Personuppgiftsbiträdesavtal

Gäller från 2026-10-25.

Bilaga till licensavtalet för YH-stöd. Avtalet gäller mellan Kunden som personuppgiftsansvarig och DevEd AB, organisationsnummer 559336-7732 (Biträdet), som personuppgiftsbiträde, enligt artikel 28 i dataskyddsförordningen.

1. Behandlingen

• Ändamål: att tillhandahålla YH-stöd enligt licensavtalet. Biträdet får inte behandla uppgifterna för egna ändamål, till exempel i sin egen verksamhet inom yrkeshögskolan, eller för andra kunder.
• Kategorier av registrerade: Kundens användare, och personer vars namn Kunden själv skriver in i tjänsten.
• Kategorier av uppgifter: namn, e-postadress, roll, inloggningsuppgifter och det Kunden lägger in, till exempel planerade ansökningar och bedömningar. Tjänsten är inte avsedd för känsliga personuppgifter, och Kunden ska inte lägga in sådana.
• Varaktighet: under licensavtalet och 30 dagar därefter.

2. Instruktioner

Biträdet behandlar personuppgifterna bara enligt Kundens dokumenterade instruktioner, som är detta avtal och licensavtalet. Anser Biträdet att en instruktion strider mot dataskyddsreglerna meddelar Biträdet Kunden utan dröjsmål.

3. Sekretess

Den som arbetar för Biträdet och har tillgång till personuppgifterna har tystnadsplikt och får bara behandla uppgifterna när det behövs för uppdraget.

4. Säkerhet

Biträdet vidtar de tekniska och organisatoriska åtgärder som beskrivs i tjänstens säkerhetsbeskrivning, bland annat att varje organisations uppgifter skiljs åt i databasen, att trafiken är krypterad, att databasen säkerhetskopieras och att administratörers åtgärder loggas.

5. Underbiträden

Kunden godkänner Oderland Webbyrå AB som underbiträde för server, databas och e-post, i Sverige. Biträdet meddelar Kunden minst 30 dagar innan ett underbiträde läggs till eller byts ut, och Kunden får invända. Biträdet ingår avtal med varje underbiträde med samma skyldigheter som i detta avtal.

6. Överföring utanför EU och EES

Personuppgifter överförs utanför EU och EES bara om överföringen har stöd i dataskyddsförordningen, till exempel EU-kommissionens standardavtalsklausuler.

7. Hjälp till Kunden

Biträdet hjälper Kunden att besvara begäranden från registrerade, att göra konsekvensbedömningar och att uppfylla sina skyldigheter vid personuppgiftsincidenter, i den mån det är rimligt med hänsyn till behandlingens art.

8. Personuppgiftsincidenter

Biträdet underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha upptäckt en personuppgiftsincident. Underrättelsen beskriver vad som hänt, vilka uppgifter och hur många registrerade som berörs, de troliga följderna och vad Biträdet gjort åt det.

9. Granskning

Biträdet ger Kunden den information som behövs för att visa att avtalet följs, och möjliggör granskning som Kunden eller en oberoende granskare gör, efter rimligt varsel och utan att andra kunders uppgifter röjs.

10. När avtalet upphör

När licensavtalet upphör lämnar Biträdet på begäran ut Kundens uppgifter inom 30 dagar och raderar dem därefter, inklusive kopior, utom det som måste sparas enligt lag. Uppgifter i säkerhetskopior försvinner när kopiorna skrivs över, och används inte under tiden.

11. Ansvar

Ansvarsbegränsningen i licensavtalet gäller också detta avtal, utom för sanktionsavgifter och skadestånd som följer direkt av dataskyddsförordningen.