Personuppgiftsbiträdesavtal | Fastighetsjournal

1. Parter och roller

Personuppgiftsansvarig: Kunden, det vill säga det företag eller den organisation som tecknat abonnemang på Fastighetsjournal.

Personuppgiftsbiträde: Erik Westerberg, enskild näringsidkare, org.nr 20040624-7593, Drottning Kristinas väg 4 C, 654 63 Karlstad.

Kunden bestämmer ändamål och medel för behandlingen. Biträdet behandlar uppgifterna enbart enligt Kundens dokumenterade instruktioner, vilka utgörs av detta avtal, användarvillkoren och de inställningar Kunden gör i tjänsten.

2. Behandlingens omfattning

Föremål	Tillhandahållande av tjänsten Fastighetsjournal
Varaktighet	Under abonnemangets löptid samt den tid därefter som krävs för hantering enligt punkt 9
Karaktär och ändamål	Lagring, strukturering, visning, sökning och export av uppgifter i syfte att dokumentera egenkontroller och besiktningar
Kategorier av registrerade	Kundens anställda och användare, entreprenörer och besiktningsmän, samt övriga personer som Kunden väljer att registrera
Kategorier av uppgifter	E-postadress, roll och behörighet. Namn är valfritt. Därutöver uppgifter i fritextfält, dokument och foton som Kunden lägger in
Känsliga uppgifter	Tjänsten är inte avsedd för behandling av särskilda kategorier enligt artikel 9

3. Biträdets åtaganden

Behandla personuppgifter enbart enligt Kundens dokumenterade instruktioner.
Omedelbart informera Kunden om en instruktion bedöms strida mot GDPR.
Säkerställa att personer med åtkomst till uppgifterna är bundna av tystnadsplikt.
Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32.
Bistå Kunden vid begäran från registrerade om registerutdrag, rättelse, radering och dataportabilitet.
Bistå Kunden vid konsekvensbedömningar och förhandssamråd enligt artiklarna 35 och 36.
Ställa den information till förfogande som krävs för att visa att skyldigheterna enligt artikel 28 uppfylls.

4. Säkerhetsåtgärder

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Åtgärderna omfattar bland annat kryptering av överföring, behörighetsstyrning och begränsad administrativ åtkomst till produktionsmiljön, och anpassas löpande efter teknisk utveckling och de risker behandlingen medför. Biträdet lämnar på begäran närmare information om vidtagna åtgärder.

5. Underbiträden

Kunden ger Biträdet ett allmänt förhandsgodkännande att anlita underbiträden. Följande underbiträden anlitas:

Underbiträde	Behandling	Plats
Swehosting	Drift av server och databas, fillagring, e-postutskick och säkerhetskopiering	Sverige (EU)
Stripe Payments Europe Ltd	Betalning och abonnemangshantering	Irland (EU), med överföring till USA

Biträdet informerar Kunden innan ett nytt underbiträde anlitas eller byts ut. Kunden har rätt att invända mot förändringen, och kan i så fall säga upp abonnemanget utan kostnad för återstående period. Biträdet verkar för att varje underbiträde åläggs skyldigheter som motsvarar dem som följer av detta avtal.

6. Överföring till tredje land

Huvuddelen av behandlingen sker inom EU. Överföring till USA kan förekomma via Stripe och sker då med stöd av EU-kommissionens standardavtalsklausuler samt Stripes certifiering under EU-U.S. Data Privacy Framework. Ingen annan överföring till tredje land sker utan att Kunden informerats i förväg.

7. Personuppgiftsincident

Biträdet underrättar Kunden utan onödigt dröjsmål om en personuppgiftsincident som rör Kundens uppgifter. Underrättelsen innehåller uppgift om incidentens art, berörda kategorier och ungefärligt antal registrerade, sannolika konsekvenser samt vidtagna åtgärder. Anmälan till Integritetsskyddsmyndigheten görs av Kunden i egenskap av personuppgiftsansvarig.

8. Granskning och revision

Biträdet ger Kunden tillgång till den dokumentation som behövs för att visa att avtalet efterlevs. Kunden har rätt att genomföra revision högst en gång per år, efter skriftlig begäran minst 30 dagar i förväg. Revisionen bekostas av Kunden och får inte störa Biträdets verksamhet i onödan.

9. Hantering vid avtalets slut

Enligt artikel 28.3 g bestämmer den personuppgiftsansvarige om uppgifterna ska raderas eller återlämnas när tillhandahållandet av tjänsten upphör. Kunden gör därför sitt val enligt nedan.

Kundens data är tillgänglig för export efter avslutat abonnemang. Därefter gäller:

Anonymisering: Gör Kunden inget val tar Biträdet bort eller ersätter identifierande uppgifter så att informationen inte längre kan hänföras till en fysisk person. Återstående fastighetsdokumentation är därefter inte personuppgifter och omfattas inte av detta avtal.
Radering eller återlämnande: Begär Kunden radering tar Biträdet bort samtliga personuppgifter inklusive kopior, om inte lagring krävs enligt tvingande lag. Kunden kan i stället begära att uppgifterna återlämnas i maskinläsbart format.

Säkerhetskopior som innehåller raderade uppgifter gallras enligt Biträdets rotationsschema. Kunden kan när som helst under avtalstiden begära radering eller anonymisering.

10. Ansvar

Vardera parten ansvarar för skada som orsakats av att den egna behandlingen brutit mot GDPR. Den ansvarsbegränsning som anges i användarvillkoren gäller även för detta avtal, i den utsträckning det är tillåtet enligt tvingande rätt.

11. Kontakt

Frågor om detta avtal och begäran om dokumentation skickas till info@fastighetsjournal.app.