Biträdesavtal för dina projekt.

1. Roller

Lagrar du uppgifter om andra personer i dina projekt, till exempel dina användare, är du personuppgiftsansvarig och Beornwic AB (organisationsnummer 559602-9453, Sverige) ditt personuppgiftsbiträde. Det här avtalet är vårt biträdesavtal enligt artikel 28 i dataskyddsförordningen (GDPR). Det är en del av villkoren och gäller så länge vi driftar projekt åt dig.

Du ansvarar för att du får behandla uppgifterna, att dina användare får den information de har rätt till, och att du kan svara dem när de vill se, rätta eller radera sina uppgifter. Vi ansvarar för driften, enligt punkterna nedan.

2. Vad vi gör med dina uppgifter

• Vi behandlar uppgifterna i dina projekt bara för att driva, säkra och återställa projektet, och bara enligt dina instruktioner. Villkoren, det här avtalet och hur du använder tjänsten utgör instruktionerna. Vill du ge andra instruktioner skriver du till oss.
• Vi tittar inte i ditt projekt utom när du bett om hjälp i ett supportärende, eller när lag eller myndighetsbeslut kräver det. Då gör vi så lite som möjligt och säger till dig, om vi får.
• Tror vi att en instruktion strider mot GDPR säger vi det innan vi följer den.
• Uppgifterna lagras på våra egna servrar i Sverige och lämnar inte EU/EES genom oss, utom de delar som passerar underbiträdena i bilaga 3.

3. Säkerhet och vilka som rör dem

• Vi skyddar uppgifterna med åtgärderna i bilaga 2. De är anpassade till att projekten kan innehålla känsliga uppgifter och uppgifter om barn, utan att vi vet vilka projekt det gäller. Lagrar du sådana uppgifter ber vi dig säga till, så att vi kan ta hänsyn till det.
• De som har åtkomst till driften har tystnadsplikt, och åtkomsten är personlig och loggad.
• Vi anlitar bara de underbiträden som står i bilaga 3. De är bundna av samma skydd som vi lovar dig. Vill vi anlita ett nytt meddelar vi dig via e-post minst 30 dagar i förväg. Invänder du, och vi inte kan lösa det, får du säga upp avtalet och ta med dig allt (villkoren avsnitt 5).

4. Hjälp, incidenter och insyn

• Vi hjälper dig svara dina användare när de använder sina rättigheter, med det som bara vi kan göra. Det mesta gör du själv i projektets adminpanel eller med GDPR-byggblocket.
• Behöver du en konsekvensbedömning eller ett förhandssamråd med IMY lämnar vi den information om driften som du behöver.
• Upptäcker vi en personuppgiftsincident som berör ditt projekt meddelar vi dig via e-post utan onödigt dröjsmål och senast inom 24 timmar från att vi konstaterat den, med det vi vet då, och kompletterar efter hand. Anmälan till IMY är din, om inte incidenten rör vårt eget kontoregister.
• Vi lämnar den dokumentation du behöver för att visa att det här avtalet följs. Vill du granska mer än dokumentationen kommer vi överens om hur, så att det inte stör andra kunders drift, och du står för kostnaden om det inte visar sig finnas brister.

5. När avtalet upphör

När ditt projekt eller konto avslutas får du ut allt genom exporten (villkoren avsnitt 5). Datan ligger kvar i 30 dagar så att du hinner, sedan raderas projektets lagringsvolym permanent med alla ögonblicksbilder (villkoren avsnitt 13). Vill du ha en bekräftelse på raderingen mejlar vi en, med datum.

6. Ändringar och versioner

Ändras det här avtalet meddelar vi dig via e-post minst 30 dagar innan ändringen gäller, och du godkänner den nya versionen i kontrollpanelen. Vilken version du godkänt, och när, syns under Konto. Gällande version och datum står alltid överst på den här sidan. Svensk lag gäller; den svenska texten har företräde framför den engelska.

Bilaga 1 · Behandlingen

Bilaga 2 · Säkerhetsåtgärder

Det här är vad som finns, inte vad som planeras. Ändras det uppdateras bilagan.

• Kryptering i vila: varje projekts lagringsvolym är krypterad med AES-256. Nyckeln lagras inte på diskarna. Krypteringen skyddar mot stulna eller kasserade diskar, inte mot oss som driftar servern.
• Kryptering under överföring: HTTPS till projekten via Cloudflare, krypterad tunnel mellan Cloudflare och vår server, krypterad tunnel ut från servern till internet.
• Isolering: varje projekt kör som en egen systemanvändare med egna tak för processor, minne och processer, och kan inte nå andra projekt eller vårt interna nät.
• Åtkomst: servern nås bara inifrån vårt krypterade nät, med personlig SSH-nyckel. Åtkomst loggas. Dina admin-lösenord känner vi inte till.
• Ögonblicksbilder: före varje deploy och byggblocksändring, med automatisk återställning om projektet inte svarar efteråt. Ingen löpande backup ännu, se villkoren avsnitt 7.
• Radering: 30 dagar efter att ett projekt avslutats raderas volymen permanent. Raderingen kräver ja från både kontrollsystemet och servern.
• Uppdateringar: operativsystemets säkerhetsuppdateringar installeras automatiskt. PocketBase-versionen i drift är den vi testat byggblocken mot och byts kontrollerat.
• Övervakning: varje projekt hälsokontrolleras löpande; svarar det inte startas det om och du larmas enligt dina inställningar.
• Fysiskt: servern står i ett låst utrymme i Sverige som bara vi har tillgång till.

Bilaga 3 · Underbiträden

Dessa rör uppgifter i dina projekt. Leverantörer som bara rör ditt konto hos oss står i integritetspolicyn.

Senast ändrad: 2026-11-09. Nya underbiträden meddelas enligt avsnitt 3.