Personuppgiftsbiträdesavtal

Version 1.1 – gäller från 2026-09-23

Detta avtal ingås mellan Kunden, nedan Personuppgiftsansvarig, och [Bolagsnamn AB], org.nr [XXXXXX-XXXX], nedan Personuppgiftsbiträdet.

Avtalet reglerar Personuppgiftsbiträdets behandling av personuppgifter för Personuppgiftsansvariges räkning och uppfyller kraven i artikel 28.3 i dataskyddsförordningen (EU) 2016/679.

Avtalet utgör en integrerad del av Användarvillkoren och godkänns samtidigt med dessa.

1. Den viktigaste avgränsningen

Personuppgiftsbiträdet behandlar aldrig bildmaterial från kamerabevakning.

Tjänsten hanterar dokumentation om bevakning – register, intresseavvägningar, ritningar, skyltunderlag och teknisk dokumentation. Inspelat eller direktsänt bildmaterial lagras aldrig i Tjänsten, överförs aldrig till Tjänsten och är aldrig tillgängligt för Personuppgiftsbiträdet.

Personuppgiftsbiträdet är alltså inte biträde för kamerabevakningen som sådan, utan enbart för den dokumentation som beskrivs nedan.

2. Föremål, varaktighet, art och ändamål

Föremål: behandling av personuppgifter som ingår i den dokumentation Personuppgiftsansvarig upprättar och förvaltar i Tjänsten.

Varaktighet: så länge Personuppgiftsansvarig har ett aktivt abonnemang, samt under den nedtrappningsperiod som följer av punkt 7 i Användarvillkoren. Behandlingen upphör senast tolv månader efter avtalsperiodens slutdatum, då innehållet raderas.

Art: insamling, lagring, strukturering, visning, generering av dokument, överföring till Personuppgiftsansvarig, sammanräkning av besök på informationssidan samt radering.

Ändamål: att tillhandahålla Tjänsten, det vill säga att göra det möjligt för Personuppgiftsansvarig att projektera, dokumentera och förvalta kamerabevakning i enlighet med gällande regelverk, samt att visa i vilken utsträckning informationssidan besöks.

3. Typer av personuppgifter och kategorier av registrerade

Kategori av registrerade Typer av personuppgifter
Personuppgiftsansvariges kontaktpersoner och anställda Namn, befattning, e-postadress, telefonnummer
Dataskyddsombud, om sådant finns Namn, kontaktuppgifter
Personer som utövar sina rättigheter via Informationssidan Namn, e-postadress och det ärende personen själv lämnar
Personal som anges i teknisk dokumentation Namn och roll, i den mån Personuppgiftsansvarig för in sådana uppgifter

Särskilda kategorier av personuppgifter behandlas inte. Personuppgiftsansvarig ska inte föra in sådana uppgifter i Tjänsten.

4. Instruktioner

Personuppgiftsbiträdet behandlar personuppgifter endast enligt dokumenterade instruktioner från Personuppgiftsansvarig.

Dessa villkor, tillsammans med den funktionalitet Personuppgiftsansvarig använder i Tjänsten, utgör de fullständiga instruktionerna. Ytterligare instruktioner lämnas skriftligen.

Personuppgiftsbiträdet underrättar Personuppgiftsansvarig om en instruktion enligt Personuppgiftsbiträdets uppfattning strider mot dataskyddsförordningen eller annan tillämplig dataskyddslagstiftning.

Personuppgiftsbiträdet behandlar inte personuppgifterna för egna ändamål. Aggregerad och anonymiserad statistik enligt punkt 10.3 i Användarvillkoren utgör inte behandling av personuppgifter, förutsatt att de tröskelvärden och avgränsningar som anges där iakttas.

Statistik över informationssidan. Personuppgiftsbiträdet för besöksstatistik över de informationssidor som tillhandahålls för Personuppgiftsansvariges räkning, och tillgängliggör statistiken för Personuppgiftsansvarig i Tjänsten. Syftet är att Personuppgiftsansvarig ska kunna visa att informationsplikten enligt artiklarna 12 och 13 uppfylls. Behandlingen ingår i instruktionerna enligt denna punkt.

Statistiken utgörs av antal, inte av en logg över enskilda besökare. Ingen IP-adress lagras, inga kakor används och inget lagras i besökarens utrustning. För att skilja besökare åt under ett dygn beräknas ett tillfälligt värde ur IP-adress och webbläsarinformation tillsammans med en hemlig nyckel som byts varje dygn; värdet kan inte vändas till en IP-adress och kan inte följa någon över dygnsgräns. Antalet inkomna förfrågningar om registrerades rättigheter räknas, men inte vem som skickat dem.

5. Konfidentialitet

Personuppgiftsbiträdet säkerställer att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet, och att åtkomst endast ges till den som behöver den för att utföra sina uppgifter.

Supportåtkomst. Personuppgiftsbiträdets personal kan efter Personuppgiftsansvariges begäran ges åtkomst till Personuppgiftsansvariges vy i Tjänsten för att lämna support. Sådan åtkomst:

6. Säkerhetsåtgärder

Personuppgiftsbiträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32. Åtgärderna omfattar:

[Kryptering i vila av känsliga registerfält är under införande. Ange här när den är i drift, och ta bort den här noteringen.]

7. Underbiträden

Personuppgiftsansvarig lämnar ett allmänt förhandsgodkännande till att Personuppgiftsbiträdet anlitar underbiträden.

Vid tidpunkten för detta avtal anlitas:

Underbiträde Tjänst Plats för behandling
[Inleed AB] Webbhotell och databas Sverige
[Namn] Beräkningstjänst för ritningsunderlag och datablad Sverige
[E-postleverantör] Utskick av systemmeddelanden [Land]

Personuppgiftsbiträdet ingår skriftligt avtal med varje underbiträde med minst samma skyldigheter som följer av detta avtal, och ansvarar för underbiträdets behandling som för sin egen.

Personuppgiftsbiträdet underrättar Personuppgiftsansvarig minst 30 dagar innan ett underbiträde tillkommer eller byts ut. Personuppgiftsansvarig har rätt att invända på sakliga grunder. Kvarstår invändningen får Personuppgiftsansvarig säga upp abonnemanget med verkan från den dag förändringen träder i kraft, varvid erlagd avgift för återstående period återbetalas.

8. Överföring till tredjeland

Personuppgifter behandlas inom EU/EES. Överföring till tredjeland sker inte utan Personuppgiftsansvariges skriftliga godkännande och utan att en giltig överföringsgrund enligt kapitel V i dataskyddsförordningen finns.

9. Bistånd med de registrerades rättigheter

Personuppgiftsbiträdet bistår Personuppgiftsansvarig med lämpliga tekniska och organisatoriska åtgärder för att denne ska kunna besvara begäran från registrerade om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning.

Begäran som inkommer via Informationssidan vidarebefordras till Personuppgiftsansvarig. Personuppgiftsbiträdet besvarar inte sådan begäran i sak, utan hänvisar alltid till Personuppgiftsansvarig.

Kontaktar en registrerad Personuppgiftsbiträdet direkt vidarebefordras kontakten till Personuppgiftsansvarig utan dröjsmål.

10. Bistånd med säkerhet, incidenter och konsekvensbedömning

Personuppgiftsbiträdet bistår Personuppgiftsansvarig med att fullgöra skyldigheterna enligt artiklarna 32–36, med beaktande av behandlingens art och den information Personuppgiftsbiträdet har tillgång till.

Personuppgiftsincidenter. Personuppgiftsbiträdet underrättar Personuppgiftsansvarig utan onödigt dröjsmål, och senast inom 24 timmar, efter att ha fått kännedom om en personuppgiftsincident. Underrättelsen innehåller den information som finns tillgänglig: incidentens art, berörda kategorier och ungefärligt antal registrerade, sannolika konsekvenser och vidtagna eller föreslagna åtgärder.

Personuppgiftsbiträdet anmäler aldrig en incident till tillsynsmyndighet i Personuppgiftsansvariges ställe.

11. Radering och återlämnande

Vid abonnemangets upphörande gäller den nedtrappning som beskrivs i punkt 7 i Användarvillkoren. Personuppgiftsansvarig kan under hela perioden fram till radering exportera sitt innehåll, och underrättas 30 dagar före radering.

Senast tolv månader efter avtalsperiodens slutdatum raderas personuppgifterna, om inte fortsatt lagring krävs enligt unionsrätten eller svensk rätt.

Undantag: Informationssidans adress bevaras permanent i ett register som endast innehåller adressen, tidpunkten då den tilldelades och till vilken anläggning. Registret innehåller inga personuppgifter om registrerade. Syftet är att en adress aldrig ska kunna tilldelas på nytt och därmed leda en person som skannar en gammal skylt till en annan verksamhets uppgifter.

12. Granskning

Personuppgiftsbiträdet tillhandahåller Personuppgiftsansvarig den information som behövs för att visa att skyldigheterna i artikel 28 fullgörs, och möjliggör och bidrar till granskning.

Granskning genomförs efter skriftlig begäran med minst 30 dagars varsel, högst en gång per år om inte en inträffad incident föranleder annat, under ordinarie arbetstid och på ett sätt som inte otillbörligt stör verksamheten. Granskaren ska vara bunden av sekretess.

Personuppgiftsansvarig står för sina egna kostnader. Personuppgiftsbiträdet får debitera skälig ersättning för nedlagd tid utöver [åtta] timmar per granskning.

13. Ansvar

Parternas ansvar enligt detta avtal följer artikel 82 i dataskyddsförordningen.

Ansvarsbegränsningen i punkt 10 i Användarvillkoren gäller inte i den mån den skulle strida mot tvingande bestämmelser i dataskyddsförordningen.

14. Avtalets giltighet

Detta avtal gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för Personuppgiftsansvariges räkning, och därefter i fråga om bestämmelser som till sin natur ska fortsätta gälla.

Vid motstridighet mellan detta avtal och Användarvillkoren har detta avtal företräde i fråga om behandling av personuppgifter.

Detta avtal är ett utkast framtaget som underlag och bör granskas av jurist innan det publiceras.