Vetmanager Partner- och API-avtal (version 1)

Vetmanager Partner- och API-avtal

1. Parter och avtalets ingående
Detta avtal reglerar användningen av Vetmanagers API och ingås mellan JEB AB, organisationsnummer 559018-5889, nedan kallat Vetmanager, och den organisation som ansöker om och beviljas åtkomst till API:et, nedan kallad Partnern.
Avtalet blir bindande när Partnern genom Vetmanagers administrativa funktion eller på annat av Vetmanager anvisat sätt accepterar avtalsvillkoren och Vetmanager godkänner Partnerns ansökan.
Den som accepterar avtalet för Partnerns räkning ska vara behörig att företräda Partnern.
Vetmanager har rätt att dokumentera och bevara uppgifter om avtalsaccept, inklusive tidpunkt, avtalsversion och uppgifter om den som accepterat avtalet.

2. Definitioner
Praktik avser veterinärklinik, djursjukhus, ambulerande veterinärverksamhet eller annan organisation som använder Vetmanager och som ger Partnern tillgång till data via API:et.
Praktikdata avser information som Partnern behandlar inom ramen för en tjänst eller integration som används tillsammans med Vetmanager, oavsett om informationen erhålls från Vetmanager, Praktiken, dess personal, djurägare, djurhållare eller annan källa.
Praktikdata kan exempelvis omfatta personuppgifter, uppgifter om djur och djurhållare, bokningar, ekonomiska uppgifter, diktat, journalinformation, dokument och kommunikation.
API avser de programmeringsgränssnitt och tillhörande funktioner som Vetmanager tillhandahåller för integration med externa tjänster.
Integration avser Partnerns tjänst eller tekniska lösning som använder Vetmanagers API.

3. Syfte och användningsrätt
Partnern ges en begränsad, icke-exklusiv, icke överlåtbar och återkallelig rätt att använda Vetmanagers API för att utveckla och tillhandahålla integrationer och tjänster åt gemensamma Praktiker.
API:et får endast användas i enlighet med detta avtal, gällande lagstiftning och Vetmanagers tekniska dokumentation.
Partnern ska begränsa hämtning, lagring och behandling av Praktikdata till vad som är nödvändigt för den aktuella tjänstens funktion och de ändamål som överenskommits med berörd Praktik.
Hämtning eller lagring av Praktikdata för framtida, ospecificerade ändamål är inte tillåten.
Partnern får inte använda API:et för andra ändamål än de som redovisats för Vetmanager utan att först informera Vetmanager och, när förändringen är väsentlig, invänta ny granskning enligt detta avtal.

4. Praktikens godkännande och ansvarsfördelning
Efter godkännande från Vetmanager kan Partnern göras valbar för Praktikerna.
När en Praktik godkänner Partnern erhåller Partnern behörighet att använda API:et för den aktuella Praktiken genom de autentiserings- och auktoriseringsmekanismer som Vetmanager vid var tid tillämpar.
Praktikens godkännande av integrationen innebär inte i sig att det finns rättslig grund för all personuppgiftsbehandling eller att sekretessbelagd information får lämnas ut.
Partnern och Praktiken ansvarar för att den behandling och det informationsutbyte som sker inom ramen för deras samarbete är tillåtet enligt tillämplig lagstiftning.
Vetmanagers godkännande av Partnern innebär endast att Partnern medges tillgång till API:et enligt detta avtal. Godkännandet utgör inte någon certifiering, garanti eller utfästelse avseende Partnerns tjänster, informationssäkerhet eller efterlevnad av tillämplig lagstiftning.
Vetmanager övertar inte genom godkännandet Partnerns eller Praktikens rättsliga skyldigheter.

5. Dataskydd och sekretess
Partnern ska behandla all Praktikdata som konfidentiell information och får endast använda informationen för de ändamål som är tillåtna enligt detta avtal och överenskommelsen med berörd Praktik.
Personuppgifter ska behandlas i enlighet med tillämplig dataskyddslagstiftning.
Partnern ansvarar för att fastställa och dokumentera sin dataskyddsrättsliga roll för respektive behandling av personuppgifter.
Om Partnern behandlar personuppgifter för en Praktiks räkning ska Partnern, innan behandlingen påbörjas, säkerställa att ett personuppgiftsbiträdesavtal som uppfyller kraven i artikel 28 i dataskyddsförordningen har ingåtts med Praktiken.
Om Partnern behandlar personuppgifter som självständigt personuppgiftsansvarig ansvarar Partnern för att det finns rättslig grund för behandlingen och att övriga skyldigheter enligt tillämplig dataskyddslagstiftning uppfylls.
Partnern får inte sälja, överlåta eller på annat sätt tillgängliggöra Praktikdata för tredje part för andra ändamål än den avsedda tjänsten. Anlitande av underleverantörer får endast ske i den utsträckning det är tillåtet enligt tillämplig lagstiftning och Partnerns avtal med berörd Praktik.
Partnern ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda Praktikdata mot obehörig åtkomst, förlust, förändring eller spridning.
Partnern är medveten om att Praktikdata kan innehålla uppgifter som omfattas av lagstadgad sekretess eller tystnadsplikt, affärskritisk information eller annan särskilt skyddsvärd information avseende djurägare, djurhållare, veterinärmedicinska förhållanden och myndighetsärenden.
Sådan information ska behandlas med en skyddsnivå som är anpassad till informationens känslighet och riskerna med behandlingen.
Journaltext tillhandahålls inte Partnern genom Vetmanagers ordinarie partner-API. Partnern kan dock behandla journalinformation som kommer från Praktiken eller dess användare och ansvarar då för säkerheten och lagligheten i denna behandling.
Om Partnerns tjänst behandlar diktat, anteckningar, dokument eller annan information som är avsedd att helt eller delvis ligga till grund för veterinärjournal ska Partnern behandla sådan information som särskilt skyddsvärd från det att Partnern tar emot eller skapar informationen, oavsett om informationen ännu har överförts till Vetmanager.
Partnern ska säkerställa att anställda och andra personer som ges tillgång till skyddsvärd Praktikdata omfattas av lämpliga sekretessförpliktelser.
Sekretessförpliktelsen gäller även efter att detta avtal upphört, så länge informationen inte lagligen har blivit allmänt tillgänglig eller annars får lämnas ut.

6. AI-tjänster och automatiserad behandling
Om Partnern använder artificiell intelligens eller annan automatiserad behandling av Praktikdata ska detta tydligt anges för Vetmanager.
Partnern ska redogöra för:

– vilka AI-tjänster som används,
– vilka kategorier av Praktikdata som behandlas,
– vilka ändamål behandlingen har,
– om information behandlas inom eller utanför EU/EES,
– vilka leverantörer och underleverantörer som anlitas,
– vilka lagringstider och raderingsrutiner som tillämpas.

6.1 Användning av AI-tjänster
Partnern får använda AI-tjänster för att utföra den behandling som ingår i den tjänst Praktiken har beställt, under förutsättning att behandlingen är förenlig med detta avtal och tillämplig lagstiftning.
Sådan användning kan exempelvis omfatta transkribering, sammanfattning, strukturering och framställning av journalutkast.
Partnern ska säkerställa att leverantörer och underleverantörer inte använder Praktikdata för andra ändamål än den avsedda behandlingen.

6.2 Förbud mot AI-träning
Partnern får inte använda Praktikdata för träning, finjustering, generell utvärdering, produktutveckling eller förbättring av egna eller tredje parts AI-modeller eller AI-tjänster utanför den specifika behandling som Praktiken har beställt.
Förbudet hindrar inte sådan tillfällig bearbetning och kvalitetskontroll som är nödvändig för att utföra den aktuella tjänsten, under förutsättning att informationen inte används för generell modellutveckling eller andra självständiga ändamål.
Partnern ska säkerställa att leverantörer och underleverantörer av AI-tjänster omfattas av motsvarande begränsningar.

6.3 Undantag från förbudet mot AI-träning
Undantag från förbudet mot användning av Praktikdata för träning, finjustering, utvärdering eller generell förbättring av AI-modeller eller AI-tjänster får göras endast om:
1. Berörd Praktik uttryckligen har godkänt den aktuella användningen.
2. Partnern kan visa att behandlingen är förenlig med tillämplig dataskyddslagstiftning, sekretessbestämmelser och andra rättsliga krav.
3. Vetmanager i förväg har lämnat sitt uttryckliga skriftliga godkännande.
Vetmanager har rätt att efter eget bedömande neka sådant godkännande, även om övriga förutsättningar är uppfyllda.
Vetmanagers godkännande innebär inte att Vetmanager övertar ansvaret för behandlingens laglighet.
Ett godkännande gäller endast den behandling och de ändamål som uttryckligen omfattas av godkännandet. Väsentliga förändringar kräver nytt godkännande.

6.4 AI-genererad journalinformation
Om Partnerns tjänst med hjälp av artificiell intelligens eller annan automatiserad behandling skapar eller bearbetar information som är avsedd att införas i veterinärjournal ska användaren ges möjlighet att kontrollera och korrigera informationen innan den betraktas som färdig.
Partnerns integration får inte utformas så att automatiskt genererad journaltext betraktas som slutligt godkänd eller signerad av ansvarig djurhälsopersonal utan den kontroll eller signering som krävs enligt tillämpliga regler.
Partnern får inte genom API:et ange eller förmedla att en journalanteckning är granskad, godkänd eller signerad av en viss användare om detta inte motsvarar en faktisk åtgärd av den behöriga användaren.

7. Tredjelandsöverföring
Partnern ska säkerställa att överföring av personuppgifter till länder utanför EU/EES endast sker när överföringen är tillåten enligt tillämplig dataskyddslagstiftning.
Om Partnern använder AI-tjänster, molntjänster eller andra leverantörer som innebär att Praktikdata behandlas eller kan göras tillgängliga utanför EU/EES ska Partnern redovisa:

– vilka leverantörer som används,
– i vilka länder uppgifter behandlas eller kan göras tillgängliga,
– vilken rättslig överföringsmekanism som används,
– vilka bedömningar av mottagarlandets skyddsnivå som har genomförts, när sådana krävs,
– vilka kompletterande tekniska och organisatoriska skyddsåtgärder som tillämpas.

Redovisningen ska även omfatta fjärråtkomst till Praktikdata från personal eller underleverantörer utanför EU/EES.
Partnern ska på begäran kunna tillhandahålla dokumentation som visar att överföringen uppfyller tillämpliga rättsliga krav.
Vetmanagers godkännande av en integration innebär inte att Vetmanager godkänner eller övertar ansvaret för Partnerns tredjelandsöverföringar.

8. Information som överförs till Vetmanager
Partnern ansvarar för att information som överförs till Vetmanager följer API:ets tekniska specifikationer och överförs på ett sådant sätt att oavsiktlig förändring, förlust, sammanblandning eller förvanskning av uppgifter förebyggs.
Partnern ansvarar för fel som orsakas av Partnerns system, integration eller behandling av informationen.
Partnern ansvarar inte för riktigheten i uppgifter som tillhandahållits av Praktiken eller dess användare, såvida inte Partnern genom egen bearbetning, generering eller annan hantering har orsakat felet.
Information som överförs till Vetmanager ska vara korrekt formaterad och fri från skadlig kod.
Partnern ska vidta rimliga åtgärder för att förhindra att felaktiga eller dubbla överföringar orsakar oavsiktliga ändringar i Vetmanager.
Ansvaret för veterinärmedicinska bedömningar och godkännande av journaluppgifter regleras av tillämplig lagstiftning och åvilar berörd behörig yrkesutövare.

9. Informationssäkerhet
Partnern ska upprätthålla en informationssäkerhetsnivå som är anpassad till den information som behandlas och riskerna med den aktuella tjänsten.
Partnern ska särskilt ha lämpliga rutiner och skyddsåtgärder för:

– kryptering av information under överföring och vid lagring när detta är motiverat av riskerna,
– säker autentisering och behörighetsstyrning,
– begränsning av åtkomst till vad som är nödvändigt för respektive användares arbetsuppgifter,
– loggning och uppföljning av åtkomst till skyddsvärd information,
– säkerhetsuppdateringar och hantering av kända sårbarheter,
– säkerhetskopiering och återställning när detta krävs för tjänstens funktion,
– begränsning av lagringstider och säker radering av information,
– hantering och skydd av API-nycklar och andra autentiseringsuppgifter.

Partnern ska även följa de säkerhetskrav för API-integratörer som Vetmanager publicerar eller meddelar Partnern, under förutsättning att kraven är skäliga och relevanta för den aktuella integrationen.
Vetmanager får uppdatera säkerhetskraven när detta är motiverat av teknisk utveckling, förändrad hotbild, lagstiftning eller andra säkerhetsrelaterade omständigheter.
Partnern ska ges skälig tid att genomföra ändringar, utom när omedelbara åtgärder krävs för att hantera en allvarlig säkerhetsrisk.

10. Säkerhetsincidenter
Partnern ska utan onödigt dröjsmål och senast inom 24 timmar efter upptäckt informera Vetmanager om säkerhetsincidenter som kan påverka Vetmanager, anslutna Praktiker eller Praktikdata.
Detta omfattar bland annat:

– misstänkt eller konstaterat dataintrång,
– obehörig åtkomst,
– förlust, förvanskning eller otillåten spridning av information,
– komprometterade autentiseringsuppgifter,
– andra säkerhetsincidenter som kan påverka Praktiker eller Praktikdata.

Partnerns första underrättelse ska, i den mån informationen är tillgänglig, innehålla en beskrivning av incidentens art, vilka system och kategorier av Praktikdata som berörs, vilka Praktiker som kan vara berörda, när incidenten upptäcktes samt vilka omedelbara skyddsåtgärder som har vidtagits.
Partnern ska därefter utan onödigt dröjsmål lämna ytterligare information som blir tillgänglig under utredningen.
Partnern ska bevara relevant teknisk information och andra uppgifter som skäligen behövs för att utreda incidentens orsak och omfattning, med beaktande av tillämplig lagstiftning.
Partnern ska samarbeta med Vetmanager vid utredning och hantering av incidenten.
Partnern ansvarar även för att underrätta berörda Praktiker och andra personuppgiftsansvariga i enlighet med tillämplig lagstiftning och ingångna avtal.
Underrättelse till Vetmanager ersätter inte denna skyldighet.

11. API-användning
Partnern får inte:

– kringgå tekniska begränsningar eller säkerhetsmekanismer,
– försöka få åtkomst till information utan behörighet,
– genomföra belastningstester eller säkerhetstester mot Vetmanagers system utan skriftligt godkännande,
– störa API:ets funktion eller tillgänglighet,
– använda autentiseringsuppgifter för andra Praktiker eller ändamål än de som behörigheten avser,
– dela autentiseringsuppgifter med obehöriga.

Vetmanager har rätt att införa eller ändra tekniska begränsningar, inklusive begränsningar av anropsfrekvens, datamängder och tillgängliga funktioner.
Vetmanager får även ändra, vidareutveckla eller avveckla API-funktioner.
Vid väsentliga förändringar som påverkar befintliga integrationer ska Vetmanager, när det är praktiskt möjligt, informera Partnern i skälig tid.
Vetmanager får genomföra ändringar utan föregående meddelande när det krävs av säkerhetsskäl eller andra tvingande omständigheter.

12. Immateriella rättigheter och Praktikdata
Samtliga rättigheter till API:et, dess dokumentation, varumärken och övrigt material som tillhandahålls av Vetmanager tillhör JEB AB eller dess rättighetsinnehavare.
Avtalet innebär ingen överlåtelse av immateriella rättigheter.
Detta avtal medför ingen överlåtelse av rättigheter till Praktikdata.
Partnern får endast behandla och använda Praktikdata i den omfattning som följer av detta avtal, överenskommelsen med berörd Praktik och tillämplig lagstiftning.
Partnern får inte använda Praktikdata för egna självständiga ändamål som är oförenliga med den avsedda tjänsten.

13. Granskning och informationsskyldighet
Vetmanager har rätt att begära en rimlig redogörelse för Partnerns användning av API:et, inklusive säkerhetsåtgärder, databehandling, användning av AI och anlitade underleverantörer.
Partnern ska på begäran lämna den information och dokumentation som skäligen behövs för att Vetmanager ska kunna bedöma Partnerns efterlevnad av detta avtal.
Vetmanager får begära kompletterande uppgifter eller förklaringar när tidigare lämnad information är ofullständig, inaktuell eller ger anledning till frågor.
Granskningen ska genomföras på ett proportionerligt sätt och med hänsyn till Partnerns berättigade behov av att skydda företagshemligheter och annan konfidentiell information.
Vetmanager har inte genom denna bestämmelse någon generell skyldighet att fortlöpande övervaka Partnerns verksamhet.
Partnern ansvarar självständigt för sin regelefterlevnad även om Vetmanager har genomfört en granskning eller inte begärt ytterligare information.

14. Uppdatering av uppgifter och väsentliga förändringar
Partnern ska hålla samtliga uppgifter som lämnats till Vetmanager i samband med ansökan om API-åtkomst aktuella och korrekta.
Förändringar som påverkar Partnerns kontaktuppgifter, säkerhetsansvariga, underleverantörer, AI-tjänster, tredjelandsöverföringar eller annan information som är relevant för användningen av API:et ska rapporteras till Vetmanager utan oskäligt dröjsmål.
En väsentlig förändring är en förändring som rimligen kan påverka Vetmanagers tidigare bedömning av Partnerns dataskydd, sekretess eller informationssäkerhet.
Det inkluderar särskilt:

– införande eller byte av AI-tjänst,
– nya kategorier av Praktikdata,
– ny behandling av journalinformation,
– ny tredjelandsöverföring,
– nytt underbiträde med tillgång till skyddsvärd Praktikdata,
– väsentligt ändrad lagringstid,
– väsentligt förändrade möjligheter för människor att få tillgång till Praktikdata,
– väsentliga förändringar av Partnerns säkerhetsrutiner.

Väsentliga förändringar ska anmälas innan de genomförs, när detta är möjligt.
Vetmanager har rätt att kräva ny granskning innan förändringen får tillämpas inom ramen för integrationen.
Om förändringen kan medföra en betydande risk för Vetmanager, Praktikerna eller Praktikdata får Vetmanager tillfälligt begränsa eller avbryta berörda integrationer till dess att granskningen har slutförts.
Rapportering och uppdatering av uppgifter ska ske genom de API-funktioner eller administrativa funktioner som Vetmanager vid var tid anvisar.
Vetmanager får genom dessa funktioner begära kompletterande upplysningar eller meddela att nya obligatoriska uppgifter eller frågor har tillkommit.
Partnern ska lämna sådana uppgifter inom den skäliga tid som Vetmanager anger.

15. Ansvar och skadestånd
Partnern ansvarar för att den egna tjänsten och integrationen uppfyller tillämplig lagstiftning och detta avtal.
Partnern ansvarar för sina anställdas och anlitade underleverantörers handlande och underlåtenhet som för eget handlande.
Partnern ansvarar för skada som Partnern genom avtalsbrott eller vårdslöshet orsakar Vetmanager.
Detta omfattar även skäliga och styrkta kostnader för utredning, begränsning och avhjälpande av säkerhetsincidenter i den utsträckning dessa orsakats av Partnerns avtalsbrott eller vårdslöshet.
Partnern ska ersätta Vetmanager för skäliga och styrkta kostnader till följd av krav från tredje man i den utsträckning kraven orsakats av Partnerns avtalsbrott eller vårdslöshet och ersättningsskyldighet följer av tillämplig rätt.
Den part som framställer ett ersättningskrav ska vidta skäliga åtgärder för att begränsa sin skada.
Vardera partens sammanlagda ansvar för vanliga avtalsbrott omfattar endast direkta skador och är begränsat till 100 000 kronor per avtalsår.
Ansvarsbegränsningen gäller inte vid uppsåt eller grov vårdslöshet.
För Partnern gäller ansvarsbegränsningen inte heller vid brott mot avtalets sekretessförpliktelser, otillåten användning eller spridning av Praktikdata eller avsiktligt kringgående av säkerhetsmekanismer.
Ersättningsskyldighet för administrativa sanktionsavgifter och andra offentligrättsliga påföljder ska bedömas särskilt enligt tillämplig lagstiftning och omfattas inte automatiskt av detta avtal.

16. Vetmanagers ansvar och tillgänglighet
API:et tillhandahålls i befintligt skick.
Vetmanager lämnar inte någon garanti för att API:et alltid är tillgängligt, felfritt eller kompatibelt med Partnerns system.
Vetmanager ansvarar inte för Partnerns tjänster, deras funktion eller resultatet av Partnerns behandling av Praktikdata.
Vetmanager ansvarar inte för indirekta skador, utebliven vinst, produktionsbortfall eller andra följdskador som uppkommer genom användningen av API:et, i den utsträckning en sådan ansvarsbegränsning är tillåten enligt tillämplig lag.
Bestämmelsen begränsar inte Vetmanagers ansvar för egna skyldigheter enligt tvingande lagstiftning.

17. Avstängning och uppsägning
Vetmanager har rätt att omedelbart begränsa eller stänga av Partnerns åtkomst till API:et om:

– Partnern överträder detta avtal,
– en säkerhetsrisk föreligger,
– Praktikdata riskerar att behandlas på ett otillbörligt eller olagligt sätt,
– Partnerns integration orsakar eller riskerar att orsaka allvarliga tekniska störningar,
– myndighetsbeslut eller lagstiftning kräver det,
– Partnern underlåter att lämna eller uppdatera uppgifter som Vetmanager begär enligt detta avtal.

Om en Praktik återkallar sitt godkännande ska Partnerns åtkomst upphöra för den aktuella Praktiken. Återkallelsen påverkar inte automatiskt Partnerns åtkomst för andra Praktiker.
Vetmanager ska informera Partnern om avstängningen och dess huvudsakliga skäl, såvida detta inte skulle äventyra säkerheten eller strida mot lag.
Vardera parten får säga upp avtalet med 30 dagars skriftligt varsel.
Vid väsentligt avtalsbrott får den andra parten säga upp avtalet med omedelbar verkan om avtalsbrottet inte kan avhjälpas eller inte avhjälps inom skälig tid efter skriftlig anmodan.
Vid allvarliga säkerhetsöverträdelser, otillåten behandling av Praktikdata eller andra förhållanden som innebär betydande risk får Vetmanager säga upp avtalet med omedelbar verkan.

18. Återkallad eller avslutad integration
När en Praktik återkallar Partnerns åtkomst till Vetmanager ska Partnern omedelbart upphöra med all ytterligare hämtning av Praktikdata från Vetmanager för den aktuella Praktiken.
När detta avtal upphör ska Partnern upphöra med all användning av Vetmanagers API.
Partnern ska därefter, inom den tid som följer av Partnerns avtal med Praktiken och tillämplig lagstiftning, radera eller återlämna Praktikdata som Partnern inte längre har rätt eller skyldighet att behandla.
Partnern ska på begäran kunna redogöra för vilka uppgifter som efter avslutad integration fortsatt lagras, ändamålet med sådan lagring, rättslig eller annan grund för lagringen samt när uppgifterna kommer att raderas.
Avtalets upphörande påverkar inte bestämmelser som enligt sin natur ska fortsätta att gälla, däribland sekretess, ansvar för tidigare avtalsbrott och skyldigheter avseende kvarvarande Praktikdata.

19. Ändring av avtalsvillkor
Vetmanager får ändra detta avtal genom att meddela Partnern minst 30 dagar innan ändringen träder i kraft.
Ändringar ska meddelas genom de administrativa funktioner eller kontaktvägar som Vetmanager anvisar.
Om ändringen är väsentlig får Vetmanager kräva att Partnern uttryckligen accepterar de nya villkoren för att fortsatt få använda API:et.
Partner som inte accepterar ändrade villkor har rätt att säga upp avtalet innan ändringarna träder i kraft.
Ändringar som är nödvändiga på grund av tvingande lagstiftning eller för att hantera allvarliga säkerhetsrisker får genomföras med kortare varsel när detta är motiverat.

20. Meddelanden
Meddelanden enligt detta avtal får lämnas elektroniskt genom de kontaktuppgifter eller administrativa funktioner som respektive part har anvisat.
Partnern ansvarar för att registrerade kontaktuppgifter är aktuella och att meddelanden från Vetmanager kan tas emot.
Meddelanden ska anses mottagna när de har kommit mottagaren till handa genom anvisad kontaktväg.

21. Tillämplig lag och tvist
Avtalet ska tolkas enligt svensk rätt.
Tvist med anledning av avtalet ska avgöras av svensk allmän domstol med Göteborgs tingsrätt som första instans.