Version 1.0, fastställd 2026-10-29. Uppgifter markerade Verifieras fylls i innan hyresgästuppgifter behandlas i tjänsten.
Personuppgiftsbiträdesavtal
Bilaga 1 till pilotavtalet och till Zeils användarvillkor. Upprättat enligt artikel 28 i dataskyddsförordningen (GDPR).
1. Parter och roller
- Personuppgiftsansvarig: Kunden enligt huvudavtalet (fastighetsägaren).
- Personuppgiftsbiträde: Teslab AB, org.nr 559586-7838, Esplanaden 4, 577 71 Virserum (Zeil).
Zeil behandlar personuppgifter för Kundens räkning endast enligt Kundens dokumenterade instruktioner. Instruktionerna består av detta avtal med Bilaga A och av de inställningar och val Kunden gör i Tjänsten.
2. Behandlingens föremål, art, ändamål och varaktighet (art. 28.3 första stycket)
| Del | Beskrivning |
|---|---|
| Föremål | Personuppgifter som Kunden lägger in i eller som skapas i Tjänsten vid hyresadministration |
| Ändamål | Hyresadministration: register över fastigheter och hyresgäster, hyresavtal och signering, avisering, betalningsuppföljning, påminnelser, felanmälan, dokumentarkiv, bokföringsunderlag och hyresgästportal |
| Behandlingens art | Insamling via Kunden, lagring, strukturering, sammanställning, visning, överföring till de mottagare Kunden väljer (till exempel Kivra, e-post, Fortnox), säkerhetskopiering, export och radering |
| Kategorier av registrerade | Hyresgäster och deras kontaktpersoner, medboende som anges i avtal, borgensmän, Kundens användare (förvaltare, ekonomi, tekniker), leverantörers kontaktpersoner |
| Kategorier av personuppgifter | Namn, personnummer (lagras krypterat), adress, e-post, telefon, avtals- och hyresuppgifter, avier och betalningar (belopp, OCR, datum), påminnelser, ärenden och felanmälningar, dokument som Kunden laddar upp, inloggnings- och händelseloggar |
| Känsliga uppgifter (art. 9) och uppgifter om lagöverträdelser (art. 10) | Ska inte behandlas i Tjänsten. Kunden ansvarar för att inte lägga in sådana uppgifter i fritextfält eller dokument |
| Varaktighet | Så länge huvudavtalet gäller, därefter enligt punkt 9 |
3. Zeils skyldigheter enligt artikel 28.3 a–h
| Art. 28.3 | Zeils skyldighet | Regleras i |
|---|---|---|
| a | Behandla personuppgifter endast enligt Kundens dokumenterade instruktioner, även när det gäller överföring till tredjeland, om inte unionsrätt eller svensk rätt kräver annat. Zeil informerar då Kunden före behandlingen, om lagen inte förbjuder det. Zeil informerar Kunden omedelbart om en instruktion enligt Zeils bedömning strider mot dataskyddsreglerna | Punkt 1, 6, Bilaga A |
| b | Se till att personer med behörighet att behandla uppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt | Punkt 3.2 |
| c | Vidta alla åtgärder som krävs enligt artikel 32 (säkerhet) | Punkt 4 |
| d | Följa villkoren för att anlita underbiträden (artikel 28.2 och 28.4) | Punkt 5 |
| e | Med hänsyn till behandlingens art bistå Kunden genom lämpliga tekniska och organisatoriska åtgärder så att Kunden kan besvara begäranden om de registrerades rättigheter (artikel 12–22) | Punkt 3.3 |
| f | Bistå Kunden med skyldigheterna i artikel 32–36 (säkerhet, incidenter, konsekvensbedömning, förhandssamråd), med hänsyn till behandlingens art och den information Zeil har | Punkt 4, 7, 3.4 |
| g | Efter avtalets slut, efter Kundens val, återlämna och radera alla personuppgifter och radera befintliga kopior, om inte lagring krävs enligt lag | Punkt 9 |
| h | Ge Kunden all information som krävs för att visa att skyldigheterna i artikel 28 har fullgjorts, och möjliggöra och bidra till granskningar, inklusive inspektioner | Punkt 8 |
3.2 Konfidentialitet. Alla som arbetar för Zeil och har åtkomst till personuppgifterna har skriftligen åtagit sig tystnadsplikt. Åtagandet gäller även efter att anställningen eller uppdraget upphört. Åtkomst ges endast till de personer som behöver den.
3.3 De registrerades rättigheter. Tjänsten har funktioner för att visa, rätta, exportera (maskinläsbart format) och radera uppgifter om en registrerad. Om en registrerad vänder sig direkt till Zeil hänvisar Zeil den registrerade till Kunden och informerar Kunden utan onödigt dröjsmål, senast inom fem (5) arbetsdagar. Zeil besvarar inte själv begäran.
3.4 Konsekvensbedömning och förhandssamråd. Zeil lämnar på begäran den beskrivning av Tjänsten, säkerhetsåtgärderna och underbiträdena som Kunden behöver för en konsekvensbedömning (artikel 35) eller ett förhandssamråd med IMY (artikel 36).
3.5 Zeil ska föra ett register över behandlingar som utförs för Kundens räkning enligt artikel 30.2.
4. Säkerhetsåtgärder (artikel 32)
| Område | Åtgärd |
|---|---|
| Lagring | Primär lagring i AWS region eu-north-1 (Stockholm), Sverige. Säkerhetskopior i en annan region inom EU |
| Separering | Varje ägarkonto är logiskt åtskilt: behörighetskontroll i API (nekar som standard), radnivåsäkerhet (Row Level Security) i databasen och filer under eget prefix med tidsbegränsade länkar. Automatiska isoleringstester körs vid varje kodändring |
| Kryptering | Kryptering under överföring (TLS 1.2 eller senare) och i vila (AWS KMS med nycklar som Zeil förvaltar). Personnummer lagras hashat och krypterat |
| Inloggning | BankID för ägare och hyresgäster. Sessioner upphör efter 12 timmars inaktivitet. Zeils administrativa åtkomst till AWS kräver tvåfaktorsautentisering |
| Loggning | Spårbarhetslogg över känsliga händelser som inte kan ändras, synlig för Kunden, sparas 24 månader |
| Support | Zeils personal får tillgång till Kundens data endast genom en tidsbegränsad supportsession som Kunden godkänt och som loggas |
| Säkerhetskopiering | Återställning till valfri tidpunkt 35 dagar bakåt; återställningstest varje kvartal |
| Leverantörer | Underbiträden granskas före anlitande och har personuppgiftsbiträdesavtal |
| Översyn | Säkerhetsåtgärderna ses över minst en gång per år och vid väsentliga ändringar i Tjänsten |
5. Underbiträden (artikel 28.2 och 28.4)
5.1 Kunden ger Zeil ett allmänt skriftligt tillstånd att anlita de underbiträden som anges i punkt 5.4 och att anlita nya underbiträden enligt villkoren nedan.
5.2 Zeil informerar Kunden minst trettio (30) dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Informationen anger underbiträdets namn, land, ändamål och överföringsgrund. Kunden kan invända av sakliga skäl inom denna tid.
5.3 Riskökande ändringar. Om ändringen innebär en ny överföring till tredjeland, att behandlingen flyttas till ett annat land eller annars en ökad risk för de registrerade, ska Zeil i förväg beskriva ändringen och dess risker. Kunden har då rätt att säga upp avtalet utan kostnad med verkan från ändringen. Förskottsbetalda avgifter för tid efter uppsägningen betalas tillbaka.
5.4 Zeil ingår skriftliga avtal med underbiträden med samma dataskyddsskyldigheter som i detta avtal och ansvarar fullt ut gentemot Kunden för underbiträdenas behandling.
5.5 Underbiträden vid avtalets ingående:
| Underbiträde | Säte / koncern | Tjänst och ändamål | Plats för lagring | Möjlig åtkomst från tredjeland | Överföringsgrund | Status |
|---|---|---|---|---|---|---|
| Amazon Web Services EMEA SARL | Luxemburg / Amazon.com, Inc. (USA) | Drift, databas, fillagring, säkerhetskopior | Sverige (eu-north-1), säkerhetskopior inom EU | Ja, se punkt 6 | EU–US Data Privacy Framework samt standardavtalsklausuler i AWS biträdesavtal (verifieras) | Beslutat |
| Amazon Web Services EMEA SARL – Amazon SES | Som ovan | Utskick av avier, påminnelser och notiser via e-post | Sverige (eu-north-1) | Ja, se punkt 6 | Som ovan | Beslutat (beslut 16) |
| Idura ApS (tidigare Criipto) | Danmark | BankID-inloggning och signering | EU (verifieras i Iduras biträdesavtal) | Verifieras | Verifieras | Testkonto finns |
| Kivra Sverige AB | Sverige | Digital post för avier och påminnelser | Sverige/EU (verifieras) | Verifieras | Verifieras | Avtal pågår |
| Fortnox AB | Sverige | Endast när Kunden själv kopplar sitt Fortnox-konto. Fortnox är då Kundens eget biträde, inte Zeils underbiträde | Sverige | – | – | Kundens val |
5.6 Aktuell underbiträdeslista publiceras på www.zeil.se/sakerhet/ och i Tjänsten.
6. Överföring till tredjeland (kapitel V GDPR)
6.1 Utgångspunkt. Personuppgifterna lagras primärt i AWS datacenter i Stockholm. Zeil överför inte personuppgifter till land utanför EU/EES utan stöd i Kundens instruktioner (Bilaga A) och utan att en skyddsmekanism enligt kapitel V används.
6.2 AWS. AWS ingår i en amerikansk koncern (Amazon.com, Inc.). Även om uppgifterna lagras i Sverige kan åtkomst från USA förekomma, till exempel vid AWS teknisk support eller om en amerikansk myndighet begär ut uppgifter med stöd av amerikansk lag. Sådan åtkomst kan utgöra en överföring till tredjeland.
| Del | Beskrivning |
|---|---|
| Mottagare | Amazon Web Services EMEA SARL och, vid åtkomst från USA, Amazon Web Services, Inc. och dess underbiträden |
| Land | USA (vid eventuell åtkomst) |
| Ändamål | Drift, underhåll och teknisk support av den infrastruktur som Tjänsten körs på |
| Överföringsgrund | Kommissionens beslut om adekvat skyddsnivå för EU–US Data Privacy Framework (2023), i den mån mottagaren är certifierad. Därutöver standardavtalsklausuler (kommissionens beslut 2021/914) i AWS biträdesavtal (verifieras mot gällande AWS DPA och DPF-listan) |
| Kompletterande åtgärder | Kryptering i vila med nycklar i AWS KMS som Zeil förvaltar; kryptering under överföring; personnummer krypterade på applikationsnivå; Zeil öppnar inga supportärenden hos AWS som innehåller personuppgifter; AWS åtagande att bestrida och informera om myndighetsbegäranden (enligt AWS DPA) |
| Riskbedömning | Zeils bedömning är att risken för de registrerade är låg, eftersom uppgifterna lagras i Sverige, är krypterade och AWS normalt inte har åtkomst till innehållet. En dokumenterad överföringsriskbedömning (TIA) finns i 05_Juridik_och_GDPR/06_Leverantörsavtal/Zeil_Overforingsbedomning_AWS.md (att upprätta) |
6.3 Om grunden för en överföring upphör att gälla, till exempel om Data Privacy Framework ogiltigförklaras, informerar Zeil Kunden utan onödigt dröjsmål och vidtar de åtgärder som krävs, till exempel att förlita sig på standardavtalsklausuler med kompletterande åtgärder. Punkt 5.3 gäller då.
7. Personuppgiftsincidenter (artikel 33–34)
7.1 Zeil ska underrätta Kunden utan onödigt dröjsmål och senast inom 36 timmar efter att Zeil fått kännedom om en personuppgiftsincident som rör Kundens uppgifter.
7.2 Underrättelsen skickas till Kundens kontaktperson via e-post och som meddelande i Tjänsten och innehåller, i den mån uppgifterna är kända:
- a) vad som hänt och när, och när Zeil upptäckte det,
- b) kategorier och ungefärligt antal registrerade och personuppgiftsposter,
- c) sannolika konsekvenser för de registrerade,
- d) vilka åtgärder Zeil vidtagit eller föreslår för att begränsa skadan,
- e) kontaktperson hos Zeil.
Information som inte är känd vid första underrättelsen lämnas så snart den finns, i etapper.
7.3 Stöd till Kunden. Zeil bistår Kunden med:
- a) underlag för att bedöma om incidenten ska anmälas till Integritetsskyddsmyndigheten (IMY) inom 72 timmar från det att Kunden fått kännedom om den,
- b) ett förifyllt underlag för IMY:s anmälningsformulär,
- c) underlag för information till de registrerade när incidenten sannolikt leder till hög risk (artikel 34).
7.4 Zeil dokumenterar alla incidenter, inklusive fakta, effekter och vidtagna åtgärder, och lämnar dokumentationen till Kunden på begäran.
7.5 Zeil anmäler inte själv incidenten till IMY eller informerar de registrerade för Kundens räkning, om inte Kunden ger en sådan instruktion.
8. Information och granskning (artikel 28.3 h)
8.1 Zeil lämnar på begäran den information och dokumentation som Kunden behöver för att visa att avtalet följs, till exempel beskrivning av säkerhetsåtgärder, underbiträdesavtal (i relevanta delar) och resultat av säkerhetstester.
8.2 Kunden, eller en oberoende granskare som Kunden utser och som har tystnadsplikt, har rätt att granska att avtalet följs. Granskning på plats sker efter minst trettio (30) dagars varsel, under kontorstid och på Kundens bekostnad, och får inte äventyra andra kunders data.
9. Upphörande: återlämnande och radering (artikel 28.3 g)
9.1 Vid huvudavtalets upphörande kan Kunden exportera sina data i maskinläsbart format under trettio (30) dagar.
9.2 Därefter raderar Zeil Kundens personuppgifter inom ytterligare trettio (30) dagar och bekräftar raderingen skriftligen på begäran. Uppgifter i säkerhetskopior raderas när kopiorna roteras ut, senast efter 35 dagar.
9.3 Uppgifter som Zeil enligt lag måste spara, till exempel räkenskapsinformation om Zeils egen fakturering till Kunden, omfattas inte.
10. Ansvar
Parternas ansvar gentemot registrerade och tillsynsmyndighet följer artikel 82 GDPR. I förhållande till varandra gäller ansvarsbegränsningen i huvudavtalet, utom för sanktionsavgifter och skadestånd som beror på att en part brutit mot detta avtal eller mot GDPR.
11. Giltighet och turordning
Avtalet gäller så länge Zeil behandlar personuppgifter för Kundens räkning. Vid motstridighet har detta avtal företräde framför huvudavtalet i frågor om personuppgifter.
12. Godkännande och kopia
12.1 Avtalet godkänns aktivt innan Zeil behandlar några personuppgifter för Kundens räkning:
- för pilotkunder genom signering med BankID tillsammans med pilotavtalet,
- efter lansering genom signering med BankID eller ett aktivt klick på en knapp som tydligt anger att Kunden godkänner personuppgiftsbiträdesavtalet. Förifyllda kryssrutor används inte.
12.2 Tjänsten låter inte Kunden lägga in uppgifter om hyresgäster innan avtalet har godkänts.
12.3 Kunden får en kopia av det godkända avtalet som PDF via e-post. Avtalet finns också tillgängligt i Tjänsten och, för varje version, på en beständig länk.
12.4 Ändringar i avtalet meddelas minst trettio (30) dagar i förväg och kräver nytt aktivt godkännande. Punkt 5.3 gäller för riskökande ändringar.
| Teslab AB (personuppgiftsbiträde) | Kunden (personuppgiftsansvarig) |
|---|---|
| Ort och datum: | Ort och datum: |
| ______________________ | ______________________ |
| Dzafo Pasovic | [Namn] |
Bilaga A – Kundens instruktioner
- Behandla personuppgifterna för de ändamål och på det sätt som anges i punkt 2, och endast i den omfattning som behövs för att tillhandahålla Tjänsten.
- Skicka avier, påminnelser och meddelanden endast via de kanaler och till de mottagare som Kunden valt och godkänt i Tjänsten.
- Överför uppgifter till Kundens egna system (till exempel Fortnox) endast när Kunden själv har kopplat dem.
- Lagra uppgifterna primärt i Sverige. Överföring till tredjeland får endast ske enligt punkt 6.
- Ge Zeils personal åtkomst endast genom en supportsession som Kunden godkänt, eller när det krävs för att åtgärda en säkerhetsincident eller ett driftfel.
- Radera uppgifter när Kunden raderar dem i Tjänsten (med undantag för säkerhetskopior enligt punkt 9.2) och vid avtalets upphörande enligt punkt 9.
- Använd inte uppgifterna för egna ändamål, för marknadsföring eller för att träna AI-modeller.
Att avgöra innan avtalet används
- Advokat slutgranskar version 0.2 – klar 2026-10-29 (beslut 22)
- Hämta och spara biträdesavtal från AWS, Idura och Kivra i
05_Juridik_och_GDPR/06_Leverantörsavtal/och fyll i det som är markerat verifieras i punkt 5.5 och 6.2 - Kontrollera att Amazon.com, Inc. (inklusive AWS) är aktivt certifierat på listan för EU–US Data Privacy Framework (dataprivacyframework.gov)
- Upprätta överföringsriskbedömning (TIA) för AWS:
05_Juridik_och_GDPR/06_Leverantörsavtal/Zeil_Overforingsbedomning_AWS.md - Upprätta Zeils register enligt artikel 30.2
- E-postleverantör: Amazon SES i Stockholm (beslut 16)
- Publicera underbiträdeslistan på zeil.se/sakerhet
- Bygg spärr i Tjänsten: inga hyresgästuppgifter före godkänt PUB-avtal (punkt 12.2) – lägg in i backloggen
- Mall för Kundens information till hyresgäster (Kunden är personuppgiftsansvarig)