UPPDATERAD 2026-09-30

Personuppgiftsbiträdesavtal

Avtalet gäller mellan den som använder VeraBIM för sina projekt och är personuppgiftsansvarig för uppgifterna i dem (”Kunden”), normalt ett företag som har skapats i tjänsten, och Bäckman, som driver VeraBIM (personuppgiftsbiträde, ”Biträdet”). Avtalet ingås enligt artikel 28 i dataskyddsförordningen (GDPR) och är en del av användarvillkoren.

1. Avtalets ingående och omfattning

Avtalet gäller från att Kunden skapar ett företag eller ett projekt i tjänsten, eller på annat sätt låter Biträdet behandla personuppgifter för Kundens räkning, och godkänns genom att Kundens administratör eller projektägare godkänner användarvillkoren. Det omfattar de personuppgifter som Kundens användare och andra lägger in i Kundens projekt. Kontouppgifter och uppgifter om hur tjänsten används behandlar Biträdet som personuppgiftsansvarig enligt integritetspolicyn. Vid motstridighet gäller detta avtal före användarvillkoren i frågor om behandling av personuppgifter.

2. Behandlingens art, ändamål och varaktighet

Biträdet behandlar personuppgifterna enbart för att tillhandahålla tjänsten åt Kunden: lagring, visning, sökning, delning inom projektet, utskick av e-post och pushnotiser, säkerhetskopiering, felsökning och support. Behandlingen pågår så länge avtalet gäller och därefter till dess att uppgifterna har raderats enligt avsnitt 12.

3. Kategorier av registrerade och uppgifter

• Registrerade: Kundens anställda och inhyrda, medarbetare hos Kundens samarbetspartners, mottagare av sändlistor, personer som lämnar skyddsobservationer, besökare och andra som förekommer i foton eller anteckningar.
• Uppgifter: identitets- och kontaktuppgifter, yrkesroll och arbetsgivare, tidpunkter och platser i projektet, foton och fritext. Inga känsliga uppgifter (artikel 9) ska behandlas i tjänsten; Kunden ansvarar för att så inte sker.

4. Kundens ansvar och instruktioner

Kunden är personuppgiftsansvarig och ansvarar för att behandlingen är laglig: att det finns rättslig grund, att de registrerade informeras, att endast behöriga personer bjuds in, att roller sätts korrekt och att inga onödiga uppgifter läggs in. Kunden ansvarar för innehållet i det som laddas upp, inklusive foton av personer.

Kundens dokumenterade instruktioner är detta avtal, användarvillkoren och de inställningar och val som Kunden gör i tjänsten. Ytterligare instruktioner ska lämnas skriftligen och vara förenliga med tjänstens funktioner. Biträdet får avböja instruktioner som kräver ändringar i tjänsten eller som inte är rimliga; Kunden får då säga upp avtalet genom att sluta använda tjänsten. Kunden står sina egna kostnader för att följa dataskyddsförordningen.

5. Biträdets skyldigheter

• Biträdet behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner, även när det gäller överföring till tredje land, om inte unionsrätten eller svensk rätt kräver annat. I så fall informerar Biträdet Kunden innan behandlingen, om lagen inte förbjuder det.
• Biträdet informerar Kunden om en instruktion enligt Biträdets bedömning strider mot dataskyddsförordningen eller annan dataskyddslagstiftning, utan att vara skyldigt att göra någon egen juridisk granskning av Kundens instruktioner.
• Biträdet ser till att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.
• Biträdet vidtar de säkerhetsåtgärder som krävs enligt artikel 32 och som beskrivs i avsnitt 6.
• Biträdet anlitar underbiträden endast enligt avsnitt 7.
• Biträdet bistår Kunden, med hänsyn till behandlingens art och i den mån det är möjligt, med att besvara begäranden från registrerade och med att fullgöra skyldigheterna enligt artiklarna 32–36, enligt avsnitten 9 och 10.
• Biträdet raderar eller återlämnar personuppgifterna när avtalet upphör, enligt avsnitt 12.
• Biträdet ger Kunden tillgång till den information som krävs för att visa att skyldigheterna i artikel 28 har fullgjorts och möjliggör granskningar enligt avsnitt 11.

6. Säkerhetsåtgärder

• Trafiken mellan användarnas enheter och tjänsten krypteras med HTTPS (TLS). Lösenord lagras som saltade PBKDF2-hashar, och tvåfaktorsinloggning erbjuds. Inloggning via Kundens egen katalog (OpenID Connect) kan kopplas efter verifierat domänägande.
• Åtkomst till projektdata kontrolleras på servern vid varje anrop utifrån Kundens roller. Sessioner kan avslutas av användaren; inloggning stryps efter upprepade felförsök.
• Data lagras på en server i Sverige. Databas och filer säkerhetskopieras dagligen; kopior sparas i 14 dagar. Serverloggar sparas i 30 dagar.
• Endast Biträdet och personer som Biträdet anlitar under tystnadsplikt har tillgång till servern, och bara i den mån det behövs för drift, felsökning och support.
• Borttagna poster ligger i projektets papperskorg i 30 dagar och raderas därefter automatiskt; permanent borttagning kan göras direkt av projektets ägare.

Kunden har bedömt att åtgärderna ger en lämplig säkerhetsnivå för de uppgifter som Kunden lägger in i tjänsten. Biträdet får ändra åtgärderna så länge den samlade skyddsnivån inte sänks.

7. Underbiträden och andra mottagare

Kunden ger ett allmänt förhandstillstånd till att Biträdet anlitar underbiträden. Server, databas och fillagring drivs av Biträdet själv på en egen server i Sverige. Vid avtalets ingående anlitas Simply.com i Danmark, inom EU, för utgående e-post (mottagaradress, ämne och meddelandetext).

Pushnotiser levereras genom de pushtjänster som hör till mottagarens webbläsare eller operativsystem (till exempel Google, Apple, Microsoft eller Mozilla). Pushtjänsterna används bara när en användare själv har slagit på pushnotiser, och innehållet i notiserna är krypterat så att pushtjänsten inte kan läsa det.

Biträdet informerar Kunden om planerade tillägg eller byten av underbiträden genom att uppdatera detta avtal och meddela det i tjänsten eller via e-post i god tid innan ändringen genomförs. Kunden kan invända inom 14 dagar från meddelandet. Kommer parterna inte överens är Kundens enda rätt att säga upp avtalet genom att sluta använda tjänsten. Biträdet ålägger underbiträden samma skyldigheter i fråga om dataskydd som följer av detta avtal och ansvarar gentemot Kunden för underbiträdenas fullgörande enligt artikel 28.4, med den ansvarsbegränsning som anges i avsnitt 13.

8. Överföring till tredje land

Biträdet lagrar och behandlar Kundens projektdata i Sverige, och e-post skickas via ett underbiträde inom EU. Pushtjänsterna kan behandla enhetens pushadress och uppgifter om när notiser skickas utanför EU/EES, men kan inte läsa innehållet. I övrigt överför Biträdet inte personuppgifterna till tredje land utan Kundens skriftliga instruktion.

9. Personuppgiftsincidenter

Biträdet underrättar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör Kundens personuppgifter. Underrättelsen skickas till e-postadressen hos Kundens administratör eller projektägare och innehåller den information som Biträdet har om incidentens art, berörda kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser och vidtagna eller föreslagna åtgärder. Informationen får lämnas i omgångar. Kunden bedömer själv om incidenten ska anmälas till tillsynsmyndigheten och meddelas de registrerade.

10. Bistånd och kostnader

Begäranden från registrerade hanterar Kunden i första hand själv med tjänstens funktioner, till exempel export, rättelse och radering. Får Biträdet en begäran som gäller Kundens uppgifter hänvisar Biträdet den registrerade till Kunden. Biträdet bistår i övrigt Kunden med begäranden från registrerade, konsekvensbedömningar och förhandssamråd i skälig omfattning, med hänsyn till behandlingens art och den information som Biträdet har. Bistånd som går utöver tjänstens funktioner lämnas mot ersättning för Biträdets skäliga kostnader, om inte biståndet behövs på grund av att Biträdet har brutit mot detta avtal.

11. Granskning

Biträdet visar att skyldigheterna följs i första hand genom skriftlig information, till exempel detta avtal, beskrivningen av säkerhetsåtgärderna och skriftliga svar på Kundens rimliga frågor. Om Kunden visar att en granskning på plats ändå krävs enligt dataskyddsförordningen, får Kunden låta en oberoende granskare som omfattas av tystnadsplikt genomföra den. Granskningen ska meddelas minst 30 dagar i förväg, får ske högst en gång per år, ska utföras utan att störa driften eller röja andra kunders uppgifter och bekostas helt av Kunden, inklusive skälig ersättning för Biträdets tid. Granskning som en tillsynsmyndighet begär genomförs enligt myndighetens krav.

12. Avtalstid, radering och återlämnande

Avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning. Kunden kan när som helst själv exportera projektdata (till exempel rapporter, Excel, BCF och filer) och radera projekt i tjänsten. Återlämnande sker genom att Kunden exporterar uppgifterna innan avtalet upphör. Om Biträdet avslutar tjänsten eller Kundens åtkomst ger Biträdet, när det är möjligt, Kunden skälig tid att exportera först. När avtalet har upphört raderar Biträdet Kundens personuppgifter inom skälig tid, och uppgifterna försvinner ur säkerhetskopiorna i takt med att dessa roteras bort. Uppgifter som Biträdet enligt lag måste spara raderas när skyldigheten upphör.

13. Ansvar

Den registrerades rätt till ersättning enligt artikel 82 i dataskyddsförordningen kan inte begränsas genom detta avtal. Mellan parterna gäller följande:

• Varje part bär ansvaret för sin egen del av en skada och för sanktionsavgifter som påförs parten själv.
• Biträdet ansvarar gentemot Kunden bara för skada som har uppkommit för att Biträdet inte har fullgjort de skyldigheter i dataskyddsförordningen som specifikt riktar sig till personuppgiftsbiträden, eller har agerat utanför eller i strid med Kundens lagenliga instruktioner.
• Biträdets ansvar är begränsat på samma sätt som i användarvillkoren. Biträdet ansvarar inte för indirekta skador eller följdskador, och det sammanlagda ansvaret är begränsat till det belopp som Kunden har betalat för tjänsten under de tolv månader som närmast föregick skadehändelsen, det vill säga noll (0) kronor så länge tjänsten är kostnadsfri. Begränsningen gäller inte vid uppsåt eller grov vårdslöshet, eller i den mån tvingande lag hindrar den.
• Kunden ska hålla Biträdet skadeslöst för krav från registrerade, tillsynsmyndigheter och andra tredje parter, och för ersättningar och kostnader, som beror på Kundens instruktioner, Kundens innehåll eller att Kunden har brutit mot detta avtal eller dataskyddsförordningen.
• Har Biträdet betalat full ersättning till en registrerad enligt artikel 82.4 har Biträdet rätt att av Kunden få tillbaka den del som motsvarar Kundens ansvar (artikel 82.5).

14. Ändringar och tillämplig lag

Biträdet får ändra avtalet på samma sätt som användarvillkoren, till exempel när underbiträden byts eller lagen kräver det. Avtalet ersätter tidigare överenskommelser om samma behandling. Svensk lag gäller, och tvister avgörs enligt användarvillkoren.

15. Kontakt

Frågor om avtalet, underrättelser och begäranden från registrerade: support@verabim.com.