Personuppgiftsbiträdesavtal

1. Parter och rangordning

Personuppgiftsansvarig är det företag eller den organisation som identifieras när arbetsytan skapas (”Kunden”). Personuppgiftsbiträde är PTJN AB, organisationsnummer 559596-7109, Huvudstagatan 22, 171 58 Solna (”Biträdet”). Vid konflikt om personuppgiftsbehandling gäller detta avtal framför användarvillkoren.

2. Behandlingens omfattning

• Föremål: drift och tillhandahållande av grund1 och de funktioner Kunden aktiverar.
• Varaktighet: under avtalstiden och därefter så länge uppgifter behöver hanteras för export, radering, säkerhetskopiering eller enligt lag.
• Art och ändamål: lagring, strukturering, visning, sökning, överföring, support, säkerhet och annan behandling som krävs för att leverera tjänsten enligt Kundens instruktioner.

3. Personuppgifter och registrerade

Behandlingen kan omfatta identitets- och kontaktuppgifter, kund- och leverantörsuppgifter, arbetsuppgifter, tid, frånvaro, anställnings- och löneuppgifter, ekonomiska projektuppgifter, kommentarer, dokument och tekniska loggar. Registrerade kan vara Kundens anställda, konsulter, kunder, prospekt, leverantörer och andra kontaktpersoner.

Kunden ska inte behandla känsliga personuppgifter eller uppgifter om lagöverträdelser i tjänsten om inte behandlingen är tillåten, nödvändig och omfattas av lämpliga skyddsåtgärder.

4. Dokumenterade instruktioner

Biträdet får endast behandla personuppgifter enligt dokumenterade instruktioner från Kunden, om inte behandling krävs enligt EU-rätt eller svensk rätt. Avtalet, Kundens inställningar, användning av funktioner och skriftliga supportärenden utgör dokumenterade instruktioner. Om en instruktion enligt Biträdets bedömning strider mot dataskyddsregler ska Kunden informeras.

5. Kundens ansvar

• bestämma ändamål och rättslig grund för behandlingen,
• informera registrerade och hantera deras rättigheter,
• begränsa behörigheter och bara lägga in relevanta uppgifter,
• säkerställa att instruktionerna är lagliga och korrekta.

6. Konfidentialitet och säkerhet

Biträdet ska säkerställa att personer med åtkomst omfattas av konfidentialitet och endast får åtkomst när det behövs. Biträdet ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder utifrån risk, bland annat behörighetsstyrning, autentisering, krypterad överföring, loggning, säkerhetskopiering, incidenthantering och rutiner för kontinuitet.

7. Underbiträden

Kunden lämnar ett allmänt skriftligt förhandstillstånd att använda underbiträden. Aktuella huvudleverantörer är:

• OpenAI Sites och Cloudflare – applikationsdrift, leverans och säkerhet.
• Supabase – autentisering och kontohantering.
• Resend – transaktionsmeddelanden via e-post.
• OpenAI – AI-funktioner när Kunden aktivt använder dem.
• Stripe – abonnemangs- och betalningsadministration, i den utsträckning Stripe agerar biträde.

Biträdet ska ålägga underbiträden motsvarande dataskyddsskyldigheter och ansvarar för deras behandling enligt GDPR. Kunden ska informeras om planerade väsentliga tillägg eller byten och ges skälig möjlighet att invända av dataskyddsskäl.

8. Överföring utanför EES

Om personuppgifter överförs till ett land utanför EES ska Biträdet säkerställa en giltig överföringsmekanism, exempelvis beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler, samt vid behov kompletterande skyddsåtgärder.

9. Registrerades rättigheter

Biträdet ska, med hänsyn till behandlingens art, hjälpa Kunden att hantera begäran om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning. Biträdet svarar inte den registrerade för Kundens räkning utan instruktion, om inte lag kräver det.

10. Incidenter och bistånd

Biträdet ska underrätta Kunden utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som rör Kundens uppgifter och lämna tillgänglig information som Kunden behöver. Biträdet ska i rimlig omfattning bistå med säkerhet, incidentanmälan, konsekvensbedömning och förhandssamråd enligt artiklarna 32–36 GDPR.

11. Granskning

Biträdet ska tillhandahålla den information som skäligen krävs för att visa att artikel 28 GDPR följs och möjliggöra granskning. Kunden ska i första hand använda tillgänglig dokumentation. En inspektion ska aviseras skriftligen, genomföras under normal arbetstid och inte oskäligt störa verksamheten. Kunden står för kostnaden om granskningen inte visar ett väsentligt avtalsbrott.

12. Avtalets upphörande

När tjänsten avslutas ska Biträdet, enligt Kundens val och i den utsträckning det är tekniskt möjligt, återlämna eller radera personuppgifterna samt radera kopior, om lag inte kräver fortsatt lagring. Uppgifter i säkerhetskopior får ligga kvar under ordinarie, skyddad raderingscykel och får då inte användas för andra ändamål.

13. Ansvar och lag

Ansvar regleras av GDPR och användarvillkoren. Svensk lag gäller och tvist prövas enligt användarvillkoren.

14. Elektroniskt ingående och kontakt

Avtalet ingås elektroniskt när en behörig företrädare markerar godkännandet och skapar företagets arbetsyta. grund1 sparar dokumentversion, användare och tidpunkt. Instruktioner och frågor skickas till pontus@ptjn.se.