Personuppgiftsbiträdesavtal

Gäller från: 2026-10-01

Detta personuppgiftsbiträdesavtal ("DPA:n") ingås mellan det företag som accepterat Användarvillkoren för FutureCalc.ai ("Kunden") och FutureCalc AB, org.nr 559536-7847, c/o Kivra: 559536-7847, 106 31 Stockholm ("FutureCalc"). DPA:n utgör en del av Användarvillkoren och gäller automatiskt från det att Kunden accepterar dessa, utan separat undertecknande. Begrepp med stor bokstav har samma betydelse som i Användarvillkoren.

1. Bakgrund och tillämpningsområde

1.1 Kunden laddar upp ritningar och annat Kundinnehåll till Tjänsten. Sådant material kan innehålla personuppgifter, typiskt namn, roller och kontaktuppgifter till projektörer, handläggare och beställare i ritningshuvuden, annoteringar och kommentarer. När FutureCalc tillhandahåller Tjänsten behandlar FutureCalc dessa personuppgifter för Kundens räkning. Kunden är personuppgiftsansvarig och FutureCalc personuppgiftsbiträde. DPA:n reglerar den behandlingen enligt artikel 28 i GDPR.

1.2 DPA:n omfattar inte (a) behandling där FutureCalc är personuppgiftsansvarig enligt Integritetspolicyn, dvs. kontodata, inloggnings- och säkerhetsdata, användningsstatistik, kommunikation, fakturering och marknadsföring, och (b) FutureCalcs användning av Kundinnehåll, Resultat, Korrigeringar och Härledd Data för utvecklingsändamål enligt Användarvillkoren punkt 6.2 (b) och (c). För behandlingen under (b) är FutureCalc personuppgiftsansvarig; Kunden bekräftar genom att acceptera Användarvillkoren att Kunden är införstådd med denna användning och de skyddsåtgärder som anges i Användarvillkoren punkt 6.6 och Integritetspolicyn avsnitt 4.

1.3 Vid konflikt mellan DPA:n och Användarvillkoren har DPA:n företräde i frågor som rör behandling av personuppgifter under punkt 1.1. I övriga frågor, inklusive ansvarsbegränsning, gäller Användarvillkoren.

2. Behandlingens föremål, art, ändamål och varaktighet

2.1 Föremål: personuppgifter som förekommer i Kundinnehåll.

2.2 Art: lagring, kopiering, visning, maskinell tolkning, sammanställning, export, säkerhetskopiering och radering.

2.3 Ändamål: att tillhandahålla Tjänsten till Kunden enligt Användarvillkoren.

2.4 Kategorier av registrerade: Kundens anställda och uppdragstagare, samt personer som förekommer i ritningar och projektdokument (projektörer, konsulter, beställare, entreprenörer och deras kontaktpersoner).

2.5 Kategorier av personuppgifter: namn, yrkestitel, företag, e-postadress, telefonnummer, signaturer och andra uppgifter som Kunden väljer att inkludera i Kundinnehåll. Särskilda kategorier av personuppgifter (artikel 9) får inte laddas upp till Tjänsten.

2.6 Varaktighet: under avtalstiden och den exportfrist som anges i Användarvillkoren punkt 14.3.

3. Kundens skyldigheter

3.1 Kunden ansvarar för att ha rättslig grund för behandlingen, för att ha uppfyllt sin informationsskyldighet mot de registrerade och för att Kundinnehåll inte innehåller fler personuppgifter än vad som är nödvändigt för Kundens ändamål.

3.2 Kunden ansvarar för att instruktionerna till FutureCalc är lagliga. Kundens instruktioner utgörs av Användarvillkoren, denna DPA och de val Kunden gör i Tjänsten. Ytterligare instruktioner kräver skriftlig överenskommelse och kan medföra ersättning enligt FutureCalcs gällande timtaxa.

3.3 Kunden ansvarar för att konfigurera behörigheter i Tjänsten korrekt och för att spärra Användare som inte längre ska ha åtkomst.

4. FutureCalcs skyldigheter

4.1 Instruktioner. FutureCalc behandlar personuppgifter under punkt 1.1 endast enligt Kundens dokumenterade instruktioner, om inte annat följer av unionsrätten eller svensk rätt. I sådant fall informerar FutureCalc Kunden om det rättsliga kravet innan behandlingen sker, om inte lagen förbjuder detta. FutureCalc meddelar Kunden om FutureCalc anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning, och får avvakta med behandlingen tills instruktionen bekräftats eller ändrats.

4.2 Sekretess. FutureCalc säkerställer att personer som behandlar personuppgifter har åtagit sig sekretess eller omfattas av lagstadgad tystnadsplikt, och att åtkomst begränsas till vad som krävs för respektive arbetsuppgift.

4.3 Säkerhet. FutureCalc vidtar de tekniska och organisatoriska åtgärder som anges i Bilaga 2 och i Integritetspolicyn avsnitt 9, och får löpande ersätta dem med åtgärder som ger motsvarande eller bättre skydd.

4.4 Bistånd till Kunden. FutureCalc bistår Kunden, med hänsyn till behandlingens art och den information FutureCalc har tillgång till, med (a) att besvara begäranden från registrerade som avser Kundinnehåll, och (b) Kundens skyldigheter enligt artiklarna 32 till 36 (säkerhet, incidenthantering, konsekvensbedömning och förhandssamråd). Bistånd som går utöver de självbetjäningsfunktioner som finns i Tjänsten debiteras enligt FutureCalcs gällande timtaxa.

4.5 Begäranden direkt till FutureCalc. Om en registrerad vänder sig direkt till FutureCalc med en begäran som avser Kundinnehåll, vidarebefordrar FutureCalc begäran till Kunden utan oskäligt dröjsmål och besvarar den inte själv, annat än för att hänvisa till Kunden.

4.6 Personuppgiftsincidenter. FutureCalc underrättar Kunden utan oskäligt dröjsmål efter att FutureCalc bekräftat en personuppgiftsincident som rör Kundinnehåll. Underrättelsen sker till e-postadressen på Kundens administratörskonto och innehåller den information FutureCalc då har tillgång till enligt artikel 33.3; kompletterande information lämnas i takt med att den blir tillgänglig. FutureCalcs underrättelse utgör inte ett erkännande av fel eller ansvar.

4.7 Radering och återlämning. Vid avtalets upphörande får Kunden exportera Kundinnehåll under den frist som anges i Användarvillkoren punkt 14.3. Därefter raderar FutureCalc personuppgifter under punkt 1.1 ur produktionsmiljön, med undantag för (a) säkerhetskopior som raderas enligt ordinarie rotation (max 90 dagar), (b) uppgifter som måste bevaras enligt lag, och (c) pseudonymiserad utvecklingsdata enligt punkt 1.2 (b), som FutureCalc behandlar som personuppgiftsansvarig.

4.8 Register och information. FutureCalc för register över behandling enligt artikel 30.2 och ger Kunden tillgång till den information som krävs för att visa att skyldigheterna enligt artikel 28 fullgörs.

5. Underbiträden

5.1 Kunden ger FutureCalc ett allmänt förhandstillstånd att anlita underbiträden inom de kategorier som anges i Integritetspolicyn avsnitt 5. Den namngivna listan över aktuella underbiträden tillhandahålls Kunden på begäran via privacy@futurecalc.ai och finns tillgänglig i Tjänsten där sådan funktion erbjuds.

5.2 FutureCalc underrättar Kunden minst trettio (30) dagar innan ett nytt underbiträde ges åtkomst till personuppgifter under punkt 1.1. Kunden får inom den tiden invända skriftligen på sakliga dataskyddsgrunder. Om parterna inte når en lösning inom trettio (30) dagar från invändningen får Kunden säga upp abonnemanget till den dag underbiträdet tas i bruk, varvid oförbrukad förskottsbetald avgift återbetalas pro rata. Detta är Kundens enda påföljd vid invändning.

5.3 FutureCalc ingår skriftligt avtal med varje underbiträde som ålägger det dataskyddsskyldigheter som i sak motsvarar DPA:n. FutureCalc ansvarar gentemot Kunden för underbiträdets fullgörande av dessa skyldigheter, inom de ansvarsgränser som följer av punkt 8.

6. Överföring till tredjeland

6.1 Personuppgifter under punkt 1.1 lagras och bearbetas primärt inom EES. Om ett underbiträde behandlar personuppgifter utanför EES säkerställer FutureCalc att överföringen sker med stöd av ett giltigt överföringsverktyg enligt kapitel V i GDPR, i första hand EU-kommissionens standardavtalsklausuler (beslut 2021/914) eller ett beslut om adekvat skyddsnivå, kompletterat med de skyddsåtgärder som anges i Bilaga 2.

6.2 Kunden bemyndigar FutureCalc att för Kundens räkning ingå standardavtalsklausuler med underbiträden där så krävs.

7. Granskning

7.1 FutureCalc gör tillgängligt för Kunden den information som krävs för att visa att DPA:n följs, i första hand genom dokumentation, säkerhetsbeskrivningar, sammanfattningar av tredjepartsgranskningar och svar på skriftliga frågor.

7.2 Om sådan dokumentation inte rimligen räcker för att Kunden ska kunna uppfylla sina skyldigheter enligt GDPR, får Kunden eller en av Kunden anlitad oberoende revisor som accepterats av FutureCalc och som är bunden av sekretess genomföra en granskning på plats eller på distans, högst en (1) gång per tolvmånadersperiod, efter skriftlig begäran med minst trettio (30) dagars varsel, under kontorstid, på ett sätt som inte stör driften och utan åtkomst till andra kunders data eller till FutureCalcs affärshemligheter. Kunden bär sina egna kostnader och ersätter FutureCalcs skäliga kostnader för medverkan enligt gällande timtaxa.

7.3 Granskning som följer av en tillsynsmyndighets beslut sker på de villkor myndigheten anger.

8. Ansvar

8.1 Vardera partens ansvar enligt eller i samband med DPA:n omfattas av den ansvarsbegränsning som anges i Användarvillkoren punkt 9, som gäller för parternas samlade ansvar under Användarvillkoren och DPA:n tillsammans, inte för vart och ett för sig.

8.2 Kunden ska hålla FutureCalc skadeslöst för krav, sanktionsavgifter och kostnader som beror på att Kunden saknat rättslig grund för behandlingen, lämnat olagliga instruktioner, laddat upp fler personuppgifter än nödvändigt eller på annat sätt brutit mot DPA:n eller dataskyddslagstiftningen.

8.3 Inget i DPA:n begränsar en registrerads rättigheter eller det ansvar som enligt artikel 82 i GDPR inte får begränsas.

9. Avtalstid och ändringar

9.1 DPA:n gäller så länge FutureCalc behandlar personuppgifter under punkt 1.1 för Kundens räkning.

9.2 FutureCalc får uppdatera DPA:n på samma sätt och med samma varsel som Användarvillkoren, samt utan varsel när ändringen krävs av lag, tillsynsbeslut eller nya standardavtalsklausuler.

9.3 På DPA:n tillämpas svensk rätt och tvister avgörs enligt Användarvillkoren punkt 16.

Bilaga 1 – Beskrivning av behandlingen

Se punkt 2 ovan. Behandlingens plats: EES, med de undantag som följer av punkt 6. Behandlingsfrekvens: kontinuerlig under avtalstiden.

Bilaga 2 – Tekniska och organisatoriska åtgärder

FutureCalc upprätthåller minst följande åtgärder:

• Logisk dataisolering mellan kundföretag på databasnivå.
• Rollbaserad åtkomstkontroll enligt principen om minsta behörighet på applikations- och databasnivå.
• Lösenord lagrade enbart i hashad form; stöd för stark autentisering där Tjänsten erbjuder det.
• Kryptering av data vid överföring och vid lagring med moderna protokoll.
• Tidsbegränsade nedladdningslänkar för filer i lagring.
• Loggning av administratörsåtgärder och användaraktivitet; loggar bevaras enligt Integritetspolicyn avsnitt 7.
• Tvångsavslut av sessioner och kontoblockering vid säkerhetshändelser.
• Skydd mot automatiserade attacker och credential stuffing vid inloggning.
• Säkerhetskopiering med definierad återställningstid och återställningspunkt; regelbundna återställningstester.
• Pseudonymisering av utvecklingsdata och separat åtkomstkontroll för sådan data.
• Sekretessåtaganden och utbildning i dataskydd för all personal med åtkomst till personuppgifter.
• Dokumenterad incidenthanteringsprocess.
• Årlig översyn av åtkomster, underbiträden och säkerhetsåtgärder.

Bilaga 3 – Kategorier av underbiträden

Molninfrastruktur (databas, autentisering, lagring, hosting), beräkningsplattform, nätverks- och säkerhetstjänster, transaktionell e-post, utvecklings- och driftverktyg samt extern tolkningstjänst för enskilda tolkningssteg under "no training"-villkor. Regioner och överföringsgrund per kategori anges i Integritetspolicyn avsnitt 5. Namngiven lista tillhandahålls på begäran.

Kontakt i dataskyddsfrågor: privacy@futurecalc.ai