Personuppgiftsbiträdesavtal

Avtalet gäller när Kunden använder Komea och godkänns tillsammans med köpvillkoren. Kunden är personuppgiftsansvarig och Rosenkvist Studio AB personuppgiftsbiträde för de uppgifter som läggs in i Kundens projekt.

5.1 Parter och syfte

Avtalet gäller mellan Kunden ("den personuppgiftsansvarige") och Rosenkvist Studio AB, org.nr 559519-9521, ("biträdet"). Det uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR). Behandlingen beskrivs i bilaga A.

5.2 Instruktioner

Biträdet behandlar personuppgifterna bara enligt Kundens dokumenterade instruktioner. Instruktionerna är detta avtal, köpvillkoren och det Kunden gör i Komea, till exempel att bjuda in en underentreprenör eller radera ett projekt. Biträdet informerar Kunden genast om en instruktion enligt biträdets bedömning strider mot dataskyddsregler.

Kunden ansvarar för att det finns rättslig grund för behandlingen och att de registrerade får information, till exempel Kundens personal och underentreprenörernas personal.

5.3 Sekretess

Biträdet och alla som arbetar för biträdet har tystnadsplikt om personuppgifterna. Bara de som behöver det för att leverera, underhålla eller ge support på tjänsten får tillgång till dem.

5.4 Säkerhet

Biträdet vidtar de tekniska och organisatoriska åtgärder som anges i bilaga C, enligt artikel 32 i GDPR. Åtgärderna får förbättras men inte försämras under avtalstiden.

5.5 Underbiträden

Kunden ger biträdet ett allmänt förhandstillstånd att anlita underbiträden. De underbiträden som anlitas när avtalet ingås står i bilaga B. Biträdet meddelar Kunden via e-post minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Kunden får invända inom den tiden av sakliga skäl. Anlitas underbiträdet ändå får Kunden säga upp avtalet utan kostnad.

Biträdet ger varje underbiträde samma skyldigheter som i detta avtal och ansvarar mot Kunden för underbiträdets behandling.

5.6 Överföring utanför EU/EES

Personuppgifterna lagras inom EU, utom e-post som skickas och tas emot via Resend (bilaga B). Förs uppgifter över till, eller kan de nås från, ett land utanför EU/EES sker det bara med stöd av ett beslut om adekvat skyddsnivå, till exempel EU–US Data Privacy Framework, eller EU-kommissionens standardavtalsklausuler.

5.7 Hjälp till Kunden

Biträdet hjälper Kunden att svara när en registrerad utövar sina rättigheter, till exempel att få ut, rätta eller radera uppgifter. Biträdet hjälper också Kunden med säkerhet, konsekvensbedömningar och förhandssamråd med Integritetsskyddsmyndigheten, med hänsyn till den information biträdet har. Kräver hjälpen mer än vad tjänsten normalt ger får biträdet ta ut skälig ersättning efter överenskommelse.

Får biträdet en begäran direkt från en registrerad hänvisas den till Kunden.

5.8 Personuppgiftsincidenter

Biträdet underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar efter att biträdet fick kännedom om en personuppgiftsincident. Underrättelsen beskriver så långt det går vad som hänt, vilka uppgifter och hur många registrerade som berörs, sannolika följder och vilka åtgärder som vidtagits. Kunden ansvarar för att anmäla incidenten till Integritetsskyddsmyndigheten och informera de registrerade när det krävs.

5.9 Granskning

Biträdet ger Kunden den information som behövs för att visa att avtalet följs. Kunden får granska biträdet, själv eller genom en oberoende granskare med tystnadsplikt, högst en gång per år och med 30 dagars varsel. Granskningen görs i första hand skriftligt. Varje part står för sina egna kostnader.

5.10 När avtalet upphör

Kunden kan ladda ned sina uppgifter i 30 dagar efter att avtalet upphört. Därefter raderar biträdet uppgifterna inom 90 dagar, säkerhetskopior inräknade, om inte lag kräver att de sparas. På begäran bekräftar biträdet skriftligen att uppgifterna är raderade.

5.11 Ansvar

För skadestånd till registrerade gäller artikel 82 i GDPR. Varje part svarar för sanktionsavgifter som beslutas mot parten själv. Mellan parterna gäller ansvarsbegränsningen i köpvillkoren (avsnitt 1.10), utom när en part orsakat skadan med uppsåt eller grov vårdslöshet.

5.12 Giltighet

Avtalet gäller så länge biträdet behandlar personuppgifter för Kundens räkning. Ändringar görs på samma sätt som ändringar av köpvillkoren. Svensk lag gäller och tvister avgörs enligt köpvillkoren.

Bilaga A – Behandlingen

Ändamål	Att tillhandahålla Komea: samla in och granska handlingar, egenkontroller, skyddsronder, avvikelser, introduktioner, KMA-dokument och pärmar för Kundens projekt
Behandlingar	Lagring, läsning, AI-avläsning av handlingar, sammanställning, utskick av e-post, delning med inbjudna underentreprenörer och beställare, radering
Registrerade	Kundens anställda och användare, underentreprenörer och deras personal, beställare och deras representanter, personer som går arbetsplatsintroduktionen
Personuppgifter	Namn, företag, roll, e-post, telefon, utbildningar och behörigheter med giltighetstid, bilder av ID06-kort och utbildningsbevis (kan visa porträttfoto och födelsedatum), signaturer med tidpunkt, foton från arbetsplatsen, innehåll i handlingar och rapporter, frivilligt födelsedatum i körtillstånd
Känsliga uppgifter	Rapporter om olyckor och tillbud kan innehålla uppgifter om hälsa. Personnummer efterfrågas aldrig.
Varaktighet	Så länge Kunden använder Komea, sedan enligt avsnitt 5.10

Bilaga B – Underbiträden

Underbiträde	Uppgift	Var	Skydd vid överföring
Supabase Inc.	Databas, inloggning och filer	Stockholm (AWS eu-north-1)	Data lagras i EU. Standardavtalsklausuler för åtkomst från USA.
Vercel Inc.	Drift av webbtjänsten	Stockholm (arn1). Webbsidor levereras från servrar nära besökaren.	Data Privacy Framework eller standardavtalsklausuler
Amazon Web Services EMEA SARL	AI-läsning av handlingar (AWS Bedrock)	EU	Data stannar i EU. AWS tränar inte modeller på uppgifterna.
Resend Inc.	Utskick och mottagning av e-post	USA	Data Privacy Framework eller standardavtalsklausuler

Bilaga C – Säkerhetsåtgärder

All trafik krypteras (TLS). Databas och filer lagras krypterade.
Varje företags uppgifter hålls åtskilda med behörighetsregler direkt i databasen.
Inloggning sker med engångslänk till e-post. Länkar till underentreprenörer är slumpade, hemliga och kan stängas av Kunden.
Administrativ åtkomst till drift och databas har bara biträdets behöriga personal, med personliga konton och tvåstegsverifiering.
Hemliga nycklar finns bara i driftmiljön, aldrig i källkoden.
Regelbundna säkerhetskopior.
AI-anrop loggas utan innehåll. Personnummer tas bort ur AI:ns svar.
Varje ändring av tjänsten byggs och granskas innan den publiceras.