Personuppgiftsbiträdesavtal (PUB-avtal)

1.1 Detta personuppgiftsbiträdesavtal ("Avtalet") har upprättats med anledning av att Den Ansvarige anlitar Biträdet för tillhandahållande av tjänsten Bladbanken för framställning av anpassade, utskrivbara arbetsblad och undervisningsmaterial.

1.2 Avtalet reglerar Biträdets behandling av personuppgifter för Den Ansvariges räkning och säkerställer efterlevnad av kraven i artikel 28 i EU:s allmänna dataskyddsförordning (GDPR).

2.1 Biträdet förbinder sig att endast behandla personuppgifter i enlighet med Den Ansvariges dokumenterade instruktioner, såvida inte sådan behandling krävs enligt unionsrätten eller enligt svensk lagstiftning som Biträdet omfattas av.

2.2 Biträdet ska omedelbart underrätta Den Ansvarige om Biträdet anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning.

3.1 Tjänsten är specifikt utformad för att minimera behandling av personuppgifter enligt principen om uppgiftsminimering (GDPR art. 5.1 c) och inbyggt dataskydd (GDPR art. 25).

3.2 Elever har inga användarkonton och loggar inte in i tjänsten. Inga elevnamn, personnummer, betyg eller prestationer registreras eller lagras på Biträdets servrar.

3.3 Eventuella klasslistor som läraren matar in sparas uteslutande lokalt i lärarens webbläsare (Web Storage) och överförs aldrig till Biträdets servrar.

3.4 När läraren sparar inställningar i molnet eller delar material med kollegor tillämpas automatisk sanering (stripPII) som filtrerar bort eventuella personuppgifter före lagring.

4.1 Biträdet ska vidta alla tekniska och organisatoriska åtgärder som krävs för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i enlighet med artikel 32 i GDPR.

4.2 Säkerhetsåtgärderna omfattar bland annat:

• Stark kryptering under överföring (TLS 1.3 / HTTPS) och i vila (AES-256).
• Strikt åtkomstkontroll och behörighetsstyrning på radnivå (Row Level Security - RLS).
• Säker autentisering med skydd mot brute force-attacker och krypterade lösenordshashar.
• Strikta webbsäkerhetsheaders (HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options: nosniff).
• Regelbunden säkerhetskopiering och katastrofåterställningsförmåga.

5.1 Biträdet ska tillse att personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

6.1 Den Ansvarige lämnar härmed ett generellt skriftligt förhandstillstånd för Biträdet att anlita underbiträden för drift av infrastrukturen.

6.2 För närvarande anlitade underbiträden är:

6.3 Biträdet ska underrätta Den Ansvarige om eventuella planer på att anlita nya underbiträden eller ersätta befintliga. Den Ansvarige har rätt att invända mot sådana förändringar.

7.1 Biträdet garanterar att personuppgifter inte överförs till eller behandlas i ett land utanför EU/EES (tredje land) utan att Den Ansvarige i förväg har lämnat sitt uttryckliga skriftliga godkännande och att villkoren i kapitel V i GDPR är uppfyllda.

7.2 Typsnitt och applikationsresurser hostas lokalt på Biträdets servrar och inga förfrågningar eller IP-adresser exponeras för externa CDN:er utanför EU.

8.1 Biträdet ska, med beaktande av behandlingens art, bistå Den Ansvarige genom lämpliga tekniska och organisatoriska åtgärder så att Den Ansvarige kan fullgöra sin skyldighet att svara på begäranden om utövande av de registrerades rättigheter (kapitel III i GDPR).

8.2 Vid inträffad personuppgiftsincident ska Biträdet underrätta Den Ansvarige utan onödigt dröjsmål och senast inom 48 timmar från det att incidenten kommit till Biträdets kännedom.

8.3 Biträdet ska bistå Den Ansvarige med information som skäligen behövs för konsekvensbedömningar avseende dataskydd (DPIA) och förhandssamråd med tillsynsmyndigheten.

9.1 När leveransen av tjänsten upphör ska Biträdet, efter Den Ansvariges val, radera eller återlämna alla personuppgifter till Den Ansvarige samt radera befintliga kopior, såvida inte lagring krävs enligt unionsrätten eller svensk rätt (t.ex. bokföringslagen).

10.1 Biträdet ska ge Den Ansvarige tillgång till all information som krävs för att visa att de skyldigheter som fastställs i artikel 28 i GDPR efterlevs samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av Den Ansvarige eller av en revisor som bemyndigats av Den Ansvarige.