Personuppgiftsbiträdesavtal (mall)

Detta är ett mallavtal för när en skola/organisation (Personuppgiftsansvarig) använder Elevschema och Björn Andersson (enskild firma) agerar Personuppgiftsbiträde. Avtalet gäller först när partsuppgifterna är ifyllda och båda parter har undertecknat det.

1. Parter

Personuppgiftsansvarig (PUA): [Kundorganisation, org.nr, adress]

Personuppgiftsbiträde (PUB): Björn Andersson (enskild firma), kontakt: [email protected]

2. Ändamål, art och varaktighet

PUB behandlar personuppgifter för PUA:s räkning för att tillhandahålla schematjänsten Elevschema. Behandlingen pågår under avtalstiden för tjänsten och i enlighet med detta avtal.

3. Kategorier av registrerade och uppgifter

Registrerade kan vara elever och personal som förekommer i scheman. Uppgifter omfattar minimala identifierare (t.ex. förnamn/initialer), schemainformation (ämnen, tider, salar). Känsliga personuppgifter får inte behandlas i tjänsten.

4. Instruktioner

PUB får endast behandla personuppgifter enligt PUA:s dokumenterade instruktioner och i syfte att tillhandahålla tjänsten. PUA ansvarar för laglig grund och information till registrerade.

5. Sekretess

PUB säkerställer att behöriga personer som behandlar personuppgifter har åtagit sig sekretess eller omfattas av lämplig lagstadgad tystnadsplikt.

6. Säkerhet

PUB ska vidta lämpliga tekniska och organisatoriska åtgärder, inklusive krypterad kommunikation (HTTPS), central identitetsverifiering via OpenID Connect, åtkomstkontroller, loggning samt regelbundna säkerhetskopior.

7. Underbiträden

PUA godkänner Hostup AB (org.nr 559290-1325, Sverige) som underbiträde för webbhotell, lagring och säkerhetskopior.

PUA godkänner också de underbiträden som HostUp anlitar enligt HostUps personuppgiftsbiträdesavtal, version 2.0 av den 26 september 2026 (hostup.se/legal/dpa-sv.pdf):

• Obenet, Hetzner Online och Oracle Svenska (Sverige och EU): datacenter och servrar.
• Cloudflare, Inc. (USA, globalt nätverk): nätverk och skydd för trafiken till tjänsten.
• MailChannels Corporation (Kanada): leverans av e-post från tjänsten.
• HostUps support: konsulter i Sverige, en supportpartner utanför EU/EES samt Together AI, Pinecone, Anthropic och Google (USA). De kommer bara åt uppgifter i samband med ett supportärende som PUB öppnar.

PUB informerar PUA i god tid innan ett nytt underbiträde anlitas eller ett befintligt byts ut, så att PUA kan invända, och säkerställer att underbiträden har motsvarande skyldigheter.

8. Överföringar

Tjänsten och databasen lagras inom EU och säkerhetskopiorna i Sverige. Trafiken till tjänsten passerar Cloudflares globala nätverk; överföringen till Cloudflare, Inc. i USA stöds av EU–US Data Privacy Framework och standardavtalsklausuler. E-post levereras via MailChannels i Kanada, som har ett beslut om adekvat skyddsnivå. HostUps supportpartner utanför EU/EES och AI-tjänsterna i supporten kan behandla uppgifter i samband med ett supportärende, med standardavtalsklausuler eller EU–US Data Privacy Framework som grund. Andra överföringar till tredje land sker inte.

9. Incidenter

PUB ska utan onödigt dröjsmål underrätta PUA om personuppgiftsincidenter och bistå med information som krävs för utredning, åtgärd och anmälningar.

10. Bistånd

PUB ska bistå PUA med att besvara begäranden från registrerade och med säkerhetsrelaterade konsekvensbedömningar, i den utsträckning som är rimlig och proportionerlig.

11. Revision

PUA har rätt att, efter skälig föravisering och under ordinarie kontorstid, genomföra revision eller låta oberoende revisor granska PUB:s efterlevnad. Parterna ska beakta sekretess och säkerhet vid sådan granskning.

12. Radering och återlämnande

Vid avtalets upphörande ska PUB, efter PUA:s val, radera eller återlämna personuppgifter samt radera befintliga kopior, med undantag för säkerhetskopior. Av kopiorna som tas vid uppdateringar av tjänsten sparas de tio senaste, och webbhotellets dagliga säkerhetskopior skrivs över löpande.

13. Ansvar och tillämplig lag

Parternas ansvar följer tvingande lag. Svensk lag gäller och tvister prövas av svensk allmän domstol.

14. Kontakt

Kontakt hos PUB: [email protected]

15. Underskrifter

PUA: [ort, datum, namn och underskrift]

PUB: [ort, datum, namn och underskrift]