Allmänna villkor för tjänsten Nexus GO Identifiering med BankID

1. Definitioner

Avtalet

Det avtal avseende Tjänsten för vilket dessa allmänna villkor gäller.

Bankdag

Helgfri måndag till fredag.

BankID

Produktnamnet för ett par av certifikat utgivna av Part inom Bankernas ID-tjänst. Innehåller ett certifikat för styrkande av identitet (autentisering) och ett certifikat för signering av meddelande eller annan datamängd.

Kund

Den part till vilken Nexus tillhandahåller Tjänsten.

Slutanvändare

Individ som är innehavare av BankID och med hjälp av detta kan identifiera sig hos Kunden.

Tjänsten

Nexus Go Autentisering med BankID, vilken ger Kunden möjlighet att autentisera Slutanvändare med BankID.

Varumärket

Varumärke för Bankernas ID-tjänst, dvs. namnet BankID och andra kännetecken för ID-tjänsten.

2. Avtalets omfattning

2.1. Nexus tillhandahåller Tjänsten till Kunden mot vid var tid gällande avgifter.

3. Tjänsten

3.1. Nexus ska tillhandahålla en fackmannamässigt utförd Tjänst. Nexus strävar efter att Tjänsten alltid ska vara tillgänglig, men kan inte garantera att den alltid kommer vara felfri eller fungera utan avbrott.

3.2 Nexus har rätt att om Nexus anser att det föreligger säkerhetsmässiga skäl omedelbart avbryta Kundens tillgång till Tjänsten. Nexus åtar sig att i sådana fall att vidta alla rimliga åtgärder för att Tjänsten snarast möjligt ska kunna återupptas. Vid sådana, eller andra avbrott, som varar under tidsperiod som kan förväntas innebära betydande olägenhet för Kunden ska Nexus meddela Kunden om vad som har inträffat och om möjligt lämna en prognos om när Tjänsten rimligen kan förväntas återupptas.

4. Kundens ansvar, begränsningar i Tjänsten

4.1. Kunden ska tillse att loggar sparas och arkiveras enlighet med eventuella krav enligt tillämplig lagstiftning och, inom ramen för sådan lagstiftning, Kundens egna behov.

4.2. Kunden har endast rätt att använda Tjänsten i syfte att för egen räkning och i eget namn autentisera och verifiera Slutanvändares signatur och identitet i sina egna tjänster. Kunden får således inte använda Tjänsten i något annat syfte.

4.3. Kunden får inte vidareförmedla information om spärrat BankID till tredje part.

4.4. Tjänsten får inte, vare sig av Kunden eller av någon med vilken Kunden samverkar, användas för att utfärda, eller i samband med utfärdande av, annat identifieringsverktyg. När Kunden använder BankID för att identifiera Slutanvändare får denna identifiering inte användas som grund för att utfärda eller använda andra elektroniska identiteter för Slutanvändare oavsett form (s.k. ”ID-växling”). Brott mot denna föreskrift anses som ett sådant väsentligt kontraktsbrott som ger Nexus rätt att säga upp Avtalet. Om Kunden vill använda andra identifierings- och/eller signerings-lösningar än BankID, måste den utgivningsprocessen ske på ett sådant sätt att verifieringen av Slutanvändaren aldrig direkt eller indirekt grundar sig på eller kan kopplas samman med ett BankID.

5. Ersättning och betalning

5.1. Vid var tid gällande avgifter för Tjänsten framgår av https://go.nexusgroup.com/ . Samtliga avgifter anges exklusive moms.

5.2. Kunden ska betala löpande månadsavgift i förskott och avgifter för autentiseringar i efterskott. Betalning erläggs mot faktura med fjorton dagars betalningsfrist.

6. Publicering

6.1. I syfte att göra känt för allmänheten att Kunden accepterar BankID som identifieringsmedel har Nexus rätt att publicera Kundens varumärke och/eller firma under vilken verksamheten bedrivs på sina webbsidor samt i övrigt göra detta känt för allmänheten, inklusive genom publikation på tredje parts webbsida eller annat medium.

7. Reklamation

7.1. Om Kunden upptäcker fel i Tjänsten ska Kunden skriftligen underrätta Nexus med angivande av vari felet ligger (reklamation).

7.2. Reklamation ska lämnas snarast efter att Kunden upptäckt felet och i alla händelser senast inom två månader från det att felet uppstod. Om Kunden inte reklamerar inom föreskriven tid tappar Kunden rätten att åberopa felet mot Nexus. Detsamma gäller för reklamation som inte lämnas inom rimlig tid efter att Kunden borde ha upptäckt felet.

7.3. Om Kunden reklamerat och det visar sig att något fel för vilket Nexus ansvarar ej förelegat ska Kunden betala skälig ersättning för de kostnader som Nexus har haft i anledning av reklamationen, såsom för utredning avseende det påstådda felet.

8. Ansvarsbegränsning

8.1. Parts skadeståndsansvar är begränsat till ersättning för direkt skada eller förlust som uppkommit som direkt följd av partens fel eller försummelse och till maximalt fem prisbasbelopp under avtalstiden. Dessa ansvarsbegränsningar gäller inte vid intrång i immateriella rättigheter eller vid brott mot sekretessförpliktelse.

8.2. Part ansvarar inte för skada som beror av svenskt eller utländskt lagbud, svensk eller utländsk myndighetsåtgärd, krigshändelse, strejk, blockad, bojkott, lockout eller annan liknande omständighet. Förbehållet i fråga om strejk, blockad, bojkott och lockout gäller även om part själv är föremål för eller vidtar sådan konfliktåtgärd. Föreligger hinder för part att fullgöra åtagande enligt Avtalet eller vidta annan åtgärd på grund av omständighet som angivits i denna bestämmelse, får åtgärden uppskjutas till dess hindret har upphört.

9. Etiska riktlinjer

9.1. Kunden får inte erbjuda BankID i sammanhang som är moraliskt eller etiskt tveksamma, såsom spel och dobbel, pornografi, vapen, alkohol och mikrolånsindustrin (SMS-lån och andra typer av snabblån).

9.2. Nexus har rätt att avsluta Avtalet med omedelbar verkan om det visar sig att Kunden eller dess verksamhet inte följer ovanstående etiska riktlinjer.

10. Immateriella rättigheter etc.

10.1. Avtalet medför ingen överlåtelse eller upplåtelse av några immateriella rättigheter och ger inte någon rätt för Kunden att nyttja BankID utöver vad som explicit framgår av dessa Allmänna Villkor.

10.2. Kunden saknar rätt att använda Varumärket annat än strikt enligt denna bestämmelse och den varumärkesguide som framgår av https://www.bankid.com/om-oss/logotyp.

10.3. Kunden ska tillse att Varumärket ingår i all relevant tryckt och Internet-baserad information som Kunden tillhandahåller och att Varumärket därvid presenteras i enlighet varumärkes-guiden

11. Sekretess

11.1. Vardera parten förbinder sig att inte för utomstående obehörigen avslöja företagshemlig och sekretesskyddad information som denne fått del av i anledning av detta Avtal. Information enligt denna punkt 11 omfattar varje upplysning av teknisk, kommersiell eller annan art, oavsett om den dokumenterats eller inte, som part fått ta del av med anledning av detta Avtal, vilket särskilt inkluderar information som rör parternas identifierings- och signeringstjänster, med undantag för upplysning som är allmänt känd eller som kommer till allmän kännedom på annat sätt än genom brott mot detta Avtal; upplysningar som part kan visa att denne kände till redan innan upplysningen mottogs från den andra parten.

12. Information mellan parterna

12.1. Parterna åtar sig att informera varandra om händelser avseende eller i samband med Tjänsten som kan förväntas ha betydelse för tredje man, såsom banker, andra kunder eller Slutanvändare

13. Personuppgifter

13.1. I samband med tillhandahållandet av Tjänsten kommer Nexus att behandla personuppgifter för Kundens räkning. Med anledning av detta har parterna, genom Bilaga 1 till dessa allmänna villkor, ingått ett personuppgiftsbiträdesavtal för att reglera parternas åtaganden avseende behandlingen av personuppgifter.

14. Avtalstid, förtida upphörande

14.1. Avtalet gäller tills vidare med en månads ömsesidig uppsägningstid. Kundens uppsägning ska göras enligt instruktioner i Nexus GO-portalen.

14.2 Vardera parten äger rätt att säga upp Avtalet till omedelbart upphörande om den andra parten gjort sig skyldig till väsentligt avtalsbrott och inte rättat detsamma skyndsamt efter skriftligt underrättelse från motparten med angivande och beskrivning av vari brottet består. Vid brott mot reglerna i punkt 4.4 eller punkt 9 har Nexus oaktat detta rätt att säga upp Avtalet till omedelbart upphörande.

14.3. Nexus har vidare rätt att säga upp Avtalet till omedelbart upphörande om Kunden försätts i konkurs eller ansökan om försättande i konkurs inges till domstol eller Kunden träder i likvidation, inleder ackordsförhandlingar, blir föremål för företagsrekonstruktion eller om det finns skälig anledning att anta att Kunden ej kommer att kunna fullgöra sina förpliktelser enligt Avtalet eller annat avtal som har direkt samband med Avtalet.

15. Ändringar i tjänsten eller Avtalet

15.1. Nexus har rätt att ensidigt ändra Avtalet med fjorton dagars skriftligt varsel, t.ex. via e-post, vilket bland annat innebär att Nexus har rätt att ändra omfattning och innehåll i Tjänsten eller vidta prisförändringar. Om Kund inte godkänner sådan ändring har Kunden rätt att säga upp Avtalet till upphörande senast före den dag ändringen träder ikraft. Om sådan uppsägning inte görs ska Kunden anses ha godkänt ändringen.

15.2. Ändringar som enligt Nexus bedömning är obetydliga eller till fördel för Kunden tillämpas från det datum Nexus anger.

16. Meddelanden

16.1. Meddelanden ska anses mottagna av Kunden två dagar efter att de skickats av Nexus till av Kunden på föreskrivet vis angiven e-postadress (se instruktioner på Nexus GO-portalen).

17. Överlåtelse av Avtalet

17.1. Nexus har rätt att överlåta Avtalet till annan part inom samma koncern som Nexus eller till tredje part som del av verksamhetsöverlåtelse. Kunden saknar rätt att överlåta Avtalet.

18. Tillämplig lag, tvistlösning

18.1. Svensk rätt ska äga tillämpning avseende detta Avtal.

18.2. Tvist ska avgöras enligt Stockholms Handels-kammares Skiljedomsinstituts regler för tvist-lösning.

Bilaga 1 – Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal (”Biträdesavtalet”), utgör Bilaga 1 till Avtalet. I detta Biträdesavtal avser den ”Ansvarige” Kunden och ”Biträdet” avser Nexus. Avseende behandlingen av personuppgifter under Avtalet är den Ansvarige personuppgiftsansvarig och Biträdet, som behandlar personuppgifter för den Ansvariges räkning, personuppgiftsbiträde. För det fall annat inte framgår av detta Biträdesavtal ska de definierade begrepp som i övrigt används i Avtalet också tillämpas på detta Biträdesavtal.

1. Dokument

Detta Biträdesavtal består av detta huvuddokument och följande bilaga:

Bilaga 1: Instruktioner

Tillämplig lagstiftning

2.1. Personuppgiftslagen (1998:204) (”PUL”) ska tillämpas på all behandling av personuppgifter inom ramen för detta Biträdesavtal. Den 25 maj 2018 träder Europaparlamentets och Rådets Förordning (EU) 2016/679 (”Förordningen”) i kraft, varpå PUL kommer att upphävas. När Förordningen träder i kraft ska all behandling av personuppgifter inom ramen för detta Biträdesavtal följa och tillämpa Förordningen. Samtliga hänvisningar till ”Tillämplig Lagstiftning” i detta Biträdesavtal ska förstås som en hänvisning till Förordningen och PUL.

2.2. Samtliga termer och definitioner i detta Biträdesavtal ska tillmätas samma innebörd som och tolkas i enlighet med Tillämplig Lagstiftning

3. Instruktioner

3.1. Den Ansvarige ska ge Biträdet instruktioner rörande behandlingen av personuppgifter. Sådana instruktioner ska framgå av Bilaga 1 och ska åtminstone innehålla följande information

(i) Behandlingens ändamål,

(ii) Behandlingens karaktär,

(iii) Hur länge behandlingen ska pågå,

(iv) Vilka kategorier av personuppgifter som ska behandlas, och

(v) Vilka kategorier av registrerade som inkluderas i behandlingen.

3.2. Biträdet får inte behandla personuppgifter för andra ändamål än vad som följer av den Ansvariges instruktioner. För det fall Biträdet behandlar personuppgifter i strid med den Ansvariges instruktioner, kan Biträdet anses vara personuppgiftsansvarig för sådan behandling och därmed vara ansvarig för den behandlingen i enlighet med Tillämplig Lagstiftning.

3.3. Oaktat ovanstående har Biträdet rätt att, i skälig omfattning, vidta löpande åtgärder utan den Ansvariges uttryckliga instruktion, under förutsättning att Biträdet agerar för och i enlighet med de ändamål som framgår av Bilaga 1 och detta Biträdesavtal i övrigt.

3.4. Den Ansvarige ska säkerställa att instruktionerna inte strider mot Tillämplig Lagstiftning. Den Ansvarige ska hållas ansvarig för instruktioner som strider mot Tillämplig Lagstiftning eller som annars är inkorrekta.

4. Biträdets skyldigheter

4.1. Biträdet ska i skälig omfattning vidta tekniska och organisatoriska åtgärder för att bistå den Ansvarige så att den Ansvarige kan säkerställa att de registrerade kan utnyttja de rättigheter som följer av Tillämplig Lagstiftning.

4.2. Biträdet ska vidare bistå den Ansvarige med följande, i enlighet med Tillämplig Lagstiftning:

(i) säkerställa att behandlingen är säker,

(ii) meddela den Ansvarige och informera registrerade om personuppgiftsincidenter, såsom obehörigt intrång,

(iii) om tillämpligt, genomföra risk- och sårbarhetsanalys tillsammans med den Ansvarige, och

(iv) konsultera tillsynsmyndighet om en risk- och sårbarhetsanalys indikerar att behandlingen medför särskilt höga risker för de registrerade.

5. Säkerhetsåtgärder

5.1. Biträdet ska vidta nödvändiga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som Biträdet behandlar för den Ansvariges räkning.

5.2. Biträdet ska med de tekniska och organisatoriska åtgärderna säkerställa att personuppgifterna är skyddade mot förstöring, ändring och spridning.

5.3. Biträdet ska säkerställa att endast behöriga personer hos Biträdet har tillgång till personuppgifter. Sådana behöriga personer ska vara bundna av sekretess som motsvarar den sekretessförbindelse som följer av detta Biträdesavtal.

5.4. Tillgång till system som behandlar personuppgifter ska loggas på ett sätt som möjliggör att tillgången spåras bakåt i tiden.

6. Underbiträden

6.1. Biträdet har rätt att anlita tredje part att utföra behandlingen, eller delar därav (”Underbiträde”) förutsatt att anlitandet sker i enlighet med Tillämplig Lagstiftning. Biträdet ska ingå ett skriftligt avtal med varje Underbiträde.

7. Överföringar till tredje land

7.1. Biträdet får endast föra över personuppgifter utanför EU/EES om Biträdet kan visa att det finns en legal grund för sådan överföring.

7.2. Vad som sägs i punkt 7.1 ovan måste vara uppfyllt även för det fall Biträdet anlitar ett Underbiträde i tredje land, i enlighet med avsnitt 6.

8. Insyn

8.1. Biträdet ska säkerställa att den Ansvarige på begäran kan erhålla information som visar att de personuppgifter som Biträdet behandlar för den Ansvariges räkning, behandlas i enlighet med den Ansvariges instruktioner.

9. Sekretess

9.1. Personuppgifter, information, instruktioner, systemlösningar, processbeskrivningar och/eller all annan dokumentation som endera parten erhåller vid utbyte av information under detta Biträdesavtal ska anses vara konfidentiell information och omfattas av Avtalets bestämmelser rörande sekretess. Detta innebär att parterna åtar sig att säkerställa att de som arbetar hos respektive part och som har tillgång till personuppgifter iakttar samma skyldighet att inte röja personuppgifter eller annan konfidentiell information som part själv. Konfidentiell information får inte användas eller röjas för andra ändamål än för att fullgöra skyldigheter enligt detta Biträdesavtal eller andra relevanta avtal mellan parterna.

9.2. Skyldigheten att iaktta sekretess avseende konfidentiell information under detta Biträdesavtal ska fortsätta att gälla även efter att detta Biträdesavtal har upphört att gälla.

10. Ansvar

10.1. Bestämmelserna rörande ansvar och ansvarsbegränsning i Avtalet ska gälla för detta Biträdesavtal.

11. Ersättning

11.1. Biträdet ska ha rätt till ersättning för kostnader och utgifter som drabbar Biträdet på grund av:

(i) ändringar i den Ansvariges instruktioner,

(ii) ändringar i Tillämplig Lagstiftning,

(iii) den Ansvariges utövande av sin rätt till insyn enligt punkt 8, eller

(iv) radering eller överföring av personuppgifter i enlighet med punkt 12.2.

11.2. Biträdet ska erhålla ersättning för sådana åtgärder som avses i punkt 11.1 i enlighet med Biträdets vid var tid gällande prislista.

12. Avtalstid

12.1. Detta Biträdesavtal gäller mellan parterna under den tid Biträdet behandlar personuppgifter för den Ansvariges räkning eller till dess att Avtalet upphör att gälla.

12.2. När Biträdesavtalet upphör att gälla ska Biträdet, på begäran av den Ansvarige, antingen radera eller överföra till den Ansvarige, samtliga personuppgifter som Biträdet har behandlat inom ramen för Biträdesavtalet. Om den Ansvarige begär att personuppgifterna ska överföras till den Ansvarige, ska personuppgifterna överföras på ett vanligt förekommande maskinläsbart format. Efter sådan överföring ska Biträdet genast radera personuppgifterna från sina system. Om den Ansvarige inte har inkommit med någon begäran om radering eller överföring inom trettio (30) dagar från Biträdesavtalets upphörande, har Biträdet rätt att radera personuppgifterna.

Bilaga 1- Instruktioner

Biträdet ska behandla personuppgifter för den Ansvariges räkning under detta Biträdesavtal till det tidigare av (i) att Avtalet upphör att gälla och (ii) att den Ansvarige ger Biträdet instruktionen att avsluta behandlingen. Behandlingen under detta Biträdesavtal sker för att möjliggöra för Slutanvändare att använda BankID för inloggning hos Kunden, vilket möjliggörs genom Tjänsten. De personuppgifter som behandlas av Biträdet är Slutkundernas personnummer. Behandlingen består av att Nexus vidtar de tekniska åtgärder som är nödvändiga för Slutkundens inloggning hos Kunden och av att Nexus lagrar personuppgifterna.