brikkly.

Brikkly personuppgiftsbiträdesavtal

Version: 1.3 — 2026-10-28

Standardavtal som kundens ägare accepterar elektroniskt i Brikkly för kundens räkning, separat från kundens order. Det gäller från acceptansen för den kund som har accepterat denna version och ersätter tidigare versioner.

Avtalet ska vara accepterat innan kundens webbplats behandlar personuppgifter för kundens räkning. Till dess tar webbplatsen inte emot formulärsvar, bokningar, beställningar, slutkundskonton eller e-post till inkorgen, och en webbplats med formulär, bokningar eller butik kan inte publiceras.

Detta biträdesavtal kompletterar kundens avtal med Brikkly om tjänsten, det vill säga kundens order och Brikklys allmänna villkor för företag (huvudavtalet). Vid motstridighet om behandling av personuppgifter gäller detta biträdesavtal.

1. Parter och roller

Personuppgiftsansvarig: kunden, med de företagsuppgifter som kunden har angett i Brikkly, företrädd av den ägare som accepterar avtalet.
Personuppgiftsbiträde: Pontus Carl Thomas Hultman, som driver Brikkly som enskild näringsverksamhet, kontakt support@brikkly.com; avtalsadress och organisationsuppgift anges i ordern.

Kunden är personuppgiftsansvarig för behandling som kunden bestämmer ändamål och väsentliga medel för. Brikkly är personuppgiftsbiträde när Brikkly behandlar dessa uppgifter för kundens räkning. Vardera parten är själv personuppgiftsansvarig för sin egen avtalsadministration, fakturering, säkerhetsstyrning och rättsliga skyldigheter.

2. Föremål, varaktighet och instruktioner

Brikkly behandlar personuppgifter för att leverera de funktioner kunden använder i tjänsten, exempelvis drift, lagring, åtkomststyrning, publicering, formulärhantering, bokningar, butik, support, felsökning, säkerhetskopiering och radering.

Behandlingen pågår under huvudavtalet och därefter för återlämning, radering och rotation av säkerhetskopior samt den begränsade fortsatta hantering av öppna ärenden och okvitterade underlag som anges i avsnitt 9. Lagkrävda undantag har egna ändamål.

Dokumenterade instruktioner består av detta avtal, huvudavtalet, kundens behöriga konfiguration av tjänstens funktioner och senare skriftliga instruktioner vars avsändare och omfattning kan verifieras. Brikkly ska:

endast behandla personuppgifter enligt dokumenterade instruktioner, även vid överföring till tredje land,
informera kunden före lagkrävd behandling utanför instruktionerna om lagen tillåter det,
omedelbart meddela kunden om en instruktion enligt Brikklys bedömning strider mot tillämplig dataskyddsrätt.

3. Behandlingens innehåll

Fält	Omfattning
Registrerade	Kundens representanter, administratörer och personal; webbplatsbesökare, kontaktpersoner, slutkunder och andra personer vars uppgifter kunden för in.
Personuppgifter	Namn, kontaktuppgifter, inloggningsidentiteter, roller, medlemskap, order-, betalnings-, status- och leveransmetadata samt fält, fritext, filer och publicerat innehåll som kunden väljer att behandla.
Uppgifter utanför standardtjänsten	Personnummer och samordningsnummer, uppgifter om lagöverträdelser, fullständiga kort- eller bankuppgifter, betalningsautentiseringsuppgifter, särskilda kategorier enligt artikel 9 och uppgifter om barn som kräver särskilda skyddsåtgärder ingår inte utan separat skriftlig överenskommelse.
Behandling	Insamling, lagring, strukturering, åtkomst, överföring, visning, säkerhetskopiering, export, rättelse, begränsning och radering i den omfattning funktionen kräver.
Funktioner	De webbplats-, formulär-, kundregister-, boknings-, inkorgs-, butiks- och publiceringsfunktioner som kunden använder.
Gallring	Formulärsvar raderas automatiskt efter den lagringstid kunden ställer in (1–365 dagar, normalt 90). Övriga uppgifter sparas under huvudavtalet och omfattas vid avslut av exportfönstret och bevarandeundantagen i avsnitt 9. Användarkonton och inloggningsidentiteter raderas på begäran. Lagkrävda underlag används endast för det ändamålet.

Uppgifter som kunden publicerar på sin webbplats är fortfarande personuppgifter. Kunden ansvarar för att ha stöd för publiceringen.

En oavsiktlig uppgift i ett fritextfält utvidgar inte automatiskt den avtalade behandlingens omfattning. Kunden ska utan dröjsmål underrätta Brikkly och lämna en lagenlig instruktion om begränsning eller radering. Brikkly ska bistå enligt detta avtal och får begränsa åtkomsten när det krävs för att skydda uppgifterna eller följa lag.

4. Konfidentialitet

Brikkly säkerställer att personer med behörighet till kunddata har åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt och endast får den åtkomst som uppgiften kräver.

5. Säkerhet

Brikkly vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 med hänsyn till risk, teknik, kostnad och behandlingens art. Åtgärderna anges i säkerhetsbilagan i avsnitt 13. Brikkly får ändra dem om skyddsnivån inte sänks.

6. Underbiträden

Kunden lämnar allmänt skriftligt förhandstillstånd till de underbiträden som anges i den versionsstyrda underbiträdeslistan.

Brikkly ska meddela ett planerat nytt eller ersatt underbiträde minst 30 dagar före aktivering och ange tjänst, behandling, plats och tillämplig överföringsmekanism. Kunden får under perioden göra en sakligt motiverad invändning som rör dataskydd. Parterna ska försöka finna en rimlig lösning. Om ingen lösning nås får kunden säga upp endast den berörda funktionen utan avgift från ändringens ikraftträdande. Detta är kundens avtalsenliga påföljd för själva underbiträdesändringen, utan att begränsa rättigheter enligt tvingande lag.

Brikkly ska genom skriftligt avtal ålägga underbiträdet motsvarande relevanta dataskyddsskyldigheter och förblir ansvarigt gentemot kunden för underbiträdets fullgörande enligt artikel 28.

Tjänster som kunden själv ansluter med eget konto, till exempel betalning via Stripe och frakt via Shipmondo, är inte Brikklys underbiträden. Kunden har eget avtal med leverantören, och Brikkly överför de uppgifter tjänsten behöver på kundens instruktion.

7. Registrerades rättigheter

Brikkly ska, med hänsyn till behandlingens art, hjälpa kunden med lämpliga tekniska och organisatoriska åtgärder för skyldigheter enligt artiklarna 12–23. En begäran som kommer direkt till Brikkly ska skickas säkert till kunden utan att Brikkly fattar kundens juridiska beslut, om inte lag kräver annat.

Sökning, export, rättelse, begränsning och radering ska kräva verifierad beställare och exakt avgränsning till kunden och dess uppgifter.

8. Säkerhet, incidenter och konsekvensbedömning

Brikkly ska med hänsyn till behandlingens art och tillgänglig information bistå kunden med skyldigheter enligt artiklarna 32–36.

Kundens incidentkontakt är kundens ägare, via den e-postadress som ägaren har registrerad i Brikkly. En bekräftad eller skäligen misstänkt personuppgiftsincident som berör kunddata ska rapporteras till incidentkontakten utan onödigt dröjsmål. En första rapport ska innehålla tillgänglig information om händelsen, berörda system och uppgifter, sannolika följder, vidtagna eller planerade åtgärder samt kontaktpunkt. Kompletteringar lämnas när fakta verifieras. Brikkly strävar efter att lämna en första rapport inom 24 timmar, så att kunden kan bedöma sin 72-timmarsfrist.

9. Återlämning och radering

När tjänsten avslutas ska Brikkly enligt kundens val:

återlämna kundens personuppgifter i ett strukturerat, maskinläsbart format och därefter radera dem, om kunden begär det hos support@brikkly.com, eller
radera personuppgifterna utan återlämning.

Det ordinarie exportfönstret är 30 kalenderdagar från faktiskt betalt tjänsteslut. Kunden kan begära återlämning både före avslutet och under detta fönster. För en provperiod som aldrig följs av ett abonnemang är exportfönstret 90 kalenderdagar från provslutet. Kontakta support@brikkly.com för att avgränsa uppgifterna och ordna säker återlämning. Dessa frister innebär inte att skyddade uppgifter får raderas eller att ett öppet ärende blir otillgängligt när fönstret stängs.

Automatisk avslutsradering sker tidigast efter det ordinarie 30-dagarsfönstret och får inte förstöra okvitterade underlag eller öppna order, returer och återbetalningar. Nödvändiga kvarvarande underlag ska överlämnas komplett och läsbart med kundens kvittens innan de gallras. En skapad exportfil eller nedladdad CSV är inte kvittens. Ändringar efter en tidigare export ska ingå i den slutliga överlämningen.

Efter tjänsteslut ska fortsatt behandling enligt kundens dokumenterade instruktioner avgränsas till att slutföra eller verifierat överlämna öppna ärenden, återlämna underlag och avsluta kvarvarande ändamål. Kunden kontaktar support@brikkly.com om fortsatt hantering eller utebliven kvittens, även efter exportfönstret.

För närvarande undantas hela webbplatsen från automatisk avslutsradering om order- eller bokningsunderlag finns kvar, även om en order har markerats avslutad. Detta är ett tillfälligt skydd i väntan på avgränsad gallring och verifierad överlämning. Det innebär inte ett färdigt export- eller kvittensflöde eller en garanti om fortsatt ordinarie drift. Övriga uppgifter ska gallras enligt sina ändamål; ett bevarandeundantag ska inte medföra permanent lagring av hela webbplatsen.

Butiken ansvarar för sitt bokföringsarkiv. Brikklys egna fakturor och rättsliga skyldigheter är separata från butikens underlag; ingen generell sjuårsfrist gäller för lokala order eller kundprofiler. Användarkonton och inloggningsidentiteter raderas på begäran. Kopior i säkerhetskopior raderas när kopiorna roteras, senast sju dagar efter raderingen.

Om EU-rätt eller svensk rätt kräver fortsatt lagring utöver kundens instruktioner ska Brikkly begränsa behandlingen till det lagkrävda ändamålet och informera kunden om lagringsgrunden när det är tillåtet.

10. Information och granskning

Brikkly ska göra den information tillgänglig som skäligen krävs för att visa att skyldigheterna enligt artikel 28 fullgörs och möjliggöra granskningar av kunden eller en oberoende revisor som kunden utser.

Parterna får avtala om rimlig framförhållning, sekretess, säker metod, omfattning och kostnadsfördelning. Sådana villkor får inte göra den lagstadgade granskningsrätten verkningslös. Kunden ska undvika att begära åtkomst till andra kunders uppgifter eller säkerhetsinformation som skulle öka risken.

11. Internationella överföringar

Brikkly får endast göra en överföring utanför EU/EES enligt kundens instruktion och en giltig mekanism enligt kapitel V. Tillämplig mekanism för varje underbiträde anges i underbiträdeslistan.

12. Ansvar och registrerades rättigheter

Parternas inbördes ekonomiska ansvar regleras av huvudavtalet (allmänna villkor avsnitt 14) i den utsträckning det är tillåtet enligt lag. Inget ansvarstak eller regressvillkor begränsar registrerades lagstadgade rättigheter, en tillsynsmyndighets befogenheter eller ansvar som inte får begränsas enligt GDPR eller annan tvingande rätt.

13. Säkerhetsbilaga

Följande åtgärder gäller för tjänsten.

Område	Åtgärd
Behörighet	Individuella konton via Microsoft Entra External ID, roller per webbplats med minsta nödvändiga behörighet och återkallande av åtkomst när ett medlemskap tas bort.
Kundisolering	Identitet, kund och resurs kontrolleras vid varje skyddad operation. Isoleringen mellan kunder testas automatiskt.
Överföring	HTTPS för publika tjänster och krypterad anslutning till databasen.
Lagring	Databas och filer lagras krypterade hos leverantören i EU.
Loggning	Driftloggar med begränsat innehåll av personuppgifter; produktionsdiagnostik sparas högst 30 dagar. Lösenord vid slutkunders inloggning skickas krypterat vidare till Microsoft Entra External ID utan att Brikkly sparar dem, och anropens innehåll loggas inte.
Betalning	Betalning sker i leverantörens hostade checkout. Kortnummer, CVC och betalningsautentiseringsuppgifter hanteras aldrig av Brikkly. Betalningshändelser tas emot signerade och behandlas en gång.
Säkerhetskopior	Daglig säkerhetskopiering av databasen hos leverantören; kopiorna roteras efter sju dagar.
Ändringar	Kodgranskning, automatiska tester, versionshantering och kontrollerad driftsättning.
Incident	Identifiering, begränsning, bevarande av bevis, rapport till kunden enligt avsnitt 8 och uppföljning.
Gallring	Automatisk radering av formulärsvar efter kundens lagringstid, radering av kundens uppgifter när webbplatsen raderas och radering av användarkonton på begäran.
Leverantörer	Skriftliga dataskyddsavtal med varje underbiträde, en versionsstyrd underbiträdeslista och 30 dagars förhandsbesked vid ändring.

14. Acceptans och version

Fält	Värde
DPA-version	1.2 — 2026-10-26
Underbiträdeslista	Den version som gäller vid acceptansen
Huvudavtal	Den version av allmänna villkor för företag som gäller vid acceptansen
Accepteras av	Kundens ägare i Brikkly, för kundens räkning, separat från ordern
Acceptansen registrerar	Kundens juridiska namn och organisationsnummer enligt företagsuppgifterna i Brikkly (utan angivet juridiskt namn kundens namn i Brikkly), företrädarens namn, roll och e-postadress, företrädarens användarkonto, tidpunkt, versionen av detta avtal, av underbiträdeslistan och av allmänna villkor. Acceptansen loggas också i Brikklys ändringshistorik. Uppgifterna sparas som de var vid acceptansen och finns kvar om företrädarens användarkonto raderas; då tas endast kopplingen till kontot bort.
Ikraftträdande	Vid acceptansen
Brikklys representant	Pontus Carl Thomas Hultman