Personuppgiftsbiträdesavtal
Version 2026-11-11. Gäller från 11 november 2026. Enligt artikel 28 i förordning (EU) 2016/679 (GDPR). Godkänns tillsammans med villkoren.
1. Parter och roller
Kunden (byrån) är personuppgiftsansvarig. Aldorock AB, organisationsnummer 559607-5985, momsregistreringsnummer SE559607598501, Gammelgårdsvägen 58, 112 64 Stockholm är personuppgiftsbiträde.
2. Ändamål och tid
Biträdet behandlar personuppgifter bara för att tillhandahålla Aldorock Underlag: skicka checklistor till kundens klienter, ta emot uppgifter om uppladdade filer, skicka påminnelser och sammanfattningar och visa status för kunden. Avtalet gäller så länge kunden använder tjänsten.
3. Uppgifter och registrerade
- Registrerade: kundens klienter och deras kontaktpersoner, kundens användare.
- Uppgifter: namn, e-postadress, kontaktpersonens namn (som också står i mejlen till klienten), förfrågans rubrik och checklista, filnamn, filstorlek och filtyp, kommentarer, tidpunkter och id i händelseloggen.
- Filernas innehåll behandlas inte av biträdet. Filerna laddas upp från klientens webbläsare direkt till kundens Microsoft 365.
- Tjänsten frågar aldrig efter personnummer från klienter. Särskilda kategorier av personuppgifter ska inte skrivas i fält eller kommentarer. Dokument som klienten laddar upp kan innehålla sådana uppgifter men hamnar bara hos kunden.
4. Biträdets skyldigheter
- Behandla uppgifterna bara enligt kundens dokumenterade instruktioner, som är detta avtal och kundens inställningar.
- Se till att alla med åtkomst har tystnadsplikt.
- Skydda uppgifterna: all trafik går över TLS, länkar till klienter lagras bara som hash, nycklar och tokens krypteras, varje fråga mot databasen är låst till kunden, och åtkomsten begränsas till det tjänsten behöver.
- Inte använda AI eller språkmodeller på uppgifterna.
- Genast meddela kunden om en instruktion enligt biträdets mening strider mot dataskyddsförordningen eller annan dataskyddslag.
- Hjälpa kunden med de registrerades rättigheter och med skyldigheterna i artiklarna 32 till 36: säkerhet, anmälan av incidenter, konsekvensbedömningar och förhandssamråd.
- Meddela kunden en personuppgiftsincident utan onödigt dröjsmål och senast inom 48 timmar.
5. Lagring och radering
- Uppgifter om en förfrågan (klientens namn och e-post, checklistan, filnamn och storlek, kommentarer, påminnelser) raderas när den tid som kunden har valt har gått efter att förfrågan stängts. Standard är 90 dagar, kunden väljer mellan 7 och 3650 dagar.
- En klient som inte längre har någon förfrågan raderas när samma tid har gått.
- Kunden kan när som helst radera en klient som saknar öppna förfrågningar.
- En öppen förfrågan vars länk har gått ut stängs av tjänsten 30 dagar senare, och raderas sedan som andra stängda förfrågningar.
- Allt byrån har hos Aldorock raderas direkt när en administratör ber om det under Inställningar, och annars 30 dagar efter att ett betalt abonnemang upphört om ingen har loggat in sedan dess. Ett kvitto skickas till byråns e-post.
- Händelseloggen innehåller bara id och händelser, inga namn, och raderas efter 400 dagar.
- Exempelsidan på webbplatsen sparar inga filer. Filen passerar tjänsten och slängs direkt. Uppgifterna om den raderas inom en timme.
- Filernas innehåll lagras aldrig hos Aldorock. De ligger i kundens eget Microsoft 365 och kunden bestämmer hur länge.
6. Underbiträden
| Leverantör | Vad | Var |
|---|---|---|
| Cloudflare, Inc. | Drift av tjänsten (Workers) och databasen (D1). | Databasen lagras inom EU (D1 med EU jurisdiktion). Förfrågningar hanteras i Cloudflares nät nära användaren. Överföring till USA sker med EU:s standardavtalsklausuler och ramverket för dataskydd mellan EU och USA. |
| Plus Five Five, Inc. (Resend) | Utskick av påminnelser till klienter och sammanfattningar till byrån: mottagarens namn och e-post, byråns namn, förfrågans rubrik, checklistans punkter och länken. Resend sparar mejlen, länken inräknad, en begränsad tid enligt sitt personuppgiftsbiträdesavtal. | Utskick från EU (Irland). Överföring till USA sker med EU:s standardavtalsklausuler. |
Kunden ger här ett allmänt skriftligt förhandstillstånd till att biträdet anlitar underbiträden. Biträdet meddelar kunden via e-post minst 30 dagar innan ett nytt underbiträde anlitas eller ett byts ut. Kunden kan invända och säga upp avtalet. Biträdet ålägger varje underbiträde samma skyldigheter om dataskydd som i detta avtal och ansvarar fullt ut mot kunden för underbiträdets behandling. Microsoft är inte underbiträde: kundens Microsoft 365 är kundens eget.
7. Överföring utanför EES
Uppgifter överförs bara med en giltig mekanism enligt kapitel V i GDPR.
8. Granskning
Biträdet ger kunden den information som behövs för att visa att avtalet följs och tillåter en rimlig granskning med 30 dagars varsel.
9. När avtalet upphör
Kunden väljer om uppgifterna ska lämnas tillbaka eller raderas. Tillbaka: kunden exporterar förfrågningar och punkter som CSV i tjänsten, och filerna finns redan i kundens Microsoft 365. Radering: en administratör raderar allt direkt under Inställningar, och annars raderar biträdet kundens uppgifter 30 dagar efter att ett betalt abonnemang upphört om ingen har loggat in sedan dess. Ett kvitto skickas till kundens e-post. Uppgifter som lag kräver att biträdet sparar, som fakturor, sparas så länge lagen kräver.
10. Lag
Som i villkoren.