Personuppgiftsbiträdesavtal

1. Parter och roller

Personuppgiftsansvarig ("Kunden"): den verksamhet som skapar konto i Dogligo. Personuppgiftsbiträde ("Biträdet"): Erupter AB, org.nr 559599-6769, Filaregatan 13, 442 34 Kungälv, hej@dogligo.elliscale.com.

2. Föremål, art, ändamål och varaktighet

Biträdet behandlar personuppgifter för Kundens räkning för att tillhandahålla verksamhetssystemet Dogligo (lagring, visning, bearbetning, överföring och radering). Behandlingen pågår så länge tjänsteavtalet gäller och därefter till dess att uppgifterna återlämnats och raderats enligt punkt 15. Detaljer i Bilaga 1.

3. Dokumenterade instruktioner

Biträdet behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Avtalet, Kundens inställningar och användning av funktionerna i tjänsten utgör instruktionerna. Biträdet informerar omedelbart Kunden om en instruktion enligt Biträdets bedömning strider mot dataskyddsreglerna. Behandling som krävs enligt unionsrätt eller svensk rätt meddelas Kunden i förväg om inte lagen förbjuder det.

4. Typer av personuppgifter och registrerade

Se Bilaga 1.

5. Konfidentialitet

Personer som är behöriga att behandla personuppgifterna hos Biträdet har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Åtkomst ges bara i den utsträckning som krävs.

6. Säkerhet

Biträdet vidtar tekniska och organisatoriska åtgärder enligt artikel 32 och Bilaga 2, med hänsyn till risk, teknikens stand och kostnader.

7. Underbiträden

Kunden ger en generell skriftlig auktorisation för Biträdet att anlita underbiträden. Aktuella underbiträden framgår av Bilaga 3 och sidan Underbiträden. Biträdet informerar Kunden om planerade tillägg eller ersättningar, där det är möjligt minst 30 dagar innan ändringen, och Kunden får invända på sakliga dataskyddsgrunder. Om parterna inte kan enas får Kunden säga upp tjänsten utan kostnad. Biträdet ålägger underbiträden motsvarande skyldigheter och ansvarar för deras fullgörande.

8. Överföring till tredjeland

Överföring utanför EU/EES sker endast när det finns skyddsåtgärder enligt kapitel V GDPR, t.ex. EU-kommissionens standardavtalsklausuler eller beslut om adekvat skyddsnivå (inklusive EU–US Data Privacy Framework). Vilka underbiträden som kan behandla uppgifter utanför EU/EES anges i Bilaga 3.

9. Biträde vid de registrerades rättigheter

Biträdet hjälper Kunden, genom funktioner i tjänsten (sökning, rättelse, export, radering) och vid behov manuellt, att besvara begäranden från registrerade. Begäranden som kommer direkt till Biträdet vidarebefordras till Kunden utan onödigt dröjsmål.

10. Personuppgiftsincidenter

Biträdet informerar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident, med målsättningen senast 24 timmar efter kännedom. Underrättelsen innehåller tillgänglig fakta: incidentens art, berörda kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser, vidtagna och föreslagna åtgärder samt kontaktperson. Information som inte finns direkt lämnas successivt.

11. Konsekvensbedömning och förhandssamråd

Biträdet bistår Kunden med den information som rimligen behövs för konsekvensbedömning (DPIA) och eventuellt förhandssamråd med IMY.

12. Revision och informationsskyldighet

Biträdet ger Kunden tillgång till all information som krävs för att visa att artikel 28 följs och möjliggör och bidrar till granskningar, inklusive inspektioner, som genomförs av Kunden eller en av Kunden utsedd oberoende granskare. Granskning ska aviseras skäligt i förväg, ske under kontorstid och omfattas av sekretess. Kunden står för sina egna kostnader.

13. Kundens ansvar

Kunden ansvarar för att behandlingen har laglig grund, att de registrerade informeras, att instruktionerna är lagliga och att bara nödvändiga uppgifter läggs in, även i AI-funktioner.

14. Ansvar

Ansvar gentemot registrerade och tillsynsmyndighet fördelas enligt artikel 82 GDPR. I övrigt gäller ansvarsbestämmelserna i användarvillkoren.

15. Återlämnande och radering vid avtalets slut

Kunden kan när som helst exportera all verksamhetsdata och alla filer via Inställningar → Dataskydd. När Kunden begär radering (Avsluta Dogligo och begär radering) eller avtalet upphör raderar Biträdet, efter en ångerfrist på 30 dagar, Kundens personuppgifter och filer, om inte lagen kräver lagring. Kvar finns endast en minimal logg (organisationsnamn, datum och antal raderade poster) utan kundinnehåll. Uppgifter i säkerhetskopior hos underbiträden skrivs över enligt deras rutiner.

16. Giltighet och ändringar

Avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning. Ändringar meddelas i förväg; ny version godkänns i tjänsten.

Bilaga 1 – Behandlingsbeskrivning

Bilaga 2 – Tekniska och organisatoriska åtgärder

• Krypterad överföring (HTTPS/TLS) och kryptering i vila hos infrastrukturleverantören.
• Tenantisolering i databasen: varje rad är knuten till en verksamhet och radnivåsäkerhet (RLS) med tvingande isoleringsregel hindrar åtkomst till andra verksamheters data.
• Rollbaserad behörighet (administratör, personal, begränsad personal, kund) som kontrolleras i databasen.
• Privata fillagringar; filer visas bara via tidsbegränsade signerade länkar.
• Hemligheter lagras endast på serversidan, aldrig i webbläsaren.
• Revisionslogg för ändringar, exporter, gallring och raderingsbegäranden.
• All destruktiv hantering (gallring, radering) sker på serversidan med behörighetskontroll och separat bekräftelse.
• Plattformsadministration ser bara metadata och antal, inte kundinnehåll.
• AI ger endast förslag; ändringar kräver att en behörig användare bekräftar. Ljud och bilagor lagras inte.
• Användningsstatistik utan IP-adress eller fingeravtryck; inga externa spårningsskript.
• Hastighetsbegränsning av publika formulär.
• Behörighet för Biträdets personal enligt principen om minsta behörighet och konfidentialitet.

Bilaga 3 – Underbiträden

Senast ändrad 2026-10-22. Den aktuella listan finns alltid på /underbitraden.