Kundens identitet och instruktioner, leverantörernas behandlingsplatser, underbiträden, överföringsgrund samt säkerhets- och raderingsbilagor måste färdigställas och godkännas av båda parter före behandling av personuppgifter i kunddokument. Kontakta alfred@certix.se. Använd anonymiserade exempel tills dess.
1. Parter, omfattning och instruktioner
Kundföretaget är personuppgiftsansvarigt och Horse Power i Piteå AB, org.nr 556641-7316, är biträde för den behandling som sker för kundens räkning. Ändamålet är begärd dokumentanalys, rapportleverans, rättning och policyutkast. Behandlingen omfattar överföring, analys och lagring av rapportresultat under avtalstiden, följt av återlämning eller radering.
Bilagan ska ange kundens kontakt, ändamål, registrerade (exempelvis anställda eller kundkontakter), godkända uppgiftstyper och instruktioner. Uppgifter i dokument får inte vara obegränsade: känsliga personuppgifter, lagöverträdelser, lösenord och hemliga nycklar är inte tillåtna enligt detta underlag. Kundens egna uppgifter för konto och fakturering omfattas av leverantörens ansvar enligt integritetsinformationen.
2. Dokumenterade instruktioner och sekretess
Biträdet ska endast behandla personuppgifter enligt dokumenterade instruktioner, inklusive instruktioner om överföringar. Kräver lag annan behandling ska kunden informeras före behandlingen, om lagen tillåter det. Biträdet ska omedelbart underrätta kunden om en instruktion bedöms strida mot dataskyddsregler och säkerställa att behöriga personer omfattas av sekretess.
3. Säkerhet och assistans
Biträdet ska vidta riskanpassade tekniska och organisatoriska åtgärder enligt artikel 32. En bilaga ska beskriva faktisk kryptering, åtkomstkontroll, separation mellan kunder, loggning, incidenthantering, säkerhetskopiering, återställning och kontroller. Endast verifierade åtgärder får upptas som garantier.
Biträdet ska, med hänsyn till behandlingens art och tillgänglig information, bistå kunden med registrerades rättigheter samt skyldigheter enligt artiklarna 32–36, inklusive konsekvensbedömning och förhandssamråd. En begäran från en registrerad vidarebefordras till kunden om den gäller kundens behandling.
4. Incidenter
Biträdet ska meddela kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident. Tillgänglig information ska omfatta incidentens art, berörda uppgifter och personer, möjliga konsekvenser, vidtagna åtgärder och kontaktpunkt. Kompletteringar kan lämnas successivt. Kundens eventuella 72-timmarsfrist för myndighetsanmälan ersätter inte biträdets skyldighet att informera utan onödigt dröjsmål.
5. Underbiträden och överföringar
Inga underbiträden godkänns enbart genom denna offentliga sida. Innan avtalet ingås ska en bilaga lista juridiska leverantörer, tjänster, länder och överföringsgrunder. Lovable Cloud, Lovable AI Gateway och Anthropic behöver granskas för dokument- och rapportbehandlingen. Eventuella övriga underbiträden ska också identifieras.
Underbiträden kräver kundens specifika eller generella skriftliga förhandstillstånd. Vid generellt tillstånd ska ändringar meddelas i förväg med reell möjlighet att invända. Likvärdiga skyldigheter ska avtalas med underbiträdet och huvudbiträdet ansvarar för dess skyldigheter gentemot kunden. Överföringar utanför EU/EES kräver dokumenterade instruktioner och en giltig grund enligt GDPR kapitel V, med nödvändiga kompletterande skyddsåtgärder.
6. Återlämning, radering och kontroll
När behandlingsuppdraget upphör ska biträdet enligt kundens val återlämna eller radera personuppgifterna och radera kopior, om inte lag kräver fortsatt lagring. Exakta tidsfrister, format och säkerhetskopiors hantering ska anges i bilagan. Avslutad betalning är inte en dokumenterad raderingsinstruktion.
Biträdet ska tillhandahålla information som behövs för att visa efterlevnad och möjliggöra samt bidra till kundens eller dess utsedda revisors granskningar och inspektioner. Praktiska säkerhetsarrangemang får inte göra dessa rättigheter verkningslösa. Biträdesavtalet har företräde i dataskyddsfrågor och får inte inskränka registrerades rättigheter.
7. Bilagor före godkännande
- Kundidentitet, kontaktperson och dokumenterade behandlingsinstruktioner.
- Registrerade, uppgiftstyper, omfattning och behandlingsperiod.
- Verifierade säkerhetsåtgärder och incidentkontakter.
- Underbiträdesförteckning, länder, överföringsmekanismer och invändningsrutin.
- Lagring, återlämning, radering och säkerhetskopior.