# Personuppgiftsbiträdesavtal ## Boat Life AB och hamn eller serviceföretag UTKAST FÖR GRANSKNING. Version 0.1, 30 oktober 2026. Detta dokument är ett avtalsförslag, inte ett redan gällande avtal eller ett intyg om befintliga säkerhetsåtgärder. Bilagor och markerade uppgifter ska färdigställas och verifieras före undertecknande. Juridisk granskning rekommenderas. ## 1. Parter Personuppgiftsansvarig (Kunden): [juridiskt namn på hamnen eller serviceföretaget], [organisationsnummer], [adress], [kontaktperson och dataskyddsmejl]. Personuppgiftsbiträde (Biträdet): Boat Life AB, organisationsnummer 559589-3891, Stävgatan 9, 42676 Västra Frölunda, Sverige. Kontakt: info@boat.life. Huvudavtal: [tjänsteavtalets namn, datum och referens]. Ikraftträdandedatum: [datum]. ## 2. Omfattning och roller Avtalet reglerar endast den behandling av personuppgifter som Biträdet utför för Kundens räkning i boat.life enligt dokumenterade instruktioner och bilaga 1. Kunden bestämmer ändamålen med denna behandling och ansvarar för rättslig grund, information till registrerade och lagliga instruktioner. Avtalet omfattar inte automatiskt en båtägares privata konto eller all information som delas mellan en båtägare och Kunden. Åtkomst till delade uppgifter innebär inte i sig att Kunden är ansvarig för hela ägarkontot. Parterna ska avgränsa Kundens verksamhetsuppgifter och separata behandlingar i bilaga 1. Om Boat Life AB behandlar uppgifter för egna ändamål ska den behandlingen identifieras separat, med tillämplig roll och information till registrerade. Detta avtal är inte rättslig grund för sådana egna ändamål. Gemensamt personuppgiftsansvar ska, om det faktiskt föreligger, regleras separat enligt artikel 26. Vid konflikt om behandling för Kundens räkning har detta avtal företräde framför huvudavtalet. ## 3. Dokumenterade instruktioner Biträdet får endast behandla uppgifterna enligt Kundens dokumenterade instruktioner, inklusive instruktioner om överföring till tredje land. Instruktioner består av detta avtal, ifyllda bilagor, avtalade inställningar och senare skriftliga instruktioner från behörig kundrepresentant. Om unionsrätt eller medlemsstatsrätt kräver annan behandling ska Biträdet underrätta Kunden om kravet före behandlingen, om detta inte är förbjudet av viktiga hänsyn till allmänintresset. Biträdet ska omedelbart informera Kunden om en instruktion enligt Biträdets bedömning strider mot dataskyddsförordningen eller annan tillämplig dataskyddsrätt. Parterna ska då skyndsamt lösa frågan innan den berörda instruktionen genomförs. ## 4. Sekretess och åtkomst Biträdet ska säkerställa att personer med behörighet att behandla personuppgifter har åtagit sig sekretess eller omfattas av lämplig lagstadgad tystnadsplikt. Åtkomst ska begränsas till vad som behövs för uppdraget. Sekretessåtagandet ska gälla även efter uppdragets slut. Kunden ansvarar för instruktioner och behörigheter för sin egen personal samt för att användningen inte omfattar fler uppgifter än nödvändigt. ## 5. Säkerhet Biträdet ska vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32, med hänsyn till risk, behandlingens art, omfattning, sammanhang och ändamål samt aktuell teknik och kostnader. De överenskomna åtgärderna ska beskrivas i bilaga 2 och hållas aktuella. Ändringar får inte sänka den avtalade skyddsnivån. Bilaga 2 måste innehålla verifierade åtgärder före avtalets undertecknande. Hänvisning till en plattform, ett Trust Center eller en leverantörs certifiering ersätter inte denna bilaga och innebär inte att boat.life är certifierat. ## 6. Underbiträden Kunden lämnar genom undertecknandet ett allmänt skriftligt tillstånd till de underbiträden som anges i den färdigställda bilaga 3. Biträdet ska i förväg informera Kunden skriftligen om avsedda tillägg eller ersättningar så att Kunden får möjlighet att invända innan ändringen genomförs. Förslaget till frist är 30 kalenderdagars förhandsbesked och 15 kalenderdagar för invändning från mottaget besked. Fristerna ska godkännas av parterna och vara praktiskt möjliga att hålla före undertecknande. En olöst, sakligt grundad invändning ska hanteras genom en överenskommen alternativ lösning eller avslut av den berörda tjänsten innan det nya underbiträdet anlitas för Kundens uppgifter. Biträdet ska genom skriftligt avtal ålägga varje underbiträde i huvudsak samma dataskyddsskyldigheter som i detta avtal, särskilt tillräckliga garantier för lämpliga säkerhetsåtgärder. Biträdet ansvarar gentemot Kunden för underbiträdets fullgörande av dessa skyldigheter enligt artikel 28.4. ## 7. Behandlingsplatser och överföringar Länder för lagring, supportåtkomst och annan behandling ska anges i bilaga 3. Lagring inom EU/EES innebär inte i sig att all behandling eller fjärråtkomst sker där. Överföringar utanför EU/EES får endast ske enligt dokumenterad instruktion och med tillämpligt stöd enligt kapitel V i dataskyddsförordningen. Bilaga 3 ska ange relevant mekanism, exempelvis ett tillämpligt adekvansbeslut eller lämpliga standardavtalsklausuler, samt nödvändiga bedömningar och kompletterande åtgärder. Artikel 28-klausuler ersätter inte ett överföringsinstrument enligt kapitel V. ## 8. Registrerades rättigheter Biträdet ska, med hänsyn till behandlingens art och i den mån det är möjligt, bistå Kunden genom lämpliga tekniska och organisatoriska åtgärder vid begäranden enligt kapitel III. En begäran som avser Kundens behandling och kommer direkt till Biträdet ska vidarebefordras utan onödigt dröjsmål. Biträdet ska inte själv besvara den för Kundens räkning utan instruktion, om inte lag kräver det. Kontaktväg, arbetsgång och format för sökning, export, rättelse och radering ska anges i bilaga 4. ## 9. Personuppgiftsincidenter och bistånd Biträdet ska underrätta Kunden utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som rör uppgifter behandlade för Kundens räkning. Första besked får vara preliminärt och ska kompletteras löpande. Underrättelsen ska i den mån informationen finns tillgänglig beskriva incidentens art, berörda kategorier och ungefärligt antal registrerade och uppgiftsposter, kontaktpunkt, sannolika konsekvenser samt vidtagna eller föreslagna åtgärder. Biträdet ska bevara relevant underlag och bistå med begränsning och utredning. Biträdet ska bistå Kunden med skyldigheterna enligt artiklarna 32 till 36, inklusive incidentbedömning, konsekvensbedömning och förhandssamråd, med hänsyn till behandlingens art och tillgänglig information. Kunden ansvarar för beslut om anmälan till tillsynsmyndighet och information till registrerade. Kundens eventuella 72-timmarsfrist enligt artikel 33 är inte Biträdets underrättelsefrist. ## 10. Information och granskning Biträdet ska göra all information som behövs för att visa att artikel 28 följs tillgänglig för Kunden samt möjliggöra och bidra till granskningar och inspektioner som Kunden eller en av Kunden utsedd revisor genomför. Parterna ska avtala om praktisk planering, sekretess och skydd för andra kunders uppgifter. Normalt används relevant dokumentation först. Sådana arrangemang får inte hindra lagstadgad granskning eller brådskande granskning efter incident eller myndighetskrav. Eventuella kostnader för extraordinärt bistånd ska avtalas i förväg och får inte inskränka skyldigheterna enligt artikel 28. ## 11. Avtalstid, återlämnande och radering Avtalet gäller under den tid Biträdet behandlar uppgifter för Kundens räkning. När tjänsterna upphör ska Biträdet enligt Kundens val återlämna eller radera personuppgifterna och radera befintliga kopior, om lag inte kräver fortsatt lagring. Bilaga 4 ska fastställa exportformat, frister, hantering av säkerhetskopior, raderingsbekräftelse och eventuell lagstadgad lagring. Uppgifter som måste behållas enligt lag ska avskiljas, skyddas och endast behandlas för det lagstadgade ändamålet. Återlämnande eller radering av Kundens uppgifter får inte oavsiktligt radera en annan parts självständigt förvaltade uppgifter, exempelvis en båtägares egna poster. Den avgränsningen ska dokumenteras. ## 12. Ansvar, lag och tvist Dataskyddsförordningens tvingande regler, inklusive artikel 82, gäller. Ingen bestämmelse begränsar registrerades rättigheter eller tillsynsmyndighetens befogenheter. Parternas inbördes ansvar i övrigt regleras av huvudavtalet i den mån det är förenligt med tvingande rätt. Svensk rätt föreslås som tillämplig rätt. Tvistlösning: [hänvisa till godkänd bestämmelse i huvudavtalet]. Ändringar av avtalet och instruktionerna ska dokumenteras skriftligen. ## Bilaga 1. Behandling och instruktioner Fylls i för varje kund. Följande är exempel att välja och avgränsa, inte en inventering av bekräftade behandlingar. * Föremål: tillhandahållande av avtalade boat.life-funktioner för [hamn/serviceföretag]. * Ändamål: [kundadministration, båtplatser, bokningar, servicearbete, dokumentation, kunddialog eller andra avtalade ändamål]. * Behandlingens art: [insamling, registrering, strukturering, lagring, sökning, visning, delning enligt instruktion, export och radering]. * Registrerade: [båtägare, kundkontakter, personal, leverantörskontakter, andra berörda]. * Uppgiftstyper: [namn, kontaktuppgifter, kund-/båtkoppling, bokningar, meddelanden, arbetsdokumentation, bilder, uppgifter om personalens arbete]. Bilder och fritext kan innehålla ytterligare personuppgifter och ska avgränsas. * Särskilda kategorier eller uppgifter om lagöverträdelser: [ange om sådana faktiskt ska behandlas och vilket stöd som finns]. Utgångspunkt för förslaget är att dessa inte ska läggas in i Kundens verksamhetsflöden. Uppgifter om saknade eller stulna båtar ska bedömas separat om de ingår. * Behandlingstid: [under tjänsteavtalets löptid och avtalad avslutsperiod]. * Funktioner, integrationer och eventuell AI-behandling som Kunden godkänner: [ange exakt funktion, dataflöde och begränsningar]. Inget generellt medgivande till modellträning följer av detta avtal. * Separata behandlingar hos Boat Life AB och hos båtägare: [roll, ändamål, uppgifter och gräns mot detta avtal]. * Behöriga instruktionsgivare och kontaktvägar: [fyll i]. ## Bilaga 2. Tekniska och organisatoriska åtgärder MÅSTE VERIFIERAS FÖRE SIGNERING. För varje punkt: ange faktisk åtgärd, omfattning, ansvarig, granskningsdatum och evidens. Lämna inte punkterna som allmänna löften. * Identitetskontroll, behörighetsstyrning, minsta privilegium och avslut av åtkomst: [fyll i]. * Separation mellan kunder och båtägares uppgifter: [fyll i]. * Skydd av överföring och lagring, nyckelhantering där relevant: [fyll i]. * Loggning, övervakning och åtkomst till loggar: [fyll i]. * Säkerhetskopiering, återställningsförmåga och testintervall: [fyll i]. * Sårbarhetshantering, uppdateringar och säker utveckling: [fyll i]. * Sekretess, utbildning och administrativa rutiner: [fyll i]. * Incidenthantering och kontaktberedskap: [fyll i]. * Dataminimering, radering och skydd för exporter: [fyll i]. * Regelbunden testning och utvärdering enligt artikel 32: [fyll i]. ## Bilaga 3. Underbiträden och behandlingsplatser MÅSTE VERIFIERAS FÖRE SIGNERING. För varje leverantör: juridiskt namn, tjänst, uppgiftstyper, lagringsland, länder för annan behandling och supportåtkomst, avtalsgrund, överföringsmekanism och länk till aktuell evidens. [Fyll i en rad per faktiskt anlitat underbiträde, inklusive hosting, utskick, notifieringar och AI där dessa behandlar Kundens uppgifter. En plattforms egen underbiträdeslista är underlag, inte automatiskt Boat Life AB:s färdiga lista.] Bekräfta att Boat Life AB har tillämpligt biträdesavtal med varje berörd leverantör. Lovables dokumentation anger att deras DPA ingår i Business och Enterprise, inte Free och Pro. Boat Life AB:s tillämpliga avtal och plan måste kontrolleras. Backendens lagringsregion visar inte ensam var AI eller supportåtkomst behandlar uppgifter. Kundens kontakt för ändringsbesked: [fyll i]. Godkända frister för förhandsbesked och invändning enligt punkt 6: [fyll i]. ## Bilaga 4. Drift, rättighetsbegäranden och avslut MÅSTE VERIFIERAS FÖRE SIGNERING. * Kundens kontakt för incidenter och rättighetsbegäranden: [fyll i]. * Biträdets kontakt och bekräftad eskaleringsväg: info@boat.life, [komplettera rutin och ansvarig]. * Arbetsgång och avtalad svarstid för bistånd: [fyll i]. * Exportformat, innehåll och leveranssätt: [fyll i och provkör]. * Frist för återlämnande/radering efter avslut: [fyll i]. * Säkerhetskopior: [retention, spärr mot normal användning, återställningshantering och slutlig radering]. * Lagstadgad lagring: [uppgifter, rättslig skyldighet och tidsgräns, om tillämpligt]. * Raderingsbekräftelse och ansvarig: [fyll i]. * Avgränsning mot båtägarens egna uppgifter och delade serviceboksposter: [fyll i]. ## Underskrifter För Kunden: [namn, befattning, datum, underskrift]. För Boat Life AB: [namn, befattning, datum, underskrift]. ## Underlag för juridisk granskning GDPR, särskilt artiklarna 28, 32 till 36 och kapitel V: https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng EU-kommissionens standardklausuler för ansvarig och biträde, beslut 2021/915: https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj/eng IMY om personuppgiftsbiträdesavtal: https://www.imy.se/verksamhet/dataskydd/det-har-galler-enligt-gdpr/personuppgiftsansvariga-och-personuppgiftsbitraden/personuppgiftsbitradesavtal/ Lovables DPA: https://lovable.dev/data-processing-agreement Lovables leverantörsinformation: https://trust.lovable.dev/subprocessors