Vad är ett personuppgiftsbiträdesavtal?
Ett personuppgiftsbiträdesavtal (PUB, eller DPA på engelska) reglerar relationen mellan dig som personuppgiftsansvarig och en leverantör som behandlar personuppgifter å dina vägnar — ett personuppgiftsbiträde.
Avtalet ska bland annat beskriva ändamål, typer av uppgifter, säkerhetsåtgärder och hur biträdet får använda uppgifterna. Det ska vara skriftligt enligt artikel 28.
När behöver du ett PUB?
Du behöver avtal när en leverantör behandlar personuppgifter du ansvarar för, till exempel:
- Google Workspace / Microsoft 365 — e-post och dokument med kunduppgifter
- Mailchimp / Rule — nyhetsbrev med prenumeranters e-post
- Fortnox / Visma — kund- och leverantörsregister
- Stripe — betalningsuppgifter
- HubSpot / Salesforce — CRM med kunddata
Många stora leverantörer har standard-PUB tillgängliga på sin webbplats. Du behöver acceptera eller signera dem — det räcker inte att bara använda tjänsten utan avtal.
Vad ska avtalet innehålla?
Enligt artikel 28 ska biträdesavtalet minst reglera:
- behandlingens art, ändamål och varaktighet
- typer av personuppgifter och kategorier av registrerade
- personuppgiftsansvariges skyldigheter och rättigheter
- att biträdet endast behandlar uppgifter enligt instruktion
- säkerhetsåtgärder och underbiträden
- bistånd vid registerutdrag och incidentanmälan
Skillnad mellan mall och leverantörens avtal
En generisk mall kan fungera som utgångspunkt för mindre leverantörer utan färdigt avtal. För stora aktörer som Google och Fortnox ska du använda deras officiella PUB — inte en egen mall.
Complyo genererar en PUB-mall anpassad till din verksamhet vid onboarding. Med Pro kan du dessutom skapa biträdesavtal per leverantör via den guidade PBA-flödet.
Nästa steg
Lista alla verktyg där kund- eller medarbetaruppgifter lagras. Teckna eller acceptera PUB med varje leverantör. Dokumentera avtalen i er registerförteckning.
Läs mer: registerförteckning, GDPR-checklista.