Personuppgiftsbiträdesavtal

Version 2026-10-08. En del av villkoren för Gärdsmygen.

1. Parter

Föreningen är personuppgiftsansvarig för personuppgifterna i sin Gärdsmygen. Personuppgiftsbiträde är leverantören (namnet anges innan anmälan öppnar), som behandlar dem bara för föreningens räkning, enligt detta avtal och dataskyddsförordningen (GDPR), artikel 28.

2. Behandlingen

• Ändamål: att styrelsen ska kunna sköta föreningen i Gärdsmygen: posten till styrelsen, ärenden, möten och beslut, årets uppgifter, ekonomin, dokument, register och kontakter.
• De registrerade: styrelsens ledamöter, föreningens medlemmar och boende, de som skriver till styrelsen, leverantörer och kontaktpersoner.
• Uppgifterna: namn, kontaktuppgifter, lägenhetsnummer, innehållet i brev och ärenden, protokoll och beslut, fakturor och register. Brev kan innehålla känsliga uppgifter som någon själv har skrivit; de behandlas bara som en del av ärendet. Personnummer sparas inte.
• Kopplad brevlåda: när styrelsen kopplar sin e-post läser biträdet ny post i brevlådans inkorg (avsändare, mottagare, ämne, text och bilagor upp till 4 MB) och skickar de svar som en ledamot bekräftar från den. Ingenting i brevlådan ändras eller tas bort.
• Varaktighet: så länge föreningen använder Gärdsmygen, och därefter tills uppgifterna tagits bort enligt punkt 8.

3. Instruktioner och sekretess

Biträdet behandlar uppgifterna bara enligt detta avtal och föreningens användning av Gärdsmygen, och säger till om en instruktion skulle strida mot dataskyddsreglerna. Den som arbetar för biträdet och kan komma åt uppgifterna har tystnadsplikt och gör det bara när det behövs för tjänsten, till exempel för att hjälpa föreningen på dess begäran.

Att en administratör slår på Hjälp med utkast är föreningens instruktion att låta underbiträdet för Hjälp med utkast (punkt 5) behandla texten, och valet att också skriva förslag när ett brev kommer in är en instruktion för de breven. Biträdet sparar när det valdes och av vem, och varje ändring av valet i föreningens granskningslogg. Ingen ny text skickas efter att hjälpen har stängts av.

4. Säkerhet

• Föreningens uppgifter lagras i en gemensam databas i EU (Frankfurt), där varje förenings rader skiljs från andras av databasen själv (radnivåsäkerhet) och varje åtkomst sker på en enskild förenings uppdrag.
• Krypterade anslutningar (HTTPS) och inloggning med engångslänk eller kod, utan lösenord.
• Behörighetsnivåer för styrelsen och nycklar som lagras krypterade.
• Åtkomsten till en kopplad brevlåda (en nyckel från Google eller Microsoft, eller lösenordet till en annan e-posttjänst) lagras krypterad och tas bort när brevlådan kopplas bort.
• Ingen spårning av vem som öppnar brev eller länkar.
• Säkerhetskopior av databasen hos driftleverantören.

5. Underbiträden

• Netlify, Inc.: drift och databas. Föreningens uppgifter lagras i Frankfurt.
• Lettermint B.V. (Nederländerna): e-post till och från Gärdsmygen, med servrar i EU.
• Anthropic, PBC (USA): språkmodellen bakom Hjälp med utkast, som bara används för en förening vars administratör har slagit på den. Dit skickas föreningens namn, texten i ett ärende, en ledamots fråga eller önskemål, mötets uppgifter (deltagare, dagordning, beslut), uppgifter ur årshjulet, texten i filer som läses in med Flytta in, utdrag ur föreningens dokument och mallens utkast, efter att personnummer, e-postadresser, telefonnummer och långa konto- och kortnummer har bytts ut mot platshållare. Överföringen till USA sker enligt EU-kommissionens standardavtalsklausuler, som ingår i Anthropics personuppgiftsbiträdesavtal.
• Gärdsmygen kan i stället köra samma språkmodell inom EU, hos Amazon Web Services (Amazon Bedrock, regionen Stockholm) eller Google Cloud (Vertex AI, i EU). Det används bara om biträdet flyttar behandlingen dit; då meddelas föreningen som vid ett nytt underbiträde, och texten behandlas sedan inom EU. En förening som valde Hjälp med utkast när texten behandlades inom EU får den inte utanför EU utan att en administratör väljer igen.

Styrelsens egen e-posttjänst (till exempel Google, Microsoft eller föreningens webbhotell) är inte biträdets underbiträde: föreningen har själv avtal med den, och Gärdsmygen hämtar och skickar post där på föreningens uppdrag när styrelsen har kopplat brevlådan.

Föreningen godkänner dessa. Biträdet meddelar minst 30 dagar innan ett nytt underbiträde anlitas; föreningen kan då invända och säga upp avtalet. Netlify, Inc. och Anthropic, PBC är amerikanska bolag. Uppgifterna hos Netlify lagras i Frankfurt; skulle de föras över till USA sker det enligt Netlifys personuppgiftsbiträdesavtal och EU:s regler för sådana överföringar. Texten som skickas till Anthropic behandlas i USA enligt EU-kommissionens standardavtalsklausuler.

6. Hjälp till föreningen

Biträdet hjälper föreningen att svara när någon vill ta del av, rätta eller ta bort sina uppgifter, och med konsekvensbedömningar när det behövs. En personuppgiftsincident meddelas föreningen utan dröjsmål och senast 48 timmar efter att biträdet upptäckt den.

7. Granskning

Biträdet ger föreningen den information som behövs för att visa att avtalet följs. Föreningen kan granska behandlingen med 30 dagars varsel, på egen bekostnad.

8. När avtalet upphör

Föreningen kan få en kopia av sina uppgifter. Uppgifterna tas bort senast 90 dagar efter att avtalet upphört, och säkerhetskopiorna inom 30 dagar därefter.

9. Kontakt

contact@gardsmygen.se