Personuppgiftsbiträdesavtal
Avtalet gäller mellan Kunden och M Martinsson AB när Kunden använder Signatum, och är en del av användarvillkoren. Det uppfyller kraven i artikel 28 i dataskyddsförordningen (EU) 2016/679.
1. Parter och roller
Kunden, den organisation som har beställt Signatum, är personuppgiftsansvarig. M Martinsson AB, org.nr 556963-7548 (”Biträdet”), är personuppgiftsbiträde för de personuppgifter som behandlas i Kundens ärenden.
Kunden ansvarar för att det finns en rättslig grund för behandlingen och för att undertecknarna och avsändarna får information om den. Biträdet behandlar personuppgifterna bara för Kundens räkning.
2. Behandlingen
| Föremål och ändamål | Att skicka dokument för elektronisk underskrift, ta emot och bevisa underskrifterna, och lämna tillbaka de underskrivna dokumenten med bevisbilaga till Kunden. |
|---|---|
| Behandlingens art | Lagring, utskick av e-post med länkar, registrering av passkeys, förande av händelsekedja med tidsstämplar, sammanställning av bevisbilaga, export och radering. |
| Personuppgifter |
|
| Kategorier av registrerade | Kundens avsändare och de personer som Kunden ber skriva under, samt personer som nämns i dokumenten. |
| Känsliga uppgifter | Biträdet efterfrågar inga särskilda kategorier av personuppgifter. Om dokumenten innehåller sådana är de krypterade och oläsbara för Biträdet; Kunden ansvarar för att det är tillåtet att skicka dem. |
| Varaktighet | Så länge avtalet gäller och därefter till raderingen enligt avsnitt 10. Dokumenten finns hos Biträdet tills ärendet är hämtat eller har förfallit. Personuppgifterna i händelsekedjan gallras tio år efter ärendets sista händelse. |
| Var | Inom EU/EES. Om överföring till tredje land, se avsnitt 6. |
3. Instruktioner
Biträdet behandlar personuppgifterna bara enligt Kundens dokumenterade instruktioner. Instruktionerna är detta avtal, användarvillkoren och de val Kunden gör i tjänsten, till exempel vilka som ska skriva under och om ett ärende ska gallras. Det gäller även överföring till tredje land, om inte unionsrätten eller svensk rätt kräver annat; i så fall informerar Biträdet Kunden innan behandlingen, om inte lagen förbjuder det.
Biträdet meddelar Kunden omedelbart om Biträdet anser att en instruktion strider mot dataskyddsförordningen eller annan dataskyddslagstiftning.
4. Sekretess
Den som arbetar för Biträdet och har tillgång till personuppgifterna har förbundit sig att hålla dem hemliga eller omfattas av lagstadgad tystnadsplikt.
5. Säkerhet
Biträdet vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32, bland annat:
- dokumenten och ritade namnteckningar krypteras i webbläsaren med AES-256; nyckeln finns bara i länken och hos avsändaren, aldrig på servern,
- underskrifter bekräftas med passkey (WebAuthn) och med mottagarens egen länk, så att servern inte ensam kan skapa en underskrift,
- varje händelse förs in i en kedja av kontrollsummor som inte går att skriva om utan att det märks, och kedjan tidsstämplas varje natt hos två oberoende tidsstämpeltjänster (RFC 3161),
- varje kunds uppgifter hålls åtskilda, och varje fråga mot databasen är begränsad till kunden,
- krypterade nattliga säkerhetskopior av databasen; dokumenten ingår inte,
- servern administreras bara över en krypterad förbindelse med nycklar; inloggning med lösenord och som root är avstängd; säkerhetsuppdateringar installeras automatiskt,
- e-post med länkar skickas från Biträdets egen e-postserver i Sverige, som inte sparar levererad post,
- inga åtkomstloggar, och adresser med nycklar maskeras i felloggen; driftloggar sparas högst 90 dagar.
6. Underbiträden
Kunden ger genom avtalet ett allmänt förhandsgodkännande av att Biträdet anlitar underbiträden. Kunden godkänner följande:
| Underbiträde | Uppgift | Land |
|---|---|---|
| HostUp AB | servern som Signatum körs på och servern som vidarebefordrar e-post (mx1) | Sverige |
| Hetzner Online GmbH | lagring av den krypterade säkerhetskopian; Hetzner kan inte läsa innehållet | Finland |
| DigiCert Inc | tidsstämpel (RFC 3161); får bara en kontrollsumma av kedjan | USA |
| SSL.com | tidsstämpel (RFC 3161); får bara en kontrollsumma av kedjan | USA |
| deSEC e.V. | DNS för certifikat; inga personuppgifter | Tyskland |
| Loopia AB | domännamn och DNS; inga personuppgifter | Sverige |
| Tailscale Inc. | krypterad driftförbindelse till servern; Tailscale ser inte innehållet | koordinering från USA |
Biträdet meddelar Kunden med e-post minst 30 dagar innan ett underbiträde läggs till eller byts. Kunden kan invända inom den tiden. Kan parterna inte enas får Kunden säga upp avtalet utan kostnad till dagen för ändringen.
Biträdet ingår skriftliga avtal som ger samma skydd som detta avtal med de underbiträden som behandlar personuppgifter för Kundens räkning, och ansvarar mot Kunden för underbiträdenas behandling.
Till DigiCert och SSL.com skickas bara kontrollsummor, som inte är personuppgifter, så inga av Kundens personuppgifter förs över till USA. Tailscale behandlar bara uppgifter om Biträdets egna servrar och administratörer, med stöd av EU-kommissionens standardavtalsklausuler. Skulle Kundens personuppgifter i framtiden behöva föras över till ett land utanför EU/EES meddelas det som ett byte av underbiträde, och överföringen sker då med stöd av ett beslut om adekvat skyddsnivå eller standardavtalsklausuler.
7. Hjälp med de registrerades rättigheter
Biträdet hjälper Kunden att besvara begäranden från registrerade, till exempel om registerutdrag, rättelse eller radering, så långt det är möjligt med hänsyn till behandlingens art. Kommer en begäran direkt till Biträdet vidarebefordrar Biträdet den till Kunden utan onödigt dröjsmål och besvarar den inte själv.
8. Hjälp med säkerhet, incidenter och konsekvensbedömningar
Biträdet hjälper Kunden att fullgöra skyldigheterna i artiklarna 32–36: säkerhet, anmälan av personuppgiftsincidenter till Integritetsskyddsmyndigheten och information till de registrerade, konsekvensbedömning och förhandssamråd, med hänsyn till behandlingens art och den information Biträdet har.
9. Personuppgiftsincidenter
Biträdet meddelar Kunden utan onödigt dröjsmål, och senast inom 24 timmar efter att Biträdet fått kännedom om den, om en personuppgiftsincident som rör Kundens uppgifter. Meddelandet beskriver vad som har hänt, vilka och hur många registrerade och uppgifter som berörs, de troliga följderna och vad Biträdet har gjort och kommer att göra. Uppgifter som inte är kända ännu lämnas så snart de är det.
10. Radering och återlämnande
När avtalet upphör kan Kunden hämta sina underskrivna dokument och få en export av händelsekedjan och tidsstämplarna. Inom 90 dagar efter avtalets slut raderar Biträdet alla personuppgifter som behandlats för Kunden, om inte unionsrätten eller svensk rätt kräver att de sparas. Säkerhetskopiorna gallras inom 12 månader; till dess används de bara för återställning efter fel.
11. Insyn och revision
Biträdet ger Kunden den information som behövs för att visa att skyldigheterna i artikel 28 är uppfyllda, och möjliggör och bidrar till granskningar, inklusive inspektioner, som utförs av Kunden eller av en revisor som Kunden utser. En granskning aviseras minst 30 dagar i förväg, görs under kontorstid utan att störa andra kunders säkerhet, och den som granskar ska vara bunden av tystnadsplikt. Kunden står för sina egna kostnader för granskningen.
12. Ansvar
För ansvaret mellan parterna gäller ansvarsbegränsningen i användarvillkoren. Den begränsar inte de registrerades rätt till ersättning enligt artikel 82 i dataskyddsförordningen.
13. Giltighet och anslutning
Avtalet gäller så länge Kunden använder Signatum, och därefter till dess att raderingen enligt avsnitt 10 är klar. Kunden godkänner avtalet i beställningsformuläret. En kund som redan använder Signatum när avtalet börjar gälla godkänner det genom att skriva under det i Signatum med e-postlänk, eller genom att bekräfta det med e-post till kontakt@signatum.se. Om avtalet och användarvillkoren skiljer sig åt i frågor om personuppgifter gäller detta avtal.
Version 2026-11. Gäller från 2026-11-01.