Personuppgiftsbiträdesavtal

mellan elevkår och Kårpass


Version	1.0
Datum	2026-10-14
Avtals-ID	[AVTALS-ID]

Parter

Personuppgiftsansvarig (”Elevkåren”)
Namn: [ELEVKÅRENS NAMN]
Organisationsnummer: [ELEVKÅRENS ORG.NR]
Adress: [ELEVKÅRENS ADRESS]
Kontaktperson och e-post: [NAMN, E-POST]

Personuppgiftsbiträde (”Kårpass”)
Samuel Andersson Enskild Firma
Organisationsnummer: 010119-3993
Adress: Mölndalsvägen 89D, 412 84 Göteborg
Kontakt i dataskyddsfrågor: info@karkortet.se

Elevkåren och Kårpass kallas gemensamt ”Parterna” och var för sig ”Part”.

1. Bakgrund och syfte

1.1 Parterna har ingått ett avtal om att Elevkåren använder plattformen Kårpass för att sälja biljetter till sina evenemang och för att verifiera medlemskap (”Huvudavtalet”) [ange namn/datum på huvudavtalet, t.ex. ”Anslutningsavtal för arrangörer” eller Kårpass arrangörsvillkor].

1.2 När Kårpass utför tjänsterna enligt Huvudavtalet behandlar Kårpass personuppgifter för Elevkårens räkning. Detta avtal (”Avtalet”) reglerar den behandlingen i enlighet med artikel 28 i Europaparlamentets och rådets förordning (EU) 2016/679 (”GDPR”).

1.3 Avtalet omfattar inte personuppgifter som Kårpass behandlar som självständigt personuppgiftsansvarig, till exempel uppgifter om användarkonton, betalningar, bokföring, kundtjänst för köpet och säkerhet i plattformen. Den behandlingen beskrivs i Kårpass Integritetspolicy.

2. Definitioner

Begrepp som används i Avtalet, till exempel personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident, har samma betydelse som i GDPR. Underbiträde avser ett annat personuppgiftsbiträde som Kårpass anlitar för att behandla personuppgifter för Elevkårens räkning. Dataskyddslagstiftning avser GDPR, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter och vägledning från Integritetsskyddsmyndigheten (IMY) och Europeiska dataskyddsstyrelsen (EDPB).

3. Behandlingens art, ändamål och omfattning

3.1 Föremål, art och ändamål, kategorier av registrerade och personuppgifter, behandlingens varaktighet och lagringstider anges i Bilaga 1 (Instruktioner).

3.2 Kårpass får endast behandla personuppgifter enligt Elevkårens dokumenterade instruktioner, det vill säga detta Avtal med bilagor, Huvudavtalet och de inställningar Elevkåren gör i plattformen. Kårpass får behandla personuppgifterna i annat syfte endast om det krävs enligt unionsrätt eller svensk rätt; Kårpass ska då informera Elevkåren om detta innan behandlingen påbörjas, om inte lagen förbjuder sådan information.

3.3 Kårpass ska omedelbart informera Elevkåren om Kårpass anser att en instruktion strider mot Dataskyddslagstiftningen.

4. Elevkårens ansvar

4.1 Elevkåren ansvarar för att behandlingen har rättslig grund, att de registrerade får information enligt artiklarna 13–14 GDPR om Elevkårens behandling, och att de personuppgifter som Elevkåren lämnar till Kårpass (till exempel medlemsregister) är korrekta och får lämnas ut för ändamålen i Bilaga 1.

4.2 Elevkåren ska särskilt beakta att många registrerade är barn och ska inte lämna fler uppgifter än vad som behövs för medlemsverifiering.

4.3 Elevkåren ska utse en kontaktperson för dataskyddsfrågor och hålla Kårpass informerat om ändringar. Elevkåren ansvarar för att endast behöriga personer får tillgång till arrangörsfunktionerna i plattformen och att dessa personer har tystnadsplikt eller motsvarande åtagande.

5. Kårpass skyldigheter

5.1 Sekretess. Kårpass ska säkerställa att personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lämplig lagstadgad tystnadsplikt.

5.2 Säkerhet. Kårpass ska vidta de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR, minst de som anges i Bilaga 3, med beaktande av att uppgifterna avser barn.

5.3 Bistånd vid de registrerades rättigheter. Kårpass ska, med beaktande av behandlingens art, genom lämpliga åtgärder hjälpa Elevkåren att fullgöra sin skyldighet att svara på begäran om utövande av de registrerades rättigheter. Om en registrerad vänder sig direkt till Kårpass i ett ärende som rör behandling enligt detta Avtal, ska Kårpass utan onödigt dröjsmål vidarebefordra begäran till Elevkåren.

5.4 Övrigt bistånd. Kårpass ska hjälpa Elevkåren att fullgöra skyldigheterna i artiklarna 32–36 GDPR (säkerhet, incidenter, konsekvensbedömningar och förhandssamråd), med beaktande av behandlingens art och den information som finns tillgänglig för Kårpass.

5.5 Personuppgiftsincidenter. Kårpass ska underrätta Elevkåren utan onödigt dröjsmål, och senast inom 24 timmar, efter att ha fått kännedom om en personuppgiftsincident. Underrättelsen ska, i den mån informationen finns tillgänglig, innehålla det som anges i artikel 33.3 GDPR. Det är Elevkåren som anmäler incidenten till IMY och informerar de registrerade, om det krävs. Kårpass får inte självt informera de registrerade om incidenten utan Elevkårens godkännande, om inte lag kräver det.

5.6 Register. Kårpass ska föra ett register över behandling som utförs för Elevkårens räkning enligt artikel 30.2 GDPR.

5.7 Myndighetskontakter. Kårpass ska utan dröjsmål informera Elevkåren om kontakter från tillsynsmyndighet som rör behandling enligt Avtalet, om inte lag förbjuder det.

6. Underbiträden

6.1 Elevkåren lämnar genom detta Avtal ett allmänt skriftligt förhandstillstånd till att Kårpass anlitar underbiträden. De underbiträden som anlitas när Avtalet ingås anges i Bilaga 2.

6.2 Kårpass ska informera Elevkåren om planerade ändringar avseende tillägg eller utbyte av underbiträden minst 30 dagar i förväg (via e-post till Elevkårens kontaktperson). Elevkåren har rätt att inom den tiden invända mot ändringen på sakliga grunder. Om Parterna inte kan enas har Elevkåren rätt att säga upp Huvudavtalet och detta Avtal till upphörande när ändringen träder i kraft, utan kostnad.

6.3 Kårpass ska genom skriftligt avtal ålägga varje underbiträde samma dataskyddsskyldigheter som följer av detta Avtal, särskilt skyldigheten att ge tillräckliga garantier om säkerhetsåtgärder. Kårpass ansvarar fullt ut gentemot Elevkåren för underbiträdets fullgörande.

6.4 Stripe behandlar betalningsuppgifter som självständigt personuppgiftsansvarig och/eller som Kårpass biträde för Kårpass egen behandling, och är därför inte underbiträde enligt detta Avtal, om inte annat anges i Bilaga 2.

7. Överföring till tredjeland

7.1 Kårpass får överföra personuppgifter till ett land utanför EU/EES (tredjeland) endast om förutsättningarna i kapitel V GDPR är uppfyllda, till exempel genom beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler med kompletterande skyddsåtgärder vid behov. Kända överföringar anges i Bilaga 2.

8. Granskning (revision)

8.1 Kårpass ska ge Elevkåren tillgång till all information som krävs för att visa att skyldigheterna i artikel 28 GDPR har fullgjorts, och möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av Elevkåren eller av en oberoende granskare som Elevkåren utser.

8.2 Granskning ska i första hand ske genom att Kårpass lämnar skriftlig information och dokumentation. Inspektion på plats ska föregås av skriftligt meddelande minst 30 dagar i förväg, ske under kontorstid och inte störa Kårpass verksamhet oskäligt. Granskaren ska vara bunden av sekretess. Varje Part står sina egna kostnader, om inte granskningen visar att Kårpass i väsentlig mån har brutit mot Avtalet.

9. Ansvar

9.1 Varje Part ansvarar för skada enligt artikel 82 GDPR. Om en Part har betalat ut ersättning till en registrerad för skada som helt eller delvis har orsakats av den andra Parten, har den betalande Parten rätt att återkräva motsvarande del från den andra Parten.

9.2 Kårpass ansvar enligt detta Avtal är, utöver vad som följer av tvingande lag och utom vid grov vårdslöshet eller uppsåt, begränsat till de avgifter Kårpass har erhållit från Elevkåren under de senaste tolv månaderna. Begränsningen gäller inte administrativa sanktionsavgifter som en tillsynsmyndighet beslutar om på grund av Partens egen överträdelse.

10. Avtalstid och upphörande

10.1 Avtalet gäller från undertecknandet och så länge Kårpass behandlar personuppgifter för Elevkårens räkning.

10.2 När Huvudavtalet upphör, eller när Elevkåren begär det, ska Kårpass enligt Elevkårens val radera eller återlämna samtliga personuppgifter som behandlats för Elevkårens räkning och radera befintliga kopior, senast inom 30 dagar, om inte lagring krävs enligt unionsrätt eller svensk rätt. Om Elevkåren inte har gjort något val inom 14 dagar från upphörandet raderar Kårpass uppgifterna. Kårpass ska på begäran skriftligen bekräfta att raderingen har skett.

10.3 Bestämmelser som enligt sin natur ska gälla efter Avtalets upphörande, till exempel om sekretess, ansvar och radering, fortsätter att gälla.

11. Ändringar och företräde

11.1 Ändringar och tillägg till Avtalet ska vara skriftliga och undertecknade av båda Parter. Kårpass får dock uppdatera Bilaga 2 enligt punkt 6.2 och Bilaga 3 med motsvarande eller bättre skyddsnivå.

11.2 Om Avtalet och Huvudavtalet strider mot varandra i fråga om behandling av personuppgifter har detta Avtal företräde.

11.3 Om Dataskyddslagstiftningen ändras ska Parterna i god tro förhandla om de ändringar av Avtalet som krävs.

12. Tillämplig lag och tvister

12.1 Svensk lag gäller för Avtalet. Tvister ska i första hand lösas genom förhandling och i andra hand avgöras av allmän domstol, med Göteborgs tingsrätt som första instans.

Underskrifter

Avtalet har upprättats i två likalydande exemplar, eller undertecknats elektroniskt, varav Parterna har tagit var sitt.

För Elevkåren	För Kårpass
Ort och datum: ____________________	Ort och datum: ____________________
Underskrift: ____________________	Underskrift: ____________________
Namnförtydligande: ____________________	Namnförtydligande: Samuel Andersson
Roll (firmatecknare): ____________________	Roll: ____________________

Den som undertecknar för Elevkåren intygar att hen har rätt att teckna Elevkårens firma eller har fullmakt att ingå Avtalet enligt beslut i styrelsen.

Bilaga 1 – Instruktioner för behandlingen

1. Föremål och ändamål

Kårpass behandlar personuppgifter för Elevkårens räkning för att:

a) verifiera att användare är medlemmar i Elevkåren och därmed har rätt att köpa biljetter till Elevkårens (eller andra anslutna elevkårers) evenemang,
b) föra gästlistor och möjliggöra inträdeskontroll (incheckning via QR-kod),
c) ge Elevkåren statistik och översikt över försäljningen,
d) förmedla Elevkårens meddelanden till biljettköpare om ett specifikt evenemang (praktisk information, ändringar och inställningar),
e) tillhandahålla support till Elevkårens behöriga funktionärer.

2. Behandlingens art

Insamling, mottagande (import av medlemsregister eller verifiering via API/Kårkortet), lagring, matchning/jämförelse, sammanställning, visning för behöriga funktionärer, export av gästlistor, överföring till underbiträden och radering.

3. Kategorier av registrerade

Elevkårens medlemmar (huvudsakligen gymnasieelever, varav många är under 18 år),
biljettköpare och gäster till Elevkårens evenemang,
Elevkårens funktionärer med åtkomst till plattformen.

4. Kategorier av personuppgifter

Namn, e-postadress, mobilnummer, födelsedatum/ålder,
skola, årskurs/klass, medlemsstatus, medlems-ID eller Kårkorts-ID, [personnummer – endast om det är nödvändigt],
biljett-ID, köpt evenemang, incheckningsstatus och tidpunkt,
för funktionärer: namn, e-post, roll, inloggningsloggar.

5. Känsliga personuppgifter

Inga känsliga personuppgifter eller uppgifter om lagöverträdelser får lämnas till Kårpass.

6. Behandlingens varaktighet och lagringstider

Uppgifter	Lagringstid
Importerat medlemsregister / verifieringsdata	Så länge Huvudavtalet gäller; uppdateras/ersätts vid varje ny import; uppgifter om personer som inte längre är medlemmar raderas inom 30 dagar
Gästlistor och incheckningar	90 dagar efter respektive evenemang
Funktionärskonton	Så länge uppdraget pågår + 30 dagar
Loggar	12 månader

7. Plats för behandling

Inom EU/EES, med de undantag som anges i Bilaga 2.

8. Kontaktpersoner

Elevkåren: [NAMN, E-POST, TELEFON]
Kårpass: Samuel Andersson, info@karkortet.se

Bilaga 2 – Underbiträden

Underbiträde	Org.nr / land	Tjänst	Plats för behandling	Skyddsåtgärd vid tredjelandsöverföring
[LEVERANTÖR – hosting/moln]	[ORG.NR / LAND]	Drift och lagring	[EU/EES-LAND]	[Ej aktuellt / DPF / SCC]
[LEVERANTÖR – databas]	[ORG.NR / LAND]	Databas	[EU/EES-LAND]	[Ej aktuellt / DPF / SCC]
[LEVERANTÖR – e-post]	[ORG.NR / LAND]	Utskick av biljetter och meddelanden	[LAND]	[Ej aktuellt / DPF / SCC]
[LEVERANTÖR – sms]	[ORG.NR / LAND]	Sms-utskick	[LAND]	[Ej aktuellt / DPF / SCC]
Samuel Andersson Enskild Firma (Kårkortet)	010119-3993 / Sverige	Medlemsverifiering via Kårkortet	EU/EES	Ej aktuellt
[LEVERANTÖR – support/felrapportering]	[ORG.NR / LAND]	Kundtjänst/felsökning	[LAND]	[Ej aktuellt / DPF / SCC]

Bilaga 3 – Tekniska och organisatoriska säkerhetsåtgärder

Organisatoriska åtgärder

Behörighetsstyrning enligt principen om minsta möjliga åtkomst; åtkomst ges endast personal som behöver den.
Sekretessåtagande för all personal och alla konsulter.
Dokumenterade rutiner för incidenthantering, inklusive rapportering till Elevkåren inom avtalad tid.
Årlig genomgång av säkerhetsåtgärder och underbiträden.
Utbildning i dataskydd för personal med åtkomst till personuppgifter.

Tekniska åtgärder

Krypterad överföring (TLS 1.2 eller senare) och kryptering av lagrade data (”at rest”).
Stark autentisering, med tvåfaktorsautentisering för administratörer, rekommenderat för Elevkårens funktionärer.
Rollbaserad åtkomst i arrangörsgränssnittet; Elevkårens funktionärer ser endast uppgifter om Elevkårens egna evenemang och medlemmar.
Loggning av åtkomst och ändringar, med skydd mot manipulation.
Regelbunden säkerhetskopiering med återställningstester.
Separerade test- och produktionsmiljöer; inga riktiga personuppgifter i testmiljö.
Löpande säkerhetsuppdateringar och sårbarhetshantering.
Pseudonymisering eller minimering där det är möjligt.