Personuppgiftsbiträdesavtal (PUB-avtal) för eRoland
UTKAST – ska granskas av jurist. Texten är ett arbetsutkast och gäller inte förrän den har granskats och publicerats i slutlig version.
Version: utkast 2026-10-14
Avtalet gäller mellan dig som kund (personuppgiftsansvarig) och [Leverantörens bolagsnamn, org.nr – fastställs] (personuppgiftsbiträde). Det kompletterar användarvillkoren och uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR).
1. Behandlingens art och ändamål
Biträdet behandlar personuppgifter bara för att tillhandahålla eRoland: bokföring, bankavstämning, fakturering, moms- och skatteunderlag, bokslutsstöd och AI-förslag.
2. Kategorier
- Registrerade: den ansvariges kunder, leverantörer, anställda, kontaktpersoner och den ansvarige själv.
- Personuppgifter: namn, adress, e-post, telefon, person-/organisationsnummer, bankkonto, belopp och transaktioner, uppgifter i kvitton och fakturor samt löneuppgifter.
- Känsliga personuppgifter (art. 9) ska inte behandlas i tjänsten.
3. Biträdets åtaganden
3.1 Biträdet behandlar personuppgifter bara enligt den ansvariges dokumenterade instruktioner. Avtalet och den ansvariges användning av tjänsten utgör instruktionerna. 3.2 Den som arbetar hos biträdet och har åtkomst till uppgifterna har tystnadsplikt. 3.3 Biträdet vidtar lämpliga tekniska och organisatoriska skyddsåtgärder (art. 32): kryptering, behörighetsstyrning, loggning, separering mellan kunder och säkerhetskopiering. 3.4 Biträdet hjälper den ansvarige att besvara begäranden från registrerade och med konsekvensbedömningar. 3.5 Biträdet meddelar den ansvarige utan onödigt dröjsmål, och senast inom 36 timmar, efter att ha upptäckt en personuppgiftsincident.
4. Underbiträden
4.1 Den ansvarige ger biträdet ett allmänt förhandstillstånd att anlita underbiträden. Vid ändring meddelas den ansvarige minst 30 dagar i förväg och har rätt att invända genom att säga upp avtalet. 4.2 Underbiträden vid utkastets datum:
| Underbiträde | Syfte | Plats |
|---|---|---|
| Hostingleverantör (fastställs) | Drift och lagring | EU/EES |
| Postmark (ActiveCampaign) | Transaktionell e-post | USA (DPF/SCC) |
| Stripe | Betalning (endast kundens egna betaluppgifter) | EU/USA (SCC) |
| Enable Banking | Bankkoppling (PSD2) | Finland |
| AI-leverantör(er) | Konteringsförslag (maskerade uppgifter) | Fastställs |
5. Överföring till tredje land
Sker bara med giltig överföringsmekanism enligt kapitel V i GDPR.
6. Revision
Den ansvarige får kontrollera att avtalet följs, i första hand genom skriftlig dokumentation från biträdet. Ett förfarande på plats sker med 30 dagars varsel och på den ansvariges bekostnad.
7. Avtalstid och återlämning
Avtalet gäller så länge biträdet behandlar personuppgifter för den ansvariges räkning. Vid avslut kan den ansvarige exportera sina uppgifter i 90 dagar. Därefter raderas uppgifterna, inklusive säkerhetskopior inom 35 dagar, om inte lag kräver lagring.
8. Ansvar
Ansvarsfördelningen följer artikel 82 i GDPR. Ansvarsbegränsningen i användarvillkoren gäller även detta avtal i den mån tvingande lag inte säger annat.