Personuppgiftsbiträdesavtal

1. Parter och när avtalet gäller

Detta personuppgiftsbiträdesavtal ("avtalet") ingås mellan dig, den kund som har ett konto ("personuppgiftsansvarig"), och Mike Wahren, som bedriver verksamhet under namnet Fire & Life Safety Inspections, Källstorpsgården 123, 241 93 Eslöv ("personuppgiftsbiträde"). Det gäller när de uppgifter du för in eller laddar upp i tjänsten ("kundinnehåll") innehåller personuppgifter om andra personer än dig själv, som biträdet behandlar för din räkning. Avtalet utgör en del av användarvillkoren och godkänns tillsammans med dem, elektroniskt (artikel 28.9 i GDPR). För dina egna kontouppgifter är biträdet personuppgiftsansvarig; se integritetspolicyn.

2. Behandlingens art

• Föremål och ändamål: att tillhandahålla tjänsten — lagra uppgifter om anläggningar, enheter och inspektioner, ta fram AI-utkast till rapporter, visa och exportera rapporter, den offentliga verifieringssidan för utfärdade rapporter samt påminnelsemejl om inspektioner.
• Behandlingens art: insamling, lagring, strukturering, hämtning, överföring till AI-underbiträdet, visning och radering.
• Varaktighet: så länge ditt konto finns; se avsnitt 9 om radering.
• Typer av personuppgifter: namn och kontaktuppgifter till kontaktpersoner på objekt, inklusive namn och e-postadress till en kontaktperson hos kunden som du registrerar för påminnelsemejl, adresser, fritextanteckningar och transkriberade röstanteckningar, foton (som kan visa personer), GPS-koordinaten som läses ur fotots metadata (själva metadatan tas bort innan fotot lagras) samt annat du väljer att föra in.
• Kategorier av registrerade: dina kunder och deras kontaktpersoner, fastighetsägare, boende och anställda på inspekterade objekt samt andra personer som förekommer i foton eller anteckningar.

3. Dina instruktioner

Biträdet behandlar personuppgifter endast enligt dina dokumenterade instruktioner. Användarvillkoren, detta avtal och hur du använder tjänstens funktioner utgör dina fullständiga instruktioner, om inte EU-rätt eller svensk rätt kräver annan behandling (då informerar biträdet dig först, om lagen inte förbjuder det). Biträdet informerar dig omedelbart om en instruktion enligt biträdets uppfattning strider mot GDPR eller annan dataskyddslagstiftning.

4. Sekretess

Den som biträdet ger tillgång till personuppgifter omfattas av tystnadsplikt. I dag är det endast biträdet självt; inga anställda eller uppdragstagare har tillgång.

5. Säkerhet (artikel 32 i GDPR)

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder, bland annat: krypterade anslutningar (TLS); lösenord som endast lagras som hashvärden; valfri tvåfaktorsautentisering; åtkomst till uppgifter begränsad till det konto som äger dem; begränsning och loggning av misslyckade inloggningar; lagring hos leverantörer som krypterar data i vila; samt raderingsfunktioner som omedelbart tar bort uppgifter från driftsystemen.

6. Underbiträden

Du lämnar ett allmänt tillstånd till att biträdet anlitar underbiträdena nedan. Biträdet meddelar dig via e-post minst 14 dagar innan ett underbiträde läggs till eller byts ut, så att du kan invända. Om en invändning inte kan lösas kan du sluta använda tjänsten och radera ditt konto. Varje underbiträde är bundet av dataskyddsskyldigheter som motsvarar dem i detta avtal, och biträdet ansvarar gentemot dig för att de fullgörs (artikel 28.2 och 28.4 i GDPR).

• Anthropic

  AI-baserade utkast till inspektionsrapporter

  Plats: USA

  Överföringsmekanism: Standardavtalsklausuler (Anthropics personuppgiftsbiträdesavtal)

• Vercel

  Drift, serverfunktioner, lagring av foton (Vercel Blob)

  Plats: USA

  Överföringsmekanism: EU-U.S. Data Privacy Framework och standardavtalsklausuler

• Neon

  Drift av databas

  Plats: London, Storbritannien

  Överföringsmekanism: EU:s beslut om adekvat skyddsnivå för Storbritannien (giltigt till och med 27 december 2031)

• Resend

  Transaktionsmejl (t.ex. påminnelser om inspektioner med anläggningens namn)

  Plats: USA

  Överföringsmekanism: EU-U.S. Data Privacy Framework och standardavtalsklausuler

• Zoho Corporation (Zoho Mail)

  Supportbrevlåda: ett supportärende kan innehålla kundinnehåll som du tar med i det

  Plats: EU (Zohos datacenter i EU)

  Överföringsmekanism: Ingen överföring utanför EU/EES; Zohos personuppgiftsbiträdesavtal

Adressökning. När du skriver en adress när du lägger till eller redigerar en anläggning skickas texten till Nominatim, OpenStreetMap Foundations adressöktjänst (Storbritannien och Nederländerna; Storbritannien omfattas av EU:s beslut om adekvat skyddsnivå), för att föreslå matchande adresser. OpenStreetMap Foundation är inte ett underbiträde enligt detta avtal: det finns inget personuppgiftsbiträdesavtal med stiftelsen, och den hanterar anropen enligt sin egen integritetspolicy. Skriv bara anläggningens adress i det fältet.

Röstanteckningar. Röstanteckningar använder webbläsarens inbyggda taligenkänning. Där webbläsaren kan känna igen språket direkt på enheten används det, och ljudet stannar på enheten. I Google Chrome skickar tjänsten på nätet ljudet direkt till Google, som behandlar det enligt sina egna villkor, eventuellt i USA (Google LLC är certifierat enligt EU-U.S. Data Privacy Framework). Google är inte ett underbiträde enligt detta avtal: biträdet tar aldrig emot ljudet, bara den färdiga texten, och har inget personuppgiftsbiträdesavtal med Google för detta. Anteckningar kan skrivas i stället, och personuppgifter om boende eller andra tredje män bör inte spelas in i röstanteckningar.

7. Hjälp med de registrerades rättigheter

Du kan själv visa, rätta, exportera och radera kundinnehåll i tjänsten. Biträdet hjälper dig också, så långt det är rimligt, att besvara begäranden från registrerade som utövar sina rättigheter enligt GDPR. Om en registrerad kontaktar biträdet direkt om kundinnehåll hänvisar biträdet personen till dig.

En funktion agerar direkt på en registrerads begäran: stopplänken i påminnelsemejl till en kontaktperson hos kunden som du registrerat. När kontaktpersonen använder den stänger tjänsten av de påminnelserna för adressen och låter dig inte slå på dem igen (artikel 21 i GDPR). Genom att slå på kundpåminnelser för en anläggning instruerar du biträdet att hantera sådana invändningar på det sättet; det ingår i tjänstens inbyggda funktioner enligt avsnitt 3.

8. Personuppgiftsincidenter och annan hjälp

Biträdet underrättar dig utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör kundinnehåll, med den information du behöver för att fullgöra dina egna skyldigheter. Biträdet hjälper dig också, med hänsyn till den information biträdet har, med säkerhet, anmälan av incidenter, konsekvensbedömningar och förhandssamråd (artiklarna 32–36 i GDPR).

9. Radering och återlämnande

Du kan när som helst exportera rapporter (PDF och JSON). När du raderar ditt konto raderas allt kundinnehåll omedelbart från driftsystemen. Kopior finns kvar en begränsad tid i biträdets dagliga säkerhetskopior av databasen, som sparas i cirka 7 dagar och därefter raderas automatiskt, och i databasleverantörens återställningshistorik (för närvarande 6 timmar). Fotofiler ingår inte i säkerhetskopiorna. Säkerhetskopiorna används bara för att återställa efter fel eller dataförlust; om en kopia någon gång återställs raderas kundinnehåll som raderats efter att kopian gjordes på nytt. Utöver detta behåller biträdet ingen kopia, om inte EU-rätt eller svensk rätt kräver det.

10. Information och granskning

Biträdet tillhandahåller den information som behövs för att visa att detta avtal följs, och möjliggör och bidrar till granskningar, inklusive inspektioner, som utförs av dig eller en revisor som du utser. Granskning begärs med skäligt varsel (minst 30 dagar), högst en gång per år om inte en incident eller en tillsynsmyndighet kräver annat, genomförs så att tjänsten inte störs och andra kunders uppgifter inte röjs, och bekostas av dig. Skriftlig dokumentation lämnas först och räcker ofta.

11. Överföring utanför EU/EES

Personuppgifter överförs utanför EU/EES endast till de underbiträden som anges i avsnitt 6, med de mekanismer som anges där, samt till adressöktjänsten som beskrivs i avsnitt 6 (Storbritannien, beslut om adekvat skyddsnivå). Ljud från röstanteckningar som din webbläsare skickar till sin taltjänst (avsnitt 6) överförs inte av biträdet.

12. Ansvar, giltighet och företräde

Ansvaret mellan dig och biträdet enligt detta avtal följer avsnitt 11 i användarvillkoren, utan att begränsa det ansvar som någon av parterna har gentemot registrerade enligt artikel 82 i GDPR. Avtalet gäller så länge biträdet behandlar kundinnehåll. Om detta avtal och användarvillkoren är oförenliga i fråga om dataskydd har detta avtal företräde. Svensk lag gäller, enligt användarvillkoren.