Anbudskollegiet

Personuppgiftsbiträdesavtal (DPA)

Senast uppdaterad: 14 juli 2026

Detta avtal gäller när Anbudskollegiet behandlar personuppgifter för din organisation som personuppgiftsbiträde enligt GDPR artikel 28. Version 2026-07-14.

1. Parter

Personuppgiftsansvarig: Kundorganisationen som skapar konto i tjänsten.
Personuppgiftsbiträde: Anbudskollegiet AB (559000-0000), Box 1000, 111 44 Stockholm. Kontakt: privacy@anbudskollegiet.se.

2. Ändamål och instruktioner

Biträdet behandlar personuppgifter endast för att tillhandahålla Anbudskollegiet: dokumenthantering, kravmatris, bevisbibliotek, AI-stöd och export. Behandling sker enligt kundens instruktioner via användning av tjänsten och integritetspolicyn.

3. Kategorier av registrerade och uppgifter

  • Användare: namn, e-post, roll, inloggningsmetadata
  • Affärsdata: upphandlingsunderlag, krav, bevis, anbudstexter
  • Eventuella personuppgifter i uppladdade dokument (t.ex. CV, referenser)

4. Säkerhetsåtgärder

  • Kryptering i transit och lagring hos Supabase
  • Rollbaserad åtkomst och row level security per organisation
  • Immutable revisionslogg för spårbarhet
  • Regelbunden gallring enligt organisationens retention-inställning

5. Underbiträden

Godkända underbiträden framgår av integritetspolicyn. Kunden godkänner användning av dessa genom att acceptera detta avtal vid onboarding.

6. Överföring utanför EU/EES

Vid aktiverad AI kan text från upphandlingsunderlag behandlas av xAI i USA. Överföring sker med standardavtalsklausuler (SCC) och endast när funktionen används.

7. Registrerades rättigheter

Biträdet bistår den personuppgiftsansvarige med registerutdrag, radering och rättelse via självbetjäning under Inställningar och via privacy@anbudskollegiet.se.

8. Radering och återlämning

Vid avslutad prenumeration eller begäran om radering gallras data enligt retention och avtalad process. Org-admin kan begära radering av organisationen i inställningar.

9. Incidenthantering

Personuppgiftsincidenter rapporteras till den personuppgiftsansvarige utan onödigt dröjsmål och senast inom 72 timmar när incidenten är känd.