Detta personuppgiftsbiträdesavtal ("DPA") reglerar behandlingen av personuppgifter mellan din bostadsrättsförening ("Personuppgiftsansvarig") och Hundra Hundra AB (org.nr 559547-2688), som bygger, äger och levererar tjänsten PROPERTAI ("Personuppgiftsbiträde") på propertai.se. DPA:t utgör en integrerad del av användarvillkoren och gäller så länge föreningen använder tjänsten.
Version: 2026-07-04. Uppdateringar publiceras här och meddelas föreningar 30 dagar i förväg.
1. Föremål för behandlingen
När föreningen aktiverar PROPERTAI behandlar Hundra Hundra AB personuppgifter om föreningens medlemmar, styrelseledamöter, förvaltare och andra intressenter i syfte att leverera tjänsten enligt användarvillkoren.
2. Behandlingens art & syfte
- Lagring och administration av föreningens dokument, dagordning, protokoll, ekonomi.
- Kommunikation med medlemmar (community, notiser, e-post).
- AI-baserad extraktion, klassificering, sökning och sammanfattning av dokument.
- Fastighets-, energi- och registerdata från publika källor.
- Fakturering, betalningshantering och abonnemang.
- Säkerhet, incidenthantering, logging och missbrukskontroll.
3. Typ av personuppgifter
- Kontakt- och identitetsuppgifter (namn, e-post, telefon, adress).
- Föreningsrelaterad information (lägenhet, roll, ägarandel).
- Verifierad identitet (BankID-hash, SPAR-data) för styrelseroll.
- Innehåll medlemmen laddar upp eller postar.
- Ekonomiska uppgifter (avgifter, betalningsstatus, Stripe-kund-id).
- Tekniska loggdata (IP, sessions, säkerhetshändelser).
4. Kategorier av registrerade
- Medlemmar/boende i föreningen.
- Styrelseledamöter, suppleanter, valberedning.
- Förvaltare och externa mottagare av delade rapporter.
- Mäklare med tillgång till säljpaket (om aktiverat).
5. Skyldigheter för Personuppgiftsbiträdet
- Behandlar personuppgifter endast enligt föreningens dokumenterade instruktioner. Grundinstruktion utgörs av användarvillkoren + föreningens konfiguration i appen.
- Säkerställer att personer med åtkomst är bundna av sekretess.
- Vidtar tekniska och organisatoriska åtgärder enligt punkt 7.
- Hjälper föreningen att svara på registrerades förfrågningar (Art. 12–23).
- Hjälper föreningen med anmälan av incidenter, konsekvensbedömningar (DPIA) och samråd med tillsynsmyndighet.
6. Underbiträden
Föreningen godkänner följande underbiträden:
- Supabase Inc. — databas, autentisering, filuppladdning, realtime. Datalokalisering: EU (Irland).
- OpenAI OpCo, LLC — AI-bearbetning av dokumenttexter och frågor. USA, SCC 2021/914. Ingen modellträning på kunddata.
- Stripe Payments Europe, Ltd. — betalningar, fakturering, abonnemang. Irland/USA, SCC.
- Apple Inc. — In-App Purchase på iOS. Irland/USA, SCC.
- Resend, Inc. — transaktionell e-post. EU.
- Google Ireland Ltd. — anonym webbanalys (Google Analytics 4), endast med besökarens samtycke. USA, SCC.
- Finansiell ID-Teknik BID AB — BankID-verifiering. Sverige.
- Bolagsverket, Lantmäteriet, Skatteverket, Boverket — publika register (svenska myndigheter).
Byte eller tillägg av underbiträde meddelas föreningen minst 30 dagar i förväg via e-post och i appen. Föreningen har rätt att invända inom denna period; kvarstår invändningen kan avtalet sägas upp utan uppsägningstid.
7. Tekniska & organisatoriska säkerhetsåtgärder
- Kryptering i vila (AES-256) och i transit (TLS 1.2+).
- Row-Level Security i databasen — strikt åtskillnad mellan föreningar och roller (boende vs styrelse).
- Personnummer lagras alltid hashat.
- Åtkomst till produktionsdata begränsad till behörig personal med MFA och individuell logging.
- Signerade och tidsbegränsade URL:er för filnedladdning.
- Backup dagligen med minst 7 dagars retention.
- Säkerhetsloggning av känsliga åtgärder, tillgänglig för styrelsen via aktivitetsloggen.
- Kontinuerlig sårbarhetsskanning och beroende-scanning.
8. Incidenthantering
Vid personuppgiftsincident som drabbar föreningens data informerar Hundra Hundra AB föreningen utan onödigt dröjsmål, senast inom 48 timmar från upptäckt, och tillhandahåller den information föreningen behöver för sin egen anmälan till IMY.
9. Registrerades rättigheter
Medlemmar kan själva utöva de flesta rättigheter direkt i appen (export, radering, återkalla samtycke) via Inställningar → Mina data & integritet. Om föreningen får en förfrågan den inte kan hantera själv, bistår Hundra Hundra AB inom rimlig tid utan extra kostnad.
10. Överföring utanför EU/EES
Vissa underbiträden (OpenAI, Stripe, Apple, Google) behandlar data i USA. Överföringen grundar sig på EU-kommissionens standardavtalsklausuler (SCC 2021/914) samt kompletterande tekniska åtgärder.
11. Granskning
Föreningen har rätt att en gång per år granska att Hundra Hundra AB fullgör sina skyldigheter, i första hand genom skriftlig fråga eller genom att ta del av säkerhetsdokumentation. Fysisk granskning på plats kan ske vid befogad misstanke om brister, mot skälig kostnadstäckning.
12. Retur & radering vid avtalets slut
Vid uppsägning väljer föreningen om personuppgifterna ska (a) exporteras och lämnas till föreningen, eller (b) raderas. Radering sker inom 30 dagar, med undantag för uppgifter som Hundra Hundra AB enligt lag måste behålla (t.ex. bokföring 7 år).
13. Ansvar
Ansvarsbegränsningar följer användarvillkoren. Tvingande bestämmelser i GDPR och skadeståndsrättslig lag inskränks inte.
14. Kontakt
Frågor om detta DPA: privacy@propertai.se · Hundra Hundra AB, org.nr 559547-2688.