Detta är en oförbindlig översättning som endast tillhandahålls som service. Den tyska versionen är juridiskt bindande.

Avtal om behandling av personuppgifter för den personuppgiftsansvariges räkning (artikel 28 i dataskyddsförordningen)

Version 2026-10, lydelse per den 13 oktober 2026.

Detta avtal (nedan ”PUB-avtalet”) gäller mellan Kunden och den leverantör av todo.monster som anges i företagsinformationen. Kunden är personuppgiftsansvarig (artikel 4.7 i dataskyddsförordningen): Kunden bestämmer vilka uppgifter som hamnar i todo.monster och för vilket ändamål. Leverantören är personuppgiftsbiträde (artikel 4.8 i dataskyddsförordningen): Leverantören lagrar och behandlar dessa uppgifter endast för Kundens räkning. Vilka parterna är och vem som företräder dem framgår av användaravtalet för todo.monster (nedan ”Huvudavtalet”: de allmänna villkoren med den bokade planen eller ett pilotavtal).

Tillämpningsområde och företrädesordning

(1) todo.monster riktar sig endast till näringsidkare (14 § BGB). Detta PUB-avtal ingås vid registreringen tillsammans med de allmänna villkoren. Det blir tillämpligt så snart det i Kundens projekt, företagsområden, postlådor eller kalendrar finns uppgifter om andra personer, till exempel namnet på en intressent i en uppgift, en varuleverantör som avsändare av ett e-postmeddelande eller deltagarna i ett möte. Behandlar Kunden där endast egna uppgifter medför detta PUB-avtal inga skyldigheter.

(2) I vissa avseenden är Leverantören själv personuppgiftsansvarig och inte personuppgiftsbiträde: för varje enskild persons användarkonto, inloggningen, faktureringen, loggarna över samtycken, tjänstens säkerhet och skydd mot missbruk, pilot- och introduktionsprogrammet samt systemmejlen till kontoinnehavare. Dessa behandlingar ingår inte i uppdraget; de beskrivs i integritetspolicyn.

(3) Om detta PUB-avtal och Huvudavtalet strider mot varandra gäller detta PUB-avtal i frågor om dataskydd. Ett pilotavtal får komplettera detta PUB-avtal men inte försvaga någon skyldighet enligt det.

(4) Endast den tyska versionen är bindande. Översättningar är ett stöd för förståelsen; vid avvikelser gäller den tyska texten.

(5) Kunden ingår detta PUB-avtal elektroniskt (artikel 28.9 i dataskyddsförordningen) genom att bekräfta det vid registreringen. Bokar Kunden senare en företagsplan eller ett pilotavtal bekräftar Kunden den då gällande versionen en gång till. För varje bekräftelse sparar Leverantören version, tidpunkt och en kontrollsumma för den bekräftade texten.

§ 1 Föremål och varaktighet

(1) Leverantören tillhandahåller Kunden todo.monster som programvara via internet. Detta omfattar: uppgifter och projekt, tidsregistrering, kommentarer och bilagor, företagspostlådor samt postlådor och kalendrar som Kunden eller Kundens användare ansluter, aviseringar, AI-omvandlingen av ett e-postmeddelande till en uppgift (endast när en användare utlöser den) och felrapporter med skärmbild. Behandla innebär härvid: lagra, visa, överföra till de motparter som Kunden har valt (till exempel skicka ett svar via den anslutna postlådan), säkerhetskopiera, lägga i papperskorgen och hjälpa till i supporten. Exakt vad som sker med vilka uppgifter anges i bilaga A.

(2) Detta PUB-avtal löper så länge som Huvudavtalet. Det upphör först när uppgifterna har återlämnats eller raderats enligt § 11.

§ 2 Behandlingens art och ändamål, typer av personuppgifter, registrerade

Vad Leverantören gör med vilka uppgifter, för vilket ändamål, vilka typer av uppgifter det gäller och vilka personer som berörs anges i bilaga A, ordnat efter tjänstens funktioner.

§ 3 Instruktioner

(1) Leverantören behandlar Kundens uppgifter endast för att tillhandahålla tjänsten i enlighet med avtalet, och endast på det sätt som Kunden anvisar genom detta avtal, de allmänna villkoren och användningen av tjänsten. Varje inmatning, inställning och utlösning av en funktion i tjänsten gäller som instruktion. Endast om en lag i EU eller Tyskland ålägger Leverantören en annan behandling, till exempel utlämnande till en myndighet eller bevarande av faktureringsuppgifter, får Leverantören avvika från detta. I så fall informerar Leverantören Kunden i förväg, såvida lagen inte förbjuder det.

(2) Instruktioner är till exempel: skapa, ändra eller ta bort en uppgift; bjuda in en medlem eller en gäst; ansluta en postlåda eller en kalender hos en tredjepartsleverantör; starta AI-funktionen för ett enskilt e-postmeddelande; skicka en felrapport med skärmbild; starta en dataexport. Leverantören gör då exakt det som funktionen utlovar och ingenting utöver det.

(3) Önskar Kunden något som ingen funktion i tjänsten täcker, till exempel återställning av ett projekt som Kunden inte längre hittar i papperskorgen, skickar Kunden instruktionen skriftligen (även via e-post) till support@todo.monster. Instruktioner lämnas av Kunden själv; för ett företag i todo.monster av dess ägare och de administratörer som utsetts i företagsadministrationen. Leverantören bekräftar mottagandet och dokumenterar vad som har utförts och när.

(4) Återställning: Borttagna projekt, moduler, uppgifter, postlådor och kalendrar ligger kvar i papperskorgen under den frist som anges i bilaga B, punkt 3. Där kan Kunden och Kundens behöriga användare själva återställa dem. Ber Kunden Leverantören om en återställning är det en instruktion enligt punkt 3. Leverantören utför den om uppgifterna tekniskt sett fortfarande finns kvar; någon tidsfrist eller något resultat kan Leverantören inte utlova. Vilka uppgifter Leverantören då ser anges i bilaga B, punkt 5.

(5) Anser Leverantören att en instruktion strider mot dataskyddsförordningen eller någon annan dataskyddslag, meddelar Leverantören Kunden detta omedelbart. Till dess att Kunden bekräftar eller ändrar instruktionen får Leverantören låta bli att utföra den.

§ 4 Kundens skyldigheter

(1) Kunden ansvarar för att Kunden över huvud taget får behandla uppgifterna: Kunden behöver en rättslig grund, informerar de registrerade och besvarar deras förfrågningar. Exempel: Skapar en anställd hos Kunden en uppgift med namn och telefonnummer till en intressent, måste Kunden kunna motivera detta gentemot intressenten, inte Leverantören.

(2) Driver Kunden ett företag i todo.monster tilldelar Kunden själv rollerna (ägare, administratör, medlem, gäst) och återkallar dem när någon slutar. Kunden informerar sina användare om att deras innehåll i företagsområden tillhör företaget.

(3) Ansluter Kunden eller någon av Kundens användare en postlåda eller en kalender hos en tredjepartsleverantör, till exempel ett Microsoft-konto, har Kunden valt denna mottagare. Kunden ansvarar för att uppgifterna får överföras dit, även om tredjepartsleverantören behandlar dem utanför Europeiska ekonomiska samarbetsområdet (§ 13 punkt 3).

(4) AI-funktionen omvandlar ett e-postmeddelande till en uppgift endast när en användare initierar detta för just det e-postmeddelandet; varje användare kan stänga av funktionen för sig själv. Kunden avgör om Kundens användare får använda den och ansvarar för den rättsliga grunden gentemot sina användare och avsändarna av e-postmeddelandena. Sin egen roll i detta beskriver Leverantören i integritetspolicyn.

(5) Inte avsedda för todo.monster är särskilda kategorier av personuppgifter (artikel 9 i dataskyddsförordningen, till exempel uppgifter om hälsa), uppgifter om brott (artikel 10 i dataskyddsförordningen) och uppgifter som omfattas av yrkesmässig tystnadsplikt (203 § StGB, till exempel klientakter hos en advokatbyrå). Vill Kunden ändå låta behandla sådana uppgifter, kommer Kunden först överens om detta med Leverantören skriftligen.

(6) Kunden håller e-postadressen för sitt konto aktuell, för ett företag adressen till företagets ägare. Till denna adress skickas meddelandena enligt § 7 och § 10.

§ 5 Konfidentialitet

Alla personer hos Leverantören som kan komma i kontakt med Kundens uppgifter har skriftligen förbundit sig till tystnadsplikt eller omfattas av lagstadgad tystnadsplikt (artikel 28.3 b i dataskyddsförordningen). Skyldigheten gäller även efter att deras uppdrag har upphört. Till Kundens innehåll får de i vilket fall som helst tillgång endast i de fall som uttömmande anges i bilaga B, punkt 5.

§ 6 Tekniska och organisatoriska åtgärder

(1) Leverantören skyddar uppgifterna med åtgärderna i bilaga B (artikel 32 i dataskyddsförordningen), till exempel genom krypterad lagring av uppgiftstexter och genom en rollmodell som kontrollerar varje begäran på serversidan. Dessa åtgärder utgör den miniminivå som parterna enas om när avtalet ingås.

(2) Leverantören får vidareutveckla åtgärderna så länge skyddet inte försämras. Väsentliga ändringar dokumenteras; den aktuella versionen av bilaga B finns alltid på denna sida.

§ 7 Underbiträden

(1) Leverantören får anlita de företag som anges i bilaga C, avsnitt 1, till exempel det hostingföretag där databasen körs. Genom registreringen godkänner Kunden denna förteckning (allmänt godkännande, artikel 28.2 i dataskyddsförordningen).

(2) Vill Leverantören lägga till ytterligare ett företag eller byta ut ett, skickar Leverantören i förväg ett systemmejl till Kunden på adressen enligt § 4 punkt 6 och uppdaterar bilaga C. Kunden har 30 dagar från mottagandet på sig att av dataskyddsskäl invända skriftligen. Dessförinnan får bytet ingen verkan i förhållande till Kunden.

(3) Invänder Kunden får Kunden säga upp Huvudavtalet till den tidpunkt då bytet får verkan. Återlämnande och radering sker enligt § 11.

(4) Även ett byte av den tjänst som tillhandahåller språkmodellen för AI-funktionen är ett byte enligt punkt 2, även om Leverantören för detta endast ändrar en inställning.

(5) Varje underbiträde ålägger Leverantören genom avtal samma dataskyddsskyldigheter som Leverantören själv har enligt detta PUB-avtal, framför allt tillräckliga skyddsåtgärder (artikel 28.4 i dataskyddsförordningen). Brister ett underbiträde i något avseende ansvarar Leverantören gentemot Kunden för detta som för en egen brist.

(6) Inga underbiträden är de mottagare i bilaga C, avsnitt 2, som inte får några uppgifter från uppdraget, och de tjänster i bilaga C, avsnitt 3, som Kunden eller Kundens användare själva ansluter.

§ 8 Stöd vid de registrerades rättigheter

(1) Begär en person av Kunden tillgång till, rättelse, radering, begränsning eller överföring av sina uppgifter, eller invänder personen mot behandlingen (kapitel III i dataskyddsförordningen), hjälper Leverantören Kunden att besvara begäran (artikel 28.3 e i dataskyddsförordningen). Det första hjälpmedlet är tjänstens funktioner: sökning och visning, redigering och borttagning av innehåll, borttagning av medlemmar och gäster samt dataexporten (§ 11 punkt 3). Exempel: Begär en tidigare affärspartner tillgång till sina uppgifter, söker Kunden själv efter dennes namn i sina projekt och postlådor. Räcker inte detta hjälper Leverantören till på begäran skriftligen; för detta får Leverantören ta ut en skälig ersättning efter faktisk arbetsinsats, utom när begäran beror på ett fel hos Leverantören.

(2) Vänder sig en person direkt till Leverantören och gäller det uppgifter som Leverantören behandlar för Kundens räkning, vidarebefordrar Leverantören begäran omedelbart till Kunden och besvarar den inte själv. Leverantören meddelar personen att begäran har vidarebefordrats.

§ 9 Stöd vid skyldigheterna enligt artiklarna 32–36 i dataskyddsförordningen

Leverantören hjälper Kunden att fullgöra sina skyldigheter enligt artiklarna 32–36 i dataskyddsförordningen (artikel 28.3 f i dataskyddsförordningen): när det gäller säkerheten i behandlingen genom åtgärderna i bilaga B, vid personuppgiftsincidenter genom anmälan enligt § 10 och med upplysningar om behandlingen när Kunden genomför en konsekvensbedömning avseende dataskydd eller måste samråda med sin tillsynsmyndighet i förväg. Leverantören tar därvid hänsyn till vad Leverantören vet om behandlingen och hur den går till. Förfrågningar skickas skriftligen till support@todo.monster.

§ 10 Anmälan av personuppgiftsincidenter

(1) Får Leverantören kännedom om en personuppgiftsincident som rör Kundens uppgifter, till exempel obehörig åtkomst till databasen eller en läcka i en säkerhetskopia, anmäler Leverantören detta till Kunden utan onödigt dröjsmål på adressen enligt § 4 punkt 6 (artikel 33.2 i dataskyddsförordningen). Leverantören anmäler så snabbt att Kunden kan hålla sin egen frist på 72 timmar gentemot tillsynsmyndigheten (artikel 33.1 i dataskyddsförordningen).

(2) Anmälan innehåller, i den mån Leverantören redan känner till det: vad som har hänt, vilka typer av uppgifter och ungefär hur många personer och registerposter som berörs, vilka konsekvenser som är sannolika, vad Leverantören har gjort och föreslår, och vem som är kontaktperson hos Leverantören (artikel 33.3 i dataskyddsförordningen). Det som Leverantören ännu inte vet lämnas i efterhand så snart Leverantören vet det.

(3) Leverantören säkrar uppgifterna omedelbart, begränsar skadan och stämmer av de fortsatta stegen med Kunden.

§ 11 Uppdragets upphörande, återlämnande och radering

(1) För ett företag upphör uppdraget när företagsplanen eller pilotavtalet sägs upp eller på annat sätt upphör utan att en annan företagsplan omedelbart tar vid, eller när företaget avvecklas (nedan ”avtalets upphörande”). Ett byte mellan företagsplaner eller från pilotavtalet till en företagsplan avslutar inte uppdraget. För en kund utan företag upphör uppdraget när kunden tar bort sitt konto; förloppet beskrivs i integritetspolicyn.

(2) Efter avtalets upphörande kan företagets ägare fortfarande läsa och exportera företagets uppgifter under 30 dagar. Under denna tid hämtar ägaren själv tillbaka uppgifterna via företagsexporten. Vill Kunden i stället att uppgifterna raderas omedelbart, meddelar Kunden detta till Leverantören skriftligen; Leverantören raderar då utan onödigt dröjsmål. På så sätt kan Kunden välja mellan återlämnande och radering (artikel 28.3 g i dataskyddsförordningen).

(3) Företagsexporten är vägen för återlämnande: Företagets ägare laddar ned ett arkiv i vanliga, maskinläsbara format (JSON, CSV) med projekt, moduler, uppgifter, kommentarer, tidsposter, tilldelningar, taggar, serieregler, ändringshistorik och bilagor. Inte inkluderat är innehåll i företagspostlådor och anslutna postlådor, kalendrar och möten, fakturor och kvitton samt andra personers profiler. Behöver Kunden innehåll från postlådor eller kalendrar, begär Kunden det skriftligen inom de 30 dagarna enligt punkt 2; Leverantören tillhandahåller det inom 30 dagar från mottagandet, i den mån det fortfarande finns kvar. Kunder utan företag använder den personliga dataexporten med samma omfattning för sina egna projekt.

(4) Fakturor och kvitton som Leverantören har utfärdat till Kunden i egenskap av personuppgiftsansvarig förblir alltid tillgängliga i kontot; de ingår inte i uppdraget.

(5) 60 dagar efter avtalets upphörande raderar en automatisk rensningskörning företagets uppgifter inklusive papperskorgen, såvida inte lag kräver längre bevarande. I hostingföretagets säkerhetskopior skrivs uppgifterna över inom ytterligare 30 dagar. En säkerhetskopia som innehåller raderade uppgifter återställs endast efter ett avbrott; därefter genomför Leverantören redan utförda raderingar på nytt.

(6) Medlemmarnas och gästernas personliga konton påverkas inte av avtalets upphörande; deras egna uppgifter utanför företaget finns kvar i deras konton. Uppgifter som Leverantören i egenskap av personuppgiftsansvarig måste bevara raderas inte: fakturor och kvitton (147 § AO, 257 § HGB), loggar över samtycken och granskningsloggar utan innehållsdata. För dessa uppgifter gäller efter avtalets upphörande inte längre detta PUB-avtal, utan integritetspolicyn.

(7) På begäran bekräftar Leverantören raderingen skriftligen. Till dess att återlämnande och radering har slutförts fortsätter detta PUB-avtal att gälla.

§ 12 Bevis och bidrag till granskningar

(1) Kunden får kontrollera att Leverantören följer detta PUB-avtal (artikel 28.3 h i dataskyddsförordningen). Leverantören ger Kunden all information som behövs för detta och bidrar till granskningar som Kunden själv eller en av Kunden anlitad granskare med tystnadsplikt genomför.

(2) Granskningen sker genom dokumentation: På begäran tillhandahåller Leverantören den aktuella versionen av bilagorna B och C, en egendeklaration om åtgärderna i bilaga B, bevis, rapporter och certifikat från sitt hostingföretag och sina övriga underbiträden samt skriftliga svar på Kundens frågor. En granskning på plats hos Leverantören eller hos dess underbiträden är inte föreskriven. Vid granskningar som görs av en tillsynsmyndighet medverkar Leverantören som tidigare.

(3) Leverantören får skydda affärshemligheter och andra kunders uppgifter och begränsa upplysningarna till de system och den dokumentation som rör Kunden.

§ 13 Behandlingsort och tredjeland

(1) Leverantören och dess underbiträden i bilaga C, avsnitt 1 behandlar Kundens uppgifter uteslutande i Tyskland.

(2) Till ett land utanför EU och Europeiska ekonomiska samarbetsområdet överför Leverantören ingenting på eget initiativ. Skulle Leverantören någon gång vilja det, vore det ett byte enligt § 7 punkt 2, och villkoren i artikel 44 och följande artiklar i dataskyddsförordningen skulle behöva vara uppfyllda.

(3) Annorlunda är det med tjänster som Kunden eller Kundens användare själva ansluter till todo.monster (bilaga C, avsnitt 3): postlådor via IMAP och SMTP, kalendrar via CalDAV samt Google- och Microsoft-kalendrar. Dit överför Leverantören endast det som funktionen behöver, till exempel ett möte som skapats i tjänsten till den anslutna kalendern. Om en sådan tjänst behandlar uppgifter utanför Europeiska ekonomiska samarbetsområdet beror på den valda tjänsten; när det gäller Google och Microsoft får man räkna med behandling i USA. Kunden ansvarar för att denna överföring är tillåten och att de nödvändiga garantierna finns (§ 4 punkt 3).

§ 14 Ansvar och slutbestämmelser

(1) För parternas ansvar gäller ansvarsklausulen i de allmänna villkoren. Det lagstadgade ansvaret gentemot registrerade enligt artikel 82 i dataskyddsförordningen påverkas inte av detta.

(2) Ändringar av detta PUB-avtal kräver skriftlig form. Leverantören får ändra det om behandlingen, underbiträdena eller rättsläget ändras; Leverantören informerar Kunden via systemmejl minst 30 dagar i förväg. För bilaga C gäller § 7 punkt 2.

(3) Tysk rätt gäller. Behörig domstol är Berlin, om Kunden är köpman (Kaufmann), offentligrättslig juridisk person eller offentligrättslig särskild förmögenhetsmassa.

(4) Om en bestämmelse i detta PUB-avtal är ogiltig förblir de övriga giltiga; i dess ställe träder den lagstadgade regleringen.

Bilaga A: Föremålet för behandlingen

1. Funktioner och ändamål

Leverantören behandlar Kundens uppgifter för att tillhandahålla följande funktioner för Kunden och Kundens företag. En funktion behandlar uppgifter endast om Kunden eller Kundens användare använder den.

2. Kategorier av registrerade

• Kunden själv samt ägare, administratörer och medlemmar i Kundens företag (anställda, uppdragstagare, ombud).
• Projektgäster och inbjudna externa personer: personer utan egen plats i företaget som Kunden eller Kundens användare bjuder in till projekt, även sådana vars inbjudan ännu inte har besvarats. Deras innehåll i Kundens projekt är Kundens uppgifter. För sitt eget användarkonto hos todo.monster är de användare hos Leverantören; för detta gäller integritetspolicyn.
• Avsändare och mottagare av e-postmeddelanden i företagspostlådor och anslutna postlådor samt personer som nämns i meddelanden.
• Deltagare i kalendermöten.
• Kunder, affärspartner, leverantörer och andra tredje parter vars uppgifter Kundens användare registrerar i uppgifter, kommentarer, bilagor, tidsposter, applikationsanteckningar eller skärmbilder.

3. Varaktighet

Behandlingen pågår så länge som Huvudavtalet, fram till återlämnande eller radering enligt § 11. Under avtalstiden gäller fristerna i bilaga B, punkt 3 för papperskorgen och för loggar.

Bilaga B: Tekniska och organisatoriska åtgärder (artikel 32 i dataskyddsförordningen)

Åtgärderna beskrivs efter var de finns: i tjänsten (utvecklade och drivna av Leverantören), hos hostingföretaget (genom underbiträdet i bilaga C, avsnitt 1) eller organisatoriskt hos Leverantören. Leverantören utfäster endast åtgärder som är införda.

1. Konfidentialitet

• Tillträde och åtkomst hos hostingföretaget: Servrarna står i hostingföretagets datacenter i Tyskland med tillträdesskydd och åtkomstkontroll enligt dess säkerhetskoncept; Leverantören tillhandahåller det på begäran som bevis (§ 12). Leverantören själv har inget fysiskt tillträde.
• Åtkomst till tjänsten: Inloggning med e-postadress och lösenord eller via inloggningslänk till den registrerade e-postadressen. Lösenord lagras endast som hash; nya lösenord måste uppfylla minimikrav och kontrolleras mot kända dataläckor utan att lösenordet lämnar tjänsten. Inloggningsförsök begränsas per avsändaradress och per konto. Sessioner löper ut efter två timmar utan aktivitet; sessionscookies gäller endast via HTTPS och är oåtkomliga för skript. Åtkomsttoken för mobilappen och programmeringsgränssnittet löper ut efter 30 dagar och kan när som helst återkallas.
• Åtkomst inom tjänsten: Rollmodell per företag (ägare, administratör, medlem, gäst) och per projekt; varje läs- och skrivåtkomst till uppgifter, projekt och företag kontrolleras av servern mot centrala behörighetsregler. Ett administratörskonto hos Leverantören kan inte läsa beskrivningar, kommentarer, bilagor eller innehåll i postlådor och kalendrar; vad det ser anges uttömmande i punkt 5.
• Separering: Alla kunders uppgifter ligger i en gemensam databas och är logiskt åtskilda genom kopplingen till företag och projekt; denna koppling sätts av servern och hämtas aldrig från en begäran. Utveckling, test och produktion är separata system; utvecklingsmiljön är dessutom skyddad av en åtkomstspärr och innehåller inga produktionsdata.
• Kryptering av lagrade uppgifter: Titlar och beskrivningar av projekt och uppgifter, kommentarer, ämne och text i e-postmeddelanden, mötesinnehåll samt inloggningsuppgifter för anslutna postlådor och kalendrar lagras krypterade på serversidan (AES-256); lösenord lagras endast som Argon2id-hash. Det rör sig om kryptering på serversidan, inte om end-to-end-kryptering: Leverantören kan tekniskt sett komma åt uppgifterna; när Leverantören gör det anges i punkt 5.
• Kryptering vid överföring: Tjänsten är endast nåbar via HTTPS (omdirigering och HSTS); anslutningar till postlådor, kalendrar, språkmodellen, rapportservern och betaltjänsten är transportkrypterade.
• Personers konfidentialitet: Alla personer hos Leverantören som har åtkomst till produktionssystem har skriftligen förbundit sig till konfidentialitet.

2. Integritet

• Inmatningskontroll: Ändringar av uppgifter registreras med ansvarig, tidpunkt, gammalt och nytt värde i en historik. Administrativa åtgärder i företaget (roller, inbjudningar, postlådor, avveckling) registreras i företagets granskningslogg. Inloggningar registreras med tidpunkt, avsändaradress och klient. Leverantörens åtkomst enligt punkt 5 loggas.
• Skydd av applikationen: Skydd mot förfalskade förfrågningar (CSRF) genom sessionstoken; rensning på serversidan av formaterad inmatning; genomgående maskering av utdata; säkerhetshuvuden mot inbäddning i främmande sidor och mot typgissning samt för styrning av referrer. Bilagor accepteras endast om filändelse och identifierad innehållstyp stämmer överens; de lagras under slumpmässiga namn utanför webbroten och levereras med en isolerande säkerhetspolicy. Profilbilder kodas om utan metadata.
• Överföringskontroll: Uppgifter lämnar tjänsten endast till de mottagare som anges i bilaga C och endast i den omfattning som beskrivs där; till språkmodellen skickas inga bilagor, till betaltjänsten inga innehållsdata; Leverantörens bokförings- och bankuppgifter lämnar inte systemet. Leverantörens administrations- och databasåtkomst sker via hostingföretagets administrationsgränssnitt och krypterade anslutningar.
• Utvecklingsprocess: Varje ändring av tjänsten genomgår före leverans automatiserade tester, bland annat kontraktstester för behörighetsregler, kryptering och modulgränser, och sammanförs på ett spårbart sätt. Leveransen sker reproducerbart som containeravbild; felmeddelanden visas i produktion aldrig i webbläsaren.

3. Tillgänglighet, motståndskraft och radering

• Säkerhetskopiering: Databas och fillagring säkerhetskopieras av hostingföretaget; säkerhetskopior sparas i upp till 30 dagar och skrivs därefter över.
• Återställning: Applikationen körs som en containerstack med separata processer för webb, schemaläggning och bakgrundsjobb; ett underhållsläge stoppar tjänsten på ett kontrollerat sätt under en återställning. En hälsoendpoint möjliggör övervakning.
• Motståndskraft: Begränsning av förfrågningar per avsändaradress och konto för inloggning, registrering, inbjudningar, skrivåtkomst via programmeringsgränssnittet och administrationsfunktioner; gränser för storlek, antal och lagringsutrymme för bilagor; månadskvoter för AI-funktionen.
• Papperskorg: Borttagna projekt, moduler, uppgifter, postlådor och kalendrar markeras först endast som borttagna och tas bort slutgiltigt först efter en konfigurerad frist (standard 30 dagar, lägst en dag); borttagna e-postmeddelanden ligger kvar i 45 dagar i postlådans papperskorg. Fram till dess kan behöriga användare själva återställa dem. Övergivna bilagefiler tas bort dagligen.
• Logg- och raderingsfrister: aviseringar 30 dagar; loggar från synkroniseringen av postlådor och kalendrar tre dagar, vid fel sju dagar; exportarkiv 24 timmar; inloggningsloggar 90 dagar; användningslogg för AI-funktionen 90 dagar; granskningsloggar för företaget och för återställning tre år, granskningslogg för faktureringen tio år (skatterättsligt bevarande); IP-adress vid samtycken till avtalets upphörande plus tre år; skärmbilder från felrapporter 90 dagar; applikationsloggar 30 dagar.
• Tillgänglighetsåtagande: Tjänstens tillgänglighet regleras i de allmänna villkoren, inte i detta PUB-avtal.

4. Förfarande för regelbunden kontroll

• Regelbunden automatisk kontroll av att uppgifter som ska lagras krypterade också lagras krypterade, och regelbunden avstämning av bilagelagringen mot databasen.
• Automatiserade tester vid varje ändring; dokumenterade instruktioner för leverans, nyckelrotation, underhållsläge och störningar.
• Ändringar av åtgärderna i denna bilaga dokumenteras (§ 6 punkt 2).
• Dataskydd som standard: AI-funktionen körs endast när en användare utlöser den för ett e-postmeddelande och kan stängas av per användare; felrapporter med skärmbild skickas endast när användaren utlöser dem; postlådor och kalendrar är anslutna endast om en användare ansluter dem; profilbilder ser endast personer med gemensamt projekt eller gemensamt företag.

5. Leverantörens åtkomst till Kundens uppgifter (åtkomstregel)

Leverantörens anställda tittar inte rutinmässigt på Kundens innehåll. En människa får åtkomst endast när det finns en anledning (en instruktion från Kunden eller en säkerhets- eller driftincident), endast i den utsträckning som behövs, och varje åtkomst loggas. Tjänstens automatiska behandling enligt bilaga A påverkas inte av detta. Utöver följande åtkomster finns inga andra:

• Återställning (§ 3 punkt 4): På Kundens begäran ser ett administratörskonto hos Leverantören med behörighet att återställa användarnamn, e-postadress, status och tidpunkt för borttagning för den berörda användaren samt namnen på dennes projekt och moduler, titlarna på dennes uppgifter och tidpunkterna för borttagning av borttagna poster. Inte synliga är beskrivningar, kommentarer, bilagor, tidsposter samt innehåll i postlådor och kalendrar. Varje återställning loggas med utförande person och tidpunkt.
• Supportdiagnos: På Kundens begäran ser ett administratörskonto hos Leverantören företagets medlemskap, inbjudningar och postlådeanslutningar (värdnamn, status, tidpunkt för senaste hämtning), inte innehållet i meddelanden. Varje diagnos registreras i företagets granskningslogg innan den visas.
• Felrapporter: Skärmbilder och beskrivningar som en användare skickar via felrapporteringsfunktionen ser Leverantören för att åtgärda det rapporterade felet; de raderas efter fristen i punkt 3.
• Drift och säkerhet: Åtkomst till databas, fillagring och loggar för att åtgärda en störning, utreda en säkerhetsincident eller utföra en instruktion. Anledningen dokumenteras; Kundens innehåll ser Leverantören därvid endast i den utsträckning som anledningen kräver.

Bilaga C: Underbiträden och övriga mottagare

1. Underbiträden (§ 7 punkt 1)

2. Mottagare utanför uppdraget

Följande mottagare får inga uppgifter från Kundens uppdrag. Leverantören anlitar dem i egenskap av personuppgiftsansvarig för egna ändamål; de anges här endast för avgränsningens skull, och närmare uppgifter finns i integritetspolicyn. Leverantörens bokförings- och bankuppgifter behandlas inom tjänsten och överförs inte till någon ytterligare mottagare.

• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Nederländerna: betalningshantering för avgiftsbelagda planer. Mollie får namn och e-postadress för faktureringskontot samt betalningsuppgifterna, inga innehållsdata; Mollie agerar vid betalningshanteringen som självständig personuppgiftsansvarig.
• EU-Captcha (Myra Security GmbH, München): botskydd vid registrering och i kontaktformuläret; det som överförs är IP-adress, webbläsaridentifiering och captcha-token för den person som registrerar sig respektive skriver. Kontrollen är en behandling som Leverantören utför i egenskap av personuppgiftsansvarig.
• Have I Been Pwned (api.pwnedpasswords.com, operatör Troy Hunt, Australien): När ett lösenord anges överförs ett kort fragment av ett hashvärde, aldrig lösenordet och ingen identifierare för personen; det går inte att koppla uppgiften till en person.

3. Tredjepartstjänster som Kunden anlitar

Ansluter Kunden eller en av Kundens användare någon av följande tjänster till todo.monster, har Kunden själv valt tjänsten och står i ett eget avtalsförhållande till den. Tjänsten är inget underbiträde till Leverantören; Leverantören överför dit endast det som funktionen behöver och hämtar därifrån det som användaren har gett åtkomst till (§ 13 punkt 3).

• Postlådor via IMAP och SMTP hos Kundens eller användarens e-postleverantör: hämtning och utskick av meddelanden med de inloggningsuppgifter som användaren anger.
• Kalendrar via CalDAV (till exempel Nextcloud eller Fastmail): synkronisering av möten med de inloggningsuppgifter som användaren anger.
• Google-kalender (Google LLC respektive Google Ireland Limited): Användaren loggar in direkt hos Google och ger där sitt medgivande; Leverantören läser möten från de valda kalendrarna och överför möten som skapats eller ändrats i tjänsten till Google. Behandling sker regelmässigt även i USA. Tillgänglig endast i den mån Leverantören har aktiverat funktionen.
• Microsoft-kalender (Microsoft Corporation respektive Microsoft Ireland Operations Limited) för privata Microsoft-konton: Användaren loggar in direkt hos Microsoft och ger där sitt medgivande; Leverantören läser möten från de valda kalendrarna och överför möten som skapats eller ändrats i tjänsten, med deras deltagare, till Microsoft, som kan skicka inbjudningar. Behandling sker regelmässigt även i USA.

För Google och Microsoft gäller: Vilka garantier som säkerställer överföringen till USA beror på det avtalsförhållande som Kunden eller Kundens användare själv har med respektive tjänst (§ 4 punkt 3).

Kopplar användaren bort anslutningen raderar Leverantören inloggningsuppgifterna och åtkomsttoken; redan hämtade meddelanden och möten finns kvar i tjänsten tills användaren tar bort dem eller kontot respektive företaget tas bort.