Personuppgiftsbiträdesavtal

Detta avtal gäller mellan den bostadsrättsförening som använder tjänsten bobrf (“Personuppgiftsansvarig”) och WeFlipped Group AB, org.nr 559535-6857 (“Personuppgiftsbiträde” / “bobrf”). Kontakt: info@bobrf.se.

Avtalet godkänns i medlemsportalen av en behörig styrelserepresentant och utgör ett biträdesavtal enligt artikel 28 GDPR.

bobrf tillhandahåller en webbportal för föreningsadministration. Personuppgifter behandlas endast för att leverera tjänsten: medlems- och lägenhetsregister, kommunikation, bokningar, felanmälan, möten, dokument, ekonomi/avisering och den publika föreningswebbplatsen.

bobrf behandlar inte personuppgifter för egna ändamål utöver drift, säkerhet, support och lagkrav.

Typiskt behandlas:

• Identitetsuppgifter (namn, e-post, telefon)
• Lägenhets- och medlemsuppgifter (lgh-nummer, roll, ägarandel)
• Eventuellt personnummer i hashad form för verifiering (rått personnummer lagras inte)
• Kommunikation (meddelanden, chat, forum, felanmälningar, ansökningar)
• Ekonomiuppgifter kopplade till avgifter och avier
• Tekniska loggar (inloggning, audit, IP i begränsad omfattning)

bobrf anlitar underbiträden för drift. Nuvarande underbiträden:

• Vercel Inc. — hosting och edge-tjänster
• Supabase / PostgreSQL-leverantör — databas
• Resend — utskick av e-post
• Stripe — abonnemangsbetalning (föreningsnivå, ej medlemsavier)

bobrf säkerställer att underbiträden har motsvarande dataskyddsskyldigheter. Byte av underbiträde meddelas via https://bobrf.se eller i portalen när det är väsentligt.

bobrf vidtar lämpliga tekniska och organisatoriska åtgärder: åtkomst begränsad till behöriga användare, kryptering av känsliga hemligheter, HTTPS, rate limiting, auditlogg för styrelseåtgärder, samt RLS- lockdown i databasen. Uppladdade filer serveras via behörighetskontrollerade endpoints.

Personuppgiftsansvarig kan via portalen exportera den egna användarens uppgifter och anonymisera medlemmar. Vid anonymisering bevaras bokföringsrelevant avihistorik (bokföringslagen). Vid avslut av tjänsten raderas eller anonymiseras föreningens data inom skälig tid, med undantag för uppgifter som måste sparas enligt lag.

bobrf underrättar Personuppgiftsansvarig utan onödigt dröjsmål vid personuppgiftsincident som rör föreningens data, så att anmälan till IMY och berörda kan ske i tid.

bobrf följer dokumenterade instruktioner från Personuppgiftsansvarig som ges via portalen eller skriftligen. Personuppgiftsansvarig har rätt att begära information om säkerhetsåtgärder. På plats-revision sker efter överenskommelse och skälig framförhållning.

Avtalet gäller från det att styrelsen godkänner det i portalen och tills tjänsten avslutas eller avtalet ersätts. Vid konflikt mellan detta avtal och användarvillkoren gäller detta avtal för personuppgiftsfrågor.