1. Parter
Personuppgiftsansvarig: Verkstaden som använder Odenic, [FYLLS I: namn, org.nr].
Personuppgiftsbiträde: [FYLLS I: juridiskt företagsnamn, org.nr, adress] ("Odenic").
2. Syfte och omfattning
Avtalet reglerar Odenics behandling av personuppgifter för Verkstadens räkning vid tillhandahållande av tjänsten Odenic enligt artikel 28 i dataskyddsförordningen (GDPR). Behandlingens art, ändamål, kategorier och varaktighet framgår av Bilaga 1.
3. Instruktioner
Odenic behandlar personuppgifter endast enligt Verkstadens dokumenterade instruktioner, vilka utgörs av detta avtal, användarvillkoren och Verkstadens användning av tjänstens funktioner. Odenic informerar Verkstaden om en instruktion enligt Odenics mening strider mot dataskyddsregler.
4. Sekretess
Personer hos Odenic som behandlar personuppgifterna omfattas av sekretess. Åtkomst begränsas till vad som krävs för drift, support och felsökning; plattformsadministratörer har inte rutinmässig åtkomst till kundvideor eller kunduppgifter.
5. Säkerhet (artikel 32)
Implementerade åtgärder per dokumentets datum:
- Krypterad överföring (HTTPS).
- Separation mellan verkstäder och rollbaserad åtkomstkontroll på databasnivå.
- Privat fillagring med tidsbegränsade åtkomstlänkar.
- Slumpmässiga, återkallningsbara kundrapportlänkar; hashade inbjudningstoken.
- Granskningsloggar för behörighets- och statusändringar.
[FYLLS I: bekräfta kryptering i vila, säkerhetskopiering och återställning hos underbiträden]
6. Underbiträden
Verkstaden ger ett allmänt förhandsgodkännande till att Odenic anlitar underbiträdena nedan. Odenic informerar om planerade ändringar i förväg och Verkstaden kan invända. [FYLLS I: varseltid och invändningsförfarande]
- Supabase Inc. – databas, fillagring, inloggning. [FYLLS I: region]
- Google LLC / Google Cloud (Gemini API) – AI-analys av video, PDF och text.
- 46elks AB – SMS-utskick.
- Lovable – applikationsdrift och e-postutskick (med Cloudflare som infrastruktur).
Odenic ingår avtal med underbiträden med motsvarande skyldigheter. Överföring till tredje land sker endast med stöd av kapitel V GDPR. [FYLLS I: överföringsmekanism per underbiträde]
7. Registrerades rättigheter
Odenic bistår Verkstaden med lämpliga åtgärder för att besvara begäranden från registrerade och vidarebefordrar utan dröjsmål begäranden som kommer direkt till Odenic. I dag kan Verkstaden själv se och ändra kund- och fordonsuppgifter i tjänsten; export och radering av samtliga uppgifter om en kund utförs efter begäran till Odenic. [FYLLS I: rutin och svarstid]
8. Personuppgiftsincidenter
Odenic underrättar Verkstaden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident, med den information som krävs enligt artikel 33.3. [FYLLS I: maximal tid, t.ex. inom 48 timmar, och kontaktväg]
9. Bistånd
Odenic bistår Verkstaden vid konsekvensbedömningar och förhandssamråd i den mån det rimligen krävs, med hänsyn till behandlingens art och tillgänglig information.
10. Revision
Odenic tillhandahåller den information som krävs för att visa att skyldigheterna i artikel 28 fullgörs och möjliggör granskning. [FYLLS I: former, frekvens och kostnadsfördelning]
11. Avtalets upphörande
När avtalet upphör ska Odenic, enligt Verkstadens val, återlämna och/eller radera personuppgifterna, om inte lag kräver fortsatt lagring. En automatiserad rutin för export och radering finns ännu inte; hantering sker manuellt. [FYLLS I: tidsfrist för radering och exportformat]
12. Ansvar och giltighet
Avtalet gäller så länge Odenic behandlar personuppgifter för Verkstadens räkning. [FYLLS I: ansvarsfördelning och förhållande till huvudavtalet]
Bilaga 1 – Behandlingens omfattning
Ändamål
Hantera serviceordrar, inspektionsvideor, AI-stödda sammanfattningar och förklaringar, offerter, kundrapporter, kundbeslut och SMS till Verkstadens kunder.
Kategorier av registrerade
- Verkstadens kunder och fordonsägare.
- Personer som av misstag syns eller hörs i videor.
Kategorier av personuppgifter
- Namn, telefonnummer, anteckningar.
- Registreringsnummer och fordonsuppgifter.
- Videor (bild och tal), AI-sammanfattningar, offerter, rapporter.
- Kundbeslut, namn vid bekräftelse, tidpunkter, SMS-leveransstatus.
Känsliga personuppgifter ska inte behandlas i tjänsten.
Behandlingens art
Insamling, lagring, strukturering, AI-analys, visning, överföring till kund via länk och SMS, samt radering.
Varaktighet och lagring
Under avtalstiden. Kundrapportlänkar gäller 14 dagar; övrig gallring är inte fastställd. [FYLLS I: gallringstider]