Personuppgiftsbiträdesavtal för KIT365

Utkast – ska granskas av jurist innan det används. Version 0.1, 2026-10-16.

Bilaga 1 till Användarvillkor för KIT365

1. Parter

Personuppgiftsansvarig: det kundföretag som har ingått avtal om att använda KIT365 ("den Ansvarige"). Företagsnamn: [kundens företagsnamn] Org.nr: [kundens org.nr]

Personuppgiftsbiträde: Frilansera AB, org.nr [org.nr], [adress], e-post support@kit365.se ("Biträdet").

2. Bakgrund och syfte

2.1 Parterna har ingått avtal om att Biträdet tillhandahåller tjänsten KIT365 till den Ansvarige enligt Användarvillkor för KIT365 ("Huvudavtalet").

2.2 När Biträdet tillhandahåller tjänsten behandlar Biträdet personuppgifter för den Ansvariges räkning. Detta avtal reglerar den behandlingen enligt artikel 28 i Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR), lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) och övrig tillämplig dataskyddslagstiftning.

2.3 Avtalet gäller inte de uppgifter som Biträdet behandlar som personuppgiftsansvarig för kontoadministration, det vill säga kontaktpersoner hos den Ansvarige, inloggningsadresser, fakturering av tjänsten, support och tekniska loggar. Den behandlingen beskrivs i Biträdets integritetspolicy.

2.4 Om detta avtal och Huvudavtalet motsäger varandra i frågor om personuppgifter gäller detta avtal.

3. Föremål, art och ändamål

3.1 Föremål: behandling av personuppgifter som den Ansvarige och dess användare lägger in i eller skapar i KIT365.

3.2 Art: lagring, strukturering, organisering, sökning, visning, sammanställning, överföring (bland annat utskick av e-post), säkerhetskopiering, export, anonymisering och radering.

3.3 Ändamål: att tillhandahålla KIT365 som verksamhetssystem för elinstallationsföretag, med arbetsordrar, planering, tidrapport, egenkontroller, fakturor (inklusive ROT), projekt, kund-, personal- och artikelregister samt mobilapp för montörer, och att ge support och upprätthålla säkerhet och drift i tjänsten.

4. Kategorier av registrerade och personuppgifter

4.1 Personnummer behandlas i tjänsten. Den Ansvarige ansvarar för att behandlingen är klart motiverad enligt 3 kap. 10 § dataskyddslagen.

4.2 Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9 GDPR eller uppgifter om lagöverträdelser enligt artikel 10 GDPR. Den Ansvarige ska inte lägga in sådana uppgifter.

5. Behandlingens varaktighet

Behandlingen pågår så länge Huvudavtalet gäller och därefter till dess att personuppgifterna har återlämnats och raderats enligt avsnitt 14.

6. Den Ansvariges skyldigheter

6.1 Den Ansvarige ansvarar för att behandlingen har rättslig grund, att de registrerade informeras och att personuppgifterna är korrekta.

6.2 Den Ansvarige ska lämna dokumenterade instruktioner till Biträdet. Detta avtal, Huvudavtalet och den Ansvariges användning av funktionerna i tjänsten utgör den Ansvariges instruktioner. Ytterligare instruktioner ska lämnas skriftligen.

6.3 Den Ansvarige ansvarar för att de egna användarna har lämpliga behörigheter.

7. Biträdets skyldigheter enligt artikel 28.3 GDPR

a) Behandling enligt dokumenterade instruktioner. Biträdet behandlar personuppgifterna endast enligt den Ansvariges dokumenterade instruktioner, även när det gäller överföring till tredje land. Om Biträdet är skyldigt enligt unionsrätt eller svensk rätt att behandla uppgifterna på annat sätt, ska Biträdet informera den Ansvarige innan behandlingen sker, om det inte är förbjudet enligt den rätten. Biträdet ska omedelbart informera den Ansvarige om Biträdet anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning.

b) Sekretess. Biträdet säkerställer att personer med behörighet att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Behörighet ges endast till personer som behöver den för att utföra sina uppgifter.

c) Säkerhet. Biträdet vidtar de åtgärder som krävs enligt artikel 32 GDPR. Åtgärderna beskrivs i avsnitt 10 och Bilaga A.

d) Underbiträden. Biträdet anlitar underbiträden endast enligt villkoren i avsnitt 8.

e) Bistånd vid de registrerades rättigheter. Biträdet bistår den Ansvarige, med hänsyn till behandlingens art, genom lämpliga tekniska och organisatoriska åtgärder så att den Ansvarige kan uppfylla sin skyldighet att svara på begäranden om utövande av de registrerades rättigheter enligt kapitel III GDPR. Se avsnitt 12.

f) Bistånd med artiklarna 32–36. Biträdet bistår den Ansvarige med att fullgöra skyldigheterna om säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning och förhandssamråd, med beaktande av behandlingens art och den information som Biträdet har tillgång till. Se avsnitt 11 och 12.

g) Radering eller återlämning. När tjänsterna har upphört ska Biträdet, enligt den Ansvariges val, radera eller återlämna alla personuppgifter och radera befintliga kopior, om inte lagring krävs enligt unionsrätt eller svensk rätt. Se avsnitt 14.

h) Information och revision. Biträdet ger den Ansvarige tillgång till all information som krävs för att visa att skyldigheterna i artikel 28 GDPR har fullgjorts, samt möjliggör och bidrar till granskningar, inklusive inspektioner. Se avsnitt 13.

8. Underbiträden

8.1 Den Ansvarige ger genom detta avtal ett allmänt skriftligt förhandstillstånd till att Biträdet anlitar underbiträden. Vid avtalets ingående anlitas följande underbiträden:

8.2 Förhandsbesked. Biträdet ska informera den Ansvarige om planerade ändringar i fråga om tillägg eller ersättning av underbiträden minst [antal dagar] dagar innan ändringen genomförs. Informationen lämnas via e-post till den Ansvariges kontaktadress eller i tjänsten.

8.3 Rätt att invända. Den Ansvarige får invända mot ändringen skriftligen inom förhandsbeskedstiden, om det finns sakliga skäl kopplade till dataskydd. Parterna ska då försöka hitta en lösning. Om ingen lösning nås får den Ansvarige säga upp Huvudavtalet till den dag ändringen börjar gälla, utan kostnad för tiden därefter.

8.4 Biträdet ska genom avtal ålägga varje underbiträde samma skyldigheter i fråga om dataskydd som Biträdet har enligt detta avtal, särskilt tillräckliga garantier om tekniska och organisatoriska åtgärder.

8.5 Biträdet är fullt ansvarigt gentemot den Ansvarige för att underbiträden fullgör sina skyldigheter.

9. Överföring till tredje land

9.1 Personuppgifterna lagras inom EU. Samtliga underbiträden är dock amerikanska bolag, och Vercels globala kantnät kan hantera trafik utanför EU. Personuppgifter kan därför i vissa fall överföras till, eller bli åtkomliga från, länder utanför EU/EES.

9.2 Sådan överföring sker endast med stöd av kapitel V GDPR. Som överföringsmekanism används EU-kommissionens standardavtalsklausuler och, där det gäller, EU–US Data Privacy Framework.

9.3 Biträdet ska på begäran lämna information om vilka skyddsåtgärder som gäller för respektive underbiträde.

10. Säkerhetsåtgärder

10.1 Biträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna mot otillåten eller olaglig behandling, förlust, förstöring eller skada, med hänsyn till den senaste utvecklingen, kostnaderna och riskerna för de registrerade.

10.2 De åtgärder som gäller vid avtalets ingående anges i Bilaga A. Biträdet får ändra åtgärderna, förutsatt att skyddsnivån inte sänks.

11. Personuppgiftsincidenter

11.1 Biträdet ska underrätta den Ansvarige om en personuppgiftsincident utan onödigt dröjsmål, och senast inom 36 timmar efter att incidenten upptäckts, så att den Ansvarige kan anmäla incidenten till Integritetsskyddsmyndigheten (IMY) inom 72 timmar enligt artikel 33 GDPR.

11.2 Underrättelsen ska, i den mån informationen finns tillgänglig, innehålla:

• en beskrivning av incidentens art, de kategorier och det ungefärliga antalet registrerade och poster som berörs,
• namn och kontaktuppgifter till kontaktperson hos Biträdet,
• en beskrivning av de sannolika konsekvenserna, och
• en beskrivning av de åtgärder som vidtagits eller föreslås för att hantera incidenten och mildra dess effekter.

11.3 Om all information inte kan lämnas samtidigt får den lämnas i omgångar utan ytterligare onödigt dröjsmål.

11.4 Biträdet ska vidta nödvändiga åtgärder för att begränsa incidenten och bistå den Ansvarige vid anmälan till IMY och vid information till de registrerade enligt artikel 34 GDPR.

11.5 Biträdet ska dokumentera alla personuppgiftsincidenter som rör den Ansvariges uppgifter.

12. Bistånd

12.1 De registrerades rättigheter. Tjänsten har funktioner som gör att den Ansvarige själv kan ta fram registerutdrag, rätta uppgifter, exportera uppgifter samt anonymisera anställda och kunder. Om Biträdet tar emot en begäran direkt från en registrerad ska Biträdet utan dröjsmål vidarebefordra den till den Ansvarige och inte själv besvara den, om inte den Ansvarige har gett instruktion om det.

12.2 Konsekvensbedömning och förhandssamråd. Biträdet ska på begäran lämna den information om tjänsten och säkerhetsåtgärderna som den Ansvarige behöver för att genomföra en konsekvensbedömning enligt artikel 35 GDPR och vid förhandssamråd med IMY enligt artikel 36 GDPR.

12.3 Kontakt med tillsynsmyndighet. Biträdet ska informera den Ansvarige om IMY eller annan tillsynsmyndighet kontaktar Biträdet om behandlingen av den Ansvariges personuppgifter, om det inte är förbjudet enligt lag.

12.4 Kostnader. Bistånd som går utöver vad som ingår i tjänsten och som kräver mer än en begränsad arbetsinsats får debiteras enligt [timpris för bistånd], om inte biståndet behövs på grund av Biträdets eget avtalsbrott.

13. Revision

13.1 Biträdet ska på begäran ge den Ansvarige tillgång till den information som behövs för att visa att Biträdet uppfyller detta avtal och artikel 28 GDPR, till exempel beskrivning av säkerhetsåtgärder och underbiträdenas certifieringar eller revisionsrapporter.

13.2 Den Ansvarige, eller en oberoende granskare som den Ansvarige utser och som omfattas av tystnadsplikt, får genomföra granskning, inklusive inspektion. Granskning ska meddelas minst [varsel för revision] i förväg, genomföras under kontorstid och på ett sätt som inte i onödan stör Biträdets verksamhet eller äventyrar andra kunders data.

13.3 Vardera parten står sina egna kostnader för en granskning. Om granskningen visar att Biträdet väsentligt har brutit mot avtalet står Biträdet för skäliga kostnader för granskningen.

13.4 Biträdet ska ge IMY tillgång till information och lokaler i den utsträckning som krävs enligt lag.

14. Återlämning och radering vid upphörande

14.1 När Huvudavtalet upphör kan den Ansvarige begära export av personuppgifterna i ett vanligt, maskinläsbart format.

14.2 Därefter ska Biträdet radera personuppgifterna, inklusive kopior hos underbiträden, inom 90 dagar, om inte lagring krävs enligt unionsrätt eller svensk rätt. Raderingen omfattar även säkerhetskopior [bekräfta hur och när säkerhetskopior gallras].

14.3 Fakturor och bokföringsunderlag ska sparas i 7 år enligt bokföringslagen. Det är den Ansvariges skyldighet. Den Ansvarige ska därför exportera och själv arkivera sådant material innan uppgifterna raderas. Om Biträdet är skyldigt att spara uppgifter enligt lag ska de skyddas och endast behandlas för det ändamålet.

14.4 Biträdet ska på begäran skriftligen bekräfta att radering har skett.

15. Ansvar

15.1 Ansvarsfördelningen mellan parterna gentemot registrerade följer av artikel 82 GDPR. Biträdet ansvarar för skada som orsakats av behandling endast om Biträdet inte har fullgjort de skyldigheter i GDPR som specifikt riktar sig till personuppgiftsbiträden, eller har agerat utanför eller i strid med den Ansvariges lagenliga instruktioner.

15.2 Om en part har betalat ersättning till en registrerad eller sanktionsavgift för skada som helt eller delvis beror på den andra parten, har den betalande parten rätt att kräva tillbaka den del som motsvarar den andra partens ansvar.

15.3 I övrigt gäller ansvarsbegränsningen i Huvudavtalet, i den utsträckning den är förenlig med GDPR.

16. Avtalstid och ändringar

16.1 Avtalet gäller så länge Huvudavtalet gäller och därefter så länge Biträdet behandlar personuppgifter för den Ansvariges räkning.

16.2 Ändringar och tillägg ska vara skriftliga. Ändringar i listan över underbiträden görs dock enligt avsnitt 8.

16.3 Om dataskyddslagstiftningen ändras eller om IMY eller EU-kommissionen beslutar om nya standardklausuler ska parterna anpassa avtalet i den utsträckning som krävs.

17. Tillämplig lag och tvist

Svensk lag gäller för avtalet. Tvister avgörs enligt bestämmelserna om tvistlösning i Huvudavtalet, det vill säga av svensk allmän domstol.

18. Underskrifter

Avtalet har upprättats i två likalydande exemplar, eller godkänts elektroniskt, varav parterna har tagit var sitt.

Bilaga A – Tekniska och organisatoriska säkerhetsåtgärder

A.1 Kryptering

• All trafik till och från tjänsten krypteras under överföring med TLS. HSTS används för att tvinga krypterad anslutning.
• Data krypteras i vila enligt leverantörernas standard (databas och fillagring hos Supabase).

A.2 Åtskillnad mellan kunder

• Tjänsten är multitenant, och varje kundföretags data hålls helt åtskild.
• Åtkomstkontroll per företag tillämpas på databasnivå genom Row Level Security (RLS), så att en användare endast kan komma åt data som hör till det egna företaget.

A.3 Behörigheter och inloggning

• Rollbaserade behörigheter inom varje kundföretag, som administreras av den Ansvarige.
• Inloggning med engångskod via e-post.

A.4 Dataintegritet

• Fakturor låses efter utskick och kan inte ändras i efterhand.

A.5 Tillgänglighet och återställning

• Dagliga säkerhetskopior.

A.6 Spårbarhet

• Loggning av känsliga åtgärder i tjänsten.
• Felrapportering via Sentry i EU-region, utan personuppgifter i händelserna.

A.7 Utvecklingsrutiner

• Separata miljöer för utveckling, test och drift.

A.8 Stöd för registrerades rättigheter

• Funktioner för registerutdrag, export och anonymisering av anställda och kunder.

A.9 Organisatoriska åtgärder

• Behörighet till produktionsmiljön ges endast till personer hos Biträdet som behöver den.
• Personer med åtkomst omfattas av tystnadsplikt enligt avsnitt 7 b.