Personuppgiftsbiträdesavtal

Senast uppdaterad: 24 augusti 2026

Detta personuppgiftsbiträdesavtal (”Biträdesavtalet”) gäller när det genom hänvisning har införlivats i ett tjänsteavtal mellan Delagott Real Estate AB och en kund. Biträdesavtalet blir då en bindande del av tjänsteavtalet i skriftlig, elektronisk form. Någon separat underskrift krävs inte om parterna inte uttryckligen har kommit överens om det.

1. Parter

Parterna är den kund som anges i tjänsteavtalet (”Personuppgiftsansvarig”) och Delagott Real Estate AB, org.nr 556792-5200 (”Personuppgiftsbiträde”).

2. Definitioner

Begrepp och definitioner i detta Biträdesavtal ska ha motsvarande betydelse som i Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR) och annan tillämplig dataskyddslagstiftning.

Behandling avser en åtgärd eller kombination av åtgärder beträffande personuppgifter, oberoende av om de utförs automatiserat eller inte, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning, ändring, framtagning, läsning, användning, utlämning, spridning, justering, sammanförande, begränsning, radering eller förstöring.

Personuppgift avser varje upplysning som rör en identifierad eller identifierbar fysisk person.

Personuppgiftsincident avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till personuppgifter.

3. Innehåll och syfte

Parterna har ingått ett tjänsteavtal om de tjänster som Personuppgiftsbiträdet ska tillhandahålla den Personuppgiftsansvarige. När tjänsterna innebär att Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning reglerar detta Biträdesavtal behandlingen enligt artikel 28 GDPR.

Behandlingens närmare ändamål, typer av personuppgifter, kategorier av registrerade och andra dokumenterade instruktioner framgår av Bilaga 1 – Instruktioner för behandling av personuppgifter.

4. Behandling av personuppgifter

Den Personuppgiftsansvarige ansvarar för att det finns rättslig grund för behandlingen och för att behandlingen i övrigt följer tillämplig dataskyddslagstiftning.

Personuppgiftsbiträdet får endast behandla personuppgifter enligt tjänsteavtalet, detta Biträdesavtal, Bilaga 1 och andra dokumenterade instruktioner från den Personuppgiftsansvarige.

Personuppgiftsbiträdet ska utan onödigt dröjsmål informera den Personuppgiftsansvarige om en instruktion saknas eller, enligt Personuppgiftsbiträdets bedömning, strider mot tillämplig dataskyddslagstiftning.

Personuppgiftsbiträdet får inte behandla personuppgifter för andra ändamål än de som följer av de dokumenterade instruktionerna, om inte behandlingen krävs enligt EU-rätt eller svensk rätt. I sådant fall ska den Personuppgiftsansvarige informeras före behandlingen, om lagen tillåter det.

5. Överföring till tredje land

Personuppgifter får överföras till eller göras tillgängliga från ett land utanför EU/EES endast enligt dokumenterade instruktioner från den Personuppgiftsansvarige och när kraven i tillämplig dataskyddslagstiftning är uppfyllda.

6. Säkerhet

Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna. Säkerhetsnivån ska vara lämplig med hänsyn till teknikens utveckling, genomförandekostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter.

Åtgärderna ska, där det är lämpligt, omfatta:

• pseudonymisering och kryptering av personuppgifter,
• förmåga att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos system och tjänster,
• förmåga att återställa tillgänglighet och tillgång till personuppgifter inom rimlig tid efter en fysisk eller teknisk incident, och
• rutiner för att regelbundet testa, undersöka och utvärdera säkerhetsåtgärdernas effektivitet.

7. Sekretess

Personuppgiftsbiträdet ska säkerställa att endast personer som behöver tillgång till personuppgifterna för att fullgöra tjänsteavtalet får sådan tillgång. Anställda, konsulter och andra personer som deltar i behandlingen ska omfattas av sekretess eller lämplig lagstadgad tystnadsplikt och informeras om hur personuppgifterna får behandlas.

8. Underbiträden

Den Personuppgiftsansvarige lämnar ett allmänt skriftligt förhandstillstånd för Personuppgiftsbiträdet att anlita underbiträden som behövs för att fullgöra tjänsteavtalet. En aktuell förteckning över underbiträden ska lämnas till den Personuppgiftsansvarige på begäran.

Personuppgiftsbiträdet ska informera om planerade förändringar som innebär att ett underbiträde läggs till eller ersätts, så att den Personuppgiftsansvarige får möjlighet att göra en sakligt motiverad invändning av dataskyddsskäl.

När ett underbiträde anlitas ska det genom avtal omfattas av dataskyddsskyldigheter som ger minst motsvarande skydd som detta Biträdesavtal. Personuppgiftsbiträdet ansvarar gentemot den Personuppgiftsansvarige för underbiträdets fullgörande.

9. Assistans

Personuppgiftsbiträdet ska, med hänsyn till behandlingens art och i den mån det är möjligt, hjälpa den Personuppgiftsansvarige att fullgöra sina skyldigheter avseende registrerades rättigheter.

Personuppgiftsbiträdet ska även, med hänsyn till tillgänglig information och behandlingens art, bistå den Personuppgiftsansvarige med skyldigheterna enligt artiklarna 32–36 GDPR, däribland säkerhet, incidenthantering, konsekvensbedömning och förhandssamråd.

10. Granskning

Personuppgiftsbiträdet ska tillhandahålla den information som behövs för att visa att skyldigheterna enligt artikel 28 GDPR har fullgjorts och möjliggöra samt bidra till granskningar och inspektioner som utförs av den Personuppgiftsansvarige eller en revisor som denne utsett.

11. Personuppgiftsincident

Personuppgiftsbiträdet ska underrätta den Personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som berör behandlingen. Informationen ska, i den mån den finns tillgänglig:

• beskriva incidentens art och, om möjligt, kategorierna och det ungefärliga antalet berörda registrerade och personuppgiftsposter,
• ange en kontaktperson för mer information,
• beskriva sannolika konsekvenser, och
• beskriva vidtagna eller föreslagna åtgärder för att hantera incidenten och mildra dess negativa effekter.

12. Avtalets upphörande

Biträdesavtalet gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning.

När tjänsteavtalet upphör ska Personuppgiftsbiträdet, enligt den Personuppgiftsansvariges val, radera eller återlämna personuppgifterna och radera befintliga kopior, om inte lag kräver fortsatt lagring. Personuppgiftsbiträdet ska säkerställa att underbiträden vidtar motsvarande åtgärder.

13. Ändringar

Ändringar eller tillägg till ett redan ingånget Biträdesavtal ska göras skriftligen och godkännas av båda parterna. Den version som gällde när Biträdesavtalet införlivades i tjänsteavtalet fortsätter att gälla om parterna inte skriftligen kommer överens om annat.

14. Tillämplig lag och tvist

Svensk lag ska tillämpas. Tvist om tolkning eller tillämpning av Biträdesavtalet ska avgöras enligt tjänsteavtalets bestämmelser om tvist. Om tjänsteavtalet saknar en sådan bestämmelse ska tvisten avgöras av svensk allmän domstol.

Frågor om Biträdesavtalet kan skickas till info@delagott.se.