Personuppgiftsbiträdesavtal

Version 1.0, september 2026

1. Parter och tillämpning

Avtalet gäller mellan kunden som använder Struktur i en verksamhet, till exempel förskola, skola, habilitering eller annan organisation (Personuppgiftsansvarig), och Sanna Dahlin AB, org.nr 559361-2749, Trossvägen 22, 865 33 Alnö (Personuppgiftsbiträde). Avtalet utgör en del av användarvillkoren och gäller så länge biträdet behandlar personuppgifter för den ansvariges räkning. För privata familjer är Sanna Dahlin AB i stället personuppgiftsansvarig, se dataskyddsbeskrivningen.

2. Behandlingens art och ändamål

Ändamål: att tillhandahålla Struktur – rutiner, scheman, familje-/gruppvy, belöningar och AI-förslag.
Kategorier av registrerade: personal/användare, barn och elever som läggs in.
Kategorier av uppgifter: namn, e-post, förnamn och ålder på barn, rutiner, avbockningar, poäng, kalenderhändelser och uppladdade bilder. Känsliga uppgifter (t.ex. neurotyp) bara om den ansvarige själv väljer att ange dem.
Varaktighet: avtalstiden plus högst 30 dagar för radering.

3. Biträdets åtaganden

Behandla uppgifterna endast enligt den ansvariges dokumenterade instruktioner, som utgörs av detta avtal och hur tjänsten används.
Säkerställa att personer med åtkomst omfattas av tystnadsplikt.
Vidta tekniska och organisatoriska åtgärder enligt art. 32 (se bilaga).
Bistå den ansvarige vid begäranden från registrerade, konsekvensbedömningar och förhandssamråd.
Anmäla personuppgiftsincidenter till den ansvarige utan onödigt dröjsmål, senast inom 48 timmar efter upptäckt.
Tillhandahålla information som behövs för att visa att skyldigheterna följs och möjliggöra granskning efter skriftlig begäran med skäligt varsel.
Inte använda uppgifterna för egna ändamål, reklam eller träning av AI-modeller.

4. Underbiträden

Den ansvarige ger generellt förhandstillstånd till de underbiträden som anges i dataskyddsbeskrivningen (Supabase, Cloudflare, Lovable, AI-leverantörer). Biträdet informerar minst 30 dagar innan ett nytt underbiträde anlitas, och den ansvarige har rätt att invända och säga upp avtalet. Underbiträden binds av motsvarande skyldigheter.

5. Överföring till tredje land

Uppgifter lagras i första hand inom EU/EES. Överföring utanför EU/EES sker endast med stöd av adekvansbeslut (inklusive EU-US Data Privacy Framework) eller EU-kommissionens standardavtalsklausuler med kompletterande skyddsåtgärder.

6. Avtalets upphörande

När avtalet upphör raderar biträdet alla personuppgifter inom 30 dagar, eller återlämnar dem i maskinläsbart format om den ansvarige begär det innan dess, om inte lag kräver fortsatt lagring.

7. Ansvar och tvist

Ansvar fördelas enligt GDPR art. 82. Svensk lag gäller och tvist avgörs av allmän domstol i Sverige.

Bilaga: Säkerhetsåtgärder

Kryptering vid överföring (TLS 1.2+) och vid lagring.
Radnivåskydd i databasen så att varje konto bara når sin egen data.
Hashade lösenord, PIN-koder och inbjudningskoder; krypterade nycklar för externa kopplingar.
Behörighetsstyrning med minsta möjliga åtkomst, loggning och regelbundna säkerhetsgenomsökningar.
Säkerhetskopiering och återställningsrutiner hos driftleverantören.

Signerat avtal

Behöver er organisation ett undertecknat exemplar, kontakta sanna@sannadahlin.com så skickar vi det för signering.