Personuppgiftsbiträdesavtal

Version 2026-10-17

Avtalet gäller mellan det företag som använder KMA-portalen ("Personuppgiftsansvarig") och KMA-portalen ("Personuppgiftsbiträdet") och är en del av användarvillkoren. Det uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR).

1. Behandlingen

Ändamål: att tillhandahålla tjänsten för dokumentation i byggprojekt.
Kategorier av registrerade: Kundens anställda, underentreprenörer, beställare och andra kontakter i projekten.
Kategorier av uppgifter: namn, e-post, telefon, roll, företag, signaturer, foton från arbetsplatser och anteckningar i dagbok, skyddsrond, egenkontroll och ÄTA.
Känsliga personuppgifter ska inte läggas in i tjänsten. Uppstår till exempel uppgifter om arbetsskador ansvarar Kunden för att det finns stöd för behandlingen.
Behandlingen pågår så länge avtalet gäller och därefter enligt punkt 7.

2. Instruktioner

Biträdet behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner, som utgörs av detta avtal och Kundens användning av tjänstens funktioner. Biträdet meddelar Kunden om en instruktion bedöms strida mot dataskyddsreglerna.

3. Sekretess

Personer hos Biträdet som har åtkomst till uppgifterna omfattas av tystnadsplikt. Åtkomst ges bara när det behövs för drift, säkerhet eller support som Kunden begärt.

4. Säkerhet

Uppgifter hålls åtskilda per kundföretag genom regler i databasen.
Krypterad överföring (HTTPS) och lagring hos etablerade molnleverantörer.
Behörighetsstyrning per projekt och modul som Kunden själv administrerar.
Säkerhetskopiering och logg över ändringar av abonnemang och roller.

5. Underbiträden

Kunden godkänner de underbiträden som anges i integritetspolicyn. Biträdet informerar Kunden minst 30 dagar innan ett nytt underbiträde anlitas, och Kunden får invända av saklig anledning. Biträdet ingår avtal med underbiträden med motsvarande skyldigheter.

6. Bistånd och personuppgiftsincidenter

Biträdet hjälper Kunden att besvara begäranden från registrerade och med konsekvensbedömningar i den mån det rimligen kan krävas. Biträdet meddelar Kunden utan onödigt dröjsmål, och senast inom 36 timmar efter att ha upptäckt den, om en personuppgiftsincident som berör Kundens uppgifter.

7. När avtalet upphör

När avtalet upphör kan Kunden under minst 90 dagar läsa och skriva ut sina uppgifter. Därefter raderar Biträdet uppgifterna, om inte lag kräver att de sparas. Säkerhetskopior skrivs över enligt ordinarie rutin.

8. Revision

Biträdet ger Kunden den information som behövs för att visa att avtalet följs och möjliggör granskning efter rimligt varsel, på Kundens bekostnad.

9. Ansvar

Ansvarsbegränsningen i användarvillkoren gäller även detta avtal, utom i den mån annat följer av dataskyddsförordningen.