Personuppgiftsbiträdesavtal

Bilaga till Budgivs allmänna villkor, enligt artikel 28 i dataskyddsförordningen. Version 1.0, gäller från 2026-08-20. Avtalet blir gällande när kunden beställer en tjänst som innebär att Budgiv behandlar personuppgifter för kundens räkning.

Utkast. Texten är framtagen utifrån hur verksamheten är tänkt att fungera och ska granskas av jurist innan lansering. Fält markerade med gul text måste fastställas.

1. Parter och roller

Kunden är personuppgiftsansvarig. Budgiv AB, org.nr 559XXX-XXXX, är personuppgiftsbiträde.

2. Föremål, varaktighet, art och ändamål

Behandlingen sker för att publicera kundens objekt i säljkanaler, samla in uppgifter om exponering och bud, och utfärda en Realisationsrapport. Behandlingen pågår så länge uppdraget löper och därefter under den tid som anges i punkt 8.

3. Kategorier av registrerade och uppgifter

Kategori av registrerade	Typer av uppgifter
Kundens företrädare	Namn, roll, e-post, telefon
Personer som förekommer i inlämnat material	Uppgifter som oavsiktligt förekommer i beskrivningar eller på bilder
Budgivare hos tredjepartskanal	Pseudonymiserad identifierare, budbelopp, tidpunkt

Inga särskilda kategorier av personuppgifter enligt artikel 9 får lämnas in. Upptäcker Budgiv sådana uppgifter i inlämnat material raderas de och kunden underrättas.

4. Instruktioner

Budgiv behandlar uppgifter endast enligt kundens dokumenterade instruktioner. Beställningen av tjänsten och dessa villkor utgör kundens fullständiga instruktion. Anser Budgiv att en instruktion strider mot dataskyddsregler underrättas kunden utan dröjsmål.

5. Konfidentialitet

Personal med åtkomst omfattas av tystnadsplikt. Åtkomst ges endast i den utsträckning som krävs för att fullgöra uppdraget.

6. Säkerhetsåtgärder enligt artikel 32

Kryptering under överföring och i vila
Personuppgiftsminimering redan vid inläsning — uppgifter som inte behövs sparas aldrig
Pseudonymisering av budgivare med per-ärende-salt, så att en budgivare inte kan spåras mellan olika uppdrag
Åtkomstkontroll, loggning och separat nyckelhantering
Regelbunden återställningstest av säkerhetskopior

7. Underbiträden

Kunden ger härmed ett allmänt förhandsgodkännande till underbiträden. Budgiv underrättar kunden minst 30 dagar innan ett nytt underbiträde anlitas, och kunden har rätt att invända. Aktuell förteckning:

Underbiträde	Ändamål	Plats	Överföringsgrund
Cloudflare, Inc.	Drift, lagring och databas	EU (WEUR), USA vid support	SCC
Resend, Inc.	Utskick av e-post	EU/USA	SCC
Stripe Payments Europe, Ltd.	Betalningar	EU	—
Plausible Insights OÜ	Webbstatistik utan kakor	EU (Estland)	—

8. Radering och återlämnande

Vid uppdragets slut raderar Budgiv personuppgifter som behandlas för kundens räkning, eller återlämnar dem på kundens begäran.

Undantag: Realisationsrapporten och dess hashkedja raderas aldrig. Detta är möjligt eftersom rapporten inte innehåller några personuppgifter — den är konstruerad så från början. Kedjan måste bevaras för att rapportens äkthet ska kunna styrkas i framtiden.

9. Bistånd till kunden

Budgiv bistår kunden vid begäran från registrerade, vid konsekvensbedömningar och vid personuppgiftsincidenter. Incident anmäls till kunden utan onödigt dröjsmål och senast inom 48 timmar från upptäckt.

10. Granskning

Kunden har rätt att en gång per år, efter skriftligt förvarnande, granska att Budgiv följer detta avtal. Granskningen får inte störa driften och omfattas av sekretess.

11. Tredjelandsöverföring

Behandling sker inom EU/EES. Sker överföring till tredje land grundas den på standardavtalsklausuler eller annan giltig överföringsgrund, med kompletterande skyddsåtgärder när det behövs.