linje med standardens krav. ISMS:et omfattar:

• Riskhantering
• Incidenthantering
• Säkerhets- och integritetspolicy inklusive intern utbildning och medvetandegörande
• Endpoint- och tillgångshantering inklusive behörighetsstyrning och identitetshantering
• Leverantörs- och underbiträdeshantering
• Process för systemutvecklingslivscykel (SDLC)
• Kontinuitetsplanering för verksamheten

1.2 Roller och ansvar

• Verkställande direktör (vd): har det övergripande ansvaret för att säkerställa att målen i våra säkerhetspolicyer uppfylls.
• Chief Technology Officer (CTO): har det övergripande ansvaret för att implementera tekniska kontroller i syfte att uppnå policyer och mål för säkerheten.
• Data Protection Officer (DPO): säkerställer efterlevnad av GDPR, genomför DPIA:er och övervakar styrning av integritetsskydd.
• Ledningsgruppen: ansvarar för att all personal inom respektive organisatorisk del följer fastställda processer och rutiner.

Alla anställda genomgår bakgrundskontroller inför anställning och får regelbunden, obligatorisk utbildning i policyer, informationssäkerhet och dataskydd.

2. Produktstyrning och produktutveckling

Brilliant Future tillämpar ett strukturerat ramverk för produktstyrning (SDLC) i enlighet med ISO/IEC 27001 för att säkerställa att funktionalitet utformas, implementeras och underhålls i enlighet med krav på säkerhet, integritet och efterlevnad.

2.1 Struktur för produktstyrning

• Strategi: produktstyrningen är förankrad i ledningsgruppen och stöds i tvärfunktionella forum för produktstrategi, som säkerställer samordning mellan affärsmål, säkerhetskrav och regulatoriska skyldigheter.
• Ansvar: samtliga produkter har utsedda Product Managers, Design (UX), Tech Leads och arkitekter som ansvarar för roadmap, prioriteringar, teknisk implementation, integritet och efterlevnad.
• Ändringshantering: utveckling av funktionalitet, konfigurationsändringar och uppdateringar följer en formell förändrings- och releaseprocess, inklusive riskbedömningar avseende konfidentialitet, riktighet, tillgänglighet och dataskydd.

2.2 Utvecklingsprocess och livscykel (SDLC)

Brilliant Future följer en dokumenterad SDLC-process som inkluderar:

• Principer för security by design och privacy by design.
• Analys och riskbedömning vid lansering av nya funktioner.
• Granskning och peer review av alla kodändringar.
• Automatiserad och manuell testning, inklusive enhets-, regressions-, prestanda- och acceptanstester.
• Pipelines för kontinuerlig integration och deployment (CI/CD) med godkännandesteg genom alla miljöer.
• Separation mellan utvecklings-, test- och produktionsmiljöer.
• Säkerhets- och källkodsskanning inbyggd i deployment- och releasepipelines.

3. Tekniska säkerhetsåtgärder

3.1 Infrastruktur

• Alla produktionssystem är placerade i datacenter inom EU (on-premises och/eller Azure-moln) med hög fysisk säkerhetsnivå (ISO 27001, SOC 2).
• Redundant nätverks- och kraftförsörjning säkerställer infrastruktur och hög tillgänglighet.
• Brandväggar, segmentering och virtuella nätverk begränsar och styr nätverkstrafik.
• Övervakning med hjälp av Microsoft Defender, Microsoft Defender for Cloud, Microsoft Front Door/WAF och OpenVAS.

3.2 Kryptering

• Data in transit: krypteras med TLS 1.2 eller högre.
• Data at rest: krypteras med standardalgoritmer för databaser och tabeller (TDE, AES eller likvärdigt). Krypteringsnycklar lagras separat i Key Vault där det är möjligt.

3.3 Behörighet och åtkomstkontroll

• Rollbaserad åtkomstkontroll (RBAC) med principen ”least privilege access”.
• Multifaktorautentisering (MFA) för privilegierade konton (”privileged accounts”).
• Separering mellan produktions-, test- och utvecklingsmiljöer.
• Administrativ åtkomst begränsas, loggas och övervakas.

3.4 Autentisering och tenant-isolation

• Stöd för single sign-on (SSO) baserat på SAML eller OIDC.
• Logisk separering av kunddata i multi-tenant-lösning.

3.5 Loggning och övervakning

• Centraliserad loggning av användaraktivitet, administrativa åtgärder och systemhändelser (inklusive applikationsloggning och loggar från Microsoft Front Door/WAF).
• Säkerhetsövervakning av applikationer och klienter (inklusive Microsoft Defender, Microsoft Defender for Cloud, Microsoft Defender for Endpoint och E5-säkerhetstjänster).

3.6 Sårbarhetshantering

• Sårbarhetsskanning av infrastruktur och applikationer.
• Årliga penetrationstester av tredje part, utförda av certifierade leverantörer.
• Patchhantering och härdning för uppdateringar av operativsystem, ramverk, drivrutiner och beroenden.

3.7 Applikationssäkerhet

• Säker utvecklingslivscykel (SDLC) med integrerad process för integritets- och säkerhetskrav (”shift left”).
• Kodgranskningar, automatiserad beroendeskanning och OWASP-anpassad säker kodgranskning.
• QA/test omfattar enhets-, prestanda-, funktionella och regressionstester.

3.8 AI och skydd vid databehandling

• AI-funktioner tränas inte på kunddata.
• AI används inte för automatiserade beslut med betydande konsekvenser för enskilda.
• Metod och AI-prompt/AI-engineering, pseudonymisering, maskning av personuppgifter (PII masking) och innehållsfiltrering tillämpas där så är relevant.

4. Riskhantering

Brilliant Future tillämpar en formaliserad riskhanteringsprocess som en del av ledningssystemet för informationssäkerhet (ISMS), i enlighet med ISO/IEC 27001 och GDPR:s ansvarsskyldighet.

4.1 Riskidentifiering och riskbedömning

• Risker identifieras genom återkommande workshoppar med ledning, systemägare, säkerhetsspecialister och operativa team.
• Varje risk bedöms utifrån sannolikhet, konsekvens och potentiell påverkan på konfidentialitet, riktighet, tillgänglighet och integritetsskydd.
• Risker kopplade till behandling av personuppgifter bedöms särskilt enligt artikel 32 i GDPR, med beaktande av behandlingens art, omfattning, sammanhang och ändamål.
• Samtliga risker dokumenteras i Brilliant Futures centrala riskregister, där riskbehandlingsaktiviteter följs upp och granskas regelbundet.

5. Incidenthantering

Brilliant Future upprätthåller en strukturerad incidenthanteringsprocess i enlighet med ISO/IEC 27001 och GDPR. Processen säkerställer upptäckt, eskalering, begränsning av skada och rapportering av verksamhetskritiska incidenter, säkerhetsincidenter och potentiella personuppgiftsincidenter.

• Definierad incidenthanteringsprocess med eskaleringsrutiner, kommunikationshantering samt tydliga roller och ansvar.
• Anmälan till den Personuppgiftsansvarige av personuppgiftsincidenter och relevanta säkerhetsincidenter utan onödigt dröjsmål.
• Analys av incidenter (t.ex. post mortem-genomgångar) för att förebygga och minimera risk.

6. Underbiträden och leverantörshantering

• Alla Underbiträden omfattas av dataskydds- och säkerhetskrav i enlighet med Brilliant Futures policy.
• Samtliga leverantörer utvärderas och följs upp i enlighet med vår leverantörshanteringspolicy.
• Överföringar utanför EU/EES sker endast inom ramen för EU-US Data Privacy Framework eller med tillämpliga standardavtalsklausuler (SCC).
• Bilaga 3 innehåller en förteckning över samtliga godkända Underbiträden.

Bilaga 3 – Underbiträden

Namn	Organisationsnummer	Adress	Plats för behandling	Ändamål
Twilio Inc. (SendGrid)	4518652	101 Spear Street, Fifth Floor, San Francisco, USA	EU och USA. Omfattas av och är certifierat enligt EU-US Data Privacy Framework.	Sms och e-post, inbjudningar och påminnelser till respondenter
Microsoft Corporation	256796	One Microsoft Way, Redmond, Washington, USA	Sverige och EU. Omfattas av och är certifierat enligt EU-US Data Privacy Framework.	Tjänster, applikationer och drift i Azure (t.ex. App/Web Services, databas/lagring, Functions, Azure OpenAI)
Pendo.io Inc.	463519724	301 Hillsborough St, Raleigh, NC 27603, USA	EU. Omfattas av och är certifierat enligt EU-US Data Privacy Framework.	Hjälpcenter, kundsupport samt analys och statistik över användare i plattformen
HubSpot Inc.	11717417	Ground Floor, Two Dockland Central, Guild St, North Wall, Dublin, D01 K2C5, Irland	EU. Omfattas av och är certifierat enligt EU-US Data Privacy Framework.	Kundrelationshantering (CRM) och kundsupport