Personuppgiftsbiträdesavtal
Data Processing Agreement (DPA) i enlighet med GDPR artikel 28
Parter
Personuppgiftsansvarig (den Ansvarige):
[KOMMUNNAMN] ([ORG.NR.]), nedan "Kommunen"
Adress: [ADRESS]
Kontaktperson: [NAMN], [E-POST]
Personuppgiftsbiträde (Biträdet):
Koler Intresseförening, org.nr [ORG.NR.]
Innehavare: Patch Moloughney
E-post: patch@hittadittsverige.se
1. Föremål och varaktighet
Biträdet behandlar personuppgifter på den Ansvariges vägnar i samband med driften av plattformen Hitta Ditt Sverige (hittadittsverige.se) för Kommunen. Avtalet gäller från underskriftsdatumet och löper tills det sägs upp av endera parten med 30 dagars skriftlig varsel.
2. Behandlingens karaktär och syfte
Biträdet driver en lokal kartplattform för verksamhets- och turisminformation riktad till invånare och besökare i [Kommunnamn]. Behandlingen omfattar inloggning, profilhantering, evenemangsregistrering och bokningar.
3. Typ av personuppgifter
- E-postadresser (kontohavare)
- Användarnamn / visningsnamn (valda av användaren)
- Bokningskontaktuppgifter: namn och e-post
Personnummer, adressuppgifter för privatpersoner eller annan känslig information behandlas inte.
4. Kategorier av registrerade
- Plattformens kontohavare (verksamhetsägare, föreningsrepresentanter) i Kommunen
- Bokningskunder hos verksamheter i Kommunen
5. Biträdets skyldigheter
- Behandla personuppgifter enbart enligt den Ansvariges dokumenterade instruktioner
- Säkerställa att personer med tillgång till uppgifterna har åtagit sig sekretess
- Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder (se punkt 8)
- Biträda den Ansvarige vid uppfyllandet av den registrerades rättigheter
- Radera eller returnera alla uppgifter vid avtalets upphörande inom 30 dagar
- Tillhandahålla den information som krävs för att visa att skyldigheterna uppfylls
6. Godkända underbiträden (sub-processors)
| Leverantör | Land | Syfte | GDPR-grund |
|---|
| Hetzner Online GmbH | Finland (EU) | Server och lagring | Art. 28-avtal |
| Stripe Payments Europe, Ltd. | Irland (EU) | Kortbetalningar | Art. 28-avtal |
| Brevo SAS | Frankrike (EU) | Transaktionell e-post | Art. 28-avtal |
Biträdet underrättar den Ansvarige med minst 30 dagars varsel om planerade förändringar av underbiträden.
7. Internationell överföring
All drift sker inom EU/EES (Hetzner, Helsinki). Stripe (Dublin) och Brevo (Paris) är EU-baserade. Anthropic PBC används enbart för textextraktion av offentlig HTML (admin-verktyg); ingen persondata vidarebefordras; giltiga SCC föreligger.
8. Tekniska och organisatoriska säkerhetsåtgärder
- TLS-kryptering i transit (HTTPS, Let's Encrypt wildcard)
- Lösenordshashning med bcrypt, kostnadsfaktor 12
- Rollbaserad åtkomstkontroll; varje konto ser enbart egna uppgifter
- SQL-förberedda satser genomgående; skydd mot SQL-injektion
- Nattlig säkerhetskopia kl. 03:15, 30 dagars retentionsperiod
- Inga kortuppgifter lagras på Biträdets servrar
- Personuppgifter raderas automatiskt efter angivna retentionsperioder
9. Den Ansvariges rättigheter
- Rätt till revision med 30 dagars skriftlig varsel
- Rätt till dataexport på begäran
- Rätt till radering av all kommunassocierad data inom 30 dagar efter avtalets upphörande
10. Tillämplig lag och tvistelösning
Svensk lag tillämpas på detta avtal. Tvister avgörs i allmän domstol med [Luleå tingsrätt] som första instans.
11. Underskrifter
Den Ansvarige (Kommunen)
Underskrift
Namnförtydligande
Datum
Biträdet (Koler Intresseförening)
Underskrift (Patch Moloughney)
Namnförtydligande
Datum