Personuppgiftsbiträdesavtal

PERSONUPPGIFTSBITRÄDESAVTAL FÖR SAFEDOK – VERSION 2026-08-20-1

1. Parter och roller. Kunden är personuppgiftsansvarig. Andreas Fridh, Hällebergsgatan 54, 442 54 Ytterby, är personuppgiftsbiträde för behandling som utförs genom SafeDok på kundens dokumenterade instruktioner.

2. Behandling. Behandlingen pågår under kundavtalets giltighet och den efterföljande tid som krävs för säker återlämning eller radering. Ändamålet är att tillhandahålla konton, kemikaliedokumentation, riskbedömningar, valbar AI-baserad läshjälp för säkerhetsdatablad, support, spårbarhet, säkerhetskopiering och teknisk drift.

3. Uppgifter och registrerade. Behandlingen kan omfatta namn, arbetsroll, kontaktuppgifter, inloggnings- och sessionsuppgifter, revisionsloggar, supportmeddelanden samt namn och andra uppgifter som kunden skriver i kemikaliedokumentation och riskbedömningar. Registrerade kan vara kundens kontaktpersoner, administratörer, användare, arbetstagare och andra personer som kunden väljer att dokumentera.

4. Instruktioner. Biträdet får endast behandla personuppgifter enligt detta avtal, kundens användning av tjänsten och andra dokumenterade instruktioner, om inte lag kräver annat. Biträdet ska underrätta kunden om en instruktion enligt biträdets bedömning strider mot dataskyddsreglerna.

5. Sekretess och säkerhet. Personer med åtkomst ska omfattas av konfidentialitet. Biträdet ska använda lämpliga tekniska och organisatoriska åtgärder, däribland behörighetskontroll, organisationsavgränsning, loggning, krypterade säkerhetskopior och skyddad driftmiljö, med hänsyn till risk, kostnad och tillgänglig teknik.

6. Underbiträde. Kunden lämnar allmänt skriftligt tillstånd att använda Hetzner Online GmbH i Tyskland för serverdrift och lagring inom EU/EES samt OpenAI Ireland Limited och dess godkända underbiträden för valbar analys av den text som lästs ur säkerhetsdatablad. SafeDok skickar inte användarens lösenord, namn eller arbetsplatsens riskbedömning i analysbegäran. OpenAI kan behandla uppgifter utanför EU/EES enligt sitt personuppgiftsbiträdesavtal och tillämpliga överföringsmekanismer, däribland EU:s standardavtalsklausuler eller beslut om adekvat skyddsnivå. Biträdet ska avtala om motsvarande dataskyddsskyldigheter. Kunden ska informeras innan ett nytt underbiträde börjar användas och ges skälig tid att invända på saklig dataskyddsgrund.

7. Bistånd. Med hänsyn till behandlingens art och tillgänglig information ska biträdet i skälig omfattning hjälpa kunden med registrerades rättigheter, säkerhet, konsekvensbedömningar, samråd och personuppgiftsincidenter. Biträdet ska underrätta kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör kundens uppgifter.

8. Kontroll. Biträdet ska tillhandahålla den information som skäligen behövs för att visa att artikel 28 i GDPR följs och medge skälig kontroll. Kontroll ska planeras så att säkerhet, sekretess och övriga kunder inte äventyras. Kunden står för egna externa kontrollkostnader om kontrollen inte visar en väsentlig brist hos biträdet.

9. Återlämning och radering. När tjänsten upphör väljer kunden om personuppgifter ska återlämnas eller raderas, om inte lag kräver fortsatt lagring. Kunden ska exportera material som ska bevaras före slutdagen. Aktivt kundinnehåll raderas efter avslut enligt den dokumenterade instruktionen. Krypterade säkerhetskopior raderas genom ordinarie gallringscykel, som för närvarande är 30 dagar, och används under tiden endast för återställning och säkerhet.

10. Företräde. Detta biträdesavtal gäller före kundavtalet i frågor som särskilt reglerar behandling av personuppgifter.