Personuppgiftsbiträdesavtal

Mellan förskolan och 4V3D OÜ, för grupptjänsten i Minute Mission. Version 1.0, 23 september 2026.

Det här är en svensk översättning av avtalet. Avtalet är också publicerat på engelska och estniska, och det är de två texterna som gäller mellan parterna. Om översättningen och den engelska texten skiljer sig åt är det den engelska texten som avgör.

Så här ingår ni avtalet

Två sätt, med samma verkan.

• I kassan. Kryssa i rutan där ni godkänner det här avtalet, version 1.0. Version och datum noteras på ert konto, en kopia av exakt den text ni godkände mejlas till er, och den finns kvar på ert konto.
• På papper, om er organisation behöver en underskrift. Be oss om det på info@4v3d.ee, så skickar vi samma text som ett dokument med en tabell för era uppgifter. Skriv under det elektroniskt (en kvalificerad underskrift enligt eIDAS, DocuSign, Adobe Sign eller ert eget nationella system) och skicka tillbaka det. 4V3D OÜ skriver under samma fil och returnerar den. Avtalet träder i kraft den dag den sista av de två underskrifterna görs.

Personuppgiftsbiträde: 4V3D OÜ, organisationsnummer 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estland. Företrädare: Oskar Viil, styrelseledamot. Kontakt: info@4v3d.ee.

1. Vad avtalet omfattar

Förskolan (personuppgiftsansvarig) använder Minute Mission, en webbapplikation som drivs av 4V3D OÜ (personuppgiftsbiträde), där en pedagog håller en tavla över gruppens uppdrag och belöningar. För att göra det behandlar 4V3D OÜ de personuppgifter som beskrivs i bilaga II för förskolans räkning och enligt förskolans instruktioner.

Det här avtalet innehåller allt det som artikel 28.3 i dataskyddsförordningen, och i UK GDPR, kräver ska avtalas skriftligen mellan en personuppgiftsansvarig och ett personuppgiftsbiträde. Det gäller oavsett om förskolan är etablerad inom EES eller i Storbritannien.

2. Vilken lag som gäller för er

• En förskola inom EES. Dataskyddsförordningen gäller. Även avsnitt 3 gäller.
• En förskola i Storbritannien. UK GDPR och Data Protection Act 2018 gäller. Hänvisningar nedan till dataskyddsförordningen läses som hänvisningar till UK GDPR, hänvisningar till en tillsynsmyndighet läses som Information Commissioner, och avsnitt 3 gäller inte.
• En förskola någon annanstans. Er egen dataskyddslagstiftning gäller för er, och de här villkoren binder 4V3D OÜ avtalsrättsligt. 4V3D OÜ är etablerat i Europeiska unionen och är därför bundet av dataskyddsförordningen för den här behandlingen i vilket fall. Ingenting här inskränker en rättighet som er egen lag ger er.

3. Europeiska kommissionens standardavtalsklausuler

Om förskolan är etablerad inom EES tillämpar parterna standardavtalsklausulerna mellan personuppgiftsansvariga och personuppgiftsbiträden i bilagan till kommissionens genomförandebeslut (EU) 2021/915, i deras officiella engelska lydelse. Klausulerna utgör en del av det här avtalet och bilagorna nedan är klausulernas bilagor. Klausul 5 (anslutning) gäller inte. I klausul 7.7 gäller alternativ 2: allmänt skriftligt godkännande av underbiträden, med 30 dagars varsel vid varje förändring. Om klausulerna och det här avtalet säger olika saker har klausulerna företräde.

4. Vad var och en åtar sig

4V3D OÜ ska:

• Behandla personuppgifterna endast för att tillhandahålla tjänsten och endast enligt förskolans dokumenterade instruktioner, även i fråga om överföringar till tredjeland. Det här avtalet och förskolans användning av tjänsten är de instruktionerna. Om 4V3D OÜ enligt unionsrätt eller en medlemsstats lag måste behandla uppgifterna på annat sätt, meddelar bolaget förskolan först, om inte den lagen förbjuder det.
• Aldrig använda uppgifterna för egna ändamål, aldrig sälja dem, aldrig använda dem för att träna någonting och aldrig visa dem för någon utanför de underbiträden som anges i bilaga IV.
• Se till att alla som har åtkomst omfattas av sekretess.
• Upprätthålla säkerhetsåtgärderna i bilaga III och inte försvaga dem.
• Endast anlita underbiträdena i bilaga IV. 4V3D OÜ får lägga till eller byta ut ett underbiträde och lämnar då först skriftligt besked 30 dagar i förväg till förskolans kontaktperson. Förskolan får invända inom dessa 30 dagar; om invändningen inte kan lösas får förskolan avsluta tjänsten och får tillbaka betalningen för den outnyttjade delen av månaden.
• Hjälpa förskolan att besvara en begäran från en vårdnadshavare eller en anställd. Pedagoger och rektor kan redan själva se, rätta, exportera och radera de här uppgifterna i tjänsten. Om en begäran i stället kommer till 4V3D OÜ vidarebefordras den till förskolans kontaktperson inom fem arbetsdagar och besvaras inte direkt.
• Hjälpa förskolan med dess skyldigheter enligt artiklarna 32 till 36 (säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar, förhandssamråd), med hänsyn till vad 4V3D OÜ faktiskt känner till.
• Underrätta förskolans kontaktperson om en personuppgiftsincident inom 24 timmar från det att bolaget fått kännedom om den, med det som är känt då och resten efter hand som det klarnar.
• När tjänsten upphör, radera uppgifterna inom 30 dagar, eller lämna tillbaka dem först om förskolan begär det. De försvinner ur de krypterade säkerhetskopiorna inom 90 dagar. 4V3D OÜ bekräftar skriftligt när de är borta.
• Göra den information tillgänglig som behövs för att visa att skyldigheterna är uppfyllda, och tillåta en granskning. I praktiken innebär det skriftliga svar och dokumentation på begäran. En granskning på plats eller genom tredje part kan ordnas med 30 dagars varsel, på förskolans bekostnad, högst en gång om året om det inte har inträffat en incident.
• Genast säga till förskolan om en instruktion verkar strida mot dataskyddslagstiftningen.

Förskolan ska:

• Se till att den har en rättslig grund för behandlingen och att vårdnadshavarna har informerats. 4V3D OÜ träffar inte vårdnadshavarna och kan inte göra det åt er.
• Hålla uppgifterna i tjänsten inom det som bilaga II beskriver. Skriv i synnerhet aldrig in ett barns efternamn, hälsouppgifter, en bedömning av ett barn eller något om en familjs förhållanden i ett fritextfält.
• Hålla sina egna kontouppgifter korrekta och säga till 4V3D OÜ när kontaktpersonen byts ut.
• Sköta sina egna personalkonton: ta bort en pedagogs inloggning när den pedagogen slutar.

5. Två saker som inte är behandling för er räkning

Sagt rakt ut här, så att ingen behöver gissa senare.

• Personalkonton. En pedagogs eller rektors namn, e-postadress och lösenord behövs för att tjänsten ska fungera över huvud taget, och det är 4V3D OÜ som bestämmer hur tjänsten drivs. För det snäva ändamålet är 4V3D OÜ personuppgiftsansvarig, inte personuppgiftsbiträde, och bolagets egen integritetspolicy gäller. Allt som rör barnen är behandling för förskolans räkning och omfattas av det här avtalet.
• Betalningen. Om förskolan betalar med kort hanteras betalningen av Stripe Payments Europe Ltd. Stripe får förskolans faktureringsnamn, adress, momsnummer, e-postadress och kortuppgifter, och inga uppgifter om något barn. 4V3D OÜ är personuppgiftsansvarig för de faktureringsuppgifterna. Stripe är därför inte ett underbiträde enligt det här avtalet och finns inte med i bilaga IV.

6. Giltighetstid, tillämplig lag och ansvar

Det här avtalet gäller så länge 4V3D OÜ behandlar förskolans uppgifter, och fortsätter att gälla efter att tjänsten upphört fram till dess att uppgifterna är raderade.

Estnisk rätt gäller, och domstolarna i Harju län är behöriga, om inte förskolan är ett offentligt organ vars egna regler kräver dess nationella rätt och domstolar, och parterna i så fall kommer överens om det i stället innan de skriver under.

Ansvaret regleras i användarvillkoren för Minute Mission, som det här avtalet kompletterar och inte ersätter.

Bilaga I. Parterna

Personuppgiftsansvarig: förskolan, identifierad genom de uppgifter den lämnar i kassan eller fyller i i det undertecknade exemplaret. Roll: personuppgiftsansvarig för barnens uppgifter på grupptavlan.

Personuppgiftsbiträde: 4V3D OÜ, organisationsnummer 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estland. Kontakt: Oskar Viil, styrelseledamot, info@4v3d.ee. Något dataskyddsombud är inte utsett, eftersom dataskyddsförordningen inte kräver det här.

Var och en av parterna får byta kontaktperson genom skriftligt meddelande till den andra.

Bilaga II. Beskrivning av behandlingen

Bilaga III. Säkerhetsåtgärder

• Uppgifterna finns i Europeiska unionen. Applikationen och dess säkerhetskopior körs i Hetzner Online GmbH:s datacenter i Helsingfors, Finland (certifierat enligt ISO/IEC 27001). E-post från tjänsten skickas från Scaleway SAS i Frankrike. Det sker ingen överföring till tredjeland.
• Allt som skickas är krypterat (HTTPS, med en Content Security Policy på plats). Lösenord lagras aldrig, bara en hash av dem, och sessionstoken lagras också hashade, så en kopia av databasen är inte en uppsättning fungerande nycklar.
• Varje grupp är ett eget konto. En pedagog ser bara barnen i sin egen grupp. Rektor har en inloggning för sina egna grupper och ingen åtkomst till någon annans.
• Foton går inte att ladda upp till ett gruppkonto, push-aviseringar är avstängda, och barnens bilder är låsta till en uppsättning teckningar.
• Dagliga krypterade säkerhetskopior, som sparas 14 dagar på servern och 90 dagar utanför den. De är krypterade med en publik nyckel som servern själv inte har, så servern kan inte läsa sina egna säkerhetskopior. Återställning från en säkerhetskopia har testats.
• Åtkomsten till servern är begränsad till styrelseledamoten i 4V3D OÜ. Det finns ingen anställd, konsult eller supportperson med åtkomst.
• Ingen analys, inga annonsverktyg och ingen spårning av något slag. Den enda löpande rapporteringen är en daglig räkning av registreringar, aktiva konton och fel, och den innehåller inga namn.
• Begränsning av antalet försök vid inloggning och registrering, och en gräns på 30 dagar för hur långt tillbaka ett uppdrag kan kryssas av, så att ett misstag eller ett missbruk inte kan skriva om flera månaders historik.
• En skriftlig säkerhetsgranskning av hela källkoden har gjorts två gånger av en utomstående modell, senast den 20 september 2026, och dess iakttagelser är åtgärdade.

Bilaga IV. Underbiträden

Båda finns i Europeiska unionen. Det finns inget underbiträde utanför EU, och ingen internationell överföring att bedöma.