Version 2026-10
Personuppgiftsbiträdesavtal
Avtalet gäller mellan Kunden (personuppgiftsansvarig) och [Företagsnamn], org.nr [Organisationsnummer] (personuppgiftsbiträde), när Kunden använder Lärrum. Det ingås när Kunden godkänner användarvillkoren och gäller så länge vi behandlar personuppgifter åt Kunden.
src/lib/legal.ts och låt en jurist granska texten innan lansering.1. Behandlingen
- Ändamål: att tillhandahålla en tjänst för att skapa, tilldela och följa upp utbildningar.
- Registrerade: Kundens anställda, konsulter och andra som Kunden ger konton.
- Personuppgifter: namn, e-postadress, roll, inloggningsuppgifter, kurstilldelningar, framsteg, provresultat och provsvar, kursintyg, bekräftelser av policyer, utskick och tekniska loggar.
- Känsliga uppgifter: tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9. Kunden ska inte lägga in sådana uppgifter i kurser eller provfrågor.
- Behandlingar: lagring, visning, sammanställning i rapporter, utskick av e-post, export och radering.
2. Kundens instruktioner
Vi behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner. Avtalet, användarvillkoren och de val Kunden gör i tjänsten utgör instruktionerna. Om vi anser att en instruktion strider mot dataskyddsreglerna informerar vi Kunden.
3. Sekretess
Alla som har tillgång till personuppgifterna hos oss omfattas av tystnadsplikt och får bara ta del av dem när det behövs för att leverera tjänsten eller ge support.
4. Säkerhetsåtgärder
- Krypterad överföring (HTTPS/TLS) och lösenord lagrade som saltade hashar (scrypt).
- Logisk åtskillnad mellan kunder och rollbaserad behörighet inom varje kund.
- Spärr mot upprepade inloggningsförsök och säkerhetsrubriker mot vanliga webbattacker.
- Dagliga säkerhetskopior som sparas i 14 dagar.
- Begränsad och loggad åtkomst för vår personal, och bara när det behövs för drift eller support.
5. Underbiträden
Kunden ger ett allmänt godkännande till att vi anlitar underbiträden. Vi ingår avtal med varje underbiträde med motsvarande skyldigheter som i detta avtal. Vi informerar Kunden minst 30 dagar innan ett nytt underbiträde anlitas. Kunden får invända av sakliga skäl och har då rätt att säga upp avtalet.
| Underbiträde | Syfte | Plats och skydd |
|---|---|---|
| Fly.io, Inc. | Drift av servrar, databas och lagring av filer | Sverige (Stockholm). Bolaget finns i USA.. Data lagras i Sverige. EU-kommissionens standardavtalsklausuler genom Fly.io:s personuppgiftsbiträdesavtal.. |
| Stripe Payments Europe Ltd. | Betalningar och fakturering (endast kundföretagets fakturauppgifter) | EU, med överföring till USA. EU-kommissionens standardavtalsklausuler och EU–US Data Privacy Framework. |
| Resend, Inc. | Utskick av e-post (inbjudningar, påminnelser, lösenord) | USA. EU-kommissionens standardavtalsklausuler. |
| Anthropic PBC | AI-funktioner: när en kursskapare skapar en kurs med AI skickas ämnet eller dokumentet för bearbetning. Deltagardata skickas inte. | USA. EU-kommissionens standardavtalsklausuler. Data används inte för att träna modeller.. |
6. Överföring till tredje land
Personuppgifter lagras inom EU/EES. Överföring till land utanför EU/EES sker bara till de underbiträden som anges ovan och med stöd av EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå.
7. Hjälp till Kunden
Vi hjälper Kunden att besvara begäranden från registrerade. Tjänsten har inbyggd export och radering av en persons uppgifter. Vi hjälper också Kunden med konsekvensbedömningar och förhandssamråd i den mån det behövs, och med information om behandlingen.
8. Personuppgiftsincidenter
Vi underrättar Kunden utan onödigt dröjsmål, och senast inom 36 timmar efter att vi fått kännedom om en personuppgiftsincident. Underrättelsen innehåller den information Kunden behöver för att kunna anmäla incidenten till Integritetsskyddsmyndigheten inom 72 timmar.
9. Granskning
Kunden har rätt att kontrollera att vi följer avtalet. Vi tillhandahåller den information som behövs. Granskning på plats sker efter överenskommelse, med minst 30 dagars varsel och på Kundens bekostnad.
10. När avtalet upphör
Kunden kan exportera alla uppgifter under Inställningar. När avtalet upphört raderar vi uppgifterna senast inom 90 dagar och ur säkerhetskopior inom ytterligare 30 dagar, om inte lag kräver att de sparas längre.
11. Ansvar
Ansvar regleras enligt artikel 82 i dataskyddsförordningen och i övrigt enligt användarvillkoren.