Personuppgiftsbiträdesavtal
Version 1.4 · gäller från 2026-09-06 · nya ord 2026-11-18
Det här avtalet reglerar hur Softsyde AB behandlar personuppgifter för din räkning när du använder Fidova som tränare eller organisation. Det krävs enligt artikel 28 i dataskyddsförordningen (GDPR) och gäller mellan dig som personuppgiftsansvarig och oss som personuppgiftsbiträde. Du godkänner avtalet när du blir tränare på Fidova. Det gäller så länge din organisation använder tjänsten.
Parterna
Personuppgiftsbiträde är Softsyde AB (org.nr 559598-7354), som driver tjänsten Fidova. Kontaktuppgifter finns på vår kontaktsida. Personuppgiftsansvarig är den organisation som godkänt det här avtalet när den började använda Fidova som tränare, och som därefter använder Fidova i sin verksamhet. Du är personuppgiftsansvarig för uppgifterna om dina egna kunder. Vi är personuppgiftsansvariga för plattformen i sig – konton, inloggning, marknadsplatsen, säkerhetsloggar och lagringstider. Den gränsen beskrivs närmare i vår integritetspolicy. Det här avtalet gäller bara den del där vi behandlar uppgifter åt dig.
Vad vi behandlar, och varför
Ändamålet är att tillhandahålla Fidova åt dig, så att du kan driva kurser och uthyrning. Inget annat. Vi använder inte dina kunders uppgifter för egna ändamål, säljer dem inte vidare och använder dem inte för att träna modeller. Behandlingen omfattar: • lagring och tillgängliggörande av dina deltagarlistor, närvaroregister, uppgifter om kurser och kurstillfällen, formulär och träningsmaterial, • leverans av dina meddelanden och utskick till dina deltagare, • lagring av de filer du laddar upp, • säkerhetskopiering och drift av det ovanstående. Kategorier av registrerade: dina kunder och deltagare, och de personer de själva anger i tjänsten. Typer av personuppgifter: namn och kontaktuppgifter, uppgifter om hunden, bokningar och närvaro, anteckningar och omdömen du skriver, svar på dina formulär, samt meddelanden mellan dig och deltagaren. Varaktighet: så länge din organisation använder Fidova, och därefter enligt avsnittet om radering nedan.
Vi behandlar bara enligt dina instruktioner
Vi behandlar personuppgifter endast enligt dina dokumenterade instruktioner. Instruktionerna utgörs av det här avtalet, användarvillkoren, och de inställningar och åtgärder du gör i tjänsten – när du skapar en kurs, skickar ett meddelande eller raderar en deltagare är det en instruktion. Om vi enligt lag måste behandla uppgifterna på något annat sätt informerar vi dig om det innan behandlingen, om inte lagen förbjuder oss att göra det. Anser vi att en instruktion strider mot dataskyddsreglerna säger vi till.
Tystnadsplikt
De hos oss som får tillgång till dina uppgifter är bundna av tystnadsplikt, och får tillgång bara i den utsträckning arbetet kräver det. Vi läser inte dina deltagarlistor eller anteckningar rutinmässigt. Åtkomst sker vid felsökning eller support, normalt på din begäran, och loggas.
Säkerhet
Vi vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32. I praktiken innebär det bland annat: • Åtkomstkontroll i databasen. Varje organisations uppgifter är avgränsade på radnivå, så att en annan organisation inte kommer åt dem – även om någon skulle gå förbi gränssnittet. • Krypterad överföring av all trafik, och kryptering av lagrade uppgifter hos våra underbiträden. • Loggning av administrativa åtgärder och känsliga uppslagningar. • Åtskilda miljöer för utveckling och drift, så att skarpa uppgifter inte används i utvecklingsarbete. • Automatisk gallring av uppgifter som passerat sin lagringstid. • Säkerhetskopiering av databasen, och rutiner för att återställa den. Säkerhetsmodellen är dokumenterad och kontrolleras automatiskt vid varje ändring av tjänsten: en uppsättning regler för åtkomst och behörigheter körs mot databasen innan en ändring kan gå ut, och en ändring som bryter mot dem stoppas. En del av åtgärderna är våra underbiträdens. Vi har SOC 2-rapporter från Supabase, Vercel, Sentry och Resend, och SOC 2 och ISO 27001 från Cloudflare, samt penetrationstestrapporter från Sentry, Vercel och Resend. Vill du se dokumentationen inför en granskning lämnar vi ut den enligt avsnittet om granskning nedan. Vi anlitar inte utomstående för penetrationstest av Fidova självt. Koden granskas i stället automatiskt vid varje ändring, med statisk säkerhetsanalys och kontroll av kända sårbarheter i de komponenter vi använder.
Underbiträden
Du ger oss ett allmänt godkännande att anlita underbiträden. I dag anlitar vi: • Supabase – databas, autentisering och fillagring. Uppgifterna lagras i Stockholm. • Vercel – drift, leverans, förfrågningsloggar och cookiefri besöksstatistik. Servrarna finns i Stockholm. • Resend – transaktionsmejl. Utskicken hanteras i Irland. • Sentry – fel- och prestandaövervakning. Uppgifterna lagras i Tyskland. • Cloudflare – auktoritativ DNS för fidova.se. Cloudflare svarar på uppslagningar av vårt domännamn och ser då vilket namn som efterfrågas och adressen till den DNS-server som frågar. Webbtrafiken går inte via Cloudflare. Varje underbiträde är bundet av skyldigheter som motsvarar dem i det här avtalet. Vi ansvarar för deras behandling som för vår egen. Ändrar vi listan meddelar vi dig i förväg, och du har rätt att invända. Invänder du och vi inte kan komma överens har du rätt att säga upp tjänsten. Det är därför avtalet är versionerat: vi registrerar vilken version du godkänt, så att vi vet vem som behöver informeras när listan ändras. Vi bevakar själva våra underbiträdens egna ändringsaviseringar. Sådana avisering ser olika ut hos olika leverantörer – vissa skickar besked, andra publicerar det på en sida – och några ger oss inget besked alls. Vår skyldighet att meddela dig i förväg gäller ändå, och vi lägger inte till ett underbiträde utan att först ha berättat det.
Hjälp med de registrerades rättigheter
Vänder sig en av dina kunder till oss med en begäran som rör dig – registerutdrag, rättelse, radering, invändning – hänvisar vi till dig och informerar dig om begäran. Vi hjälper dig att svara. Uppgifter som du själv har lagt in kan du rätta och ta bort direkt i tjänsten. För registerutdrag och dataportabilitet hämtar du uppgifterna själv med exportfunktionen under Inställningar. Behöver du något som inte ingår i exporten kontaktar du oss, så tar vi fram det i så god tid att du hinner svara den registrerade inom en månad.
Det du som personuppgiftsansvarig själv måste göra
Att informera dina egna kunder om hur du behandlar deras uppgifter är din skyldighet, inte vår. Vår integritetspolicy täcker plattformen — konton, bokningar, aviseringar och det vi själva ansvarar för — men den beskriver inte din verksamhet. Deltagarregister, träningsanteckningar, bokföring och kontakten med kunden är din behandling, och de registrerade ska få veta av dig vad du gör med uppgifterna och varför. Det gäller från början, inte bara när någon frågar.
Personuppgiftsincidenter
Upptäcker vi en personuppgiftsincident som rör dina uppgifter meddelar vi dig utan onödigt dröjsmål efter att vi fått kännedom om den. Vi lämnar den information du behöver för anmälan: vad som hänt, vilka uppgifter och ungefär hur många personer som berörs, vilka följder vi bedömer att det kan få, och vad vi gjort åt det. Har vi inte alla uppgifter direkt skickar vi det vi har och kompletterar efter hand, så att du kan börja arbeta med din anmälan. Din egen anmälningsfrist på 72 timmar börjar löpa när vi har underrättat dig. Det är då du anses ha fått kännedom om incidenten, enligt artikel 33.1 läst tillsammans med artikel 33.2. Dröjer vårt besked är det vår sak gentemot dig, inte ett avdrag från din frist. Uppstår incidenten hos ett av våra underbiträden är vårt besked till dig beroende av deras besked till oss, och vi vidarebefordrar det utan onödigt dröjsmål så snart vi har det. Vi hjälper dig också med konsekvensbedömningar och förhandssamråd enligt artiklarna 35 och 36, i den mån det rör vår behandling.
Radering och återlämnande
När du slutar använda Fidova raderar vi dina uppgifter, eller lämnar tillbaka dem, enligt ditt val. Du begär det via kontaktsidan och vi genomför det inom 30 dagar från att begäran kommit in. Återlämnandet sker i ett strukturerat, allmänt använt och maskinläsbart format (CSV och JSON). Du kan också när som helst exportera uppgifterna själv, under Inställningar i tjänsten. Den exporten innehåller samma uppgifter i samma format, så du behöver inte vänta på oss. Vi behåller uppgifter längre bara när lag kräver det, till exempel underlag som omfattas av bokföringslagen. Vad som gallras när framgår av vår integritetspolicy.
Granskning och information
Vi lämnar den information du behöver för att visa att skyldigheterna i artikel 28 följs, och möjliggör och medverkar vid granskningar. I första hand sker det genom dokumentation vi kan lämna ut: vår säkerhetsdokumentation, och de granskningsrapporter och certifikat vi har från våra underbiträden. Räcker den dokumentationen inte har du rätt till en granskning på plats. Den sker högst en gång per tolvmånadersperiod, efter skriftlig begäran minst 30 dagar i förväg, under arbetstid, och utan att andra kunders uppgifter röjs. Du står för dina egna kostnader för granskningen. Anlitar du en utomstående granskare ska den vara oberoende i förhållande till oss och bunden av sekretess. Vid en faktisk personuppgiftsincident eller ett föreläggande från en tillsynsmyndighet gäller inte begränsningarna om antal och varsel.
Ansvar
Ansvarsbegränsningen i användarvillkoren gäller även för det här avtalet. Det är en avvikelse från avsnittet om ändringar, som annars ger det här avtalet företräde: i just ansvarsfrågan är det villkorens begränsning som gäller för båda avtalen, så att det finns en gräns och inte två. Tvingande regler går alltid före. Vårt ansvar enligt artikel 82 i dataskyddsförordningen gentemot en registrerad kan inte begränsas genom avtal, och begränsas inte här.
Överföring till tredjeland
Uppgifterna lagras inom EU/EES. Fyra av våra fem underbiträden behandlar dem helt inom unionen: Supabase i Stockholm, Vercel i Stockholm, Sentry i Tyskland och Resends utskicksinfrastruktur i Irland. Två av leverantörerna är däremot etablerade utanför EU/EES – Supabase Pte. Ltd i Singapore och Resend (Plus Five Five, Inc.) i USA – och Cloudflare, som sköter vår DNS, är amerikanskt. Var uppgifterna ligger och var leverantören hör hemma är två olika frågor: en leverantör utanför unionen kan behöva komma åt uppgifterna för support och drift även när de lagras i Stockholm. För dessa gäller EU-kommissionens standardavtalsklausuler. Resend är dessutom certifierat under EU-U.S. Data Privacy Framework. Vi för inte över dina uppgifter till tredjeland på eget initiativ utöver det som följer av underbiträdeslistan ovan.
Ändringar av avtalet
Det här avtalet är versionerat. Vi registrerar vilken version din organisation godkänt, och när. Behöver avtalet ändras meddelar vi dig i förväg och ber om ett nytt godkännande. Fram till dess gäller den version du godkänt. Vid konflikt mellan det här avtalet och användarvillkoren gäller det här avtalet i frågor som rör behandling av personuppgifter för din räkning. Svensk lag gäller.
Kontakt
Frågor om det här avtalet, eller om hur vi behandlar uppgifter för din räkning, ställer du via vår kontaktsida. Vi har inget utsett dataskyddsombud – kraven i artikel 37 är inte uppfyllda – så frågorna går till oss direkt.