Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal ("DPA") utgör en del av avtalet enligt Samdrifts användarvillkor mellan den förening som använder Samdrift ("Personuppgiftsansvarig") och Samdrift Sverige AB ("Personuppgiftsbiträde") avseende behandling av personuppgifter genom Samdrifts tjänst.

1. Parter

• Personuppgiftsansvarig — Den förening vars behöriga företrädare har gjort anspråk på föreningen i Samdrift, signerat med BankID och därigenom godkänt detta personuppgiftsbiträdesavtal, och som registrerar medlemsuppgifter i tjänsten.
• Personuppgiftsbiträde — Samdrift Sverige AB, som behandlar personuppgifter på uppdrag av den Personuppgiftsansvarige för att tillhandahålla Samdrifts tjänst.

2. Föremål och ändamål

Personuppgiftsbiträdet behandlar personuppgifter på uppdrag av den Personuppgiftsansvarige i syfte att tillhandahålla Samdrift-plattformen — inklusive medlemsregisterhantering, kommunikation, dokumentlagring, möteshantering, ekonomiadministration och relaterade funktioner för föreningshantering.

Ett undantag: när vår e-postleverantör rapporterar att e-post till en adress varaktigt inte går fram, eller att mottagaren har markerat e-posten som skräppost, sparar Samdrift adressen och tidpunkten för att skydda leveransen av all e-post som skickas genom tjänsten. Samdrift är personuppgiftsansvarig för dessa leveransdata (art. 28.10 GDPR), och integritetspolicyn beskriver dem.

3. Kategorier av uppgifter

Följande kategorier av personuppgifter kan komma att behandlas:

• Namn och kontaktuppgifter (e-post, telefon, adress)
• Personnummer
• Fastighets- och andelsinformation
• Ekonomiska handlingar (fakturor, betalningar)
• Styrelseprotokoll och dokument
• Kommunikationshandlingar

4. Kategorier av registrerade

• Föreningsmedlemmar
• Styrelseledamöter och andra förtroendevalda
• Ombud som agerar på uppdrag av medlemmar

5. Varaktighet

Behandlingen pågår under den Personuppgiftsansvariges prenumerationsperiod. Efter uppsägning sparas uppgifter i upp till 30 dagar för att möjliggöra export, varefter de raderas — utom där lagstadgade krav på lagring gäller (t.ex. räkenskapsmaterial som sparas i 7 år enligt bokföringslagen).

De leveransdata som beskrivs i avsnitt 2 är Samdrifts egna och raderas inte med den Personuppgiftsansvariges uppgifter. En adress som e-post inte går fram till sparas så länge utskicken till den är stoppade; en markering som skräppost sparas i 12 månader.

6. Personuppgiftsbiträdets skyldigheter

Personuppgiftsbiträdet ska:

• Behandla personuppgifter enbart enligt dokumenterade instruktioner från den Personuppgiftsansvarige
• Säkerställa att personer som är behöriga att behandla personuppgifter omfattas av tystnadsplikt
• Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder
• Inte anlita ett annat personuppgiftsbiträde utan föregående skriftligt godkännande från den Personuppgiftsansvarige
• Bistå den Personuppgiftsansvarige vid hantering av registrerades begäran (tillgång, rättelse, radering, dataportabilitet)
• Bistå den Personuppgiftsansvarige i att uppfylla skyldigheter avseende säkerhet, anmälan av personuppgiftsincidenter och konsekvensbedömningar
• På den Personuppgiftsansvariges val, radera eller återlämna alla personuppgifter vid upphörande av tjänsten
• Tillhandahålla all information som krävs för att påvisa efterlevnad och möjliggöra granskningar

7. Underbiträden

Personuppgiftsbiträdet använder underbiträden för att tillhandahålla tjänsten. Den aktuella listan över underbiträden finns i vår Integritetspolicy. Personuppgiftsbiträdet kommer att informera den Personuppgiftsansvarige om planerade ändringar i listan över underbiträden och ge den Personuppgiftsansvarige möjlighet att invända.

Genom att godkänna detta personuppgiftsbiträdesavtal lämnar den Personuppgiftsansvarige Personuppgiftsbiträdet ett allmänt skriftligt förhandstillstånd att anlita underbiträden.

8. Internationella överföringar

Personuppgifter lagras i första hand inom EU. Vår Integritetspolicy anger var varje underbiträde finns och skyddsåtgärderna för dem utanför EU, inklusive EU:s standardavtalsklausuler och EU-US Data Privacy Framework.

9. Anmälan av personuppgiftsincident

Personuppgiftsbiträdet ska utan onödigt dröjsmål, och senast inom 48 timmar, underrätta den Personuppgiftsansvarige efter att ha fått kännedom om en personuppgiftsincident. Underrättelsen ska innehålla incidentens art, kategorier och ungefärligt antal berörda registrerade samt de åtgärder som vidtagits eller föreslås för att hantera incidenten.

10. Tillämplig lag

Detta personuppgiftsbiträdesavtal regleras av svensk lag. Eventuella tvister ska avgöras av svensk domstol, med Stockholms tingsrätt som första instans.

11. Kontakt

Vid frågor om detta personuppgiftsbiträdesavtal, kontakta oss på info@samdrift.se.