Personuppgiftsbiträdesavtal
Gäller från 2026-11-14
Händelserna ni hämtar från IA kan innehålla personuppgifter. Det här avtalet reglerar hur vi behandlar dem för er räkning. Avtalet är en del av villkoren och godkänns när kontot skapas.
1. Parter och roller
Kunden (”ni”) är personuppgiftsansvarig. Label Insight Sweden AB, organisationsnummer 559593-8928, Blåbärsstigen 47, 549 40 Skövde (”Collva”, ”vi”) är personuppgiftsbiträde. Avtalet följer artikel 28 i dataskyddsförordningen (EU 2016/679).
2. Behandlingen
| Ändamål | Att visa och analysera era avvikelser från IA-systemet i tjänsten Collva. |
|---|---|
| Behandlingens art | Hämtning från IA:s Export API, lagring, sammanställning och visning för era användare. |
| Uppgifter | Händelsernas uppgifter om typ, tid, enhet, risk, orsak och åtgärder, samt fritext i rubrik, beskrivning, utredning och åtgärder. IA:s fält för namn, personnummer, telefon, e-post, ålder och kön tas bort innan något sparas. |
| Personuppgifter | Det som era medarbetare har skrivit i fritexten. Där kan det förekomma namn och uppgifter om skador och hälsa, även om fälten för sådant inte sparas. |
| Registrerade | Era anställda, inhyrda, entreprenörer och andra som förekommer i händelserna. |
| Varaktighet | Så länge ni har ett konto. En händelse som tas bort i IA tas bort i Collva vid nästa fullständiga hämtning. |
3. Era instruktioner
Vi behandlar personuppgifterna bara för att tillhandahålla tjänsten enligt villkoren och enligt era dokumenterade instruktioner. Villkoren, det här avtalet och era inställningar i tjänsten är era instruktioner. Anser vi att en instruktion strider mot dataskyddsreglerna säger vi till utan dröjsmål.
Ni ansvarar för att behandlingen är laglig, för att de registrerade är informerade och för vilken behörighet (scope) ni väljer för kopplingen mot IA. Med behörigheten export-limited lämnar IA inte ut personuppgifter alls.
4. Sekretess
Bara de personer hos oss som behöver det för att driva och felsöka tjänsten har åtkomst till uppgifterna, och de är bundna av tystnadsplikt.
5. Säkerhet
- Uppgifterna lagras i en databas i Stockholm och är krypterade vid lagring och överföring.
- Varje kund har en egen avskild yta. Databasens radskydd gör att en inloggad användare bara kan läsa sin egen organisations uppgifter.
- Webbläsaren kan bara läsa händelserna, aldrig ändra dem.
- Er Client secret för IA lagras krypterad i ett särskilt valv och visas aldrig igen efter att den sparats.
- Kopplingen mot IA går genom Export API, som bara kan läsa.
- Lösenord lagras som envägskrypterade värden.
6. Underbiträden
Ni godkänner att vi anlitar underbiträdena nedan. De är bundna av avtal som ställer motsvarande krav som det här avtalet, och vi ansvarar för dem gentemot er.
| Underbiträde | Uppgift | Plats för behandlingen |
|---|---|---|
| Supabase | Databas, inloggning och krypterad lagring av Client secret | Stockholm |
| Vercel | Drift av tjänstens serverdelar, som hämtar händelserna från IA och sparar dem i databasen | Stockholm |
Vill vi anlita ett nytt underbiträde eller byta ut ett meddelar vi er minst 30 dagar i förväg. Ni kan invända inom den tiden. Kan vi inte lösa invändningen har ni rätt att säga upp avtalet.
Underbiträdena är amerikanska företag. Om uppgifter i undantagsfall förs över till ett land utanför EU/EES sker det med stöd av EU-kommissionens beslut om adekvat skyddsnivå eller standardavtalsklausuler.
7. Hjälp till er
Vi hjälper er, i rimlig omfattning, att besvara begäranden från registrerade och att uppfylla era skyldigheter om säkerhet, incidentanmälan och konsekvensbedömning. Vänder sig en registrerad direkt till oss hänvisar vi till er.
8. Personuppgiftsincidenter
Upptäcker vi en personuppgiftsincident som rör era uppgifter meddelar vi er utan onödigt dröjsmål och senast inom 48 timmar. Meddelandet beskriver vad som har hänt, vilka uppgifter som berörs och vad vi har gjort.
9. Granskning
Vi ger er den information som behövs för att visa att avtalet följs. Ni har rätt att granska behandlingen, själva eller genom en oberoende granskare med tystnadsplikt, en gång per år med 30 dagars varsel. Var och en står för sina egna kostnader.
10. När avtalet upphör
När kontot avslutas raderar vi era händelser, er IA-koppling och den sparade Client secret inom 30 dagar. Uppgifterna finns kvar i IA-systemet, så någon återlämning behövs normalt inte. Säkerhetskopior skrivs över inom den tid vår databasleverantör sparar dem.
11. Ansvar
Ansvarsbegränsningen i villkoren gäller även för det här avtalet, utom för sådant ansvar mot registrerade och myndigheter som enligt dataskyddsförordningen inte kan begränsas.