Parter, ändamål och roller
Kunden är personuppgiftsansvarig för de medarbetares utbildning som kunden beställer. Leverantören är personuppgiftsbiträde för att administrera inbjudningar, inloggning, kursframsteg, rättning, bekräftelser, intyg och beställda organisationsdokument enligt kundens instruktioner.
Personuppgiftsbiträde: TGSS Group AB. Kundens juridiska namn, organisationsnummer, adress och kontaktperson anges i beställningen. Beställarens e-post används som incidentkontakt tills kunden meddelar en annan. Leverantörens egna ändamål för exempelvis bokföring och skydd av tjänsten beskrivs separat i integritetsinformationen.
Uppgifter och behandlingens varaktighet
Behandlingen omfattar administratörer, anställda och inbjudna uppdragstagare. Uppgifter kan vara namn, arbetsmejl, arbetsroll, organisation, inloggningsidentifierare, inbjudningsstatus, kursframsteg, testsvar och resultat, tidsstämplar, kurs- och dokumentversioner samt bekräftelser.
Behandlingen består av insamling, lagring, användning för utbildning, behörighetsstyrd visning, transaktionsmejl, export och radering. Kunden ska undvika känsliga personuppgifter, personnummer och onödigt personrelaterat innehåll i fritext.
Utbildningsåtkomsten gäller i 12 månader från beställningsdagen. Därefter kan behöriga användare hämta befintliga intyg fram till radering. Vi går igenom vilka utbildningsuppgifter som ska raderas 365 dagar efter åtkomstens slut. Granskningen sker manuellt, så den exakta raderingsdagen kan variera. En tidigare begäran om radering bedöms separat.
Dokumenterade instruktioner och sekretess
Leverantören får behandla uppgifterna enbart enligt kundens dokumenterade instruktioner, även för överföringar utanför EES, om inte tillämplig lag kräver annat. Kunden underrättas före en sådan lagstadgad behandling när lagen tillåter det.
Leverantören ska informera kunden om en instruktion bedöms strida mot dataskyddsreglerna och begära en laglig instruktion. De som behöver tillgång för uppdraget ska vara bundna av sekretess. Kunduppgifter får inte användas för att träna leverantörens egna språkmodeller.
Säkerhet och underbiträden
Leverantören ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för behandlingen och dess risker. Det omfattar behörighetsstyrning, skyddad inloggning, avgränsning mellan organisationer, skydd av betalningsrättigheter och hantering av säkerhetsincidenter.
Kunden ger allmänt skriftligt förhandstillstånd till fastställda underbiträden i driftbilagan. Leverantören ska informera minst 30 dagar före ett planerat tillägg eller byte så att kunden kan invända av dataskyddsskäl. Parterna söker då en lösning; utan sådan får den berörda behandlingen inte flyttas utan överenskommelse och kunden får avsluta berörd tjänst.
Underbiträden ska omfattas av motsvarande dataskyddsskyldigheter. Leverantören ansvarar gentemot kunden för deras behandling inom uppdraget. Överföringar utanför EES kräver tillämpligt stöd enligt GDPR kapitel V och relevanta kompletterande skydd; avtalet i sig är inte en överföringsmekanism.
Rättigheter, incidenter och bistånd
Leverantören ska vidarebefordra registrerades begäran till kunden och bistå med tillgång, rättelse, begränsning, export och radering med hänsyn till behandlingens art. Kunden beslutar om begäran och ansvarar för information och rättslig grund.
Leverantören ska underrätta kunden utan onödigt dröjsmål efter kännedom om en personuppgiftsincident. Tillgängliga uppgifter om händelse, berörda kategorier, sannolika följder, åtgärder och kontaktväg lämnas och kompletteras löpande.
Leverantören ska med relevant tillgänglig information hjälpa kunden med skyldigheter enligt artiklarna 32-36, inklusive säkerhet, incidenthantering, konsekvensbedömning och förhandssamråd.
Avslut, återlämning och radering
Vid avslut väljer kunden återlämning eller radering av uppgifter inom uppdraget. En överenskommen export ska kunna lämnas före radering. Befintliga kopior ska raderas, om inte tillämplig lag kräver fortsatt lagring. Ett sådant undantag ska anges särskilt.
Radering ur den aktiva organisationslagringen sker genom granskad hantering efter kontroll av kundens instruktion. Eventuella säkerhetskopior hålls utanför normal användning och följer driftleverantörens cykel. Vid återställning ska tidigare raderingsinstruktioner tillämpas igen. Ingen särskild backup- eller återställningstjänst utlovas.
Separata faktureringsunderlag och inloggningskonton behöver bedömas var för sig. Organisationsradering tar inte automatiskt bort en inloggningsidentitet som kan användas i andra organisationer. Ett betalningsärende ändrar inte tidigare registrerade utbildningsresultat.
Granskning och företräde
Leverantören ska tillhandahålla den information som behövs för att visa att artikel 28 följs och möjliggöra samt bidra till kundens eller utsedd revisors granskningar och inspektioner. Praktiska former samordnas och andra kunders information skyddas utan att kundens rätt begränsas.
Personuppgiftsbiträdesavtalet har företräde framför motstridiga kommersiella villkor i frågor om personuppgiftsbehandling. Kundens godkännande dokumenteras genom beställningen och dess villkorsversion. Avtalet behöver inte undertecknas separat. Det har inte granskats av en extern jurist.
Driftbilaga
- Leverantör: TGSS Group AB, 559215-3323, Lilla Nygatan 11 7tr, 211 38 Malmö. Support och incidentkontakt: support@ai-kunnighet.se. Kundens uppgifter och kontakt finns i beställningen.
- Underbiträden: Supabase för databas och inloggning i Irland; OpenAI Sites med Cloudflare för webbdrift och global leverans; Resend för transaktionsmejl med lagring i USA. Leverantörernas dataskyddsavtal, underbiträdeslistor och tillämpliga överföringsskydd gäller. Resends mejlinnehåll och loggar har normalt 30 dagars lagring.
- Säljaren hanterar fakturauppgifter för beställning, fakturering och bokföring. Utbildningens deltagaruppgifter används inte som fakturaunderlag.
- Frivillig PostHog- och Google-statistik behandlas av TGSS Group AB med besökarens samtycke och beskrivs separat i integritets- och kakinformationen. Kundens utbildningsinstruktion utgör inte samtycke till webbstatistik.
- Utbildningsåtkomst: 12 månader. Gallringsgranskning: 365 dagar efter åtkomstens slut, eller tidigare efter kundens instruktion. Export och radering hanteras av leverantören efter behörighetskontroll. Bokföringsunderlag och inloggningsidentiteter bedöms separat.
- Beställningsdatum, kunduppgifter och godkänd villkorsversion dokumenterar kundens godkännande. Avvikande instruktioner och ändrad incidentkontakt skickas till support@ai-kunnighet.se.
Källor och vidare läsning
- IMY: personuppgiftsbiträdesavtal
- Supabase personuppgiftsbiträdesavtal
- Resend personuppgiftsbiträdesavtal
Regler och vägledning kan ändras. Kontrollera originalkällan för beslut i din verksamhet.