Personuppgiftsbiträdesavtal

Senast uppdaterad: 24 oktober 2026

1. Om detta avtal

Detta personuppgiftsbiträdesavtal ("Avtalet") är en del av Användarvillkoren mellan dig som kund och DataBlock AB, ett svenskt företag i Stockholm som tillhandahåller Cosmoner ("vi", "vår" och "oss"). Det gäller när vi behandlar personuppgifter för din räkning när vi levererar tjänsterna, och det träder i kraft när du godkänner Användarvillkoren. Du behöver inte underteckna något separat.

Avtalet uppfyller kraven i artikel 28 i EU:s dataskyddsförordning (GDPR). Begrepp som "personuppgiftsansvarig", "personuppgiftsbiträde", "personuppgifter", "behandling", "registrerad" och "personuppgiftsincident" har den betydelse de har i GDPR.

Om detta Avtal och Användarvillkoren strider mot varandra i fråga om behandling av personuppgifter gäller detta Avtal.

2. Roller

För de personuppgifter som finns i innehållet du lägger på Cosmoner — filerna, webbplatserna, databaserna, e-posten, containeravbilderna, hemligheterna och applikationsdatan i dina projekt ("Kunddata") — är du personuppgiftsansvarig, eller personuppgiftsbiträde åt din egen kund, och vi är ditt personuppgiftsbiträde eller underbiträde.

Uppgifterna vi behöver för att hantera ditt konto, till exempel inloggningsuppgifter och faktureringsinformation, omfattas inte av detta Avtal. För dem är vi personuppgiftsansvariga, enligt vår Integritetspolicy och vår GDPR-sida.

3. Uppgifter om behandlingen

Föremål: att lagra, köra, överföra och säkerhetskopiera Kunddata så att vi kan leverera de tjänster du beställer.
Varaktighet: så länge vi levererar tjänsterna till dig, och därefter den tid som krävs för att radera Kunddata enligt avsnitt 11.
Art och ändamål: lagring, beräkning, nätverk, säkerhetskopiering, återställning, e-postleverans och den support du ber oss om. Vi behandlar Kunddata enbart för att leverera tjänsterna.
Typer av personuppgifter: det du väljer att lagra eller skicka genom tjänsterna. Det kan omfatta kontaktuppgifter, konto- och identifieringsuppgifter, kommunikation och andra personuppgifter som dina applikationer hanterar.
Kategorier av registrerade: de som din Kunddata avser, till exempel dina slutanvändare, kunder, anställda och kontakter.
Särskilda kategorier av personuppgifter: tjänsterna är inte utformade specifikt för dem. Om du lagrar särskilda kategorier av personuppgifter eller uppgifter om lagöverträdelser ansvarar du för att våra säkerhetsåtgärder är lämpliga för dem.

4. Dina instruktioner

Vi behandlar Kunddata enbart enligt dina dokumenterade instruktioner. Instruktionerna är detta Avtal, Användarvillkoren och hur du konfigurerar och använder tjänsterna via kontrollpanelen, API:et och SDK:erna. Vi behandlar inte Kunddata för något annat ändamål, inte heller våra egna.

Om vi enligt unionsrätten eller en medlemsstats nationella rätt är skyldiga att behandla Kunddata på annat sätt informerar vi dig innan vi gör det, om inte den lagen förbjuder det. Om vi anser att en instruktion från dig strider mot GDPR eller annan dataskyddslagstiftning informerar vi dig.

Du ansvarar för att det finns en rättslig grund för den behandling du instruerar oss att utföra, och för att Kunddata är korrekt och laglig.

5. Sekretess

Alla vi ger behörighet att behandla Kunddata omfattas av tystnadsplikt, genom avtal eller enligt lag. Åtkomsten är begränsad till den personal som behöver den för att driva, skydda och supportera tjänsterna.

6. Säkerhet

Vi vidtar de tekniska och organisatoriska åtgärder som beskrivs i bilagan för att skydda Kunddata mot oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande och obehörig åtkomst. Vi kan uppdatera åtgärderna över tid, men vi sänker inte den samlade skyddsnivån.

Du ansvarar för säkerheten i det som ligger inom din kontroll, till exempel dina inloggningsuppgifter, API-nycklar, din applikationskod och den åtkomst du ger medlemmar i din organisation.

7. Underbiträden

Du ger oss ett allmänt tillstånd att anlita underbiträden. Underbiträdena vi använder, vad de gör och var de behandlar uppgifter listas på vår GDPR-sida.

Innan ett nytt underbiträde börjar behandla personuppgifter uppdaterar vi listan och meddelar ägarna av din organisation via e-post minst 30 dagar i förväg.
Om du har en rimlig invändning mot ett nytt underbiträde som grundar sig på dataskydd, meddela oss inom den perioden. Vi söker då en lösning tillsammans med dig i god tro. Om vi inte hittar någon får du sluta använda den berörda tjänsten, och vi krediterar förbetalda, outnyttjade belopp för den.
Vi ålägger varje underbiträde dataskyddsskyldigheter som inte ger ett sämre skydd än detta Avtal, och vi ansvarar gentemot dig för deras fullgörande.

Vissa produkter körs på ett underbiträdes infrastruktur i den region du väljer när du skapar resursen. Valet av region är en instruktion från dig.

8. Överföringar till tredjeland

Appar, webbhotell och de PostgreSQL- och Valkey-databaser vi driftar körs på vår egen hårdvara i Stockholm. När ett underbiträde behandlar Kunddata utanför EU/EES grundas överföringen på ett beslut om adekvat skyddsnivå, till exempel EU–US Data Privacy Framework för leverantörer som är certifierade enligt det, eller på Europeiska kommissionens standardavtalsklausuler.

9. Hjälp till dig

Med hänsyn till behandlingens art och den information vi har tillgång till hjälper vi dig att:

Besvara begäranden från registrerade. De flesta begäranden kan du hantera direkt i tjänsterna, eftersom du har kontroll över Kunddata. Om en registrerad kontaktar oss om Kunddata vidarebefordrar vi begäran till dig och svarar inte själva, om du inte instruerar oss att göra det.
Fullgöra dina övriga skyldigheter enligt artiklarna 32–36 i GDPR, bland annat om säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd med en tillsynsmyndighet.

10. Personuppgiftsincidenter

Om vi får kännedom om en personuppgiftsincident som rör Kunddata meddelar vi ägarna av din organisation utan onödigt dröjsmål, och senast 72 timmar efter att vi fått kännedom om den. Vi ger dig den information du behöver för att fullgöra dina egna skyldigheter, så långt den finns tillgänglig: incidentens art, kategorier av och ungefärligt antal registrerade och poster som berörs, de sannolika konsekvenserna och de åtgärder vi har vidtagit eller föreslår. Om vi inte kan lämna allt på en gång lämnar vi informationen i omgångar allteftersom vi får veta mer.

Att vi meddelar dig innebär inte att vi erkänner fel eller ansvar.

11. Radering och återlämnande

Du kan exportera Kunddata när som helst medan du använder tjänsterna. När du raderar en resurs raderas den Kunddata den innehåller. När ditt konto avslutas finns Kunddata kvar för export i 30 dagar och raderas sedan.

Säkerhetskopior raderas när deras lagringstid löper ut, enligt vår GDPR-sida. Vi får behålla Kunddata längre endast om unionsrätten eller en medlemsstats nationella rätt kräver det, och då bara så länge som krävs och skyddad av detta Avtal.

12. Granskning och information

Vi tillhandahåller den information du rimligen behöver för att visa att vi uppfyller artikel 28 i GDPR, bland annat svar på rimliga säkerhetsfrågeformulär.

Om informationen inte räcker får du granska vår efterlevnad, själv eller genom en oberoende granskare med tystnadsplikt, högst en gång per år, om inte en tillsynsmyndighet kräver det eller en personuppgiftsincident ger anledning till det. Meddela oss skriftligen minst 30 dagar i förväg med ett förslag på omfattning. Granskningen sker under kontorstid, på ett sätt som inte stör tjänsterna eller äventyrar andra kunders data, och på din bekostnad.

13. Ansvar

Varje parts ansvar enligt detta Avtal omfattas av ansvarsbegränsningarna i Användarvillkoren, utom där GDPR inte tillåter att ansvaret begränsas.

14. Giltighetstid, tillämplig lag och ändringar

Avtalet gäller så länge vi behandlar Kunddata för din räkning. Svensk lag gäller för Avtalet, och tvister avgörs av domstol i Stockholm.

Vi kan uppdatera Avtalet för att återspegla ändringar i lagstiftningen eller i tjänsterna. Vi meddelar ägarna av din organisation innan en väsentlig ändring träder i kraft. En ändring sänker inte det skydd Kunddata har enligt detta Avtal.

Om du behöver ett undertecknat exemplar av Avtalet, mejla [email protected].

Bilaga: Tekniska och organisatoriska åtgärder

Åtkomstkontroll

Åtkomst till produktionssystem är begränsad till den personal som behöver den och kräver stark autentisering.
Ditt konto stöder tvåfaktorsautentisering och passkeys, och medlemmar i din organisation får projektroller som begränsar vad de kan se och ändra.
API-nycklar begränsas till de behörigheter du väljer.

Separering

Varje organisations resurser hålls åtskilda från alla andra organisationers. Applikationer och webbhotell körs i isolerade containrar, och nätverksregler hindrar en kunds arbetslaster från att nå en annans.
Varje databas har egna inloggningsuppgifter.

Kryptering

Trafik till webbplatsen, kontrollpanelen och API:et krypteras med TLS. Anslutningar utifrån till de PostgreSQL-databaser vi driftar kräver TLS.
Lösenord lagras hashade. Hemligheter krypteras i vila, och tjänsteuppgifter hashas eller krypteras och lagras aldrig i klartext.

Tillgänglighet och motståndskraft

Webbhotell säkerhetskopieras varje natt, och säkerhetskopiorna sparas den lagringstid du väljer.
Lagringen för de databaser vi driftar är beständig och överlever omstarter och underhåll.

Övervakning och incidenthantering

Fel och missbruk övervakas. Inloggningsförsök är hastighetsbegränsade, och upprepade misslyckade SFTP-inloggningar blockerar avsändarens adress.
Personuppgiftsincidenter hanteras enligt avsnitt 10.

Underbiträden

Underbiträden är bundna av skriftliga dataskyddsskyldigheter, enligt avsnitt 7.