Personuppgiftsbiträdesavtal
This document is available in Swedish only. Contact us at george@bilbra.com if you need an English summary.
Det här avtalet gäller när Bilbra behandlar personuppgifter för en bilhandlares räkning. Det ingår i användarvillkoren och godkänns när bilhandlaren skapar ett konto. Avtalet uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR).
Parter
Personuppgiftsansvarig: den bilhandlare (företag) som använder Bilbra, nedan ”Bilhandlaren”.
Personuppgiftsbiträde: [Juridiskt företagsnamn] (Bilbra), org.nr [org.nr], [Postadress], nedan ”Bilbra”.
1. Vad behandlingen gäller
| Ändamål | Att tillhandahålla Bilbra: lagerhantering, kundregister, uppgifter, dokument och köpeavtal, e-postutskick från tjänsten samt support. |
|---|---|
| Registrerade | Bilhandlarens kunder och spekulanter, kontaktpersoner hos företagskunder och leverantörer, samt Bilhandlarens anställda och användare. |
| Personuppgifter | Namn, telefonnummer, e-postadress, postadress, anteckningar, intresse för bilar, köp och försäljningar, köpeavtal och andra dokument, bilder, uppgifter om fordon (t.ex. registreringsnummer) samt användares namn, e-post och roll. |
| Känsliga uppgifter | Ska inte behandlas i tjänsten. Personnummer för privatpersoner ska bara läggas in när det är nödvändigt och tillåtet. |
| Varaktighet | Så länge Bilhandlaren använder tjänsten, och därefter tills uppgifterna raderats enligt punkt 9. |
2. Instruktioner
Bilbra behandlar personuppgifterna endast enligt Bilhandlarens dokumenterade instruktioner. Användarvillkoren, detta avtal och de val Bilhandlaren gör i tjänsten utgör instruktionerna. Bilbra informerar Bilhandlaren om Bilbra anser att en instruktion strider mot dataskyddsreglerna. Bilbra får behandla uppgifterna på annat sätt endast om lag kräver det, och informerar då Bilhandlaren innan behandlingen, om det inte är förbjudet.
3. Sekretess
Bilbra ser till att alla som har tillgång till personuppgifterna har tystnadsplikt och bara får tillgång i den mån det behövs för att leverera tjänsten, ge support som Bilhandlaren begärt eller åtgärda fel.
4. Säkerhet
Bilbra vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, bland annat:
- kryptering av all trafik (HTTPS/TLS) och kryptering av lagrade data hos driftleverantören,
- åtskillnad av varje bilhandlares uppgifter på databasnivå (radnivåskydd) så att ingen annan kund kan komma åt dem,
- behörighetsstyrning med roller (ägare, administratör, säljare) som Bilhandlaren själv bestämmer,
- privat fillagring där bilder och dokument bara visas via tidsbegränsade länkar,
- lösenord som lagras hashade, aldrig i klartext,
- regelbundna säkerhetskopior hos driftleverantören,
- begränsad och loggad teknisk åtkomst för Bilbras personal.
5. Underbiträden
Bilhandlaren ger Bilbra ett allmänt förhandstillstånd att anlita de underbiträden som anges i bilagan nedan. Bilbra ska ha skriftliga avtal med underbiträdena som ger minst samma skydd som detta avtal. Innan Bilbra anlitar ett nytt eller byter underbiträde meddelar vi Bilhandlaren minst 30 dagar i förväg. Bilhandlaren kan invända av sakliga skäl, och om vi inte hittar en lösning får Bilhandlaren säga upp avtalet utan kostnad. Bilbra ansvarar gentemot Bilhandlaren för underbiträdenas behandling.
6. Överföring till tredje land
Personuppgifter får överföras utanför EU/EES endast om det finns ett giltigt överföringsstöd enligt kapitel V GDPR, till exempel ett beslut om adekvat skyddsnivå (såsom EU–US Data Privacy Framework) eller EU-kommissionens standardavtalsklausuler, kompletterat med skyddsåtgärder vid behov.
7. Hjälp till Bilhandlaren
Bilbra hjälper Bilhandlaren, med hänsyn till behandlingens art, att uppfylla sina skyldigheter, bland annat att besvara begäranden från registrerade (t.ex. om tillgång, rättelse och radering), att göra konsekvensbedömningar och att samråda med tillsynsmyndigheten. Får Bilbra en begäran direkt från en registrerad hänvisar vi den till Bilhandlaren. Hjälp som går utöver vad som är normalt får debiteras efter överenskommelse.
8. Personuppgiftsincidenter
Bilbra meddelar Bilhandlaren utan onödigt dröjsmål, och senast 48 timmar efter att Bilbra fått kännedom om den, om en personuppgiftsincident som rör Bilhandlarens uppgifter. Meddelandet ska så långt möjligt beskriva vad som hänt, vilka uppgifter och hur många registrerade som berörs, troliga följder och vilka åtgärder som vidtagits.
9. När avtalet upphör
När avtalet upphör har Bilhandlaren 30 dagar på sig att exportera eller begära ut sina uppgifter. Därefter raderar Bilbra uppgifterna, inklusive kopior, inom 90 dagar. Uppgifter i säkerhetskopior skrivs över enligt ordinarie rutin. Uppgifter som Bilbra enligt lag måste spara (t.ex. bokföring) sparas så länge lagen kräver.
10. Granskning
Bilbra ger Bilhandlaren den information som behövs för att visa att detta avtal följs. Bilhandlaren får, efter skälig förvarning och högst en gång per år om inte särskilda skäl finns, genomföra eller låta en oberoende granskare genomföra en granskning. Granskningen ska ske så att den inte stör tjänsten eller andra kunders uppgifter, och Bilhandlaren står för sina egna kostnader.
11. Ansvar, giltighet och ändringar
För ansvar gäller användarvillkoren, med förbehåll för vad som följer av artikel 82 GDPR. Avtalet gäller så länge Bilbra behandlar personuppgifter för Bilhandlarens räkning. Vid motstridigheter gäller detta avtal före användarvillkoren i frågor om personuppgifter. Ändringar meddelas på samma sätt som för användarvillkoren. Svensk lag gäller.
Bilaga: Underbiträden
| Underbiträde | Behandling | Plats | Överföringsstöd |
|---|---|---|---|
| Supabase Inc. | Databas, inloggning och fillagring | [Supabase-region, t.ex. EU (Frankfurt)] | Standardavtalsklausuler |
| Cloudflare Inc. | Webbhotell och nätverksskydd | Globalt nätverk | Data Privacy Framework och standardavtalsklausuler |
| Resend Inc. | Utskick av e-post från tjänsten | USA/EU | Standardavtalsklausuler |