Personuppgiftsbiträdesavtal (mall)

Detta är en standardmall som SmartDash erbjuder kunder. Signerat avtal begärs från jan@veberod.nu. Mallen följer GDPR art. 28 och kan justeras efter förhandling.

Parter

Personuppgiftsansvarig ("Kunden"): [Kundens namn], org.nr [xxxxxx-xxxx], [adress]
Personuppgiftsbiträde ("SmartDash"): Smarta Byar Living Lab / Jan Malmgren, org.nr uppges på begäran, Veberöd

1. Bakgrund

Parterna har ingått ett SaaS-avtal ("Huvudavtalet") avseende SmartDash-plattformen. I samband med tjänsten behandlar SmartDash personuppgifter för Kundens räkning. Detta biträdesavtal reglerar den behandlingen enligt art. 28 i GDPR.

2. Föremål och varaktighet

• Föremål: Lagring och behandling av kontoinformation, larmnotifieringar, sensordata och loggar i SmartDash-plattformen.
• Varaktighet: Så länge Huvudavtalet gäller, plus 90 dagar för dataåterlämning/radering.
• Karaktär: Kontinuerlig behandling.
• Syfte: Tillhandahålla den avtalade IoT-övervakningstjänsten.

3. Kategorier av registrerade och uppgifter

Registrerade: Kundens anställda, förtroendevalda, konsulter och andra användare av tjänsten.

Uppgifter:

• Kontaktinformation (namn, e-post, telefon)
• Rolltillhörighet och åtkomstbehörigheter
• Inloggnings- och sessionshistorik
• Larmnotifieringshistorik
• Sensordata (i förekommande fall när närvaro-/rörelsesensorer används)

Inga särskilda kategorier (art. 9) behandlas.

4. SmartDash skyldigheter

SmartDash åtar sig att:

• Endast behandla personuppgifter enligt Kundens dokumenterade instruktioner. Detta avtal utgör de grundläggande instruktionerna.
• Säkerställa att personer med åtkomst är bundna av tystnadsplikt.
• Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder (art. 32) — se säkerhetssidan.
• Bistå Kunden vid begäran från registrerade (rätt till tillgång, rättelse, radering, dataportabilitet).
• Bistå Kunden vid konsekvensbedömning (DPIA) och förhandssamråd med tillsynsmyndighet.
• Utan onödigt dröjsmål — och senast inom 48 timmar — meddela Kunden vid personuppgiftsincident.
• Radera eller återlämna personuppgifter vid avtalets slut enligt Kundens val.

5. Underbiträden

Kunden ger generellt förhandsgodkännande för de underbiträden som anges på /underbitraden. SmartDash meddelar Kunden skriftligen minst 30 dagar innan nytt underbiträde tas i bruk. Kunden har rätt att invända — vid oenighet har Kunden rätt att säga upp Huvudavtalet.

6. Överföring till tredje land

Personuppgifter lagras primärt inom EU/EES. Vid överföring till tredje land tillämpas EU-kommissionens standardavtalsklausuler (SCC) samt lämpliga kompletterande skyddsåtgärder.

7. Säkerhetsåtgärder (art. 32)

• Kryptering i transit (TLS 1.2+) och i vila (AES-256)
• Rad-baserad åtkomstkontroll (RLS) i databasen
• Roll-separation och principen om minsta behörighet
• Audit-loggning av administrativa åtgärder
• Kontroll mot läckta lösenord (HIBP)
• Automatisk daglig backup, retention 30 dagar
• Regelbunden granskning och sårbarhetsscanning

8. Granskning och revision

Kunden har rätt att en gång per år, mot skälig kostnadsersättning, kontrollera att SmartDash uppfyller sina åtaganden. SmartDash tillhandahåller på begäran säkerhets-whitepaper och underbiträdesförteckning. Fysisk revision på plats sker efter överenskommelse.

9. Ansvar och ersättning

Vardera part ansvarar för sanktionsavgifter och skadestånd som drabbar denne enligt GDPR art. 82–83, om inte annat följer av tvingande lag. Ansvaret i övrigt regleras i Huvudavtalet.

10. Åtgärder vid avtalets slut

Vid Huvudavtalets upphörande ska SmartDash — enligt Kundens val — radera eller återlämna samtliga personuppgifter senast 90 dagar efter uppsägning, med undantag för uppgifter som ska bevaras enligt lag.

11. Tillämplig lag och tvist

Svensk lag tillämpas. Tvister avgörs i svensk allmän domstol med Lunds tingsrätt som första instans.

Underskrifter