Personuppgiftsbiträdesavtal

1. Vad behandlingen gäller

• Ändamål: att leverera Hemvist till föreningen, det vill säga medlemsregister, konton, bokningar, felanmälan, meddelanden och övriga funktioner som föreningen använder.
• Kategorier av registrerade: föreningens medlemmar, boende, styrelseledamöter och andra som föreningen lägger in.
• Kategorier av uppgifter: namn, lägenhet, kontaktuppgifter, roll, inflyttningsdatum, inloggningsuppgifter och det användarna själva skriver i tjänsten. Tjänsten är inte avsedd för känsliga personuppgifter.
• Varaktighet: så länge föreningen använder tjänsten, och därefter tills uppgifterna har raderats enligt punkt 8.

2. Föreningens instruktioner

Biträdet behandlar bara uppgifterna enligt det här avtalet och föreningens dokumenterade instruktioner, som i första hand ges genom hur föreningen använder tjänstens funktioner. Anser biträdet att en instruktion strider mot dataskyddsreglerna meddelar biträdet föreningen direkt.

3. Sekretess

Bara personer som behöver det för att leverera eller ge support på tjänsten får tillgång till uppgifterna, och de har tystnadsplikt.

4. Säkerhet

• All trafik krypteras (HTTPS), och databasen krypteras även när den lagras.
• Lösenord sparas bara som saltade hashar.
• Varje förenings uppgifter hålls åtskilda och kan bara läsas av inloggade användare i samma förening, med behörighet efter roll.
• Databasen säkerhetskopieras automatiskt och kan återställas till en tidigare tidpunkt.
• Bara biträdets egna, personliga konton har åtkomst till driftmiljön.

5. Underbiträden

Föreningen godkänner att biträdet anlitar följande underbiträden. Biträdet har avtal med var och en som ger minst samma skydd som det här avtalet.

• Neon Inc. – databas. Data lagras i EU (AWS, Frankfurt).
• Vercel Inc. – drift av webbplatsen och appen. Serverfunktionerna körs i Frankfurt; Vercel är certifierat enligt EU–US Data Privacy Framework.
• Stripe Payments Europe Ltd. – betalningar (bara uppgifter om föreningen som kund och den som betalar).
• Anthropic PBC – AI-funktionerna (juridisk AI-hjälp och översättning). Text skickas bara när någon själv använder funktionen. Överföring till USA sker med EU-kommissionens standardavtalsklausuler.

Biträdet meddelar föreningen minst 30 dagar innan ett nytt underbiträde anlitas. Föreningen kan invända och har då rätt att säga upp avtalet.

6. Överföring utanför EU

Databasen ligger i EU. Om ett underbiträde behandlar uppgifter utanför EU/EES sker det bara med stöd av EU-kommissionens beslut om adekvat skyddsnivå (till exempel EU–US Data Privacy Framework) eller standardavtalsklausuler.

7. Hjälp till föreningen och incidenter

Biträdet hjälper föreningen att svara på begäran från registrerade (till exempel om registerutdrag eller radering), med konsekvensbedömningar och i kontakt med Integritetsskyddsmyndigheten, i den mån det rör tjänsten.

Upptäcker biträdet en personuppgiftsincident meddelar biträdet styrelsen utan onödigt dröjsmål och senast inom 48 timmar, med den information som finns om vad som hänt och vilka åtgärder som vidtagits.

8. När avtalet upphör

När föreningen slutar använda tjänsten kan den få ut sina uppgifter i ett vanligt filformat. Biträdet raderar därefter föreningens personuppgifter inom 30 dagar, och ur säkerhetskopior när de roteras ut, senast inom 60 dagar. Uppgifter som biträdet måste spara enligt lag, till exempel bokföring av betalningar, raderas när lagkravet upphör.

9. Granskning

Föreningen har rätt att få den information som behövs för att visa att avtalet följs, och att låta granska behandlingen efter skälig förvarning. Biträdet svarar på frågor om säkerheten inom 14 dagar.

10. Ansvar och företräde

Ansvar för skador regleras i artikel 82 i dataskyddsförordningen och i övrigt av de allmänna villkoren. Om det här avtalet och de allmänna villkoren säger olika saker om personuppgifter gäller det här avtalet.