Personuppgiftsbiträdesavtal

Bilaga 1 till Användarvillkor för Tenny

Personuppgiftsbiträde: SiLeSta AB, org.nr 559578-1591, Berghemsgatan 18, 431 37 Mölndal, support@tenny.app ("SiLeSta")
Personuppgiftsansvarig: Den organisation som har registrerat sig för Tenny och godkänt Användarvillkoren ("Organisationen")
Gäller från och med: 1 augusti 2026 tills vidare

1. Bakgrund

Organisationen använder Tenny enligt Användarvillkoren ("Huvudavtalet"). När SiLeSta tillhandahåller Tenny behandlar SiLeSta personuppgifter för Organisationens räkning. Detta personuppgiftsbiträdesavtal ("Avtalet") reglerar den behandlingen enligt artikel 28 i dataskyddsförordningen (GDPR).

Avtalet är en del av Huvudavtalet och ingås när Organisationen godkänner Användarvillkoren.

2. Parternas roller

Organisationen är personuppgiftsansvarig och SiLeSta är personuppgiftsbiträde för uppgifter kopplade till fastigheten: lägenhetsförteckning, behörighetsroller inom föreningen, resursbokningar, felanmälningar, interna foruminlägg, lokala nyheter samt kontaktuppgifter som Organisationen publicerar på sin portal. En närmare beskrivning finns i Bilaga A.

SiLeSta är själv personuppgiftsansvarig för:

registrering och hantering av användarkonton och inloggningsuppgifter,
teknisk drift, säkerhetsloggar och vidareutveckling av Tenny, inklusive att anonymisera och sammanställa Organisationens uppgifter för statistik och produktutveckling,
direkt kommunikation och supportärenden med SiLeSta,
fakturering och bokföring.

Den behandlingen omfattas inte av Avtalet och beskrivs i SiLeStas integritetspolicy.

Om Organisationen är ett förvaltningsbolag är fastighetsägaren personuppgiftsansvarig, Organisationen personuppgiftsbiträde och SiLeSta underbiträde. Förvaltningsbolaget intygar att fastighetsägaren har godkänt att SiLeSta och SiLeStas underbiträden anlitas. Förvaltningsbolaget för vidare fastighetsägarens instruktioner till SiLeSta.

3. Organisationens ansvar

Organisationen ansvarar för att det finns en rättslig grund för behandlingen och för att informera de registrerade om den.

Administratörer som publicerar information på Organisationens publika portal ansvarar för att inte obehörigen sprida tredje parts personuppgifter.

4. Instruktioner

SiLeSta behandlar personuppgifterna endast enligt Organisationens dokumenterade instruktioner. Instruktionerna framgår av Avtalet och Huvudavtalet. Ytterligare instruktioner lämnas skriftligen till support@tenny.app.

SiLeSta raderar eller ändrar inte Organisationens uppgifter på eget initiativ. Radering och anonymisering enligt standardtiderna i Bilaga A, samt avstängning av konton enligt Huvudavtalet, sker på Organisationens instruktion.

Om SiLeSta enligt lag måste behandla uppgifterna på annat sätt informerar SiLeSta Organisationen innan behandlingen, om det inte är förbjudet enligt lag. Om SiLeSta anser att en instruktion strider mot dataskyddslagstiftningen informerar SiLeSta Organisationen omedelbart.

5. Innehåll som användarna lägger in

SiLeSta lagrar innehåll, till exempel text och bilder i felanmälningar och foruminlägg, så som användarna lämnar det och granskar det inte. Användarna bestämmer själva vad de publicerar.

Tenny är inte avsett för känsliga personuppgifter, till exempel uppgifter om hälsa, och användarna bör undvika att dela sådana uppgifter. Om sådana uppgifter ändå förekommer hanteras de enligt Organisationens instruktioner.

6. Sekretess

SiLeSta ser till att de personer som behandlar personuppgifterna har förbundit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt.

7. Säkerhet

SiLeSta vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna. Åtgärderna beskrivs i Bilaga B.

8. Personuppgiftsincidenter

Vid en personuppgiftsincident som rör Organisationens uppgifter underrättar SiLeSta Organisationen utan onödigt dröjsmål.

Organisationen anmäler vid behov incidenten till Integritetsskyddsmyndigheten (IMY). SiLeSta bistår Organisationen med den information som behövs.

9. De registrerades rättigheter

Begäranden från registrerade som avser Organisationens uppgifter, till exempel om tillgång eller radering, vidarebefordras till Organisationen. SiLeSta bistår Organisationen så att den kan besvara begäran.

10. Annan hjälp till Organisationen

SiLeSta bistår Organisationen med att fullgöra dess skyldigheter när det gäller säkerhet, personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd med IMY, med hänsyn till behandlingens art och den information SiLeSta har tillgång till.

11. Underbiträden

Organisationen godkänner att SiLeSta anlitar de underbiträden som anges i Bilaga C.

SiLeSta meddelar Organisationen 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Organisationen får invända mot ändringen. Om invändningen inte kan lösas får Organisationen i sista hand säga upp Huvudavtalet.

SiLeSta ålägger varje underbiträde samma skyldigheter som i detta Avtal och ansvarar gentemot Organisationen för underbiträdets behandling.

12. Överföring till länder utanför EU/EES

Personuppgifterna lagras och behandlas i första hand inom EU/EES. Vissa underbiträden behandlar uppgifter utanför EU/EES, se Bilaga C. Sådana överföringar sker endast med stöd av giltiga överföringsmekanismer, såsom EU-kommissionens standardavtalsklausuler.

13. Insyn och revision

SiLeSta ger Organisationen tillgång till den information som behövs för att visa att Avtalet följs, och möjliggör och bidrar till granskningar, inklusive inspektioner, som genomförs av Organisationen eller av en granskare som Organisationen utser.

Revision får genomföras högst en gång per år och ska meddelas minst 30 dagar i förväg. Den som genomför revisionen ska vara bunden av sekretess. Organisationen står för sina egna kostnader för revisionen.

SiLeSta får ta skäligt betalt för hjälp enligt punkt 9 och 10 som går utöver normal support.

14. Lagring

Uppgifterna sparas enligt Organisationens instruktioner. Om Organisationen inte har instruerat något annat gäller standardtiderna i Bilaga A.

15. När Huvudavtalet upphör

När Huvudavtalet upphör väljer Organisationen om personuppgifterna ska lämnas ut eller raderas. Vilka uppgifter som kan exporteras, och inom vilka tider, framgår av Huvudavtalets bestämmelser om byte av leverantör.

Därefter raderar SiLeSta uppgifterna. Säkerhetskopior skrivs över inom 30 dagar. Uppgifter sparas längre endast om lag kräver det.

16. Avtalstid

Avtalet gäller så länge SiLeSta behandlar personuppgifter för Organisationens räkning.

17. Företräde

Om Avtalet och Huvudavtalet strider mot varandra i en dataskyddsfråga gäller Avtalet. Ansvarsbegränsningen i Huvudavtalet punkt 16 (Ansvar och ansvarsbegränsning) gäller även för detta Avtal.

18. Ändringar, tillämplig lag och tvister

Ändringar av Avtalet görs enligt Huvudavtalets bestämmelser om villkorsändringar. Svensk lag gäller för Avtalet. Tvister avgörs på det sätt som anges i Huvudavtalet.

Bilaga A – Beskrivning av behandlingen

Ändamål: Att tillhandahålla Tenny till Organisationen och dess boende: resursbokning, felanmälan, forum samt nyheter och kontaktuppgifter på Organisationens portal.
Behandlingens art: Lagring, visning för behöriga användare, publicering av innehåll som Organisationen markerar som offentligt, säkerhetskopiering och radering.
Kategorier av registrerade: Boende i Organisationen; Organisationens administratörer; kontaktpersoner som Organisationen publicerar, till exempel styrelserepresentanter.
Kategorier av personuppgifter: Namn och e-postadress; lägenhetsnummer, trapphus/byggnad och placering inom fastigheten; behörighetsroller inom föreningen; bokningar (resurs, tidpunkt och bokningsstatus); felanmälningar (problembeskrivning, kategori, status och bifogade bilder); foruminlägg (trådar, meddelanden och tidsstämplar); nyheter och kontaktuppgifter som Organisationen publicerar.
Plats för behandlingen: Sverige, EU och USA, se Bilaga C.
Varaktighet: Så länge SiLeSta behandlar uppgifterna, inklusive tiden för uthämtning efter att avtalet upphört.

Standardtider för lagring (gäller om Organisationen inte har instruerat något annat):

Uppgifter	Standardtid
Bokningar	24 månader efter genomförd bokning.
Felanmälningar och bilder	24 månader efter att ärendet har markerats som åtgärdat och stängt.
Foruminlägg när ett konto avslutas	Text och bilder raderas 30 dagar efter att kontot har avslutats.
Bokningar och felanmälningar när ett konto avslutas	Fritext och bilder raderas 30 dagar efter att kontot har avslutats. Övriga uppgifter sparas enligt standardtiderna ovan.
Nyheter och kontaktuppgifter	Tills en administratör raderar eller ändrar dem.
Säkerhetskopior	Skrivs över efter 30 dagar.

Bilaga B – Säkerhetsåtgärder

Kryptering: All datatrafik krypteras via TLS/HTTPS, och lösenord hashas med starka kryptografiska algoritmer.
Åtkomstkontroll: Strikt rollbaserad behörighetsstyrning och dataseparering mellan olika anslutna organisationer.
Sessioner: Tidsbegränsade inloggningssessioner med säkra tokens.
Säkerhetskopior och rutiner: Dagliga krypterade säkerhetskopior och rutiner för incidenthantering.
Drift: Serverinfrastruktur, databasdrift och krypterad fillagring hos GleSYS AB i Sverige.

Bilaga C – Underbiträden

Underbiträde	Uppgift	Plats
GleSYS AB	Serverinfrastruktur, databasdrift och krypterad fillagring	Sverige
Brevo (Sendinblue SAS)	Transaktionella e-postutskick, t.ex. inbjudningar, verifieringskoder och aviseringar	EU (Frankrike)
Google LLC (Firebase Cloud Messaging)	Leverans av pushnotiser till mobilappen	USA
Apple Inc. (Apple Push Notification service)	Leverans av pushnotiser till iPhone	USA
Grafana Labs (Grafana Cloud)	Övervakning och lagring av tekniska loggar	EU (Sverige)