Personuppgiftsbiträdesavtal (DPA)

De här mallarna följer GDPR i allmänhet. De gör inte anspråk på att uppfylla varje lands nationella rätt. Integritetsskyddsmyndigheten (IMY) är exemplet för den som läser den här texten, men behörigheten följer ändå den personuppgiftsansvariges huvudsakliga etablering (GDPR artikel 56). Behörigheten följer ändå den personuppgiftsansvariges huvudsakliga etablering (GDPR artikel 56).

Mellan tjänstens kund, som personuppgiftsansvarig (den Personuppgiftsansvarige),

och Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (Personuppgiftsbiträdet).

Det här avtalet gäller när Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning för tjänsten på https://exemple-saas.example. Det täcker inte behandling för vilken leverantören själv är personuppgiftsansvarig.

1. Föremål, art, varaktighet

Personuppgiftsbiträdet hostar, lagrar och visar de uppgifter som behövs för att tillhandahålla tjänsten, och genererar de filer som produkten genererar. Varaktighet: avtalet, därefter radering eller återlämnande enligt artikel 8, om inte en lag som gäller Personuppgiftsbiträdet kräver ett längre arkiv.

2. Dokumenterade instruktioner

Personuppgiftsbiträdet agerar bara enligt den Personuppgiftsansvariges dokumenterade instruktioner, inklusive det här avtalet, om inte unionsrätt eller en medlemsstats rätt kräver något annat. I så fall informerar Personuppgiftsbiträdet den Personuppgiftsansvarige före behandlingen, om inte lagen förbjuder informationen.

3. Konfidentialitet

Personer som är behöriga att behandla uppgifterna har tystnadsplikt.

4. Säkerhet

Leverantören genomför tekniska och organisatoriska åtgärder som är lämpliga enligt GDPR artikel 32 (åtkomstkontroll, HTTPS, minimering, professionella leverantörer), utan att lova att restrisken är borta. Ingen ruta för ISO 27001 eller SOC 2 markerades: ingen av certifieringarna påstås.

5. Underbiträden

Den Personuppgiftsansvarige godkänner underbiträdena i bilaga 3. Personuppgiftsbiträdet informerar den Personuppgiftsansvarige innan ett läggs till eller byts ut. Den Personuppgiftsansvarige får invända inom 30 dagar. Om invändningen inte löses får den Personuppgiftsansvarige avbryta den berörda behandlingen.

6. Bistånd

Personuppgiftsbiträdet bistår den Personuppgiftsansvarige, så långt det är möjligt, med begäranden från registrerade, säkerhet, incidentmeddelanden och konsekvensbedömningar, med hänsyn till behandlingens art.

7. Incident

Personuppgiftsbiträdet underrättar den Personuppgiftsansvarige om en personuppgiftsincident utan onödigt dröjsmål efter att ha fått kännedom om den. Mallen hittar inte på ett fast antal timmar.

8. Radering och återlämnande

Vid tjänstens slut raderar eller återlämnar Personuppgiftsbiträdet uppgifterna, enligt den Personuppgiftsansvariges val, och raderar kvarvarande kopior om inte lagen kräver lagring.

9. Revisioner

Den Personuppgiftsansvarige får granska, även genom en utsedd granskare som är bunden av konfidentialitet, med skäligt varsel, inte oftare än en gång per år om det inte finns en incident eller en begäran från en myndighet. Personuppgiftsbiträdet får avvisa en granskare som är en konkurrent.

10. Överföringar

Överföringar utanför EU/EES använder en mekanism i GDPR kapitel V. Bilaga 3 återger det leverantören publicerar. Den lägger inte till en mekanism som bladet markerar som inte uppgett.

11. Ansvar

Artikel 82 i GDPR gäller gentemot registrerade. Avtalet flyttar inte en parts egen sanktionsavgift till den andra parten. Inget nationellt fast belopp läggs till.

Bilaga 1 — Beskrivning

• Föremål: tjänsten på https://exemple-saas.example.
• Åtgärder: hosting, autentisering där den används, lagring, filgenerering, support, loggar.
• Personer: den Personuppgiftsansvariges användare och den Personuppgiftsansvariges personal. Kategorier därutöver är inte uppgett av den här mallen.

Bilaga 2 — Säkerhet

Leverantören genomför tekniska och organisatoriska åtgärder som är lämpliga enligt GDPR artikel 32 (åtkomstkontroll, HTTPS, minimering, professionella leverantörer), utan att lova att restrisken är borta. Ingen ruta för ISO 27001 eller SOC 2 markerades: ingen av certifieringarna påstås.

Bilaga 3 — Godkända underbiträden

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Irland (koncernen Stripe, Inc., Förenta staterna) — Betalning och fakturering. Betalningsuppgifter, transaktionsidentifierare, faktura-e-post. Leverantören lagrar inte fullständiga kortnummer. Stripe Payments Europe agerar som personuppgiftsansvarig eller personuppgiftsbiträde beroende på flödet; överföringar inom koncernen täcks av SCC.

1. Resend, Inc. (Resend) — Förenta staterna — Transaktionell e-post. Mottagarnas e-postadresser, ämne och brödtext, sändloggar. Överföring utanför EU täckt av SCC.

1. Plausible Insights OÜ (Plausible) — Estland — Publikmätning utan cookies. Aggregerade sidvisningar, ungefärligt land, user agent, hänvisare. Ingen reklamcookie. Behandling i EU (Estland). Kontrollera den hosting som valts på ditt konto.

Meddelande. Den här filen är en mall som StackLégal har genererat från de uppgifter du angav. Den är inte juridisk rådgivning och inte ett intyg om efterlevnad. Granska den, anpassa den till din faktiska verksamhet och, om insatserna är höga (hälsa, finans, barn, känsliga uppgifter, företagskunder), låt en jurist läsa den.

Mall daterad 6 oktober 2026. Bara strukturen: förordning (EU) 2016/679, särskilt artiklarna 12 till 14, 28, 32 och 82; direktiv 2011/83/EU om ångerrätt när en konsument berörs; förordning (EU) 2022/2065 (DSA) om användare publicerar innehåll. Ingen nationell lag citeras som om den gällde överallt.

Mall ifylld för: Atelier Exemple — https://exemple-saas.example