Personuppgiftsbiträdesavtal

Version: 2026-10-11

1. Parter och bakgrund

Detta avtal gäller mellan den förening eller organisation som använder Asamla ("Föreningen") och Asamla AB, org.nr 559564-0920 ("Asamla"). Föreningen är personuppgiftsansvarig för de personuppgifter den lägger in och hanterar i Asamla, och Asamla behandlar dem som Föreningens personuppgiftsbiträde. Avtalet kompletterar användarvillkoren och gäller så länge Föreningen använder Asamla, och därefter så länge Asamla behandlar Föreningens uppgifter enligt avsnitt 11.

2. Behandlingen

• Ändamål: att tillhandahålla Asamla till Föreningen: medlemsregister, möten och protokoll, dokument, kalender, bokföring, fakturering, lön, föreningens e-post, betalningar, handlingar till banken och AI-funktionerna.
• Registrerade: Föreningens medlemmar, styrelse och andra förtroendevalda, anställda, mötesdeltagare, kunder och leverantörer, och de som skickar e-post till eller får e-post från Föreningen.
• Personuppgifter: namn och kontaktuppgifter, personnummer, uppgifter om medlemskap och roller, mötesanteckningar och protokoll, dokument, bokföring och underlag, lön och skatteuppgifter, e-post och bilagor. Är Föreningen till exempel religiös, politisk eller facklig kan själva medlemskapet avslöja känsliga uppgifter (art. 9 GDPR).
• Varaktighet: så länge Föreningen använder Asamla, med de gallringstider som anges i vår integritetspolicy.

3. Instruktioner

Asamla behandlar personuppgifterna endast enligt Föreningens dokumenterade instruktioner. Instruktionerna är detta avtal, användarvillkoren och de val Föreningen gör i tjänsten, till exempel vilka funktioner som är påslagna, om AI används och vem som har vilken roll. Anser Asamla att en instruktion strider mot dataskyddsreglerna meddelar Asamla Föreningen det. Asamla behandlar inte uppgifterna för egna ändamål.

4. Sekretess

De hos Asamla som behandlar personuppgifterna har tystnadsplikt och får åtkomst bara i den utsträckning arbetet kräver, till exempel för att rätta ett fel som Föreningen anmält.

5. Säkerhet

Asamla vidtar tekniska och organisatoriska åtgärder enligt art. 32 GDPR, bland annat:

• Databasen, filerna och deras säkerhetskopior finns i Stockholm. Serverfunktionerna körs i Stockholm.
• Krypterade säkerhetskopior tas varje natt: databasens hos en annan leverantör än databasen, och filernas hos en annan leverantör än filerna.
• Kryptering vid överföring och i vila.
• Behörighet per förening och roll: en användare ser bara det dess roll i Föreningen ger tillgång till.
• Läsning och ändring av personnummer och andra känsliga fält loggas.
• Bokföringens behandlingshistorik är hashkedjad och går inte att ändra i efterhand, och varje underlag sparas med en kontrollsumma (SHA-256).
• Innan text skickas till AI-leverantörer ersätts medlemmars fullständiga namn med platshållare, och Föreningen kan stänga av AI helt.
• Uppgifter gallras enligt fasta tider.

6. Underbiträden

Föreningen ger Asamla ett allmänt förhandstillstånd att anlita de underbiträden som finns på sidan Underbiträden. Asamla meddelar Föreningens administratörer minst 30 dagar innan ett nytt underbiträde anlitas. Föreningen kan invända, och kan i så fall säga upp tjänsten innan ändringen börjar gälla. Asamla ålägger varje underbiträde samma skyldigheter som i detta avtal och ansvarar mot Föreningen för underbiträdets behandling. Gällande lista:

7. Överföring utanför EU/EES

Överföring till ett land utanför EU/EES sker bara med stöd av ett beslut om adekvat skyddsnivå, som EU-US Data Privacy Framework, eller EU-kommissionens standardavtalsklausuler.

8. Bistånd till Föreningen

Asamla hjälper Föreningen att besvara de registrerades begäranden, bland annat genom att medlemmar kan ladda ner sina uppgifter och radera sitt konto, och genom att Föreningens administratörer kan avidentifiera en medlem. Asamla hjälper också Föreningen med säkerhet, konsekvensbedömningar och förhandssamråd enligt art. 32–36 GDPR, i den mån det rör Asamla.

9. Personuppgiftsincidenter

Asamla underrättar Föreningen utan onödigt dröjsmål, och senast 48 timmar efter att Asamla fått kännedom om en personuppgiftsincident som rör Föreningens uppgifter. Underrättelsen beskriver vad som hänt, vilka uppgifter och registrerade som berörs, troliga följder och vad Asamla gör åt det, så att Föreningen kan anmäla incidenten till Integritetsskyddsmyndigheten inom 72 timmar.

10. Granskning

Asamla ger Föreningen den information som behövs för att visa att detta avtal följs. Föreningen kan, efter 30 dagars skriftligt varsel och på egen bekostnad, låta granska behandlingen, eller i första hand ta del av Asamlas dokumentation.

11. När avtalet upphör

När Föreningen slutar använda Asamla kan Föreningen inom 30 dagar ladda ner sina uppgifter, bland annat bokföringen som SIE4 med underlag och behandlingshistorik. Därefter raderar Asamla Föreningens personuppgifter, med ett undantag: räkenskapsinformation sparas skrivskyddad för Föreningens räkning till och med lagringstidens slut enligt bokföringslagen (7 kap.), och raderas sedan. Föreningen kan under den tiden begära ut den.

12. Ansvar och tillämplig lag

Ansvarsbegränsningen i användarvillkoren gäller även detta avtal. Avtalet följer svensk lag.

Kontakt

Frågor om avtalet: hej@asamla.se.