UTKAST — väntar på juridisk granskning
Den här sidan innehåller platshållartext och är ännu inte juridiskt bindande. Den inväntar granskning och godkännande av juridiskt ombud innan den träder i kraft.
Personuppgiftsbiträdesavtal
Detta personuppgiftsbiträdesavtal ("avtalet") ingås mellan kursarrangörsorganisationen (personuppgiftsansvarig) och Kursio (personuppgiftsbiträde) och reglerar Kursios behandling av personuppgifter för organisationens räkning enligt artikel 28 i GDPR.
Version: 2026-06-09
1. Parter och roller
Organisationen som arrangerar kurser via Kursio är personuppgiftsansvarig för sina deltagares personuppgifter. Kursio är personuppgiftsbiträde och behandlar personuppgifter endast enligt dokumenterade instruktioner från den personuppgiftsansvarige, i enlighet med detta avtal.
2. Behandlingens föremål, varaktighet, art och ändamål
Behandlingen omfattar administration av kursregistreringar: mottagande av anmälningar, fakturering, närvaroregistrering, utfärdande av intyg och kursutvärdering. Behandlingen pågår så länge organisationen har ett konto hos Kursio och därefter under de lagringstider som anges i avsnitt 7.
3. Kategorier av registrerade och personuppgifter
Registrerade: kursdeltagare samt organisationens egna användare. Personuppgifter: namn, e-postadress, telefonnummer, arbetsgivare, faktureringsuppgifter samt — för legitimerad vårdpersonal — legitimationsnummer, specialitet och närvaro-/fortbildningsuppgifter (uppgifter som behandlas med stöd av artikel 9.2 h GDPR, yrkesmedicinska/hälso- och sjukvårdsändamål).
4. Biträdets skyldigheter (artikel 28.3)
Kursio ska: endast behandla personuppgifter enligt dokumenterade instruktioner; säkerställa att personer med behörighet att behandla uppgifterna omfattas av tystnadsplikt; vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder (artikel 32); respektera villkoren för anlitande av underbiträden; bistå den ansvarige med att besvara registrerades begäranden och med skyldigheterna enligt artiklarna 32–36; radera eller återlämna uppgifterna när behandlingen avslutas; samt ge den ansvarige tillgång till den information som krävs för att visa att skyldigheterna fullgörs och möjliggöra granskningar.
5. Underbiträden
Kursio anlitar följande underbiträden för behandlingen. Organisationen lämnar ett allmänt förhandstillstånd till dessa. Vid förändringar i listan publiceras en ny avtalsversion och organisationen uppmanas att granska den på nytt; organisationen har rätt att invända mot ett nytt underbiträde.
| Underbiträde | Ändamål | Uppgiftskategorier | Region |
|---|---|---|---|
| Supabase | Databas, autentisering och fillagring | Samtliga uppgiftskategorier i avsnitt 3 | EU |
| Resend | Utskick av transaktionsmejl | Namn, e-postadress, mejlinnehåll | EU/US |
| Stripe | Abonnemangs- och kursfakturering (Kursios egen fakturering av organisationen) | Organisationens faktureringsuppgifter | EU/US |
| Vercel | Applikationsdrift och innehållsleverans | Samtliga uppgifter som passerar applikationen | EU/Global |
| Sentry | Felövervakning (samtyckesstyrd i webbläsaren) | Tekniska feldata; IP-adress | EU |
| Upstash | Distribuerad trafikbegränsning (Redis) | IP-adresser och tillfälliga räknare | EU |
Om organisationen invänder mot ett nytt underbiträde och ingen rimlig lösning kan nås har organisationen rätt att säga upp tjänsten.
6. Instruktion om direkt hantering av registrerades begäranden
Den personuppgiftsansvarige instruerar och bemyndigar härmed Kursio att ta emot och tillgodose registrerades (deltagares) begäranden om tillgång, rättelse, radering, dataportabilitet och begränsning direkt via Kursios självbetjäningsgränssnitt, utan att varje enskild begäran först måste godkännas av den ansvarige. Instruktionen gäller med förbehåll för de lagstadgade undantag som anges i avsnitt 7 (bland annat bokföringslagens krav på bevarande av fakturaunderlag). En organisation som inte har accepterat den aktuella avtalsversionen har inte lämnat denna instruktion.
7. Lagring och lagstadgade undantag
Personuppgifter gallras enligt organisationens lagringsinställningar. Fakturaunderlag bevaras i sju år enligt bokföringslagen och undantas från radering. Intygsverifikationer bevaras som fortbildningsbevis under en separat angiven period. Undantagen gäller även vid en begäran om radering.
8. Tillsynsmyndighet
Tillsynsmyndighet är Integritetsskyddsmyndigheten (IMY). Registrerade har rätt att lämna in klagomål till IMY.