Personuppgiftsbiträdesavtal (DPA)

Utkast – ska granskas juridiskt före lansering. Detta är en mall som beskriver hur behandlingen är tänkt att fungera, inte ett färdigförhandlat avtal. Den ska granskas av jurist och undertecknas innan riktiga personuppgifter behandlas. Punkter markerade (behöver verifieras) är särskilt osäkra.

Enligt artikel 28 i dataskyddsförordningen (GDPR). Senast uppdaterad 2026-09-30.

Parter och roller

Personuppgiftsansvarig: föreningen (bostadsrättsförening, samfällighetsförening, ekonomisk förening, ideell förening eller aktiebolag) som använder tjänsten.

Personuppgiftsbiträde: Föreningsportalen, som behandlar personuppgifter för föreningens räkning.

Avtalet reglerar biträdets behandling och gäller så länge föreningen använder tjänsten.

Föremål, varaktighet, art och ändamål

Föremål: drift av en portal för styrelsearbete.
Varaktighet: så länge abonnemanget gäller, plus den tid som krävs för återlämning och radering.
Art och ändamål: lagring, strukturering, visning, utskick, lokal läsning av dokument (OCR) och lokal transkribering, samt – om föreningen aktiverat det – förmedling av text till en extern AI-tjänst.

Typer av uppgifter och kategorier av registrerade

Registrerade: styrelseledamöter, medlemmar/delägare/aktieägare och andra personer som förekommer i föreningens material.

Uppgiftstyper: kontakt- och kontouppgifter, medlemskap och roller, kommunikation (chatt, utskick), ärenden, godkännanden och justeringar med IP-adress, röstdata i mötesinspelningar, frågor till AI-assistenten samt förbruknings- och faktureringsuppgifter. En fullständig förteckning finns i integritetspolicyn.

Biträdets skyldigheter (art. 28.3)

Behandlar personuppgifter endast enligt dokumenterade instruktioner från föreningen, inklusive vad gäller överföring till tredjeland.
Säkerställer att personer med åtkomst är bundna av tystnadsplikt.
Vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder (art. 32): strikt separation mellan föreningar, behörighetsstyrning, hashade lösenord, lokal behandling av röst- och dokumentdata.
Anlitar inte underbiträde utan föreningens tillstånd, och ålägger underbiträden samma skyldigheter (se nedan).
Hjälper föreningen att svara på registrerades begäranden (art. 15–22) genom funktionerna för utdrag, export och radering.
Bistår föreningen med säkerhet, anmälan av personuppgiftsincidenter och konsekvensbedömningar (art. 32–36).
Vid avtalets slut återlämnar eller raderar personuppgifterna enligt föreningens val, om inte lag kräver fortsatt lagring.
Ger föreningen tillgång till den information som behövs för att visa att skyldigheterna fullgörs, och möjliggör granskning.

Underbiträden

För att leverera tjänsten kan följande typer av underbiträden anlitas. Den slutliga förteckningen med namngivna leverantörer och behandlingsort ska fastställas innan drift (behöver verifieras):

Drift- och lagringsleverantör inom EU/EES.
E-postleverantör för utskick och påminnelser.
Betalleverantör för fakturering.
Extern AI-tjänst (Google) – endast om föreningen aktiverat detta.

OCR och transkribering körs lokalt och anlitar inget underbiträde.

Överföring till tredjeland

Ingen överföring till tredjeland är avsedd. Behandling sker inom EU/EES. Om föreningen aktiverar den externa AI-tjänsten måste laglig överföringsgrund säkerställas separat (behöver verifieras).

Personuppgiftsincidenter

Biträdet underrättar föreningen utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident, så att föreningen kan fullgöra sin anmälningsskyldighet till IMY (art. 33). Exakt svarstid ska anges i det slutliga avtalet (behöver verifieras).

Underskrift

Avtalet ska undertecknas av behörig företrädare för föreningen och för portalen innan behandling av riktiga personuppgifter påbörjas.