Personuppgiftsbiträdesavtal

1. Parter

Personuppgiftsbiträde: Hellersjö Consulting AB (org.nr 556843-5662), som tillhandahåller tjänsten Unispect (”Biträdet”). Unispect är en tjänst och ett varumärke, inte ett bolag.

Personuppgiftsansvarig: den förening, det förbund, det bolag eller den andra organisation som godkänt avtalet i Unispect (”Organisationen”), med det namn, organisationsnummer och den postadress som registreras vid godkännandet.

Organisationen ingår avtalet för den behandling som rör dess egen verksamhet. Arrangeras en tävling, en försäljning eller en annan aktivitet av en annan juridisk person — en förening, ett förbund eller ett bolag — är det den som bestämmer ändamålen och medlen för behandlingen och som ska godkänna avtalet för den. Ett förbund blir inte personuppgiftsansvarigt för en annan organisations aktivitet bara för att organisationen är medlem i förbundet eller för att förbundet sanktionerar aktiviteten.

Avtalet ingås elektroniskt när en företrädare med behörighet att binda Organisationen godkänner det på organisationens sida i Unispect. Godkännandet sparas med avtalets version (bilagorna ingår i versionen), en kontrollsumma av avtalstexten, tidpunkten, företrädarens namn och roll, och Organisationens namn, organisationsnummer, postadress och kontaktadress så som de stod vid godkännandet. Det utgör det skriftliga avtal som artikel 28.9 kräver. Senare ändringar på organisationssidan ändrar inte vem som är part i ett redan ingånget avtal.

Varje version av avtalet finns kvar oförändrad på unispect.se/personuppgiftsbitradesavtal/2026-10-05, och den godkända versionen länkas från organisationens sida. Parterna kan också underteckna avtalet på papper; innehållet är detsamma.

2. Definitioner

Begrepp som personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident har samma betydelse som i Europaparlamentets och rådets förordning (EU) 2016/679 (”dataskyddsförordningen”). Med tillämplig dataskyddslagstiftning avses dataskyddsförordningen, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som meddelats med stöd av dem.

3. Föremål, ändamål och varaktighet

Biträdet behandlar personuppgifter för Organisationens räkning enbart för att tillhandahålla Unispect till Organisationen: anmälan till tävlingar med boende, måltider, transporter och istider; försäljning på loppis och i kommission; medlemsadministration; samt sponsring. Behandlingens art, kategorierna av registrerade och personuppgifter och gallringstiderna framgår av bilaga 1.

Behandlingen pågår så länge Organisationen använder tjänsten och därefter till dess att personuppgifterna raderats eller återlämnats enligt punkt 13.

4. Plattformskonton och Biträdets egen behandling

Ett Unispect-konto gäller för alla organisationer på plattformen. För kontona är Biträdet därför självständigt personuppgiftsansvarigt, och den behandlingen omfattas inte av det här avtalet utan beskrivs i integritetspolicyn. Det gäller:

• kontot: namn, e-postadress, kontots identitet och inloggningskatalogens identitet för kontot,
• inloggning och autentisering, med inloggningsloggar, i Microsoft Entra External ID,
• driftloggar och skydd mot missbruk av plattformen, och
• Biträdets egen administration av avtalet, till exempel uppgifterna om vem som godkänt det.

För Microsoft Entra External ID är Microsoft Biträdets eget personuppgiftsbiträde, inte underbiträde enligt det här avtalet. Inloggningskatalogen innehåller inte Organisationens anmälningar, deltagarlistor eller andra uppgifter om dess verksamhet.

Vilka konton som har behörighet till Organisationen och med vilken roll, och loggen över åtkomst till personuppgifter i Organisationens verksamhet, behandlar Biträdet däremot för Organisationens räkning enligt det här avtalet: det är Organisationen som bestämmer vem som får tillgång till dess uppgifter, och loggen finns för att visa hur dess uppgifter har använts. Biträdet får använda loggen för att utreda säkerhetsincidenter.

5. Organisationens ansvar

Organisationen är personuppgiftsansvarig och ansvarar för att:

• behandlingen har en rättslig grund enligt artikel 6, och för hälsouppgifter dessutom ett undantag enligt artikel 9.2, och att ändamålen är bestämda och berättigade,
• hälsouppgifter om en deltagare bara lämnas när deltagaren själv — eller, för ett barn som inte själv kan bedöma vad det innebär, en vårdnadshavare — uttryckligen samtyckt, och att Organisationen och lagens kontaktpersoner använder tjänstens funktion för att ange vem som samtyckt; tjänsten tar inte emot en sådan uppgift utan det,
• bara de uppgifter som behövs samlas in; personnummer samlas bara in när Organisationen behöver dem och har en rättslig grund för det — ett krav i ett förbunds stadgar eller regler är inte i sig en rättslig förpliktelse enligt artikel 6.1 c, som förutsätter en skyldighet i unionsrätten eller svensk rätt,
• dess namn, organisationsnummer, integritetskontakt och postadress är riktiga på organisationssidan, och att tävlingar och andra aktiviteter i tjänsten är kopplade till den organisation som faktiskt ansvarar för dem, eftersom integritetsmeddelandet och anmälningsbekräftelserna namnger den personuppgiftsansvarige därifrån,
• bara personer som behöver det får behörighet till Organisationen i tjänsten, och att behörigheten tas bort när de inte längre behöver den,
• uppgifter som Organisationen laddar ned eller exporterar — rumslistor, måltidslistor och liknande — hanteras säkert; när en fil lämnat tjänsten omfattas den inte längre av Biträdets skyddsåtgärder,
• Organisationen bedömer vilken roll hotell, cateringleverantörer, transportörer och andra mottagare har när Organisationen lämnar uppgifter till dem — ett hotell som registrerar sina gäster är i regel självständigt personuppgiftsansvarigt, medan en leverantör som bara behandlar uppgifterna för Organisationens räkning är Organisationens personuppgiftsbiträde — och ingår de avtal och lämnar den information som rollen kräver; mottagarna är inte Biträdets underbiträden, och
• de instruktioner Organisationen ger Biträdet är förenliga med tillämplig dataskyddslagstiftning.

6. Instruktioner

Biträdet behandlar personuppgifterna endast enligt Organisationens dokumenterade instruktioner. Instruktionerna är detta avtal med bilagor och de val Organisationen gör i tjänsten — inställningar, behörigheter, exporter, rättelser och raderingar. Organisationen instruerar Biträdet att ge de registrerade de självbetjäningsfunktioner som beskrivs i integritetspolicyn: att se och ladda ned sina uppgifter, rätta dem, radera dem och ta tillbaka samtycke.

Om unionsrätten eller svensk rätt kräver att Biträdet behandlar uppgifterna på annat sätt informerar Biträdet Organisationen om det innan behandlingen påbörjas, om inte lagen förbjuder sådan information.

Biträdet informerar Organisationen utan dröjsmål om Biträdet anser att en instruktion strider mot tillämplig dataskyddslagstiftning.

7. Sekretess

Biträdet ser till att de personer som har tillgång till personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt, och att de bara får tillgång i den utsträckning deras uppgifter kräver. Biträdet lämnar inte ut personuppgifterna till någon annan än underbiträden enligt punkt 9, om inte Organisationen instruerat det eller lag kräver det.

8. Säkerhet

Biträdet vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 för att skydda personuppgifterna, med hänsyn till att de bland annat omfattar uppgifter om hälsa, pass- och ID-nummer, personnummer och uppgifter om barn. Åtgärderna beskrivs i bilaga 2. Biträdet får ändra åtgärderna så länge skyddsnivån inte sänks.

9. Underbiträden

Organisationen ger genom avtalet ett allmänt förhandstillstånd till att Biträdet anlitar de underbiträden som anges i bilaga 3.

Biträdet meddelar Organisationen minst 30 dagar i förväg innan ett underbiträde läggs till eller byts ut, genom e-post till Organisationens integritetskontakt och genom en ny version av bilaga 3. Organisationen får invända mot förändringen på sakliga grunder inom den tiden. Kan parterna inte lösa invändningen får Organisationen säga upp avtalet och tjänsten utan kostnad till den dag förändringen genomförs.

Biträdet ålägger varje underbiträde samma dataskyddsskyldigheter som följer av detta avtal, genom ett skriftligt avtal. Biträdet ansvarar fullt ut gentemot Organisationen för underbiträdenas fullgörande av sina skyldigheter.

10. Plats för behandlingen och överföring till tredje land

Biträdet lagrar Organisationens personuppgifter i Microsoft Azure inom EU/EES: databas, filer och säkerhetskopior i regionen Sweden Central, och e-posttjänstens uppgifter i Europa.

Microsoft kan enligt sina villkor i begränsad omfattning behandla uppgifter utanför EU/EES, till exempel vid support, felsökning och säkerhetsarbete. Sådan behandling sker med de skyddsåtgärder som anges i Microsofts personuppgiftsbiträdesvillkor: EU-kommissionens standardavtalsklausuler och, för överföring till USA, Microsofts certifiering enligt EU-US Data Privacy Framework.

I övrigt överför Biträdet inte personuppgifter till ett land utanför EU/EES utan att förutsättningarna i kapitel V i dataskyddsförordningen är uppfyllda och Organisationen har underrättats enligt punkt 9.

11. Bistånd till Organisationen

Biträdet bistår Organisationen, med hänsyn till behandlingens art och den information Biträdet har tillgång till, med att:

• besvara begäranden från registrerade om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning; en begäran som kommer direkt till Biträdet och rör Organisationens behandling vidarebefordras till Organisationen utan onödigt dröjsmål, om den inte kan uppfyllas med tjänstens självbetjäning,
• fullgöra skyldigheterna om säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning och förhandssamråd enligt artiklarna 32–36, och
• lämna den information Organisationen behöver för att besvara frågor från Integritetsskyddsmyndigheten.

Bistånd som går utöver tjänstens funktioner och normal support får Biträdet debitera enligt överenskommelse.

12. Personuppgiftsincidenter

Biträdet underrättar Organisationen utan onödigt dröjsmål, och senast 36 timmar efter att Biträdet fått kännedom om en personuppgiftsincident som rör Organisationens uppgifter, så att Organisationen kan fullgöra sin skyldighet att anmäla inom 72 timmar. Underrättelsen sker till Organisationens integritetskontakt.

Detsamma gäller en incident som rör ett Unispect-konto eller inloggningen — till exempel ett kapat konto med behörighet till Organisationen, eller en incident i inloggningstjänsten — om den påverkar eller kan påverka Organisationens uppgifter, även om kontot behandlas under Biträdets eget ansvar enligt punkt 4.

Underrättelsen ska, i den mån det är känt, beskriva incidentens art, kategorierna och det ungefärliga antalet registrerade och poster, de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslås, samt namnge en kontaktperson hos Biträdet. Det som inte är känt vid första underrättelsen lämnas så snart det blir känt.

13. Gallring, återlämnande och radering

Under avtalstiden gallrar Biträdet personuppgifterna automatiskt enligt tiderna i bilaga 1, som också publiceras i integritetspolicyn. Andra tider kan avtalas skriftligen.

När avtalet upphör väljer Organisationen om personuppgifterna ska återlämnas och därefter raderas, eller raderas direkt. Under 30 dagar efter att avtalet upphört kan Organisationen ta ut uppgifterna med tjänstens exportfunktioner eller begära en export i ett vanligt maskinläsbart format. Har Organisationen inte valt återlämnande när de 30 dagarna gått raderar Biträdet uppgifterna. Raderingen är klar senast 90 dagar efter att avtalet upphört, och Biträdet bekräftar den skriftligen till Organisationens integritetskontakt.

Räkenskapsinformation, till exempel utbetalningar till säljare, är Organisationens att bevara enligt bokföringslagen (1999:1078) till och med det sjunde kalenderåret efter utgången av det räkenskapsår den hör till. Under avtalstiden bevarar Biträdet den för Organisationens räkning så länge; när avtalet upphör lämnas den ut till Organisationen före raderingen. Biträdet sparar inga uppgifter efter avtalets slut om inte lag kräver det.

Raderade uppgifter finns kvar i säkerhetskopior tills kopiorna löper ut enligt bilaga 2, längst tolv månader. Säkerhetskopiorna är krypterade, nås bara av Biträdets driftansvariga och används bara för att återställa tjänsten. Återställs en säkerhetskopia tillämpar Biträdet på nytt de raderingar och den gallring som gjorts efter kopians tidpunkt, innan de återställda uppgifterna används.

14. Granskning

Biträdet ger Organisationen den information som behövs för att visa att skyldigheterna i artikel 28 är uppfyllda, och möjliggör och bidrar till granskningar, inklusive inspektioner, som genomförs av Organisationen eller av en oberoende granskare som Organisationen utser och som omfattas av tystnadsplikt.

En rutinmässig granskning får göras högst en gång per år, efter minst 30 dagars skriftligt varsel. Utöver det får Organisationen granska, med det varsel som är skäligt med hänsyn till omständigheterna, när det rimligen behövs på grund av

• en personuppgiftsincident eller grundad misstanke om att avtalet eller tillämplig dataskyddslagstiftning inte följs,
• ett brådskande säkerhetsproblem som rör Organisationens uppgifter,
• en väsentlig ändring av behandlingen, till exempel ett nytt underbiträde,
• uppföljning av brister som en tidigare granskning visat, eller
• krav från Integritetsskyddsmyndigheten eller en annan tillsynsmyndighet.

Granskningen får omfatta dokumentation, intervjuer och inspektion av Biträdets rutiner och system. Granskningen av underbiträdenas verksamhet sker genom de revisionsrapporter och certifieringar underbiträdena tillhandahåller. Granskaren får inte tillgång till andra kunders uppgifter eller till uppgifter som skulle röja andra kunders förhållanden eller äventyra säkerheten i tjänsten; sådana uppgifter kan lämnas i avidentifierad eller sammanfattad form.

Biträdet samarbetar vid granskningen och åtgärdar de brister som granskningen visar inom skälig tid, enligt en åtgärdsplan som Biträdet lämnar till Organisationen. Varje part står för sina egna kostnader för granskningen.

15. Ansvar

Vardera parten svarar för skada som den orsakat enligt artikel 82 i dataskyddsförordningen, och för sanktionsavgifter som beslutats mot den enligt artikel 83. Har en part betalat ersättning till en registrerad för skada som den andra parten orsakat har den rätt att återkräva den andra partens andel.

I övrigt är Biträdets ansvar gentemot Organisationen enligt detta avtal begränsat till ett belopp som motsvarar de avgifter Organisationen betalat för tjänsten under de tolv månader som föregick skadan, dock lägst ett prisbasbelopp. Begränsningen gäller inte vid uppsåt eller grov vårdslöshet.

16. Giltighetstid och uppsägning

Avtalet gäller från godkännandet så länge Biträdet behandlar personuppgifter för Organisationens räkning. Vardera parten får säga upp det med 30 dagars varsel; samtidigt upphör Organisationens användning av tjänsten för behandling som avtalet omfattar. Bestämmelserna om sekretess, radering och ansvar gäller även efter att avtalet upphört.

17. Ändringar

Biträdet kan publicera en ny version av avtalet. Väsentliga ändringar meddelas Organisationens integritetskontakt minst 30 dagar innan de ska gälla, och den nya versionen gäller för Organisationen när den godkänts på organisationssidan. Fram till dess gäller den version Organisationen senast godkänt, och den finns kvar oförändrad på sin egen adress. Ändringar som krävs av lag eller beslut från Integritetsskyddsmyndigheten får gälla tidigare än 30 dagar.

18. Företräde och språk

I frågor om behandling av personuppgifter går detta avtal före andra avtal mellan parterna. Avtalet är skrivet på svenska; den engelska versionen är en översättning, och vid skillnader gäller den svenska.

19. Tillämplig lag och tvister

Svensk lag gäller för avtalet. Tvister avgörs av svensk allmän domstol.

20. Kontakt

Biträdet: Hellersjö Consulting AB · info@hellersjo.com. Organisationen: den kontaktadress som registrerades vid godkännandet, eller den integritetskontakt Organisationen senare meddelar Biträdet på organisationens sida.

Bilaga 1 — Beskrivning av behandlingen

Behandlingen består av insamling, lagring, sammanställning, utlämnande till Organisationen, export på Organisationens begäran, utskick av e-post för Organisationens räkning, rättelse, gallring och radering.

Bilaga 2 — Säkerhetsåtgärder

• Kryptering. Hälsonoteringar, pass- och ID-nummer, personnummer, telefonnummer, lagkontaktens namn och e-postadress, säljares och inbjudnas kontaktuppgifter och flygnummer krypteras på fältnivå med AES-256-GCM. Övriga uppgifter, till exempel deltagarnas namn och ankomsttider, skyddas av krypteringen i vila: databasen och dess säkerhetskopior krypteras med Azure SQL:s transparenta datakryptering. Trafiken till tjänsten och mellan dess delar är krypterad med TLS 1.2 eller senare.
• Nycklar. Krypteringsnycklarna förvaras i Azure Key Vault, åtskilda från databasen. Tjänsten hämtar dem med hanterade identiteter; i övrigt har bara Biträdets driftansvariga behörighet till dem.
• Inloggning och behörighet. Varje användare loggar in med ett personligt konto och en engångskod som skickas till kontots e-postadress; tjänsten har inga lösenord. En anmälan nås av kontot som gjorde den och av dem Organisationen gett behörighet. Biträdets plattformsadministratörer har åtkomst när det behövs för drift, support eller för att utföra Organisationens instruktioner.
• Spårbarhet. Läsningar av anmälningar och deltagarlistor, ändringar, exporter och raderingar loggas med tidpunkt, konto och syfte. Listor till hotell och catering loggas innan filen lämnas ut.
• Dataminimering. Hälsonoteringar tas bara emot med samtycke enligt bilaga 1, vilket kontrolleras av servern och inte bara i formuläret. Tjänsten skriver inte personuppgifternas värden i sina driftloggar; driftloggarna innehåller IP-adresser och adresserna till anropade sidor och sparas i 90 dagar. En registrerads kopia av sina uppgifter innehåller inte andra deltagares pass- eller ID-nummer eller hälsonoteringar.
• Gallring. Gallringen enligt bilaga 1 körs automatiskt varje dygn.
• Skydd mot missbruk. Anrop till anmälningsfunktionerna begränsas per konto eller nätverk, och nekade åtkomstförsök loggas.
• Drift och återställning. Tjänsten körs i Microsoft Azure, regionen Sweden Central. Databasen kan återställas till valfri tidpunkt de senaste 35 dagarna; dessutom sparas en säkerhetskopia per vecka i åtta veckor och en per månad i tolv månader, i samma region.
• Incidenthantering. En dokumenterad rutin för personuppgiftsincidenter, med underrättelse till Organisationen enligt punkt 12.

Bilaga 3 — Underbiträden

Microsoft Entra External ID, där Unispect-kontonas inloggning sker, är inte underbiträde enligt detta avtal: där är Biträdet personuppgiftsansvarigt och Microsoft Biträdets biträde, se punkt 4. Inloggningskatalogen ligger i dag i USA; överföringen stöder sig på Microsofts certifiering enligt EU-US Data Privacy Framework och på standardavtalsklausulerna i Microsofts personuppgiftsbiträdesvillkor.

Hotell, cateringleverantörer, transportörer och andra som Organisationen själv lämnar uppgifter till är inte Biträdets underbiträden; deras roll bedöms enligt punkt 5.