This document is available in Swedish only. The Swedish text is the binding version.
Personuppgiftsbiträdesavtal (DPA)
Version 2026-09-20.
Detta avtal reglerar vår behandling av personuppgifter för kundens räkning enligt artikel 28 i dataskyddsförordningen (GDPR). Det är en del av de allmänna villkoren och gäller så länge vi behandlar uppgifter åt kunden.
Personuppgiftsansvarig: kunden. Personuppgiftsbiträde: Stark Link AB, org.nr 559604-2514, Stortorpsvägen 67, 142 65 Trångsund.
1. Vad vi behandlar och varför
| Ändamål | Leverera elektronisk körjournal och fordonsspårning enligt avtalet |
| Varaktighet | Under avtalstiden och högst 90 dagar därefter, om kunden inte instruerar oss att spara arkivet längre |
| Typ av uppgifter | Positioner, restider, körsträcka, mätarställning, hastighet, adresser, klassning av resa, ärende, registreringsnummer, förarnamn, förarbrickans nummer, förarens e-post och inloggningsuppgifter när kunden gett föraren ett eget konto |
| Kategorier av registrerade | Kundens förare och anställda, kundens kontaktpersoner |
Uppgifter om var en anställd befunnit sig är känsliga i praktiken även om de inte är "särskilda kategorier" i lagens mening. Vi behandlar dem därefter.
2. Våra instruktioner
Vi behandlar uppgifterna endast enligt kundens dokumenterade instruktioner. Beställningen, de allmänna villkoren, detta avtal och de inställningar kunden gör i portalen utgör instruktionen. Dit hör att uppgifterna behandlas på den server och hos de underbiträden som anges i punkt 5 och 6.
Vi använder inte uppgifterna för egna ändamål. Behöver vi behandla uppgifter för att följa lag, meddelar vi kunden först — om inte lagen förbjuder det. Anser vi att en instruktion strider mot dataskyddsförordningen säger vi det utan dröjsmål.
3. Sekretess
De hos oss som får tillgång till uppgifterna är bundna av sekretess och får tillgång bara i den utsträckning arbetet kräver.
4. Säkerhet
Vi vidtar dessa åtgärder (artikel 32):
- All trafik till tjänsten går över TLS. Inloggning kräver lösenord som lagras hashat; lösenord skickas aldrig i e-post — vi skickar engångslänkar.
- Åtkomst till servern sker med nyckelbaserad SSH, inte lösenord.
- Åtkomsten i tjänsten styrs per paket och roll: en användare ser bara sin egen kunds uppgifter, en förare med eget konto ser bara sina egna resor, och admin-vyn kräver särskild roll.
- Säkerhetskopia varje natt, med automatisk kontroll att kopian går att läsa. En krypterad kopia förs varje natt över till vår egen utrustning i Sverige. Kopiorna gallras efter schema.
- Tidsstämpel för senaste inloggning per användare. Ändringar av kunder, abonnemang, funktioner, fakturor, fordon och resor loggas i egna tabeller med uppgift om vem som gjorde ändringen, och varje gång en administratör hos oss tittar i en kunds portal skrivs det i visningsloggen.
- Hemligheter (API-nycklar) ligger i filer som bara servern kan läsa, aldrig i databasen som kopieras.
5. Underbiträden
Kunden godkänner att vi anlitar underbiträden. De som anlitas i dag:
| Underbiträde | Uppgift | Plats |
|---|---|---|
| Metoda d.o.o., Belgrad | drift av server, databas och e-post | Serbien |
| Stripe Payments Europe Ltd | kortbetalning (kundens betalningsuppgifter, inga föraruppgifter) | Irland |
| OpenStreetMap Foundation | adressuppslag ur koordinater | EU och Storbritannien |
| Simbase Connect B.V. | mobil uppkoppling för OBD-enheten | Nederländerna (EU); egna underleverantörer utanför EU/EES med standardavtalsklausuler |
Vi meddelar kunden minst 30 dagar innan ett underbiträde byts eller läggs till. Kunden får invända; kvarstår invändningen får kunden säga upp avtalet till den dag ändringen träder i kraft, utan kostnad för återstående bindningstid.
Vi ålägger varje underbiträde samma skyldigheter som vi har enligt detta avtal och ansvarar för deras behandling som för vår egen.
6. Överföring till tredje land
Servern står i Serbien, som saknar beslut om adekvat skyddsnivå. Kunden instruerar oss genom detta avtal att behandla uppgifterna där.
Överföringen sker med stöd av EU-kommissionens standardavtalsklausuler (genomförandebeslut 2021/914), modul 3 (biträde till underbiträde), mellan oss och serverleverantören, och efter en dokumenterad bedömning av skyddsnivån i Serbien. Klausulerna kompletteras med de tekniska åtgärder som beskrivs i punkt 4. Kunden får en kopia av klausulerna och av bedömningen på begäran.
7. Hjälp till kunden
Vi hjälper kunden att svara på registrerades förfrågningar om utdrag, rättelse eller radering, och att göra konsekvensbedömningar och förhandssamråd. Kunden kan hämta ut allt material själv under Arkiv i portalen; behövs mer hjälp lämnar vi den utan extra kostnad i skälig omfattning.
8. Personuppgiftsincident
Får vi kännedom om en personuppgiftsincident meddelar vi kunden utan onödigt dröjsmål, med det vi vet: vad som hänt, vilka kategorier av uppgifter och registrerade som berörs, sannolika följder och vilka åtgärder vi vidtagit. Det vi inte vet direkt kompletterar vi med efter hand. Kunden ansvarar för anmälan till Integritetsskyddsmyndigheten.
9. Radering vid avslut
När avtalet upphör lämnar vi ut uppgifterna i maskinläsbart format och raderar dem ur tjänsten inom 90 dagar. Ur säkerhetskopiorna försvinner uppgifterna när kopiorna gallras, senast tolv månader efter raderingen; under den tiden används kopiorna bara för att återställa tjänsten efter ett fel. Vill kunden att vi sparar arkivet längre ska kunden instruera oss skriftligen om det. Kunden får en bekräftelse när raderingen är gjord.
De uppgifter om kunden som vi själva är personuppgiftsansvariga för — fakturor och kunduppgifter — sparar vi i sju år enligt bokföringslagen. De omfattas inte av detta avtal utan av integritetspolicyn.
10. Granskning
Vi ger kunden tillgång till den information som behövs för att visa att skyldigheterna i artikel 28 fullgörs. Kunden har rätt att granska att vi följer avtalet, en gång per år eller efter en incident, genom skriftliga frågor eller genom en oberoende granskare som är bunden av sekretess. Granskningen bekostas av kunden och planeras i samråd så att driften inte störs.
11. Ansvar
Ansvaret följer de allmänna villkoren. Ansvarsbegränsningen gäller inte skadestånd till registrerade enligt artikel 82 i dataskyddsförordningen.