Personuppgiftsbiträdesavtal

Senast uppdaterad 2026-08-16

Mellan städfirman (”den personuppgiftsansvarige”) och Anders Burman, enskild firma, Nyköping (”personuppgiftsbiträdet”, ”Mirada”).

Avtalet gäller från det att firman registrerar ett konto och så länge tjänsten används. Det utgör Bilaga 1 till användarvillkoren.

1. Vad avtalet omfattar

Mirada behandlar personuppgifter för firmans räkning inom ramen för tjänsten Mirada.

Ändamål	Att ta emot och visa återkoppling från firmans kunder, samt larma firman vid akutrapporter
Behandlingens art	Insamling, lagring, visning, e-postutskick, automatisk radering
Kategorier av registrerade	Firmans kunder (privatpersoner) som väljer att lämna feedback
Kategorier av uppgifter	Betyg, fritextkommentar, foto, adress, frivilliga kontaktuppgifter, hashad IP-uppgift
Varaktighet	Så länge avtalet gäller, med automatisk radering enligt avsnitt 4

Firmans egna kontouppgifter omfattas inte — dem är Mirada personuppgiftsansvarig för. Se integritetspolicyn.

2. Miradas grundåtagande

Mirada behandlar personuppgifterna endast på dokumenterade instruktioner från firman, inklusive vid överföring till tredjeland.

Mirada behandlar aldrig uppgifterna för egna ändamål. Skulle Mirada någon gång vilja göra det krävs ett separat, uttryckligt avtal — det ryms inte i det här.

Anser Mirada att en instruktion strider mot dataskyddslagstiftning ska firman underrättas utan dröjsmål.

3. Firmans instruktion

Firmans instruktion till Mirada består av följande, som firman aktivt godkänner:

a) Vilka uppgifter som samlas in. Betyg 1–5 med valfri kommentar (max 280 tecken), och vid akutrapport en obligatorisk kommentar (max 500 tecken), adressen rapporten gäller, valfritt upp till 5 foton (inget foto krävs), frivilliga kontaktuppgifter, samt en hashad uppgift härledd ur IP-adressen enbart som spärr mot upprepade inskick.
b) Vem som får åtkomst. Endast firmans inloggade konto. Vid en akutrapport skickas dessutom ett larm till firmans registrerade e-postadress — men larmet innehåller inga personuppgifter. Det säger att en akut rapport kommit in, hur många foton den har och var den läses. Adress, beskrivning, kontaktönskan och telefonnummer lämnar aldrig tjänsten via e-post; firman loggar in för att läsa rapporten.
c) Hur länge. Enligt avsnitt 4.
d) Vilka underbiträden som anlitas. Enligt avsnitt 7.
e) Att platsdata (EXIF/GPS) tas bort ur foton före lagring.
f) Att foton aldrig görs publikt tillgängliga, utan visas endast för firmans inloggade konto genom en egen kontrollpunkt hos Mirada — aldrig via en länk som kan kopieras och delas vidare.

Firman kan begära ändringar av instruktionen. Mirada är inte skyldigt att genomföra varje begärd ändring, men ska svara inom 10 arbetsdagar och, om ändringen inte kan genomföras, ange skälet så att firman kan bedöma om tjänsten fortfarande passar.

4. Lagringstider

Uppgift	Lagringstid	Kan firman ändra?
Foton	30 dagar efter att ärendet markerats hanterat, annars senast 90 dagar från inskicket	Nej — tiden är fast och godkänns som firmans egen instruktion
Adress i akutrapport	6 månader från inskicket	Nej — tiden är fast och godkänns som firmans egen instruktion
Hashad IP-uppgift	7 dagar	Nej — spärrfunktionen kräver den tiden
Betyg och kommentarer	Sparas utan tidsbegränsning, för att kunna visa hur betygen utvecklas över tid	Nej — tiden är fast och godkänns som firmans egen instruktion

Raderingen sker automatiskt och kan inte skjutas upp. Genom att godkänna den här bilagan lämnar firman tiderna ovan som sin egen instruktion till Mirada.

5. Säkerhet

Mirada vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32, bland annat:

All data lagras inom EU (Stockholm)
Foton i privat lagring, åtkomst endast genom en egen kontrollpunkt hos Mirada som kräver att firman är inloggad — aldrig via en länk som kan kopieras och delas vidare
Radering styrd av databasregler, inte av applikationskod
IP-uppgifter lagras aldrig i klartext
Akutlarm via e-post bär inga personuppgifter, så inga uppgifter om de registrerade hamnar i en inkorg utanför tjänstens raderingsrutiner
Inloggade sessioner upphör efter sju dygns inaktivitet
Åtkomstkontroll på radnivå i databasen
Lösenord lagras hashade

Personer med åtkomst till uppgifterna omfattas av tystnadsplikt.

6. Bistånd till firman

Mirada bistår firman med:

Registrerades rättigheter. Vänder sig en av firmans kunder direkt till Mirada (kontakt@miradaapp.se) vidarebefordras begäran till firman utan dröjsmål. Mirada svarar aldrig självständigt i firmans ställe.
Personuppgiftsincidenter. Mirada underrättar firman utan onödigt dröjsmål efter att ha fått kännedom om en incident, med den information firman behöver för sin egen anmälan till IMY inom 72 timmar.
Konsekvensbedömning och förhandssamråd, i den utsträckning det är relevant.

7. Underbiträden

Firman ger härmed ett generellt förhandstillstånd att anlita underbiträden. Mirada anlitar i dag:

Underbiträde	Uppgift	Plats
Supabase	Databas, fillagring, autentisering	EU (Stockholm)
Vercel	Drift av webbtjänsten	EU
Resend	E-postutskick	EU (Irland)

Mirada underrättar firman minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Firman kan invända; kvarstår invändningen får firman säga upp avtalet utan kostnad för återstående period.

Mirada ansvarar fullt ut gentemot firman för underbiträdenas fullgörande.

8. Överföring till tredjeland

Uppgifterna behandlas inom EU/EES. Skulle överföring till tredjeland bli aktuell sker den endast med stöd av ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder enligt kapitel V GDPR, och firman underrättas i förväg.

9. Granskning

Mirada ska på begäran ge firman den information som behövs för att visa att skyldigheterna i artikel 28 fullgörs, och möjliggöra granskning. Granskning sker efter skälig framförhållning och högst en gång per år om inte incident föranleder annat.

10. Vid avtalets slut

När avtalet upphör raderas alla personuppgifter som behandlas för firmans räkning inom 30 dagar, inklusive kopior, om inte lag kräver fortsatt lagring. Firman kan begära export före radering.