Personuppgiftsbiträdesavtal

Detta avtal ("Biträdesavtalet") har ingåtts mellan:

Personuppgiftsansvarig ("Kunden"):

Kundens uppgifter är de som är registrerade på kontot i Hyresvyn: företagsnamn, organisationsnummer och den administratör som godkände avtalet. Under Inställningar visas vilken version som godkänts och när; vem som godkände finns registrerat och lämnas ut på begäran. Skrivs avtalet i stället på papper fylls fälten i för hand:

• Företag: [kundens företagsnamn]
• Org.nr: [org.nr]
• Adress: [adress]
• Kontakt: [namn och e-post]

Personuppgiftsbiträde ("Biträdet"):

• Företag: Seravel Holding (enskild firma)
• Tjänst: Hyresvyn
• Ansvarig: Rasmus Andersson
• Org.nr: tillhandahålls på begäran
• Adress: Odensgatan 30B, 603 36 Norrköping
• Kontakt: seravelholding@gmail.com

Biträdesavtalet reglerar Biträdets behandling av personuppgifter för Kundens räkning när Kunden använder tjänsten Hyresvyn, och gäller så länge Biträdet behandlar personuppgifter åt Kunden.

Biträdet behandlar personuppgifter uteslutande för att tillhandahålla tjänsten Hyresvyn till Kunden – felanmälan, ärendehantering, underhållskalender, hyresavtal, hyresavier, utskick till hyresgäster, delning av ärenden med entreprenörer, rapporter och tillhörande kommunikation. Behandlingen omfattar insamling, lagring, strukturering, visning, utlämnande till de mottagare Kunden själv väljer och radering av personuppgifterna.

Behandlingen kan omfatta uppgifter om:

• Kundens användare (administratörer, förvaltare, läsbehöriga): namn, e-post, roll.
• Hyresgäster, även en andra hyresgäst på samma kontrakt: namn, telefonnummer, e-post, lägenhets- och fastighetsuppgifter.
• Anmälare av felanmälningar: namn, kontaktuppgifter, beskrivning av fel, bifogade bilder, önskad tid för tillträde, om huvudnyckel får användas samt meddelanden mellan anmälaren och Kunden i ärendet.
• Hyresavtals- och aviuppgifter (om funktionerna används): hyresbelopp, avtalsvillkor, personnummer i hyresavtal samt avier med referensnummer och betalstatus.
• Entreprenörer som Kunden delar ett ärende med: namn och det entreprenören själv skriver i ärendet.

Biträdet ska:

• enbart behandla personuppgifter enligt Kundens dokumenterade instruktioner (detta avtal och användningen av tjänsten);
• säkerställa att personer med åtkomst till uppgifterna har sekretessåtagande;
• vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder (bl.a. krypterad trafik, åtkomststyrning per roll och dataseparation per företag);
• bistå Kunden med att svara på registrerades begäran (tillgång, rättelse, radering m.m.) samt vid säkerhets- och konsekvensbedömningar;
• underrätta Kunden per e-post till angiven kontakt utan onödigt dröjsmål och senast 48 timmar efter att Biträdet fått vetskap om en personuppgiftsincident. En första underrättelse lämnas även om utredningen inte är klar och kompletteras löpande (art. 33.4). Underrättelsen innehåller vad som hänt, vilka kategorier av uppgifter och personer som berörs, sannolika följder och vidtagna åtgärder, så att Kunden kan göra sin egen anmälan inom sina 72 timmar;
• vid avtalets upphörande radera eller återlämna personuppgifterna enligt Kundens val, om inte lag kräver fortsatt lagring;
• ge Kunden möjlighet till granskning/revision av att dessa skyldigheter efterlevs.

Biträdet har teknisk möjlighet att via ett särskilt superadminkonto gå in i Kundens konto och läsa och ändra samtliga uppgifter Kunden lagrar i tjänsten. Detsamma gäller direkt åtkomst till databasen via leverantörens administrationsgränssnitt och servicenyckel.

Kunden instruerar härmed Biträdet att använda denna åtkomst endast när det behövs för att:

• avhjälpa ett fel eller besvara en supportfråga från Kunden,
• genomföra en ändring i databasen som Kunden begärt eller som krävs för driften,
• utreda ett driftstopp, en säkerhetsincident eller en misstänkt personuppgiftsincident, eller
• uppfylla en rättslig skyldighet.

Åtkomsten ska begränsas till vad uppgiften kräver. Biträdet får inte använda Kundens uppgifter för egna ändamål, och exporterar eller kopierar dem inte utanför tjänsten annat än på Kundens begäran. Den eller de fysiska personer hos Biträdet som har åtkomsten omfattas av tystnadsplikt enligt punkt 4.

Varje gång superadminkontot går in i Kundens konto registreras tidpunkt, konto och angiven anledning i en åtkomstlogg. Kunden har rätt att på begäran få ut loggen för sitt eget konto.

Kunden kan när som helst begära att åtkomsten stängs av. Biträdet kan då inte längre lämna support som kräver insyn i Kundens data, och felsökning måste i stället ske genom att Kunden själv delar det som behövs.

Kunden godkänner att Biträdet anlitar följande underbiträden för driften av tjänsten:

• Supabase – databas, autentisering och fillagring (inom EU/EES).
• Vercel – webbhotell och drift.
• Resend – utskick av transaktionsmejl.
• Sentry – felövervakning, tekniska felrapporter (inom EU).
• OpenStreetMap / Nominatim – adressuppslag. Uppslaget görs från Biträdets server, så användarens IP-adress skickas inte dit.

Självständiga mottagare (inte underbiträden)

Följande behandlar inte uppgifter för Biträdets räkning och omfattas inte av något biträdesavtal. De nämns för att Kunden ska ha hela bilden:

• OpenStreetMap Foundation och, som reserv, Esri / ArcGIS Online (USA) – när en inloggad användare tittar på en fastighetskarta hämtar användarens egen webbläsare kartrutorna direkt därifrån, och den servern ser då användarens IP-adress. Inga hyresgästuppgifter skickas dit.
• Google (Gmail) – Biträdets egen e-postbrevlåda för support och kontakt. Mejl som Kunden själv skickar dit hamnar där. Tjänsten skickar inga hyresgästuppgifter dit automatiskt. Notiser om nya registreringar, ansökningar och aktiveringar – med kontaktpersonens namn och e-post – går däremot till Biträdets brevlåda; för dem är Biträdet självt personuppgiftsansvarigt.

Biträdet ska informera Kunden om planerade byten eller tillägg av underbiträden, så att Kunden kan invända. Biträdet ansvarar för att underbiträden åläggs motsvarande skyldigheter.

Entreprenörer. Om Kunden delar ett ärende med en extern entreprenör via tjänstens uppdragslänk får entreprenören se uppgifterna i just det ärendet – adress, felbeskrivning, bilder samt kontakt- och tillträdesuppgifter. Entreprenören är Kundens eget biträde eller mottagare; Kunden ansvarar för valet av entreprenör och för att länken återkallas när uppdraget är slutfört.

Biträdets databas och filer hos Supabase är placerade i Stockholm, inom EU/EES. Följande behandlingar kan däremot ske i, eller nås från, USA – alla med lämpliga skyddsåtgärder enligt GDPR kapitel V (EU-kommissionens standardavtalsklausuler eller anslutning till EU–US Data Privacy Framework):

• Resend – mejlutskick. Namn, e-postadresser, telefonnummer, innehållet i en felanmälan och de hyresavier som mejlas till hyresgästen – med belopp, förfallodag, referens och betalkonto – kan behandlas där.
• Esri / ArcGIS Online – reservkartor. Endast IP-adressen för en inloggad användare som tittar på en fastighetskarta, och bara när OpenStreetMap inte svarar. Esri är en självständig mottagare, se punkt 5.
• Vercel och Sentry – båda är amerikanska bolag. Driften är placerad i EU (Vercel i Stockholm, Sentry i Tyskland), men moderbolagen kan nås av amerikansk rätt. Överföringen vilar på samma skyddsåtgärder som ovan.
• Google (Gmail) – Biträdets e-postbrevlåda, se punkt 5. Det Kunden själv mejlar dit kan behandlas i USA. Google är en självständig mottagare.

Övrig överföring till land utanför EU/EES sker endast med motsvarande skyddsåtgärder.

Kundens egna fakturauppgifter (företagsnamn, organisationsnummer, e-postadress för fakturor, referens och antal lägenheter) omfattas inte av detta avtal: dem behandlar Biträdet som personuppgiftsansvarig i ett separat faktureringsverktyg, vars databas ligger hos Supabase i Frankfurt. Inga hyresgästuppgifter lämnar Stockholm den vägen.

Vardera part ansvarar enligt gällande dataskyddslagstiftning. Biträdesavtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning och upphör när behandlingen avslutats och uppgifterna raderats eller återlämnats.

Övriga villkor: [ev. hänvisning till huvudavtal/abonnemang].