Personuppgiftsbiträdesavtal

Det här är Maskinklars standardvillkor för personuppgiftsbiträde (biträdesavtal enligt artikel 28 i dataskyddsförordningen, GDPR). De gäller mellan kundföretaget (Personuppgiftsansvarig) och Filip Kjellman, enskild firma, org.nr 020211-4054, som driver Maskinklar (Personuppgiftsbiträde), när biträdet behandlar personuppgifter för kundens räkning i tjänsten. Behöver ni ett undertecknat exemplar, mejla hej@maskinklar.se.

1. Föremål och varaktighet

Biträdet behandlar personuppgifter enbart för att tillhandahålla Maskinklar – maskin- och serviceregister samt katalogtjänsten för maskindokumentation. Behandlingen pågår så länge kundförhållandet varar och avslutas enligt punkt 8.

2. Behandlingens art och ändamål

• Lagra maskin-, service- och ärendeuppgifter för kundens räkning.
• Ta emot felanmälningar och servicebokningar via QR-kod och vidarebefordra dem till kundens verkstad.
• Skicka påminnelser och notiser via e-post.
• Publicera maskinmodeller med dokumentation (katalogtjänsten), när kunden använder den delen.

3. Kategorier av personuppgifter

• Kontaktuppgifter för kundens kontaktpersoner och användare: namn, e-post, telefonnummer, roll.
• Namn och fritext som anges av den som gör en felanmälan eller servicebokning via QR-kod (ingen inloggning).
• Kontaktuppgifter till verkstäder och deras kontaktpersoner.
• Eventuella personuppgifter i uppladdade foton, dokument eller fritextfält.

Inga särskilda kategorier av personuppgifter (känsliga uppgifter) ska behandlas i tjänsten.

4. Kategorier av registrerade

• Kundens anställda och kontaktpersoner.
• Personer som anmäler fel eller bokar service via QR-koden.
• Kontaktpersoner hos verkstäder.

5. Biträdets skyldigheter

• Behandlar personuppgifter endast enligt kundens dokumenterade instruktioner. Dessa villkor, användarvillkoren och tjänstens funktioner utgör kundens instruktion.
• Säkerställer att personer med åtkomst har tystnadsplikt.
• Vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder (art. 32): kryptering av trafik (TLS), åtkomststyrning på radnivå i databasen, behörighetsstyrd inloggning, loggning av serverfel och begränsad personkrets med administrativ åtkomst.
• Bistår kunden med att svara på begäranden från registrerade (t.ex. registerutdrag, rättelse, radering).
• Underrättar kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident, och bistår med information kunden behöver för sin anmälan.
• Bistår kunden med konsekvensbedömningar och förhandssamråd i den mån det är relevant.

6. Underbiträden

Kunden ger ett generellt förhandsgodkännande till att biträdet anlitar följande underbiträden:

• Supabase – databas, autentisering och fillagring (EU-region).
• Vercel – drift och hosting av applikationen.
• Resend – utskick av transaktionsmejl (påminnelser, notiser, inbjudningar).

Biträdet ålägger varje underbiträde motsvarande dataskyddsskyldigheter. Vid byte eller tillägg av underbiträde informeras kunden minst 14 dagar i förväg via e-post eller i tjänsten, och kunden har rätt att invända.

7. Överföring till tredjeland

Personuppgifterna lagras inom EU/EES. Sker överföring till tredjeland säkerställer biträdet en giltig överföringsgrund, t.ex. EU-kommissionens standardavtalsklausuler.

8. Radering och återlämnande

När kundförhållandet upphör raderar eller återlämnar biträdet personuppgifterna inom 30 dagar, enligt kundens val, och raderar befintliga kopior om inte lag kräver fortsatt lagring. Kunden kan när som helst under avtalstiden exportera servicehistorik och anläggningsprotokoll som PDF.

9. Granskning

Biträdet tillhandahåller den information kunden rimligen behöver för att visa att skyldigheterna i artikel 28 GDPR uppfylls, och medverkar vid granskning. Granskning kan begäras med minst 30 dagars varsel, högst en gång per år och på kundens bekostnad, och får inte störa driften oskäligt.

10. Ansvar

Ansvarsbegränsningen i användarvillkoren gäller även för behandlingen enligt detta biträdesavtal, i den mån tvingande lag tillåter.

11. Giltighet och ändringar

Villkoren gäller så länge biträdet behandlar personuppgifter för kundens räkning. Väsentliga ändringar meddelas minst 30 dagar i förväg. Svensk rätt gäller. Se även integritetspolicyn.