Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal och dess Bilaga A utgör tillsammans ett avtal, nedan kallat "Biträdesavtalet". Avtalet gäller mellan

(1) den kund som registrerat ett konto i Besiktigo ("Kunden", "Personuppgiftsansvarig"), och

(2) Propida Solutions AB, org.nr 559186-5448, Slipgatan 1, 117 39 Stockholm ("Propida", "Personuppgiftsbiträdet").

Biträdesavtalet accepteras elektroniskt när Kunden registrerar ett konto och godkänner Besiktigos användarvillkor, i vilka Biträdesavtalet ingår. Det uppfyller kravet i artikel 28.9 GDPR på skriftlig form, inbegripet elektronisk form.

1 Bakgrund och syfte

1.1 Propida tillhandahåller Besiktigo ("Tjänsten"), en digital tjänst för att planera, genomföra och dokumentera besiktningar av bostäder, lokaler och andra objekt, enligt Besiktigos användarvillkor ("Avtalet"). Inom ramen för Avtalet behandlar Propida personuppgifter för vilka Kunden är personuppgiftsansvarig. Propida är därmed personuppgiftsbiträde enligt tillämplig dataskyddslagstiftning ("Dataskyddslagstiftningen").

1.2 Om Kunden själv är personuppgiftsbiträde åt tredje part — exempelvis när en besiktningsman utför uppdrag åt en fastighetsägare — är Propida i praktiken ett underbiträde. Biträdesavtalet ska då tillämpas i motsvarande delar, och Kunden ansvarar för att ha rätt att anlita Propida.

1.3 Biträdesavtalet syftar till att uppfylla Dataskyddslagstiftningens krav på att ett skriftligt avtal ska reglera biträdets behandling av personuppgifter.

1.4 Omfattning. Biträdesavtalet gäller i den utsträckning Kunden är personuppgiftsansvarig för personuppgifter som behandlas i Tjänsten, det vill säga när Tjänsten används i näringsverksamhet eller annars yrkesmässigt.

Använder en fysisk person Tjänsten uteslutande för privat bruk omfattas den behandlingen inte av Dataskyddslagstiftningen enligt artikel 2.2 c GDPR, och något personuppgiftsbiträdesförhållande uppstår inte. Propida är i det fallet personuppgiftsansvarig för behandlingen av användarens uppgifter, och Besiktigos integritetspolicy gäller istället för Biträdesavtalet.

Övergår en privatanvändning till yrkesmässig — exempelvis genom att användaren utför besiktningar åt andra mot ersättning — gäller Biträdesavtalet från den tidpunkten utan att något ytterligare godkännande krävs.

2 Definitioner

2.1 Termer har den betydelse som anges i Dataskyddslagstiftningen, vilket bland annat innebär att:

(a) Med personuppgifter avses varje upplysning som avser en identifierad eller identifierbar fysisk person.

(b) Med behandling avses varje åtgärd som vidtas med personuppgifter, såsom insamling, registrering, lagring, bearbetning, läsning, användning, utlämnande, spridning, radering eller förstöring.

(c) Med personuppgiftsansvarig avses den som bestämmer ändamålen med och medlen för behandlingen.

(d) Med personuppgiftsbiträde avses den som behandlar personuppgifter för den personuppgiftsansvariges räkning.

(e) Med underbiträde avses en underleverantör som anlitas av Personuppgiftsbiträdet.

(f) Med EU-kommissionens standardavtalsklausuler avses klausuler antagna genom beslut (EU) 2021/914 av den 4 juni 2021, eller beslut som ersätter dessa.

(g) Med Dataskyddslagstiftningen avses förordning (EU) 2016/679 ("GDPR") och kompletterande nationell lagstiftning.

3 Ansvar och instruktion

3.1 Propida åtar sig att endast behandla personuppgifter som Propida får tillgång till under Avtalet, för Kundens räkning, för ändamålet att fullgöra Avtalet och under Avtalets löptid. Bilaga A utgör Kundens dokumenterade instruktion. Propida åtar sig vidare:

(a) Att behandla personuppgifterna i enlighet med Dataskyddslagstiftningen, Avtalet, Biträdesavtalet och eventuella ytterligare dokumenterade instruktioner från Kunden. Propida får dock utan instruktion genomföra behandling som krävs enligt unionsrätten eller nationell rätt, men ska i sådant fall informera Kunden om kravet innan uppgifterna behandlas, såvida inte ett viktigt allmänintresse hindrar det.

(b) Att iaktta konfidentialitet och inte sprida personuppgifter till utomstående. Propida ska säkerställa att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt.

(c) Att vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, inklusive de säkerhetsåtgärder som anges i Bilaga A.

(d) Att informera Kunden om vilka tekniska och organisatoriska åtgärder som vidtagits.

(e) Att, med tanke på behandlingens art och i den mån det är möjligt, hjälpa Kunden att fullgöra sin skyldighet att svara på begäranden från registrerade enligt kapitel III GDPR.

(f) Att bistå Kunden med att fullgöra skyldigheterna enligt artiklarna 32–36 GDPR, med beaktande av typen av behandling och den information Propida har tillgång till.

(g) Att omedelbart informera Kunden om Propida anser att en instruktion strider mot Dataskyddslagstiftningen.

3.2 Kunden ansvarar för att ha laglig grund för de personuppgifter som förs in i Tjänsten, för att informera de registrerade, och för att uppgifter om tredje man i foton, kommentarer och underlag är relevanta för besiktningens ändamål.

4 Revision

4.1 Propida ska ge Kunden tillgång till den information som krävs för att visa att skyldigheterna i Biträdesavtalet efterlevs. Sådan information tillhandahålls i första hand genom dokumentation av Propidas säkerhetsarbete och genom svar på skriftliga frågor.

4.2 Är informationen enligt 4.1 inte tillräcklig har Kunden rätt att genomföra revision, inklusive inspektion, av Propidas behandling. Revision får ske högst en gång per kalenderår efter minst trettio (30) dagars skriftligt varsel, får inte oskäligt störa Propidas verksamhet, och genomförs på Kundens bekostnad — såvida revisionen inte visar väsentligt avtalsbrott, i vilket fall Propida bär kostnaden. Anlitar Kunden en tredje part får denne inte vara konkurrent till Propida och ska åta sig sekretess. Rätt till revision utan begränsning gäller alltid för tillsynsmyndighet.

4.3 Propida ska utan onödigt dröjsmål informera och samråda med Kunden om en tillsynsmyndighet inleder eller vidtar åtgärder mot Propida som berör behandlingen enligt Avtalet.

5 Anlitande av underbiträden

5.1 Propida ges härmed ett allmänt tillstånd att anlita underbiträden för behandlingar under Biträdesavtalet.

5.2 Kunden samtycker till de underbiträden som vid var tid anges i Propidas underbiträdesförteckning, tillgänglig på app.besiktigo.se/underbitraden. Varje version av förteckningen är daterad och tidigare versioner hålls tillgängliga, så att det går att se vilka underbiträden som gällde när Biträdesavtalet ingicks.

5.3 Propida publicerar ändringar i förteckningen minst fjorton (14) dagar innan ett nytt underbiträde anlitas eller ett underbiträde ersätts. Ändringen visas dessutom som ett meddelande i Tjänsten vid inloggning under varselperioden.

5.4 Kunden har rätt att invända mot ett nytt underbiträde inom fjortondagarsfristen. En invändning ska vara skriftlig och grundad på sakliga dataskyddsskäl. Kan parterna inte enas har Kunden rätt att säga upp Avtalet till upphörande, med återbetalning av outnyttjade förbetalda besiktningar. Uppsägning är Kundens enda påföljd — Kunden kan inte kräva att Propida avstår från ett underbiträde eller behåller ett tidigare.

5.5 Krävs byte av underbiträde omedelbart för att upprätthålla säkerhet eller tillgänglighet, exempelvis om en leverantör upphör eller utgör en risk, får Propida genomföra bytet utan föregående varsel och informerar då i efterhand utan onödigt dröjsmål.

5.6 Propida ska ingå avtal med varje underbiträde som ålägger underbiträdet samma skyldigheter i fråga om dataskydd som anges i Biträdesavtalet. Avtalet ska vara skriftligt, inbegripet i elektronisk form, och kan utgöras av underbiträdets standardvillkor för personuppgiftsbehandling. Anlitas underbiträde utanför EU/EES ska laglig grund för överföringen säkras, exempelvis genom EU-kommissionens standardavtalsklausuler.

5.7 Propida ansvarar för underbiträden som för sig själv.

6 Skada och ersättning

6.1 Vad som anges om ansvar och ansvarsbegränsning i Avtalet gäller för skador till följd av brott mot Biträdesavtalet eller Dataskyddslagstiftningen.

6.2 Administrativa sanktionsavgifter ådöms den part som brutit mot sina förpliktelser. Ingen part bär den andres sanktionsavgifter.

6.3 Propidas ersättning under Avtalet inkluderar ersättning för efterlevnad av Dataskyddslagstiftningen. Kräver Kunden åtgärder utöver vad Biträdesavtalet föreskriver — exempelvis omfattande utredningar på Kundens begäran — har Propida rätt till ersättning på löpande räkning för dokumenterat arbete. Hantering av incidenter som beror på Propida eller dess underbiträden ersätts inte av Kunden.

7 Avtalstid och radering

7.1 Biträdesavtalet gäller från Kundens godkännande och så länge Propida behandlar personuppgifter för Kundens räkning.

7.2 Bryter Propida mot sina åtaganden har Kunden rätt att säga upp Avtalet till omedelbart upphörande om rättelse inte vidtagits inom trettio (30) dagar efter påpekande.

7.3 Efter att Avtalet upphört ska Propida, enligt Kundens instruktion, radera eller återlämna samtliga personuppgifter samt radera befintliga kopior, såvida inte lagring krävs enligt lag. Kunden kan när som helst under avtalstiden exportera sina besiktningsprotokoll som PDF. Lämnar Kunden ingen instruktion raderas uppgifterna enligt de tider som anges i Besiktigos integritetspolicy.

8 Ändringar av Biträdesavtalet

8.1 Propida får ändra Biträdesavtalet för att följa ändrad lagstiftning, praxis eller Tjänstens utveckling. Väsentliga ändringar meddelas minst trettio (30) dagar i förväg genom ett meddelande i Tjänsten som visas vid inloggning, och vid behov även per e-post. Godtar Kunden inte ändringen har Kunden rätt att säga upp Avtalet före ikraftträdandet. Fortsatt användning av Tjänsten efter ikraftträdandet innebär att Kunden accepterat den nya versionen.

8.2 Varje version av Biträdesavtalet är daterad och versionsnumrerad. Propida dokumenterar vilken version Kunden godkänt och vid vilken tidpunkt.

9 Lagval och tvistlösning

9.1 Biträdesavtalet styrs av svensk lag, med undantag för lagvalsbestämmelser.

9.2 Tvist avgörs enligt Avtalets bestämmelser om tvistlösning.

Bilaga A — Instruktioner för behandling av personuppgifter

1 Ändamålet med behandlingen

Propida behandlar personuppgifter i syfte att tillhandahålla Tjänsten enligt Avtalet: att skapa, genomföra, lagra och dela besiktningsprotokoll, samt tillhandahålla support, AI-stöd och betalningshantering kopplad till Tjänsten.

2 Kategorier av behandlingar

Insamling · lagring · kryptering · läsning · bearbetning · analys (AI-stöd) · felsökning · kopiering · sändning och mottagning · delning · radering

3 Kategorier av registrerade

• Kundens egna anställda och anlitade konsulter (användare av Tjänsten)
• Hyresgäster, boende, köpare, säljare och andra motparter i en besiktning
• Beställare och fastighetsägare som Kunden utför uppdrag åt
• Mottagare av delningslänkar till besiktningsprotokoll

4 Kategorier av personuppgifter

Om Kundens användare: namn, e-postadress, telefonnummer (vid support), IP-adress, tekniska loggar över åtgärder i Tjänsten.

Om personer som förekommer i besiktningsunderlag: namn, adress och objektsuppgifter, fotografier av bostäder och lokaler samt av föremål som kan förekomma där, samt ostrukturerade personuppgifter i fritext, exempelvis i kommentarer och anteckningar.

Om mottagare av delningslänk: IP-adress, webbläsare och tidpunkt för visning.

Om Kundens betalningskontakter: namn, e-postadress, faktureringsuppgifter och transaktionsreferenser. Kortuppgifter behandlas av Stripe och lagras inte av Propida.

Propida efterfrågar inte särskilda kategorier av personuppgifter enligt artikel 9. Kunden ansvarar för att inte föra in sådana uppgifter i fritext eller foton.

5 Plats för behandling

Personuppgifterna lagras inom EU/EES (AWS, regionen eu-north-1, Stockholm). Viss behandling sker hos underbiträden enligt avsnitt 6, varav några kan behandla uppgifter utanför EU/EES med stöd av standardavtalsklausuler.

6 Underbiträden

De underbiträden som anlitas framgår av förteckningen på app.besiktigo.se/underbitraden, med uppgift om var respektive leverantör behandlar personuppgifterna och på vilken grund överföring utanför EU/EES sker. Förteckningen gäller vid var tid enligt punkt 5.2 ovan, och tidigare versioner hålls tillgängliga.

7 Tekniska och organisatoriska säkerhetsåtgärder

Propida ska:

• Kryptera personuppgifter under överföring (TLS) och i lagring hos molnleverantören, både databas och filer.
• Lagra lösenord och delnings-PIN endast i hashad form.
• Tillämpa behörighetsstyrning så att endast de som behöver arbeta med personuppgifterna har tillgång till dem, och logga åtgärder i Tjänsten.
• Ta automatiska säkerhetskopior av databasen och kunna återställa tillgänglighet till uppgifterna inom rimlig tid efter en teknisk incident.
• Se över säkerhetsåtgärderna löpande och vid väsentliga förändringar av Tjänsten, samt åtgärda brister som upptäcks.
• Säkerställa att de som behandlar personuppgifter känner till hur uppgifterna ska skyddas.

8 Anmälan av personuppgiftsincident

Propida åtar sig att rapportera personuppgiftsincidenter till Kunden utan onödigt dröjsmål, och under alla omständigheter inom fyrtioåtta (48) timmar efter att ha fått vetskap om incidenten. Rapportering sker till Kundens registrerade e-postadress och ska innehålla den information som enligt Dataskyddslagstiftningen ska ingå i anmälan till tillsynsmyndigheten.

Kunden ansvarar för att hålla sin registrerade e-postadress aktuell.

9 Gallring

Personuppgifter gallras när ändamålen med behandlingen fullgjorts, såvida inte annan lagstiftning kräver fortsatt lagring. Tider anges i Besiktigos integritetspolicy.

Version 1.0 · gäller från 10 september 2026