Personuppgiftsbiträdesavtal

Personuppgiftsansvarig är ni — det företag som har kontot. Ni bestämmer vad som läggs in i tjänsten och varför.

Personuppgiftsbiträde är Fyll i: registrerat företagsnamn, org.nr Fyll i: organisationsnummer, Fyll i: postadress, Sverige.

Avtalet gäller så länge ni har ett konto hos oss. Uppgifter om er som kund behandlar vi däremot i eget namn — det står i integritetspolicyn.

Ändamål: att leverera Mängda till er — lagra och visa era ritningar och projekt, räkna på dem, ta fram mängdförteckningar och offerter, och tolka en ritningssida med AI när någon hos er begär det.

Varaktighet: så länge ni har ett konto.

Typ av uppgifter: namn och e-postadresser för era användare, samt de personuppgifter som kan förekomma i material ni själva laddar upp — exempelvis namn på en ritnings namnruta, en beställare i ett projektnamn eller en kontaktperson i en offert. Vad som finns där bestämmer ni.

Kategorier av registrerade: era anställda och andra användare, era kunder och beställare, och personer som förekommer i era handlingar.

Mängda är inte byggt för känsliga personuppgifter enligt artikel 9, personnummer i fritext eller uppgifter om lagöverträdelser. Lägg inte in sådana uppgifter i tjänsten.

Vi behandlar uppgifterna bara enligt era dokumenterade instruktioner. Er användning av tjänsten, tillsammans med detta avtal och användarvillkoren, utgör instruktionen. Ytterligare instruktioner lämnas skriftligen till hej@mangda.se.

Blir vi skyldiga enligt EU-rätt eller svensk rätt att behandla uppgifterna på annat sätt informerar vi er innan, om inte lagen förbjuder det.

Anser vi att en instruktion strider mot dataskyddsreglerna säger vi till.

De hos oss som får tillgång till uppgifterna är bundna av tystnadsplikt och får bara den åtkomst arbetsuppgiften kräver.

Vår personal kommer inte åt innehållet i era ritningar, mängdningar eller prislistor. Administrationsvyn visar uppgifter om abonnemang, licenser och betalningar — inte kundinnehåll — och varje åtgärd där loggas med vem som gjorde den och när.

Vi vidtar de tekniska och organisatoriska åtgärder artikel 32 kräver. I dag innebär det bland annat:

• Kryptering vid överföring (TLS) och kryptering av lagrade uppgifter hos våra leverantörer.
• Åtkomstkontroll på radnivå i databasen, så en inloggning bara når den egna organisationens uppgifter.
• Tvåfaktorsautentisering som krav för vår egen personal i administrationsvyn.
• Loggning av administrativa åtgärder, i en logg som inte går att ändra i efterhand.
• Regelbunden säkerhetskopiering hos vår databasleverantör.

Ni godkänner att vi anlitar underbiträden. Vi har avtal med var och en som ålägger dem minst samma skyldigheter som vi har mot er, och vi ansvarar för deras behandling som för vår egen.

Byter vi ut eller lägger till ett underbiträde meddelar vi det minst 30 dagar i förväg till kontots e-postadress. Har ni sakliga invändningar hör ni av er inom den tiden; kommer vi inte överens får ni säga upp abonnemanget utan kostnad för återstående period.

Era uppgifter lagras i Stockholm. Tre underbiträden behandlar uppgifter i USA — Stripe, Anthropic och Resend — och det sker med stöd av EU-kommissionens standardavtalsklausuler och, där leverantören är ansluten, EU–US Data Privacy Framework.

Överföringen till Anthropic sker bara när någon hos er själv begär en AI-tolkning av en ritning.

Vi hjälper er, i den mån det rimligen går, med att uppfylla era skyldigheter: att svara på begäranden från registrerade, att göra konsekvensbedömningar, och vid förhandssamråd med Integritetsskyddsmyndigheten.

Merparten sköter ni själva i tjänsten — ni kommer åt, rättar, exporterar och raderar era uppgifter direkt. Behöver ni hjälp utöver det hör ni av er.

Får vi kännedom om en personuppgiftsincident som rör era uppgifter underrättar vi er utan onödigt dröjsmål, och senast inom 48 timmar. Vi lämnar det vi vet om vad som hänt, vilka uppgifter som berörs, vilka konsekvenser vi bedömer att det får och vad vi gör åt det.

Anmälan till Integritetsskyddsmyndigheten och information till berörda personer är ert ansvar som personuppgiftsansvarig. Vi hjälper er med underlaget.

När avtalet upphör raderar vi uppgifterna. Ni kan när som helst exportera era mängdförteckningar och offerter ur tjänsten, och bör göra det innan ni avslutar kontot.

Vi behåller det som lag kräver att vi behåller — i praktiken underlag till bokföringen, som inte innehåller ert projektinnehåll.

Vi ger er den information ni behöver för att visa att skyldigheterna i artikel 28 följs, och möjliggör granskning som ni utför själva eller genom en oberoende granskare som vi kan godta.

Granskning aviseras minst 30 dagar i förväg, sker under arbetstid, får inte störa driften och får ske högst en gång per år — utöver efter en inträffad incident. Ni står för kostnaden.

Ändras det här avtalet meddelar vi det minst 30 dagar i förväg. Vid motstridighet gäller det här avtalet före användarvillkoren i frågor om behandling av personuppgifter.