Personuppgiftsbiträdesavtal (DPA)

Senast uppdaterad: 2026-05-29

Detta personuppgiftsbiträdesavtal (“DPA”) gäller när Pleddy behandlar personuppgifter som personuppgiftsbiträde för ett lag, en förening, organisation eller annan kampanjansvarig aktör (“Kunden”).

DPA:n gäller tillsammans med Pleddys övriga villkor, avtal, beställningar, testvillkor eller andra överenskommelser mellan Pleddy och Kunden, om sådana finns. Vid konflikt mellan detta DPA och andra villkor ska detta DPA gälla för behandling av personuppgifter där Pleddy agerar personuppgiftsbiträde.

1. Parter

Personuppgiftsansvarig: Kunden, det vill säga det lag, den förening, organisation eller annan aktör som använder Pleddy för att skapa eller administrera en kampanj.

Personuppgiftsbiträde: Pleddy.

Pleddy är för närvarande ett produktnamn och drivs ännu inte av ett registrerat bolag. Till dess att Pleddy förs över till ett registrerat bolag ingås detta DPA med den person som ansvarar för Pleddy:

Ansvarig person för Pleddy: Jesper Davidsson
Kontakt: [email protected]
Produktnamn: Pleddy

När Pleddy förs över till ett registrerat bolag kan detta DPA överföras till eller ersättas av motsvarande avtal med det registrerade bolaget.

2. Syfte och omfattning

Detta DPA reglerar Pleddys behandling av personuppgifter för Kundens räkning i samband med att Kunden använder Pleddy.

Pleddy behandlar personuppgifter som personuppgiftsbiträde endast i den utsträckning behandlingen sker för Kundens räkning och enligt Kundens instruktioner.

Detta DPA gäller inte behandling där Pleddy själv bestämmer ändamål och medel. För sådan behandling är Pleddy självständigt personuppgiftsansvarig enligt Pleddys integritetspolicy.

3. Behandling där Pleddy är självständig personuppgiftsansvarig

Pleddy är självständigt personuppgiftsansvarig för behandling som Pleddy själv bestämmer ändamål och medel för, till exempel:

• drift och säkerhet av Pleddys plattform,
• teknisk felsökning,
• missbruksförebyggande åtgärder,
• behörighets- och kontohantering,
• support som Pleddy själv ansvarar för,
• samtyckeshantering och cookies,
• produktförbättring,
• övergripande, aggregerad eller anonymiserad statistik,
• Pleddys egna rättsliga skyldigheter,
• hantering av krav, tvister och regelefterlevnad,
• information som Pleddy behöver behandla för att skydda tjänsten, användare eller tredje part.

Sådan behandling regleras inte av detta DPA utan av Pleddys integritetspolicy och tillämplig dataskyddslagstiftning.

4. Kundens ansvar

Kunden är personuppgiftsansvarig för den behandling där Kunden bestämmer ändamål och medel.

Kunden ansvarar för att:

• det finns laglig grund för den behandling som Kunden instruerar Pleddy att utföra,
• berörda personer får den information som krävs enligt dataskyddslagstiftningen,
• personuppgifter som lämnas till Pleddy är korrekta, relevanta och nödvändiga,
• uppgifter om barn, lagbilder, kontaktpersoner, supportrar och annat material får lämnas till Pleddy,
• nödvändiga godkännanden, inklusive vårdnadshavares godkännande där det krävs, finns innan uppgifter eller bilder lämnas till Pleddy,
• personer med skyddad identitet, sekretessmarkering, skyddsbehov eller annan särskild integritetsrisk inte förekommer i material som lämnas till Pleddy, om inte uttryckligt och lämpligt godkännande finns,
• Kundens användning av Pleddy följer dataskyddslagstiftning och andra tillämpliga regler,
• Kundens instruktioner till Pleddy är lagliga, tydliga och möjliga att följa.

Kunden får inte instruera Pleddy att behandla personuppgifter i strid med dataskyddslagstiftning, detta DPA eller Pleddys övriga villkor.

5. Kundens instruktioner

Pleddy behandlar personuppgifter endast enligt dokumenterade instruktioner från Kunden.

Kundens instruktioner består av:

• detta DPA,
• Pleddys övriga villkor, avtal eller överenskommelser med Kunden,
• Kundens användning av Pleddys funktioner,
• Kundens kampanjinställningar och material,
• skriftliga instruktioner som Pleddy uttryckligen godkänner.

Pleddy får vägra att följa en instruktion om Pleddy bedömer att instruktionen är olaglig, tekniskt orimlig, säkerhetsmässigt olämplig, innebär risk för registrerade personer eller ligger utanför Pleddys tjänst.

Om Pleddy bedömer att en instruktion strider mot dataskyddslagstiftning ska Pleddy informera Kunden, om det inte är förbjudet enligt lag.

6. Behandlingens föremål

Behandlingen avser personuppgifter som hanteras i Pleddy för att Kunden ska kunna skapa, visa, administrera och följa upp kampanjer samt tillhandahålla supporter- och belöningsflöden.

Det kan omfatta behandling för att:

• skapa och visa kampanjsidor,
• administrera kampanjinformation,
• hantera supporterflöden,
• hantera donationslöften eller bekräftelser i Pleddy,
• hantera digitala tack eller belöningar,
• skicka nödvändiga meddelanden,
• ge teknisk support,
• felsöka kampanj- eller belöningsflöden,
• skydda tjänsten mot missbruk, spam och tekniska fel,
• tillhandahålla kampanjrelaterad statistik till Kunden.

7. Behandlingens varaktighet

Pleddy behandlar personuppgifter för Kundens räkning så länge det behövs för att tillhandahålla Pleddy till Kunden, genomföra kampanjen, hantera support, hantera belöningar och uppfylla Pleddys skyldigheter enligt detta DPA och övriga avtal.

Om inget annat har avtalats raderas eller anonymiseras supporteruppgifter som inte längre behövs för kampanjen, support, felsökning, säkerhet eller rättsliga krav senast 90 dagar efter avslutad kampanj.

Kampanjstatistik får sparas längre i aggregerad eller anonymiserad form, förutsatt att den inte längre kan kopplas till en identifierbar person.

8. Behandlingens natur och ändamål

Pleddy behandlar personuppgifter genom att samla in, ta emot, lagra, strukturera, visa, överföra, radera, anonymisera och på annat sätt tekniskt hantera uppgifter inom Pleddys tjänst.

Ändamålet är att tillhandahålla Pleddy till Kunden enligt Kundens instruktioner och de avtal eller villkor som gäller mellan parterna.

Pleddy får inte använda personuppgifter som behandlas som personuppgiftsbiträde för egna marknadsföringsändamål.

9. Typ av personuppgifter

De personuppgifter som kan behandlas omfattar, beroende på Kundens användning:

• namn,
• e-postadress,
• kontaktuppgifter till Kundens kontaktperson,
• lagnamn, föreningsnamn eller organisationsnamn,
• kampanjinformation,
• lagbild eller annan bild där personer kan identifieras,
• information om kampanjens ändamål,
• supporter- eller donationsrelaterade uppgifter,
• belöningsval och belöningsstatus,
• tidpunkter för interaktioner,
• teknisk information som IP-adress, webbläsare, enhetstyp och tidsstämpel,
• support- och felsökningsinformation.

Kunden ska inte lämna känsliga personuppgifter till Pleddy om det inte är nödvändigt och uttryckligen överenskommet.

10. Kategorier av registrerade

De registrerade kan omfatta:

• Kundens kontaktpersoner,
• lagledare, tränare eller föreningsrepresentanter,
• personer som syns på lagbilder eller annat kampanjmaterial,
• supportrar,
• donatorer,
• mottagare av digitala tack eller belöningar,
• personer som kontaktar support,
• användare som interagerar med Kundens kampanj.

11. Barn och personer med särskild integritetsrisk

Kunden ansvarar för att det finns nödvändiga godkännanden och laglig grund när personuppgifter om barn behandlas.

Om bilder eller uppgifter om barn lämnas till Pleddy ansvarar Kunden för att vårdnadshavares godkännande finns när sådant krävs och att barnet informeras på ett lämpligt sätt där det är relevant.

Kunden ansvarar för att personer med skyddad identitet, sekretessmarkering, skyddsbehov eller annan särskild integritetsrisk inte förekommer i material som lämnas till Pleddy, om inte uttryckligt och lämpligt godkännande finns.

Pleddy får ta bort eller begränsa material om Pleddy bedömer att det finns integritetsrisk, rättighetsproblem, säkerhetsrisk eller annan olämplig användning.

12. Sekretess

Pleddy ska säkerställa att personer som är behöriga att behandla personuppgifter omfattas av lämplig sekretess eller motsvarande förpliktelse.

Pleddy får endast ge åtkomst till personuppgifter till personer som behöver åtkomsten för att tillhandahålla, supportera, skydda eller administrera Pleddy.

13. Säkerhet

Pleddy ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder med hänsyn till behandlingens art, omfattning, sammanhang, ändamål och risk.

Säkerhetsåtgärder kan omfatta:

• åtkomstkontroller,
• behörighetsstyrning,
• autentisering,
• krypterad trafik,
• loggning,
• säkerhetskopiering där det är relevant,
• tekniska begränsningar mellan olika kunder eller kampanjer där det är relevant,
• skydd mot obehörig åtkomst,
• rutiner för incidenthantering,
• begränsning av åtkomst till personuppgifter.

Pleddy får ändra sina säkerhetsåtgärder över tid, förutsatt att den övergripande säkerhetsnivån inte väsentligt försämras.

14. Underbiträden

Kunden ger Pleddy ett generellt tillstånd att anlita underbiträden för att tillhandahålla Pleddy.

Underbiträden kan vara leverantörer av till exempel:

• hosting,
• databas,
• autentisering,
• lagring,
• e-post,
• CDN,
• säkerhet,
• supportverktyg,
• analys efter samtycke,
• teknisk drift,
• webbplatsdrift.

Pleddy ska säkerställa att underbiträden som behandlar personuppgifter för Kundens räkning omfattas av skriftliga villkor som i allt väsentligt ger samma skyddsnivå som detta DPA.

Pleddy ansvarar gentemot Kunden för underbiträdens behandling i den utsträckning som krävs enligt dataskyddslagstiftningen.

Pleddy får lägga till eller byta underbiträden. Om ändringen är väsentlig ska Pleddy informera Kunden på lämpligt sätt. Kunden får invända mot en ny underbiträdesanvändning om Kunden har sakliga dataskyddsskäl. Om invändningen inte kan lösas får Pleddy avsluta eller begränsa den berörda tjänsten.

15. Aktuella kategorier av underbiträden och leverantörer

Pleddy kan använda leverantörer inom följande kategorier:

Kategori	Syfte
Databas och backend	Lagring, serverfunktioner och teknisk behandling av kampanj- och användardata.
Autentisering	Inloggning, konto och behörighet.
Hosting och CDN	Drift av app, webbplats, statiska filer och nätverksleverans.
E-post	Utskick av nödvändiga transaktionsmeddelanden, exempelvis belöningslänkar och återställningsmeddelanden.
Säkerhet och drift	Skydd mot missbruk, loggning, felsökning och teknisk övervakning.
Webbplats och WordPress-drift	Drift av Pleddys publika webbplats.
Analys efter samtycke	Produkt- och webbanalys när slutanvändaren lämnat relevant samtycke.
Social delning efter samtycke	Delningsfunktioner när slutanvändaren lämnat relevant samtycke.

En mer detaljerad beskrivning av leverantörer och tredjepartstjänster kan finnas i Pleddys integritetspolicy eller cookiepolicy.

16. Överföringar utanför EU/EES

Pleddy får överföra personuppgifter utanför EU/EES endast om det finns laglig grund för överföringen enligt dataskyddslagstiftningen.

Sådan grund kan vara:

• beslut om adekvat skyddsnivå,
• EU-kommissionens standardavtalsklausuler,
• kompletterande skyddsåtgärder där det krävs,
• annan laglig överföringsmekanism enligt dataskyddslagstiftningen.

Kunden instruerar Pleddy att genomföra sådana överföringar i den utsträckning de är nödvändiga för att tillhandahålla Pleddy enligt detta DPA och övriga avtal mellan parterna.

17. Hjälp med registrerades rättigheter

Pleddy ska, med hänsyn till behandlingens art och i den mån det är praktiskt möjligt, hjälpa Kunden att uppfylla Kundens skyldigheter att svara på begäranden från registrerade.

Det kan gälla begäranden om:

• tillgång,
• rättelse,
• radering,
• begränsning,
• dataportabilitet,
• invändning.

Pleddy får hänvisa registrerade till Kunden om begäran rör behandling där Kunden är personuppgiftsansvarig.

Pleddy får ta ut skälig ersättning för hjälp som går utöver standardfunktioner, om begäran kräver betydande manuell hantering, teknisk export eller särskilda åtgärder.

18. Hjälp med säkerhet, incidenter och konsekvensbedömningar

Pleddy ska, med hänsyn till behandlingens art och den information som finns tillgänglig för Pleddy, hjälpa Kunden att uppfylla skyldigheter avseende säkerhet, personuppgiftsincidenter och konsekvensbedömningar i den utsträckning som krävs enligt dataskyddslagstiftningen.

Om Pleddy får kännedom om en personuppgiftsincident som rör personuppgifter som Pleddy behandlar som personuppgiftsbiträde för Kunden ska Pleddy informera Kunden utan onödigt dröjsmål.

Informationen ska, i den mån den är tillgänglig för Pleddy, beskriva:

• incidentens art,
• berörda kategorier av uppgifter,
• ungefärligt antal berörda personer om känt,
• sannolika konsekvenser,
• åtgärder som Pleddy har vidtagit eller planerar att vidta.

Pleddy ansvarar inte för Kundens egna skyldigheter att anmäla incidenter till tillsynsmyndighet eller informera registrerade, utom i den utsträckning Pleddy själv är personuppgiftsansvarig för den berörda behandlingen.

19. Radering, återlämning och anonymisering

Efter att Pleddy slutat tillhandahålla den behandling som omfattas av detta DPA ska Pleddy, enligt Kundens val och i den mån det är tekniskt möjligt, radera, återlämna eller anonymisera personuppgifter som behandlas för Kundens räkning.

Om Kunden inte lämnar någon särskild instruktion får Pleddy radera eller anonymisera uppgifterna enligt Pleddys normala rutiner.

Pleddy får behålla uppgifter i den utsträckning det krävs enligt lag eller behövs för att:

• hantera säkerhet,
• felsöka,
• hantera rättsliga krav,
• hantera tvister,
• uppfylla bokförings- eller andra rättsliga skyldigheter,
• bevara aggregerad eller anonymiserad statistik.

20. Revision och information

Pleddy ska göra tillgänglig sådan information som rimligen krävs för att visa att Pleddy uppfyller sina skyldigheter som personuppgiftsbiträde enligt detta DPA.

Kundens rätt till revision ska i första hand uppfyllas genom dokumentation, säkerhetsbeskrivningar, skriftliga svar eller annan rimlig information från Pleddy.

Fysiska inspektioner eller omfattande tekniska revisioner får endast ske om det krävs enligt dataskyddslagstiftningen, ska avtalas i förväg, får inte äventyra säkerhet eller sekretess för andra kunder eller användare och ska ske på Kundens bekostnad om inte annat krävs enligt lag.

Pleddy får vägra eller begränsa revisioner som är oproportionerliga, osäkra, upprepade, kommersiellt orimliga eller riskerar att avslöja information om andra kunder, användare, säkerhetssystem eller affärshemligheter.

21. Otillåtna instruktioner och särskilda kategorier av uppgifter

Kunden får inte använda Pleddy för att behandla känsliga personuppgifter, uppgifter om lagöverträdelser eller andra högriskuppgifter om det inte är uttryckligen överenskommet skriftligen.

Kunden får inte lämna material eller instruktioner som innebär att Pleddy måste behandla personuppgifter på ett sätt som Pleddy rimligen bedömer är olagligt, osäkert, vilseledande eller olämpligt.

Pleddy får ta bort, begränsa eller vägra behandla sådana uppgifter eller sådant material.

22. Ansvar mellan parterna

Kunden ansvarar för sin egen behandling av personuppgifter och för att Kundens instruktioner, material, kampanjupplägg, lagbild, Swishnummer, kommunikation och egen användning av uppgifter följer dataskyddslagstiftning och andra tillämpliga regler.

Pleddy ansvarar endast för behandling som Pleddy utför som personuppgiftsbiträde i strid med detta DPA eller tillämplig dataskyddslagstiftning.

Pleddy ansvarar inte för:

• Kundens bristande lagliga grund,
• Kundens bristande information till registrerade,
• Kundens otillåtna eller felaktiga material,
• Kundens interna hantering av personuppgifter,
• Kundens export eller användning av personuppgifter utanför Pleddy,
• felaktiga eller olagliga instruktioner från Kunden,
• behandling som utförs av Kunden eller tredje part utanför Pleddy,
• Swish, banker, partners eller externa tjänster som Kunden eller registrerade använder utanför Pleddy.

Eventuella ansvarsbegränsningar i Pleddys övriga villkor eller avtal gäller även för detta DPA, i den utsträckning de är tillåtna enligt lag.

23. Ändringar

Pleddy får uppdatera detta DPA när det behövs på grund av ändringar i tjänsten, leverantörer, lagkrav, säkerhetsåtgärder eller dataskyddsrutiner.

Väsentliga ändringar ska meddelas Kunden på lämpligt sätt, till exempel via webbplats, app, e-post eller uppdaterade villkor.

Om Kunden fortsätter att använda Pleddy efter att ändringen börjat gälla anses Kunden ha accepterat den uppdaterade versionen, om inte annat krävs enligt lag eller avtal.

24. Avtalstid och upphörande

Detta DPA gäller så länge Pleddy behandlar personuppgifter som personuppgiftsbiträde för Kunden.

När behandlingen upphör gäller avsnittet om radering, återlämning och anonymisering.

Bestämmelser om sekretess, ansvar, radering, revision och andra bestämmelser som till sin natur bör fortsätta gälla ska fortsätta gälla även efter att DPA:n upphört.

25. Tillämplig lag och tvist

Detta DPA ska tolkas enligt svensk lag.

Tvist ska i första hand lösas genom dialog mellan Pleddy och Kunden. Om tvisten inte kan lösas genom dialog ska den avgöras av svensk allmän domstol, om inte annat följer av tvingande lag.

26. Bilaga 1 – Behandlingsinstruktion

26.1 Föremål

Pleddy behandlar personuppgifter för att tillhandahålla en digital kampanj- och supporterplattform åt Kunden.

26.2 Varaktighet

Behandlingen pågår så länge Kunden använder Pleddy och därefter under den tid som behövs för support, säkerhet, felsökning, radering, anonymisering eller rättsliga krav.

Om inget annat har avtalats raderas eller anonymiseras supporteruppgifter som inte längre behövs senast 90 dagar efter avslutad kampanj.

26.3 Ändamål

Ändamålen är att:

• skapa och visa kampanjer,
• hantera kampanjinformation,
• hantera supporterflöden,
• möjliggöra digitala tack och belöningar,
• skicka nödvändiga meddelanden,
• ge teknisk support,
• skydda tjänsten,
• felsöka,
• tillhandahålla kampanjrelaterad statistik till Kunden.

26.4 Typ av personuppgifter

• namn,
• e-postadress,
• kontaktuppgifter,
• kampanjinformation,
• lagnamn eller organisationsnamn,
• bildmaterial där personer kan identifieras,
• supporter- eller donationsrelaterade uppgifter,
• belöningsuppgifter,
• tekniska loggar,
• IP-adress,
• webbläsare,
• enhetstyp,
• tidsstämplar,
• supportinformation.

26.5 Kategorier av registrerade

• Kundens kontaktpersoner,
• lagledare, tränare eller föreningsrepresentanter,
• supportrar,
• donatorer,
• mottagare av digitala tack eller belöningar,
• personer på bilder eller i kampanjmaterial,
• användare som kontaktar support,
• användare som interagerar med Kundens kampanj.

26.6 Behandlingsaktiviteter

Pleddy får, enligt detta DPA och Kundens instruktioner:

• samla in,
• ta emot,
• lagra,
• strukturera,
• visa,
• tillgängliggöra,
• ändra,
• radera,
• anonymisera,
• exportera,
• felsöka,
• skydda,
• behandla tekniskt,
• och på annat sätt hantera personuppgifter i den utsträckning det krävs för att tillhandahålla Pleddy.

26.7 Kundens särskilda instruktioner

Kunden instruerar Pleddy att behandla personuppgifter endast i den utsträckning som krävs för att tillhandahålla Pleddy enligt detta DPA, Pleddys övriga villkor och Kundens användning av tjänsten.

Kunden instruerar inte Pleddy att behandla känsliga personuppgifter, uppgifter om lagöverträdelser eller uppgifter om personer med skyddad identitet, om inte detta uttryckligen har avtalats skriftligen.