Personuppgiftsbiträdesavtal

Avtalsnummer: [fylls i av Skolkoll]
Avtalsdatum: YYYY-MM-DD

1. Parter

1.1 Personuppgiftsansvarig

Organisation: [Kommunens namn]
Organisationsnummer: [XXXXXX-XXXX]
Adress: [Postadress]
Kontaktperson: [Namn]
E-post: [E-post]
Dataskyddsombud (DPO): [Namn / e-post]

Nedan kallad "Personuppgiftsansvarig".

1.2 Personuppgiftsbiträde

Organisation: Skolspegeln AB
Organisationsnummer: 559359-7288
Adress: Ejdergatan 6, 619 32 Trosa
Kontaktperson: Markus Reimer
E-post: info@skolspegeln.se

Nedan kallat "Personuppgiftsbiträdet".

2. Bakgrund och syfte

Personuppgiftsansvarig och Personuppgiftsbiträdet har ingått ett avtal om Skolkoll Kommunlicens, varigenom Personuppgiftsbiträdet tillhandahåller en webbtjänst som behandlar personuppgifter för Personuppgiftsansvarigs räkning. Detta avtal reglerar Personuppgiftsbiträdets behandling av personuppgifter enligt artikel 28 i EU 2016/679 (GDPR).

3. Föremål för behandlingen

3.1 Kategorier av personuppgifter

• P1 — kundens användare: e-postadress, visningsnamn, organisationstillhörighet, roll och inloggningstidsstämplar för personer som Personuppgiftsansvarig ger åtkomst till Kommunlicensen.
• P2 — kundstyrda importer och bevakningar: endast de fält, personer, källor och ändamål som anges i Personuppgiftsansvarigs dokumenterade instruktion.
• P3 — instruktionsbundna support- och incidentunderlag: de kontakt-, ärende- och tekniska uppgifter som behövs för att hantera ett ärende för Personuppgiftsansvarigs räkning.

Skolspegelns egna kund-, fakturerings- och betalningsposter, inklusive Stripe-data, behandlas av Skolspegeln som personuppgiftsansvarig och omfattas inte av denna biträdesinstruktion. Detsamma gäller publika källuppgifter, exempelvis rektorsnamn från officiella register, när Skolspegeln själv bestämmer ändamål och medel.

3.2 Kategorier av registrerade

• Anställda hos Personuppgiftsansvarig som har konto i tjänsten.
• Personer som förekommer i en kundstyrd import, bevakning eller ett support-/incidentunderlag, men endast inom den skriftliga instruktionens omfattning.

3.3 Behandlingens ändamål och varaktighet

Behandlingen sker för att tillhandahålla Skolkoll-tjänsten enligt Kommunlicens-avtalet och Personuppgiftsansvarigs dokumenterade instruktioner. Behandlingen pågår under avtalstiden och därefter endast så länge som behövs för avtalad återlämning eller verifierad radering, om inte unionsrätten eller svensk rätt kräver att Personuppgiftsbiträdet bevarar en viss biträdesuppgift. Skolspegelns separata behandling av egna kund-, fakturerings- och betalningsposter ligger utanför detta avtal.

3.4 Typ av behandling

Insamling, lagring, organisation, strukturering, läsning, ändring, radering. Personuppgiftsbiträdet utför ingen profilering eller automatiserat beslutsfattande som har rättsliga konsekvenser för registrerade.

4. Personuppgiftsbiträdets skyldigheter

Personuppgiftsbiträdet ska:

1. Endast behandla personuppgifter enligt dokumenterade instruktioner från Personuppgiftsansvarig, inklusive vid överföring till tredjeland. Om unionsrätten eller svensk rätt kräver annan behandling ska Personuppgiftsbiträdet informera Personuppgiftsansvarig om det rättsliga kravet före behandlingen, om inte lagen förbjuder sådan information av viktiga allmänintressen.
2. Omedelbart underrätta Personuppgiftsansvarig om Personuppgiftsbiträdet anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddsrätt.
3. Säkerställa att personer som behandlar personuppgifter har förbundit sig att iaktta sekretess eller omfattas av lämplig lagstadgad tystnadsplikt.
4. Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32 GDPR (se bilaga A).
5. Endast anlita andra personuppgiftsbiträden (underbiträden) under villkoren i avsnitt 5 nedan.
6. Bistå Personuppgiftsansvarig i att fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rättigheter (artikel 12-22 GDPR).
7. Bistå Personuppgiftsansvarig i att fullgöra sina skyldigheter enligt artikel 32-36 GDPR (säkerhet, anmälan av incident, konsekvensbedömning).
8. Vid Kommunlicens-avtalets upphörande, efter Personuppgiftsansvarigs val, radera eller återlämna alla personuppgifter och radera befintliga kopior, om inte unionsrätten eller svensk rätt kräver lagring.
9. Tillhandahålla Personuppgiftsansvarig all information som behövs för att visa att skyldigheterna i artikel 28 GDPR fullgörs, samt möjliggöra och bidra till granskningar inklusive inspektioner — se avsnitt 8 nedan.

5. Underbiträden

Personuppgiftsansvarig ger Personuppgiftsbiträdet allmän förhandstillåtelse att anlita underbiträden under följande villkor:

1. Underbiträdets behandling regleras av ett skriftligt avtal med samma dataskyddsskyldigheter som detta avtal.
2. Om underbiträdet inte fullgör sina dataskyddsskyldigheter förblir Personuppgiftsbiträdet fullt ansvarigt gentemot Personuppgiftsansvarig för underbiträdets fullgörande.
3. Personuppgiftsbiträdet meddelar Personuppgiftsansvarig om alla planerade ändringar (tillägg eller utbyte) av underbiträden minst 30 dagar innan ändringen genomförs, via e-post till avtalad kontaktperson, DPO och organisationens administratörer.
4. Personuppgiftsansvarig har rätt att invända mot ändringar. Invändning hanteras enligt Kommunlicens-avtalets uppsägningsklausul, och Personuppgiftsbiträdet ska inte använda det nya underbiträdet för Personuppgiftsansvarigs personuppgifter innan invändningen har hanterats eller uppsägningstiden löpt ut.
5. Aktuell lista över underbiträden finns på https://skolkoll.se/integritet/dataskydd/.

6. Internationell överföring

Repositoryts målkonfiguration placerar Firestore, Cloud Functions och Cloud Storage i europe-west1 (Belgien), och arkiverad produktionsreadback 2026-09-05 styrker Firestore och samtliga åtta produktionsbuckets i EU. Loggarnas applikationsyta flyttades till europe-west1 samma dygn; revisionsloggarna ligger kvar i global i en låst bucket. Firebase Hosting använder ett globalt CDN. En överföring inom biträdesuppdraget får endast ske enligt Personuppgiftsansvarigs dokumenterade instruktion och med ett tillämpligt överföringsverktyg. Stripe och andra leverantörer som endast används i Skolspegelns separata ansvarsspår är inte underbiträden genom denna mall. Vid överföring till tredjeland tillämpas:

• EU-kommissionens standardavtalsklausuler enligt beslut (EU) 2021/914, i rätt modul och med ifyllda bilagor, när adekvansbeslut inte täcker överföringen.
• En dokumenterad bedömning av mottagarland, mottagare och kompletterande tekniska, organisatoriska eller avtalsmässiga åtgärder när det krävs.
• Ett tillämpligt adekvansbeslut, däribland EU–US Data Privacy Framework endast när mottagaren är certifierad och certifieringens räckvidd täcker den aktuella behandlingen.

7. Personuppgiftsincident

Personuppgiftsbiträdet ska utan onödigt dröjsmål, preliminärt senast inom 24 timmar efter att ha fått kännedom om en personuppgiftsincident, anmäla incidenten till Personuppgiftsansvarig. Personuppgiftsbiträdet ska därefter lämna löpande kompletteringar när ytterligare information blir tillgänglig. Anmälan ska innehålla:

• Beskrivning av incidentens art, antalet berörda registrerade och kategorier av berörda personuppgifter.
• Sannolika konsekvenser av incidenten.
• Vidtagna eller föreslagna åtgärder för att hantera incidenten och begränsa dess negativa effekter.
• Kontaktuppgifter till Personuppgiftsbiträdets incident-handler.

8. Granskningsrätt

Personuppgiftsansvarig har rätt att, på egen bekostnad och med rimlig framförhållning, granska Personuppgiftsbiträdets efterlevnad av detta avtal. Granskningen får utföras av Personuppgiftsansvarig eller av en oberoende revisor som Personuppgiftsansvarig utser och som omfattas av lämplig sekretess. Personuppgiftsbiträdet får inte lägga in ett godkännandeveto men får kräva skäliga säkerhets-, sekretess- och åtkomstregler. Personuppgiftsbiträdet tillhandahåller nödvändig information samt möjliggör och bidrar till granskningar, inklusive inspektioner, på ett sätt som begränsar störning och skyddar andra kunders uppgifter.

Aktuella SOC 2-, ISO 27001- eller motsvarande rapporter från Personuppgiftsbiträdet eller relevanta underbiträden får användas som kompletterande underlag. De ersätter inte Personuppgiftsansvarigs granskningsrätt när rapporterna inte ger tillräcklig information för den aktuella behandlingen. (Skolkoll har ingen egen ISO 27001-certifiering 2026.)

9. Ansvar och begränsningar

Personuppgiftsbiträdets ansvar enligt detta avtal är begränsat enligt vad som anges i Kommunlicens-avtalets ansvarsklausul. Bestämmelserna i artikel 82 GDPR är dock tvingande och påverkas inte av begränsningar mellan parterna.

10. Avtalets giltighetstid

Detta avtal träder i kraft vid undertecknande och gäller så länge Kommunlicens-avtalet är aktivt. Personuppgiftsbiträdets skyldigheter avseende radering eller återlämning av personuppgifter (avsnitt 4 punkt 8) gäller även efter avtalets upphörande.

11. Överlåtelse

Personuppgiftsbiträdet får överlåta detta avtal till annat bolag inom samma koncern, utan krav på Personuppgiftsansvarigs ytterligare godkännande, under förutsättning att den mottagande parten skriftligen inträder i Personuppgiftsbiträdets rättigheter och skyldigheter innan behandling fortsätter, att säkerhetsnivå, underbiträdesvillkor och internationella överföringsskydd inte försämras, och att Personuppgiftsansvarig skriftligen aviseras minst 30 dagar före överlåtelsen när det är praktiskt möjligt och annars i direkt anslutning till överlåtelsen.

Denna bestämmelse utgör Personuppgiftsansvarigs allmänna skriftliga tillstånd enligt artikel 28.2 GDPR för sådan koncernintern efterträdande biträdespart, med rätt att invända på saklig GDPR-grund. Om Personuppgiftsansvarig har saklig GDPR-invändning mot mottagande part får Personuppgiftsansvarig säga upp berörd behandling eller Kommunlicens-avtalet med 30 dagars varsel.

12. Ändringar

Ändringar av detta avtal ska göras skriftligt och undertecknas av båda parter.

13. Tillämplig lag och tvistlösning

Detta avtal regleras av svensk rätt. Tvister ska i första hand lösas genom förhandling, i andra hand av behörig allmän domstol.

Bilaga A — Tekniska och organisatoriska säkerhetsåtgärder

Personuppgiftsbiträdet vidtar följande åtgärder:

• Kryptering i transit (TLS 1.2+, HSTS).
• Kryptering i vila (Firestore Google-managed keys).
• Åtkomstkontroll (roll-baserad access, audit log för admin-åtgärder).
• Hemlighetshantering (Google Secret Manager).
• Rate limiting och input-validering på alla publika endpoints.
• Felövervakning och larm vid scheduled function-fel.
• Backupmål för Firestore: dygnsbackup med sju dagars retention. Produktionsreadback som visar att schemat är aktivt och att återläsning har provats är ännu inte arkiverad; målet ska därför inte tolkas som ett verifierat driftlöfte.
• Detaljerad redovisning: skolkoll.se/integritet/dataskydd/ avsnitt 8.

Denna mall baseras på SKR:s standardavtal för personuppgiftsbiträden (svensk public sector convention). Mallen är ett utgångsläge; bindande avtalstext förhandlas innan signering.