Kundavtal och personuppgiftsbiträdesavtal – Bakom disken

Version 2026-11-3 · Godkänt av [namn och e-post] den [datum]

Del A – Kundavtal

1. Parter

Avtalet gäller mellan Hidden Logic AB, org.nr 559128-9086, Oskarsgatan 32, 467 30 Grästorp, som tillhandahåller tjänsten under varumärket Studio Stensson ("Leverantören"), och [Kundens namn], org.nr [org.nr], [adress] ("Kunden"). Avtalet ingås när Kunden godkänner det i tjänsten. Den som godkänner intygar att hen har rätt att företräda Kunden.

2. Tjänsten

Bakom disken är en webbaserad tjänst för rutinlistor, kalender, möten, agendor och anteckningar. Tjänsten tillhandahålls i befintligt skick och utvecklas löpande. Leverantören får ändra, lägga till eller ta bort funktioner, men inte så att tjänstens huvudsakliga funktion försämras väsentligt under betald period.

3. Provperiod

Nya kunder får använda tjänsten kostnadsfritt i 30 dagar. Provperioden övergår inte automatiskt i ett betalt abonnemang. Om Kunden inte beställer före provperiodens slut kan tjänsten bara läsas, inte ändras. Kundens data raderas enligt punkt 9 i del B om ingen beställning görs.

4. Pris och betalning

• Upp till 10 användare: 249 kr per månad exklusive moms.
• Fler än 10 användare: 349 kr per månad exklusive moms.
• Uppstart och anpassning enligt separat offert.

Antalet användare räknas som aktiva personer i företaget under månaden. Leverantören fakturerar kvartalsvis i förskott med 20 dagars betalningsvillkor. Vid utebliven betalning får Leverantören efter påminnelse begränsa tjänsten till läsläge. Prisändringar meddelas minst 60 dagar i förväg.

Fakturering följer kalenderkvartal (januari–mars, april–juni, juli–september, oktober–december). Den första fakturan avser tiden från startdagen till och med utgången av innevarande kvartal och beräknas per påbörjad månad. Börjar avtalet under kvartalets sista månad avser den första fakturan också nästkommande kvartal. Startdagen är dagen efter att provperioden slutat, även om Kunden beställer tidigare.

5. Avtalstid och uppsägning

Avtalet löper tills vidare och förnyas ett kvartal i taget. Kunden kan säga upp avtalet senast 7 dagar före utgången av ett betalt kvartal, och avtalet upphör då vid kvartalets slut. Exempel: har Kunden betalat för oktober–december ska uppsägningen göras senast den 24 december, och tjänsten kan användas till och med den 31 december. Inbetalda avgifter återbetalas inte. Uppsägning görs skriftligen, till exempel via e-post till app@studiostensson.se. Leverantören får säga upp avtalet med 3 månaders varsel. Vid väsentligt avtalsbrott får båda parter säga upp avtalet med omedelbar verkan.

6. Kundens ansvar

Kunden ansvarar för vilka personer som bjuds in, för innehållet som läggs in i tjänsten och för att inloggningsuppgifter och PIN-koder hanteras säkert. Kunden ska inte lägga in känsliga personuppgifter, till exempel hälsouppgifter, i tjänsten mer än vad verksamheten kräver.

7. Tillgänglighet och support

Leverantören strävar efter hög tillgänglighet men garanterar inte avbrottsfri drift. Planerat underhåll görs helst utanför ordinarie öppettider. Support ges via e-post på app@studiostensson.se under vardagar.

8. Ansvarsbegränsning

Leverantören ansvarar inte för indirekta skador, till exempel utebliven vinst eller förlorad data som Kunden kunnat säkerhetskopiera. Leverantörens totala ansvar är begränsat till de avgifter Kunden betalat de senaste 12 månaderna. Begränsningen gäller inte vid uppsåt eller grov vårdslöshet.

9. Immateriella rättigheter

Leverantören äger tjänsten, programkoden och designen. Kunden får en icke-exklusiv rätt att använda tjänsten under avtalstiden. Kunden äger sin egen data och kan exportera den.

10. Ändringar av avtalet

Leverantören får ändra avtalet. Väsentliga ändringar meddelas minst 30 dagar i förväg. Om Kunden inte godtar ändringen får Kunden säga upp avtalet innan ändringen träder i kraft.

11. Tillämplig lag och tvist

Svensk lag gäller. Tvister avgörs av allmän domstol med Skaraborgs tingsrätt som första instans.

Del B – Personuppgiftsbiträdesavtal

1. Roller

Kunden är personuppgiftsansvarig och Leverantören är personuppgiftsbiträde för de personuppgifter som behandlas i tjänsten. Avtalet uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR). Del B gäller före del A om de skulle strida mot varandra.

2. Ändamål och instruktioner

Leverantören behandlar personuppgifter endast för att tillhandahålla tjänsten, ge support och fakturera, och bara enligt Kundens dokumenterade instruktioner i bilagan. Leverantören meddelar Kunden om en instruktion enligt Leverantörens bedömning strider mot dataskyddsreglerna.

3. Vilka uppgifter och vilka personer

• Registrerade: Kundens anställda, delägare och andra personer som Kunden lägger in i tjänsten.
• Uppgifter: namn, e-postadress, roll, färg, PIN-kod (lagras krypterat), vem som bockat av eller skapat vad och när, samt den fritext som användarna själva skriver i anteckningar, agendor, protokoll och kalenderhändelser.
• Känsliga uppgifter: behandlas inte avsiktligt. Fritext kan innehålla sådana uppgifter om användarna skriver in dem, se punkt 6 i del A.
• Lagringstid: så länge avtalet gäller och därefter enligt punkt 9.

4. Sekretess

Leverantören och den som arbetar för Leverantören har tystnadsplikt om personuppgifterna. Leverantören läser inte Kundens verksamhetsdata, såsom anteckningar och protokoll, utom när Kunden ber om support och godkänner det.

5. Säkerhet

Leverantören vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, bland annat:

• krypterad överföring (HTTPS) och krypterad lagring
• behörighetsstyrning på radnivå i databasen, så att ett företag aldrig kan se ett annat företags data
• PIN-koder lagras som hashvärden och kan inte läsas
• dagliga säkerhetskopior
• åtkomst till driftmiljön endast för Leverantören, skyddad med tvåstegsverifiering

6. Underbiträden

Kunden godkänner de underbiträden som anges i bilagan. Leverantören får anlita nya underbiträden efter att ha meddelat Kunden minst 30 dagar i förväg. Kunden får invända och i så fall säga upp avtalet. Leverantören ingår skriftliga avtal med underbiträden med motsvarande skyldigheter och ansvarar för deras arbete.

7. Överföring till tredje land

Personuppgifterna lagras inom EU/EES. Om ett underbiträde behandlar uppgifter utanför EU/EES sker det endast med stöd av en giltig överföringsmekanism, till exempel EU-kommissionens standardavtalsklausuler eller EU–US Data Privacy Framework.

8. Hjälp till Kunden och incidenter

• Leverantören hjälper Kunden att besvara de registrerades begäranden, till exempel om utdrag, rättelse eller radering.
• Vid en personuppgiftsincident meddelar Leverantören Kunden utan onödigt dröjsmål, senast inom 36 timmar efter att incidenten upptäckts, så att Kunden kan anmäla den till IMY inom 72 timmar.
• Leverantören ger Kunden den information som behövs för att visa att avtalet följs och medverkar vid rimlig granskning. Kunden står för kostnaden för granskningar utöver normal information.

9. När avtalet upphör

Kunden kan exportera sin data fram till avtalets slut. Inom 30 dagar efter att avtalet upphört, eller efter en provperiod som inte blivit en beställning, raderar Leverantören Kundens personuppgifter. Uppgifter i säkerhetskopior skrivs över inom 7 dagar därefter. Uppgifter som Leverantören måste spara enligt lag, till exempel fakturaunderlag enligt bokföringslagen, sparas så länge lagen kräver.

Bilaga – Underbiträden och instruktioner

Underbiträde	Vad de gör	Var data lagras
Supabase Inc.	Databas, inloggning och fillagring	EU
Lovable	Driftar själva webbappen (gränssnittet)	Se Lovables databehandlingsavtal
Resend	Skickar e-post, t.ex. inbjudningar och påminnelser	Se Resends databehandlingsavtal

Instruktioner från Kunden: Leverantören ska lagra, visa och skicka uppgifterna så att Kundens användare kan använda tjänstens funktioner, ge support när Kunden ber om det, säkerhetskopiera och radera enligt del B punkt 9. Ingen annan behandling får ske.