Personuppgiftsbiträdesavtal

Parter. Kunden ("Personuppgiftsansvarig") och Media Rosenqvist, org.nr på begäran ("Personuppgiftsbiträde").

1. Föremål. Behandling av personuppgifter som Kunden och dess användare lägger in i Rosenbok för bokföring, fakturering och relaterad administration.

2. Instruktioner. Biträdet behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner så som de framgår av tjänstens funktioner och detta avtal.

3. Konfidentialitet. Personal med åtkomst till personuppgifter omfattas av tystnadsplikt.

4. Säkerhet. Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder: kryptering i transit (TLS), åtkomstkontroll per företag (RLS), MFA (TOTP), lösenordskontroll mot HIBP, loggning, backup och incidenthantering.

5. Underbiträden. Aktuella underbiträden: Supabase (databas/hosting, EU), Google Gemini via Lovable AI Gateway (AI-assistent). Kunden godkänner dessa. Byte meddelas 30 dagar i förväg via e-post.

6. Överföring utanför EU/EES. Sker endast med standardavtalsklausuler.

7. Bistånd. Biträdet bistår Kunden med att uppfylla begäran om registrerades rättigheter samt vid konsekvensbedömningar (art. 32-36).

8. Incidenter. Personuppgiftsincidenter rapporteras till Kunden utan onödigt dröjsmål och senast inom 48 timmar från upptäckt.

9. Radering och återlämning. Vid avtalets upphörande raderas eller återlämnas personuppgifterna på Kundens begäran. Data som omfattas av bokföringslagens 7-årsregel behålls tills lagringstiden löpt ut.

10. Revision. Kunden har rätt till årlig revision. Standardiserade granskningsrapporter från underbiträden tillhandahålls i första hand.

11. Ansvar. Ansvarsbegränsning enligt huvudavtalet gäller. Vid brott mot GDPR gäller lag.

12. Tvist. Svensk rätt. Tvist avgörs vid Kundens hemvist.