Personuppgiftsbiträdesavtal (DPA)

Databehandlingsavtal enligt GDPR Art. 28

Personuppgiftsbiträdesavtal, version 1.2 · senast uppdaterad 2026-10-03.

Mellan Kunden (”Personuppgiftsansvarig”) och Stridsberg Elteknik AB (”Personuppgiftsbiträde”)

1. Bakgrund och syfte

Detta personuppgiftsbiträdesavtal (”Biträdesavtalet”) är en del av avtalet om tjänsten Crewless (”Tjänsten”) enligt de allmänna villkoren (”Villkoren”) avsnitt 1. Det reglerar Stridsbergs behandling av personuppgifter för Kundens räkning enligt artikel 28 i dataskyddsförordningen (EU) 2016/679 (”GDPR”).

Biträdesavtalet ingås elektroniskt när Kunden godkänner Villkoren vid registreringen (artikel 28.9 GDPR). Tjänsten sparar vilken version Kunden har godkänt och när.

Parter

Personuppgiftsansvarig: Kunden enligt Villkoren (nedan ”Kunden”).

Personuppgiftsbiträde: Stridsberg Elteknik AB, org.nr 559241-1051, Persängsvägen 25, 761 97 Norrtälje, e-post info@crewless.io (nedan ”Stridsberg”).

Stridsberg är självt personuppgiftsansvarigt för uppgifter om Kundens konto, användare, fakturering och support. Den behandlingen beskrivs i integritetspolicyn och omfattas inte av detta Biträdesavtal.

2. Definitioner

Termer som inte definieras här har samma innebörd som i GDPR eller i Villkoren.

3. Behandlingens omfattning

3.1 Ändamål och art

Stridsberg behandlar personuppgifter enbart för att tillhandahålla Tjänsten åt Kunden och för anonymisering enligt 3.5. Tjänsten omfattar lagring och organisering av projekt och underlag, AI-bearbetning för att ta fram dokumentutkast, beräkningar och svar, e-post till och från projekt, delning och signering av dokument, förslag inom Kundens konto ur uppgifter som Kunden angett eller godkänt i tidigare projekt (Allmänna villkoren 5.3.1) samt support och felsökning.

3.2 Kategorier av registrerade

Kundens anställda och andra användare av Kundens konto
Kundens beställare, byggherrar, fastighetsägare och deras kontaktpersoner
Underentreprenörer, deras personal och andra projektdeltagare
Andra personer som förekommer i underlag som Kunden laddar upp, mailar in eller fotograferar

3.3 Typer av personuppgifter

Namn, kontaktuppgifter, befattning och företagstillhörighet
Uppgifter om behörigheter, utbildningar och certifikat
Projektuppgifter som kan knytas till personer (adresser, fastighetsbeteckningar, uppgifter i egenkontroller, protokoll och avvikelser)
Foton och ritningar från arbetsplatser
E-post med bilagor som skickas till projektets e-postadress
Tal som Kunden spelar in för att skriva i Tjänsten: ljudet omvandlas till text på Stridsbergs server och sparas inte; texten sparas som chattmeddelande
Chattmeddelanden och frågor till Tjänstens AI-agenter
Tekniska uppgifter som IP-adress och loggar
Förbrukning av AI-tjänster per användare och månad, per funktionsslag och utan innehåll, som Kundens administratör kan se
Bevis för signering via länk: mottagarens e-postadress, när engångskoden skickades och bekräftades, när signeringen gjordes, IP-adress och kontrollsumma för det signerade innehållet (koden själv sparas inte i läsbar form)

Tjänsten är inte avsedd för känsliga personuppgifter (artikel 9 GDPR) eller personnummer utöver vad som är nödvändigt. Kunden ska inte föra in sådana uppgifter om det inte krävs för ändamålet.

3.4 Varaktighet

Behandlingen pågår så länge Villkoren gäller och därefter enligt avsnitt 11. Bilagor som laddas upp i chatten men aldrig skickas raderas efter 7 dagar.

3.5 Anonymisering på Kundens instruktion

Om Kunden inte har stängt av funktionen enligt Allmänna villkoren 5.3.3 instruerar Kunden Stridsberg att anonymisera personuppgifter i Kunddata för de ändamål som anges i 5.3.2. Anonymiseringen sker i Stridsbergs produktionsmiljö inom EU. Innan en uppgift räknas som anonym hålls den i högst 30 dagar i ett spärrat mellanläge där den inte används och raderas om uppgiften eller Kundens konto raderas. För dessa ändamål lämnar endast anonymiserade uppgifter produktionsmiljön; säkerhetskopiorna enligt 11.1 berörs inte. Anonymiserade uppgifter är inte personuppgifter och omfattas inte av detta Biträdesavtal.

4. Stridsbergs skyldigheter

Stridsberg ska:

a) Behandla personuppgifter enbart enligt Kundens dokumenterade instruktioner, även i fråga om överföring till tredjeland, om inte behandlingen krävs enligt unionsrätten eller svensk rätt. I sådant fall informerar Stridsberg Kunden om det rättsliga kravet innan behandlingen sker, om inte rätten förbjuder det. Kundens instruktioner utgörs av Villkoren, detta Biträdesavtal och de val Kunden gör när Kunden använder Tjänstens funktioner.

b) Omedelbart informera Kunden om Stridsberg anser att en instruktion strider mot GDPR eller mot annan dataskyddslagstiftning.

c) Säkerställa att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt.

d) Vidta de säkerhetsåtgärder som krävs enligt artikel 32 GDPR (avsnitt 7).

e) Följa villkoren i avsnitt 6 för att anlita underbiträden.

f) Med hänsyn till behandlingens art bistå Kunden genom lämpliga tekniska och organisatoriska åtgärder när Kunden ska besvara de registrerades begäran om att utöva sina rättigheter, bland annat med export, rättelse och radering av uppgifter.

g) Bistå Kunden med att fullgöra skyldigheterna i artiklarna 32–36 GDPR, med hänsyn till behandlingens art och den information Stridsberg har tillgång till.

h) Radera eller återlämna personuppgifterna efter avslutad behandling enligt avsnitt 11.

i) Ge Kunden den information som krävs för att visa att skyldigheterna i artikel 28 GDPR fullgörs, och möjliggöra och bidra till granskningar enligt avsnitt 10.

5. Kundens skyldigheter

Kunden ansvarar för att det finns en rättslig grund för behandlingen, för att de registrerade informeras enligt artiklarna 13–14 GDPR, för att instruktionerna är lagliga och för att Kunden bara för in de personuppgifter som behövs. Använder Kunden uppgifterna om användarnas AI-förbrukning, ansvarar Kunden för att informera användarna och för de skyldigheter som gäller för Kunden som arbetsgivare.

6. Underbiträden

6.1 Godkännande

Kunden ger Stridsberg ett allmänt förhandsgodkännande att anlita underbiträden. De underbiträden som anlitas när Biträdesavtalet ingås anges i Bilaga 1.

6.2 Nya eller ersatta underbiträden

Stridsberg meddelar Kunden via e-post och i Tjänsten minst 30 dagar innan ett nytt underbiträde börjar behandla Kundens personuppgifter eller ett befintligt ersätts. Kunden får invända inom 14 dagar från meddelandet. Kan parterna inte enas får Kunden säga upp avtalet utan kostnad före bytet. En aktuell förteckning finns alltid i Tjänsten.

6.3 Krav på underbiträden

Stridsberg ska ingå skriftligt avtal med varje underbiträde som ålägger underbiträdet samma dataskyddsskyldigheter som följer av detta Biträdesavtal, i synnerhet tillräckliga garantier för lämpliga säkerhetsåtgärder. Stridsberg är fullt ansvarigt gentemot Kunden för underbiträdets fullgörande.

7. Säkerhetsåtgärder

Stridsberg vidtar tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, bland annat:

Kryptering: all trafik skyddas med TLS. Databasen och bilagelagringen ligger hos DigitalOcean med kryptering i vila. Säkerhetskopior som lämnar servern krypteras med Stridsbergs egen nyckel. Lokala säkerhetskopior på driftservern skyddas av serverns åtkomstkontroll, så att endast driftkontot kan läsa dem, och gallras inom 35 dagar. Filer under bearbetning lagras tillfälligt på Stridsbergs server inom EU med behörighetsskydd.
Separation mellan kunder: varje kunds data skiljs från andra kunders på databasnivå (radnivåsäkerhet, RLS).
Åtkomst: användare loggar in med personligt konto och lösenord (lagrat som hash). Inloggning i Tjänstens administration kräver tvåfaktorsautentisering och loggas; åtkomst till servrarna sker med nyckelbaserad inloggning.
Skydd av uppladdade filer: filer skannas mot skadlig kod innan de tas emot.
Säkerhetskopiering: regelbundna, krypterade säkerhetskopior för återställning.
Minsta behörighet och sekretess: endast personer som behöver åtkomst för drift, support eller felsökning har det, och de omfattas av sekretess. Stridsbergs utvecklingsverktyg, inklusive AI-assistenter, används inte för att läsa Kundens personuppgifter eller kundinnehåll i produktionsmiljön, inte heller loggar som innehåller sådana uppgifter. Behöver Stridsberg för drift eller felsökning ta del av sådana uppgifter sker det bara på Kundens begäran, när det krävs för att fullgöra Kundens instruktioner eller när lag kräver det.
Uppföljning: säkerhetsåtgärderna ses över regelbundet.

8. Personuppgiftsincidenter

8.1 Anmälan

Stridsberg ska utan onödigt dröjsmål, och senast 48 timmar efter att en personuppgiftsincident som berör Kundens personuppgifter upptäckts, informera Kunden.

8.2 Innehåll

Anmälan ska, i den mån informationen finns, innehålla:

a) en beskrivning av incidentens art, kategorier och ungefärligt antal registrerade och personuppgiftsposter;

b) namn och kontaktuppgifter till en kontaktperson hos Stridsberg;

c) en beskrivning av de sannolika konsekvenserna; och

d) de åtgärder Stridsberg har vidtagit eller föreslår.

Information som inte finns direkt lämnas så snart den finns.

8.3 Samarbete

Stridsberg bistår Kunden när Kunden ska anmäla incidenten till Integritetsskyddsmyndigheten (IMY) och, i förekommande fall, informera de registrerade.

9. Överföring till tredjeland

Personuppgifter överförs till ett land utanför EU/EES endast med stöd av kapitel V GDPR. Skyddsåtgärden för varje underbiträde anges i Bilaga 1: ett beslut om adekvat skyddsnivå (bland annat EU–US Data Privacy Framework, kommissionens genomförandebeslut (EU) 2023/1795) eller EU:s standardavtalsklausuler (kommissionens genomförandebeslut (EU) 2021/914), med kompletterande åtgärder vid behov. Stridsberg gör konsekvensbedömningar av överföringarna och lämnar dem till Kunden på begäran.

10. Granskning

10.1 Rätt till granskning

Stridsberg lämnar på begäran den dokumentation som visar att skyldigheterna i detta Biträdesavtal och i artikel 28 GDPR fullgörs. Räcker inte dokumentationen har Kunden rätt att, på egen bekostnad och efter skäligt varsel (minst 30 dagar), själv eller genom en oberoende granskare som omfattas av sekretess genomföra en granskning.

10.2 Begränsningar

Granskningen ska genomföras under ordinarie arbetstid och så att den stör Stridsbergs verksamhet så lite som möjligt. Den omfattar inte uppgifter om andra kunder. Tillsynsmyndighetens rätt till granskning begränsas inte.

11. När behandlingen upphör

11.1 Radering eller återlämnande

När avtalet upphör har Kunden 90 dagar på sig att exportera sina uppgifter. Därefter raderar Stridsberg Kundens personuppgifter ur produktionsmiljön inom 30 dagar. Borttagna uppgifter kan finnas kvar som återställningsversion och i säkerhetskopior i högst 35 dagar och används fram till dess bara för återställning. Stridsberg bekräftar raderingen skriftligen på begäran.

11.2 Undantag

Stridsberg får behålla personuppgifter endast i den utsträckning unionsrätten eller svensk rätt kräver det. Sådana uppgifter omfattas även fortsättningsvis av detta Biträdesavtals sekretess- och säkerhetsbestämmelser.

12. Ansvar

Parternas ansvar gentemot de registrerade följer av artikel 82 GDPR. Mellan parterna gäller ansvarsbegränsningen i Villkoren avsnitt 8. Begränsningen gäller inte vid uppsåt eller grov vårdslöshet, och den påverkar inte de registrerades rätt till ersättning.

13. Avtalstid

Biträdesavtalet gäller så länge Stridsberg behandlar personuppgifter för Kundens räkning.

14. Ändringar

Ändringar av Biträdesavtalet görs på samma sätt som ändringar av Villkoren (Villkoren avsnitt 11), med nytt godkännande i Tjänsten. Ändringar av Bilaga 1 görs enligt avsnitt 6.2.

15. Tillämplig lag

Svensk lag gäller för Biträdesavtalet. Tvister avgörs enligt Villkoren avsnitt 12.

Bilaga 1 — Underbiträden

Underbiträde	Tjänst	Uppgifter	Plats	Skyddsåtgärd	Gäller från
DigitalOcean, LLC	Server, databas, fillagring, säkerhetskopior	Alla uppgifter i Tjänsten	EU (Frankfurt och Amsterdam); supportåtkomst kan ske från USA	EU–US Data Privacy Framework, standardavtalsklausuler som reserv	2026-03-08
Anthropic Ireland, Limited (Irland), med vidareöverföring till Anthropic, PBC (USA)	AI-bearbetning (Claude) av text och bilder	Det innehåll som skickas för att ta fram utkast, beräkningar och svar	EU och USA. In- och utdata raderas som standard inom 30 dagar; längre bara om Anthropic måste utreda brott mot sina användarregler eller lag kräver det	Anthropics personuppgiftsbiträdesavtal med standardavtalsklausuler	2026-03-08
Google Cloud EMEA Limited (Irland), Google Workspace	E-post: utskick av delnings- och signeringslänkar samt mottagning av e-post till projektens adresser	E-post, bilagor, namn och e-postadresser	Enligt Googles Workspace-avtal (EU och USA)	EU–US Data Privacy Framework och standardavtalsklausuler	2026-03-08
Backblaze, Inc.	Extern säkerhetskopia (B2 Cloud Storage) för återställning vid haveri; används från den dag den första krypterade säkerhetskopian skrivs dit	Krypterade kopior av databasen, som Backblaze inte kan läsa	EU (Amsterdam); supportåtkomst kan ske från USA	Backblazes personuppgiftsbiträdesavtal med standardavtalsklausuler (modul 2); kopiorna är krypterade och nyckeln finns aldrig hos Backblaze	2026-09-25

Nya eller ersatta underbiträden aviseras enligt 6.2 och läggs in i förteckningen med det datum då de börjar gälla.

Version 1.2 · senast uppdaterad 2026-10-03

Frågor? Kontakta oss på info@crewless.io