Utkast – i väntan på juridisk granskning. Gäller först när Victoriny AB har slutfört angivna faktakontroller och beslutat en slutlig version.

Personuppgiftsbiträdesavtal

Version 2026-10-25 · Villkor

Det här personuppgiftsbiträdesavtalet ("avtalet") är en del av användarvillkoren mellan kunden ("kunden") och Victoriny AB ("biträdet"). Kunden är personuppgiftsansvarig eller, när beställningen anger det, ett biträde med behörighet från den ansvarige; Victoriny är då biträde respektive underbiträde. Kundens instruktioner omfattar behörigt lämnade instruktioner genom det biträdet. Kunden garanterar att den har nödvändig behörighet och för vidare den ansvariges relevanta begränsningar. Avtalet omfattar inte Victorinys egna ändamål som personuppgiftsansvarig enligt integritetspolicyn.

1. Föremål, varaktighet, art och ändamål

Föremål: att tillhandahålla Artistwing till kunden.
Varaktighet: så länge användarvillkoren gäller, och tills uppgifterna har raderats eller återlämnats.
Art: privat lagring av media, publicering som kunden godkänner, mejl- och formulärinskick som kunden beställer, mottagning och klassning av svar, administration av fans samtycken, AI-generering som kunden godkänner, analys och radering. Behandlingen pågår löpande under tjänsten.
Ändamål: endast att tillhandahålla tjänsten enligt användarvillkoren och kundens instruktioner.

2. Registrerade och typer av uppgifter

Registrerade: kundens team, artister och medarbetare, kuratorer och andra yrkeskontakter, fans, personer som förekommer i eller svarar på kundens innehåll, och mottagare av kundens meddelanden.
Typer av uppgifter: yrkesmässiga kontaktuppgifter, fans e-postadresser och samtyckesregister, kontoidentiteter, meddelandeinnehåll, bilder, röster och mediemetadata.
Känsliga personuppgifter, uppgifter om lagöverträdelser, biometriska uppgifter för identifiering och fanprofiler för barn är inte tillåtna utan ett separat skriftligt godkännande med dokumenterade skyddsåtgärder och rättslig grund.
Mottagare och internationella överföringar begränsas till leverantörsregistret.

3. Biträdets skyldigheter

Instruktioner. De dokumenterade instruktionerna är det här avtalet, den avtalade tjänstebeskrivningen, de inställningar kunden godkänner och de åtgärder kunden ger behörighet till och som dokumenteras. De tillåter inte orelaterad återanvändning eller modellträning. Kräver unionsrätten eller en medlemsstats rätt annan behandling informerar biträdet kunden innan behandlingen, om inte den rätten förbjuder det av viktiga hänsyn till allmänintresset. Biträdet informerar kunden omedelbart om det anser att en instruktion är olaglig, avbryter den berörda behandlingen och begär förtydligande.
Sekretess. Alla som behandlar uppgifterna har tystnadsplikt.
Säkerhet. Biträdet vidtar åtgärderna i bilaga 1 (artikel 32 GDPR).
Bistånd. Biträdet hjälper kunden med de registrerades begäranden och med artiklarna 32–36 GDPR, med hänsyn till behandlingens art och den information biträdet har.
Personuppgiftsincidenter. Biträdet underrättar kunden utan onödigt dröjsmål, och senast inom 24 timmar, efter att ha fått kännedom om en personuppgiftsincident, först med den information som finns och därefter i etapper. Underrättelsen beskriver incidentens art, kategorier och ungefärligt antal registrerade och poster när det är känt, en kontaktpunkt, de sannolika följderna och vidtagna eller planerade åtgärder. Biträdet bevarar bevisning, hjälper till att begränsa incidenten och bistår med artiklarna 33–34; underrättelsen väntar inte på att utredningen är klar. Kunden beslutar om underrättelser till myndigheter och registrerade, om inte lag kräver att biträdet agerar.
Återlämnande och radering. När behandlingen upphör återlämnar eller raderar biträdet, efter kundens val, personuppgifterna och raderar befintliga kopior, om inte unionsrätten eller en medlemsstats rätt kräver att de lagras. Säkerhetskopior hålls avskilda och löper ut inom den längsta tid som anges i bilaga 1; om en säkerhetskopia återställs genomförs raderingar och avregistreringar igen innan uppgifterna används i vanlig drift. Biträdet bekräftar raderingen på begäran.
Granskning. Biträdet ger kunden den information som behövs för att visa att avtalet följs, och möjliggör och bidrar till granskningar och inspektioner av kunden eller en oberoende granskare som kunden utser. Rimliga krav på sekretess, säkerhet och framförhållning skyddar andra kunder men får inte hindra effektiva eller brådskande granskningar som lagen kräver. Skäliga kostnader för rutingranskningar kan avtalas i förväg; ingen avgift tas för hjälp som behövs på grund av biträdets avtalsbrott eller krav från en tillsynsmyndighet.

4. Underbiträden

Kunden godkänner de underbiträden som anges i leverantörsregistret. Biträdet meddelar via e-post minst 30 dagar i förväg innan ett nytt eller ersättande underbiträde behandlar kundens uppgifter. Kunden får invända under den tiden på rimliga dataskyddsgrunder. Biträdet ska då hitta ett alternativ, avbryta den berörda behandlingen eller låta kunden säga upp den berörda tjänsten utan påföljd och med proportionell återbetalning av outnyttjade förskottsbetalda avgifter, innan den nya behandlingen börjar. Ett befintligt godkännande tillåter inte ett väsentligt nytt ändamål eller en oredovisad vidareöverföring. Biträdet ålägger varje underbiträde motsvarande skyldigheter enligt artikel 28 skriftligen och är fullt ansvarigt mot kunden för att de fullgörs (artikel 28.4 GDPR).

5. Överföring utanför EU/EES

Huvuddatabasen, inloggningen och fillagringen finns i EU (Stockholm). Annan behandling, till exempel innehållsleverans, fjärrsupport, AI-inferens, mejl och loggar, sker på de platser som anges i leverantörsregistret; inget allmänt löfte om behandling enbart inom EU/EES lämnas. Före en överföring till ett tredjeland säkerställer biträdet ett skydd enligt kapitel V GDPR. När standardavtalsklausuler behövs används modul 2 (från personuppgiftsansvarig till biträde) eller modul 3 (från biträde till biträde), med ifyllda bilagor, en överföringsbedömning och kompletterande åtgärder när det krävs. Klausulernas tvingande villkor har företräde framför det här avtalet.

6. Kopplade plattformar

Plattformar som kunden kopplar och publicerar till (till exempel Meta, TikTok och Google/YouTube) agerar normalt enligt egna villkor för egna ändamål. Deras roll för varje faktiskt dataflöde anges i leverantörsregistret.

7. Ansvar och företräde

Fördelningen av ansvar mellan parterna följer användarvillkoren. Den begränsar inte de registrerades rättigheter, tillsynsmyndigheternas befogenheter, biträdets ansvar enligt artikel 28.4 GDPR eller rättigheter enligt tvingande standardavtalsklausuler. Om det här avtalet strider mot användarvillkoren i fråga om behandling av personuppgifter har det här avtalet företräde.

Bilaga 1: Säkerhetsåtgärder

Varje arbetsyta är skild från andra i databasen genom säkerhet på radnivå, och serverfunktionerna agerar för en arbetsyta i taget.
Kryptering vid överföring (TLS) och vid lagring.
Filer lagras privat och delas bara genom kortlivade signerade länkar, eller offentligt när kunden publicerar dem.
Åtkomsttoken för kopplade kanaler lagras krypterade i ett särskilt valv, och läsningar loggas.
Roller i varje arbetsyta (ägare, administratör, redaktör, godkännare, läsare), minsta möjliga behörighet för personal och stark autentisering för privilegierade konton.
Loggning av åtkomst och administrativa åtgärder utan onödigt meddelandeinnehåll eller hemligheter.
Hantering av uppdateringar och sårbarheter, incidenthantering och rutiner för radering som omfattar aktiva system och säkerhetskopior.
Säkerhetskopior och möjlighet till återställning. Säkerhetskopieringens cykel, längsta lagringstid för säkerhetskopior och intervall för återställningstester: [SÄKERHETSKOPIERINGSPLAN].
Hårda användningsgränser per arbetsyta.

Den samlade skyddsnivån sänks inte väsentligt.