Personuppgiftsbiträdesavtal
Version 2026-10-02. En del av villkoren för Gården.
1. Parter
Föreningen är personuppgiftsansvarig för personuppgifterna i sin Gården. leverantören (namnet anges innan anmälan öppnar) är personuppgiftsbiträde och behandlar dem bara för föreningens räkning, enligt detta avtal och dataskyddsförordningen (GDPR), artikel 28.
2. Behandlingen
- Ändamål: att styrelsen ska kunna sköta föreningen i Gården: posten till styrelsen, ärenden, möten och beslut, årets uppgifter, ekonomin, dokument, register och kontakter.
- De registrerade: styrelsens ledamöter, föreningens medlemmar och boende, de som skriver till styrelsen, leverantörer och kontaktpersoner.
- Uppgifterna: namn, kontaktuppgifter, lägenhetsnummer, innehållet i brev och ärenden, protokoll och beslut, fakturor och register. Brev kan innehålla känsliga uppgifter som någon själv har skrivit; de behandlas bara som en del av ärendet. Personnummer sparas inte.
- Varaktighet: så länge föreningen använder Gården, och därefter tills uppgifterna tagits bort enligt punkt 8.
3. Instruktioner och sekretess
Biträdet behandlar uppgifterna bara enligt detta avtal och föreningens användning av Gården, och säger till om en instruktion skulle strida mot dataskyddsreglerna. Den som arbetar för biträdet och kan komma åt uppgifterna har tystnadsplikt och gör det bara när det behövs för tjänsten, till exempel för att hjälpa föreningen på dess begäran.
4. Säkerhet
- En egen sajt och en egen databas per förening, i EU (Frankfurt).
- Krypterade anslutningar (HTTPS) och inloggning med engångslänk eller kod, utan lösenord.
- Behörighetsnivåer för styrelsen och nycklar som lagras krypterade.
- Ingen spårning av vem som öppnar brev eller länkar.
- Säkerhetskopior av databasen hos driftleverantören.
5. Underbiträden
- Netlify, Inc.: drift och databas. Föreningens uppgifter lagras i Frankfurt.
- Lettermint B.V. (Nederländerna): e-post till och från Gården, med servrar i EU.
- Bara om föreningen slår på det: Amazon Web Services (Claude i regionen Stockholm) för förslag till texter.
Föreningen godkänner dessa. Biträdet meddelar minst 30 dagar innan ett nytt underbiträde anlitas; föreningen kan då invända och säga upp avtalet. Netlify, Inc. är ett amerikanskt bolag; skulle uppgifter föras över till USA sker det enligt Netlifys personuppgiftsbiträdesavtal och EU:s regler för sådana överföringar.
6. Hjälp till föreningen
Biträdet hjälper föreningen att svara när någon vill ta del av, rätta eller ta bort sina uppgifter, och med konsekvensbedömningar när det behövs. En personuppgiftsincident meddelas föreningen utan dröjsmål och senast 48 timmar efter att biträdet upptäckt den.
7. Granskning
Biträdet ger föreningen den information som behövs för att visa att avtalet följs. Föreningen kan granska behandlingen med 30 dagars varsel, på egen bekostnad.
8. När avtalet upphör
Föreningen kan få en kopia av sina uppgifter. Uppgifterna tas bort senast 90 dagar efter att avtalet upphört, och säkerhetskopiorna inom 30 dagar därefter.