UTKAST · UPPDATERAD 2026-09-26

Personuppgiftsbiträdesavtal

Avtalet gäller mellan det företag som använder VeraBIM för sina projekt (personuppgiftsansvarig, ”Kunden”) och [Bolagsnamn AB] (personuppgiftsbiträde, ”Biträdet”) enligt artikel 28 i dataskyddsförordningen (GDPR).

1. Bakgrund och omfattning

Kunden använder tjänsten för att samordna byggprojekt. I projekten förekommer personuppgifter om Kundens medarbetare, underentreprenörer och andra personer på arbetsplatsen: namn, e-postadresser, roller, foton, kommentarer, dagboksanteckningar, kontroller och aktivitetsloggar. Biträdet behandlar dessa uppgifter uteslutande för att tillhandahålla tjänsten enligt användarvillkoren. Kontouppgifter för inloggning behandlar Biträdet som egen personuppgiftsansvarig enligt integritetspolicyn.

2. Kategorier av registrerade och uppgifter

• Registrerade: Kundens anställda och inhyrda, medarbetare hos Kundens samarbetspartners, besökare och andra som förekommer i foton eller anteckningar.
• Uppgifter: identitets- och kontaktuppgifter, yrkesroll och arbetsgivare, tidpunkter och platser i projektet, foton och fritext. Inga känsliga uppgifter (artikel 9) ska behandlas i tjänsten; Kunden ansvarar för att så inte sker.

3. Biträdets skyldigheter

• Behandlar uppgifterna endast enligt Kundens dokumenterade instruktioner, vilka utgörs av användarvillkoren, tjänstens funktioner och Kundens inställningar i tjänsten. Biträdet meddelar Kunden om en instruktion enligt Biträdets bedömning strider mot dataskyddslagstiftningen.
• Ser till att personer som får tillgång till uppgifterna omfattas av sekretess.
• Vidtar de tekniska och organisatoriska åtgärder som anges i avsnitt 6.
• Bistår Kunden, med hänsyn till behandlingens art, med att besvara begäranden från registrerade (tillgång, rättelse, radering, dataportabilitet) genom tjänstens egna funktioner och på begäran.
• Bistår Kunden vid konsekvensbedömningar och förhandssamråd med tillsynsmyndighet i den mån det rör tjänsten.
• Underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar från upptäckt, om en personuppgiftsincident som rör Kundens uppgifter, med den information Biträdet har om incidentens art, berörda uppgifter, sannolika konsekvenser och vidtagna åtgärder.
• Raderar eller återlämnar uppgifterna när tjänsten upphör enligt avsnitt 8.
• Ger Kunden den information som krävs för att visa att skyldigheterna följs och möjliggör granskning enligt avsnitt 9.

4. Kundens skyldigheter

Kunden ansvarar för att det finns rättslig grund för behandlingen, att de registrerade informeras, att endast behöriga personer bjuds in till projekten och att roller i tjänsten sätts korrekt. Kunden ansvarar för innehållet i det som laddas upp, inklusive foton av personer.

5. Underbiträden

Kunden ger ett allmänt förhandsgodkännande till att Biträdet anlitar underbiträden. Vid avtalets ingående anlitas: [driftleverantör], datacenter i Sverige (drift av server, databas och fillagring inom EU) och Simply.com (utgående e-post; mottagaradress, ämne och meddelandetext, med stöd av EU-kommissionens standardavtalsklausuler). Pushnotiser levereras genom de pushtjänster som hör till mottagarens webbläsare eller enhet, med krypterat innehåll. Biträdet informerar Kunden minst 30 dagar innan ett underbiträde byts eller läggs till; Kunden kan invända inom den tiden, varvid parterna i god tro söker en lösning och Kunden annars får säga upp tjänsten utan kostnad. Biträdet ålägger underbiträden samma skyldigheter som i detta avtal och ansvarar för deras behandling.

6. Säkerhetsåtgärder

• All trafik krypteras med TLS. Lösenord lagras som saltade PBKDF2-hashar; tvåfaktorsinloggning erbjuds. Inloggning via Kundens egen katalog (OpenID Connect) kan kopplas efter verifierat domänägande.
• Åtkomst till projektdata kontrolleras på servern vid varje anrop utifrån Kundens roller. Sessioner kan avslutas av användaren; inloggning stryps efter upprepade felförsök.
• Data lagras på servrar inom EU. Databas och filer säkerhetskopieras dagligen; kopior sparas i 14 dagar. Serverloggar sparas i [30 dagar].
• Biträdets personal har tillgång till uppgifterna endast för drift, felsökning och support, och åtkomsten loggas på servern.
• Borttagna poster ligger i projektets papperskorg i 30 dagar och raderas därefter automatiskt; permanent borttagning kan göras direkt av projektets ägare.

7. Överföring till tredje land

Kundens projektdata lagras och behandlas inom EU/EES. Den enda överföringen till tredje land är e-postutskick via underbiträdet i avsnitt 5, med stöd av standardavtalsklausuler. Ingen annan överföring sker utan Kundens skriftliga instruktion.

8. Radering och återlämnande

Kunden kan när som helst själv exportera projektdata (rapporter, BCF, filer) och radera projekt i tjänsten. När avtalet upphör raderar Biträdet Kundens projektdata inom 30 dagar, inklusive säkerhetskopior i takt med att de faller ur rotationen (senast 14 dagar därefter), om inte lag kräver fortsatt lagring. På begäran innan raderingen lämnar Biträdet ut en kopia i maskinläsbart format.

9. Granskning

Kunden får en gång per år, och därutöver vid en konstaterad incident, begära en skriftlig redogörelse för hur skyldigheterna följs, och får på egen bekostnad låta en oberoende granskare kontrollera behandlingen efter överenskommelse om tid och omfattning, med hänsyn till andra kunders uppgifter och Biträdets drift.

10. Ansvar och avtalstid

Vardera parten ansvarar för sina skyldigheter enligt dataskyddsförordningen. Biträdets sammanlagda ansvar enligt detta avtal begränsas på samma sätt som i användarvillkoren, utom där tvingande lag anger annat. Avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning och ersätter tidigare överenskommelser om samma behandling. Svensk lag gäller.

11. Kontakt

Frågor om avtalet och begäranden från registrerade: support@verabim.com. Avtalet tillhandahålls i tjänsten och godkänns av Kunden genom att Kundens administratör skapar företaget i tjänsten, eller genom separat undertecknande om Kunden så begär.