Personuppgiftsbiträdesavtal (DPA)

Personuppgiftsbiträdesavtal (DPA)

Version 1.0 – Gäller från 2026-03-07

Detta avtal ("Avtalet") ingås mellan det företag som använder Totaltids tjänst ("Personuppgiftsansvarig") och:

("Personuppgiftsbiträde")

Genom att godkänna detta avtal bekräftar du att du har behörighet att ingå avtal på uppdrag av det företag du representerar.

1. Bakgrund

Personuppgiftsansvarig använder Totaltids plattform för att hantera arbetsorder och relaterad information, inklusive personnummer för slutkunder i samband med ROT-avdrag.

Totaltid i Höganäs AB behandlar personuppgifter enbart på den Personuppgiftsansvariges instruktion och för dennes räkning. Detta avtal reglerar denna behandling i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 ("GDPR"), artikel 28, samt Dataskyddslagen (SFS 2018:218).

2. Föremål för behandlingen

Personuppgiftsbiträdet behandlar följande kategorier av personuppgifter på uppdrag av Personuppgiftsansvarig:

• Personnummer tillhörande Personuppgiftsansvariges slutkunder
• Namn och kontaktuppgifter tillhörande slutkunder
• Övrig information som Personuppgiftsansvarig registrerar i systemet

Behandlingen sker i syfte att möjliggöra hantering av arbetsorder, däribland underlag för ROT-avdragsansökan till Skatteverket.

3. Personuppgiftsansvariges skyldigheter

Personuppgiftsansvarig ansvarar för att:

• Det finns en laglig grund för behandlingen av personuppgifter
• De registrerade (slutkunderna) informeras om behandlingen i enlighet med GDPR artiklarna 13 och 14
• Instruktionerana till Personuppgiftsbiträdet är förenliga med tillämplig dataskyddslagstiftning

4. Personuppgiftsbiträdets skyldigheter

Personuppgiftsbiträdet åtar sig att:

• Behandla personuppgifter enbart enligt Personuppgiftsansvariges dokumenterade instruktioner
• Säkerställa att personer med tillgång till personuppgifterna är bundna av konfidentialitetsskyldighet
• Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder i enlighet med GDPR artikel 32
• Utan onödigt dröjsmål informera Personuppgiftsansvarig om en personuppgiftsincident som rör dennes data
• Bistå Personuppgiftsansvarig i att uppfylla skyldigheter gentemot registrerade, exempelvis vid begäran om tillgång, rättelse eller radering
• Radera eller återlämna alla personuppgifter när tjänsten avslutas, i enlighet med Personuppgiftsansvariges instruktion

5. Lagring och radering

Personnummer lagras kopplade till respektive arbetsorder. Personnummer raderas eller anonymiseras senast 7 år efter att den aktuella arbetsordern avslutades. Denna period är förankrad i Skatteverkets revisionsfönster för ROT-avdrag samt Bokföringslagen (7 kap. 2 §).

Övriga personuppgifter lagras så länge kundrelationen är aktiv, eller så länge det krävs enligt lag.

6. Underbiträden

Personuppgiftsbiträdet anlitar följande underbiträden för att tillhandahålla tjänsten:

Personuppgiftsbiträdet ska informera Personuppgiftsansvarig om planerade förändringar av underbiträden i god tid, så att Personuppgiftsansvarig ges möjlighet att invända.

7. Överföring till tredjeland

Personuppgifter lagras på Supabase infrastruktur. Supabase tillhandahåller ett eget personuppgiftsbiträdesavtal och deltar i tillämpliga mekanismer för dataöverföring mellan EU och USA i enlighet med GDPR kapitel V.

8. Avtalstid och upphörande

Avtalet gäller så länge Personuppgiftsansvarig använder Totaltids tjänst. Vid upphörande av tjänsteavtalet upphör även detta avtal, varpå Personuppgiftsbiträdet raderar eller återlämnar personuppgifter inom 30 dagar.

9. Ansvar

Vardera part ansvarar för att uppfylla sina skyldigheter enligt tillämplig dataskyddslagstiftning. Personuppgiftsbiträdets ansvar är begränsat till direkta skador som uppstått till följd av att Personuppgiftsbiträdet brustit i sina åtaganden enligt detta avtal.

10. Tillämplig lag och tvistelösning

Detta avtal regleras av svensk rätt. Tvister ska i första hand lösas genom förhandling mellan parterna. Om förhandling misslyckas ska tvisten avgöras av svensk allmän domstol.

11. Kontakt

Frågor rörande detta avtal eller behandlingen av personuppgifter riktas till: