Personuppgiftsbiträdesavtal (PUB-avtal)

Skolan/huvudmannen är personuppgiftsansvarig. Behovstrappan är personuppgiftsbiträde och behandlar personuppgifter endast på uppdrag av och enligt dokumenterade instruktioner från skolan, inklusive detta avtal.

Biträdet behandlar uppgifter om elever (stödbehov, kartläggningar, anpassningar, åtgärdsprogram, uppföljning – som kan innehålla känsliga uppgifter om hälsa) och personal (namn, e-post, roll, åtgärdslogg) i den utsträckning som krävs för att tillhandahålla tjänsten Behovstrappan.

• Behandla uppgifter endast enligt skolans instruktioner.
• Säkerställa att personal som hanterar uppgifterna omfattas av tystnadsplikt.
• Vidta lämpliga tekniska och organisatoriska åtgärder enligt GDPR art. 32 (åtkomstkontroll, loggning, kryptering av överföring, lagring inom EU).
• Bistå skolan med att uppfylla registrerades rättigheter (tillgång, rättelse, radering, dataportabilitet).
• Underrätta skolan utan onödigt dröjsmål vid personuppgiftsincident.
• Efter avtalets slut, enligt skolans val, återlämna eller radera alla personuppgifter.
• Möjliggöra granskning (revision) av efterlevnaden, på begäran och med rimlig framförhållning.

Skolan ger ett allmänt godkännande för underbiträden för drift (databas/lagring inom EU) och AI-stöd. Behovstrappan informerar skolan innan ett underbiträde läggs till eller byts, och skolan kan invända. AI-underbiträden får aldrig direkt identifierande uppgifter – elevnamn maskeras innan något skickas. Samma skyldigheter som i detta avtal åläggs underbiträden.

Personuppgifter lagras inom EU/EES. Viss AI-bearbetning kan ske med underbiträden utanför EU/EES; det sker endast med giltig överföringsgrund (t.ex. EU-kommissionens standardavtalsklausuler) och aldrig med direkt identifierande elevuppgifter.

Avtalet gäller så länge skolan använder tjänsten. Skolan kan säga upp tjänsten med två (2) månaders uppsägningstid. Efter avtalets slut raderas eller återlämnas uppgifterna enligt skolans val, senast inom 90 dagar, om inte lag kräver annat.

Biträdet ansvarar för skador som uppstår genom att biträdet brutit mot GDPR eller handlat utanför skolans lagenliga instruktioner. Ansvarsbegränsningar i tjänstens allmänna villkor gäller i övrigt.