Personuppgiftsbiträdesavtal

Senast uppdaterad 2 november 2026.

Det här är Hoegstedt Consulting AB:s standardavtal enligt artikel 28 i dataskyddsförordningen. Det gäller när ett företag anlitar Krogarna för att behandla personuppgifter om sina anställda eller andra deltagare.

Avtalet blir bindande när ni bekräftar det skriftligen, till exempel genom e-post till kundtjanst@krogarna.se, eller när ni beställer en tjänst där vi behandlar sådana uppgifter. Ett signerat exemplar skickas på begäran.

Andra dokument: Integritetspolicy · Cookies

1. Parter

Personuppgiftsansvarig är det företag som beställer tjänsten.

Personuppgiftsbiträde är Hoegstedt Consulting AB, org.nr 559027-9849, Strandvägen 7A, 114 56 Stockholm, som driver Krogarna. Kontakt: kundtjanst@krogarna.se.

2. Föremål, varaktighet och instruktion

Vi behandlar personuppgifter för att tillhandahålla det ni beställt: konto, utbildning, medlemskap, resultat, intyg och support.

Behandlingen pågår så länge kundavtalet pågår. Därefter gäller avsnittet om radering.

Er dokumenterade instruktion är det här avtalet tillsammans med de val ni gör i tjänsten, till exempel vilka deltagare som ska ha tillgång till en kurs. Vi behandlar inte uppgifterna för egna syften. Får vi en instruktion som vi bedömer strider mot dataskyddsförordningen meddelar vi er och avvaktar, om inte lagen kräver att vi fortsätter.

Ni ansvarar för att ha en rättslig grund, för att informera deltagarna och för att hålla er kontaktadress uppdaterad. Skicka inte personnummer eller känsliga personuppgifter, till exempel hälsa eller fackmedlemskap, till oss.

3. Registrerade och uppgifter

Registrerade	Uppgifter
Anställda och andra deltagare som ni anmäler eller som själva skapar konto inom ert avtal	Namn, e-post, telefon, företag, kursframsteg, provsvar, resultat, intyg, supportärenden
Era kontaktpersoner	Namn, e-post, telefon och roll

4. Sekretess och behöriga personer

Personer hos oss, och hos underbiträden, som kommer i kontakt med uppgifterna har tystnadsplikt. Åtkomst ges bara till den som behöver den för att utföra tjänsten.

5. Säkerhet

Vi vidtar de åtgärder som artikel 32 kräver med hänsyn till risken:

• Krypterad överföring (HTTPS).
• Hashade lösenord.
• Begränsad åtkomst till produktionsmiljön.
• Databas och cache för utbildningsplattformen i samma region som applikationen.
• Säkerhetskopior hos driftleverantören, som skrivs över i den ordinarie rutinen.

6. Underbiträden

Ni godkänner de underbiträden som räknas upp i bilagan. Vi uppdaterar listan på den här sidan innan ett nytt underbiträde börjar behandla personuppgifter.

Ni kan invända av sakliga dataskyddsskäl inom 30 dagar från publiceringen. Invändan skickas till kundtjanst@krogarna.se. Om vi inte kan genomföra tjänsten utan det underbiträdet får ni avsluta den del av tjänsten som kräver det.

Vi har ett skriftligt avtal med varje underbiträde som ålägger det samma dataskyddsskyldigheter som vi har mot er.

7. Överföring utanför EU/EES

Utbildningsplattformen lagras i London. Storbritannien har ett gällande adekvansbeslut. Övrig överföring utanför EU/EES, bland annat till USA för e-post, videouppspelning, betalning, sker med EU:s standardavtalsklausuler. Genom det här avtalet instruerar ni oss att göra de överföringar som bilagan beskriver.

8. De registrerades rättigheter

Vi hjälper er, med de tekniska möjligheterna i tjänsten, att svara på begäran om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning. Får vi en sådan begäran direkt från en deltagare hänvisar vi den till er, om inte lagen kräver att vi svarar själva.

9. Personuppgiftsincident

Vi meddelar er utan onödigt dröjsmål, och senast inom 72 timmar från att vi fått kännedom om en personuppgiftsincident som rör era deltagare.

Meddelandet skickas till den e-postadress ni angett som kontakt. Det beskriver, i den mån vi vet det då:

• vad som har hänt,
• vilka uppgifter och ungefär hur många personer som berörs,
• troliga konsekvenser,
• åtgärder som vi har vidtagit eller föreslår,
• en kontaktpunkt hos oss.

Saknas någon uppgift skickar vi den så snart vi har den. Ni ansvarar för anmälan till Integritetsskyddsmyndigheten och för information till de registrerade, när det är ert ansvar enligt förordningen.

10. Konsekvensbedömning

Vi bistår er med den information vi har, om ni behöver göra en konsekvensbedömning eller samråda med en tillsynsmyndighet om den behandling vi utför åt er.

11. Radering och återlämning

När kundavtalet upphör, eller när ni begär det, raderar eller återlämnar vi personuppgifterna. Det sker inom 30 dagar. Undantag gäller för bokföringsunderlag, som sparas i sju år enligt bokföringslagen, och för säkerhetskopior tills de skrivs över.

12. Granskning

En gång per år, och dessutom efter en incident som rör era uppgifter, lämnar vi på begäran den information som behövs för att visa att avtalet följs. En granskning på plats får ske om den informationen inte räcker, högst en gång per år, med skäligt varsel, under sekretess och utan att störa driften i onödan. Ni står för er egen kostnad.

13. Ansvar

Ansvaret mot de registrerade följer dataskyddsförordningen. Det ansvaret kan inte avtalas bort. I övrigt ansvarar var part för skada som den andra lider genom att parten bryter mot det här avtalet.

14. Giltighet, ändring och lag

Avtalet gäller så länge vi behandlar personuppgifter åt er. Avsnitten om sekretess, radering, incidenter och ansvar gäller även efter att behandlingen har upphört.

Vi får uppdatera avtalet när lagen eller tjänsten kräver det. En väsentlig ändring publiceras på den här sidan. För ett avtal som ni redan har bekräftat gäller ändringen 30 dagar efter att vi meddelat er, om ni inte invänder innan dess. En invändning hanteras på samma sätt som en invändning mot ett nytt underbiträde.

Svensk lag gäller. Tvister prövas av Stockholms tingsrätt.

Bilaga 1. Underbiträden

Underbiträde	Behandling	Plats och skydd
Laravel Cloud (Amazon Web Services)	Drift av app.krogarna.se, databas och cache för konton, framsteg, prov och intyg	London, Storbritannien. Adekvansbeslut
Inleed (Yelles AB)	Drift av krogarna.se när deltagarens konto eller beställning även finns i webbshopen	Stockholm, Sverige
Alectiv	Utveckling och teknisk drift på vårt uppdrag	Sverige
PostHog, EU-molnet	Besöksstatistik. Inloggade användare kan identifieras med namn och e-post	EU, via f.krogarna.se
Resend	E-post till deltagare och kontaktpersoner	USA. Standardavtalsklausuler
Vimeo	Uppspelning av kursfilm. IP-adress kan behandlas vid uppspelning. Resultat lagras inte hos Vimeo	USA. Standardavtalsklausuler
Stripe	Betalning när beställningen görs på krogarna.se	EU och USA. Standardavtalsklausuler när uppgifter lämnar EU/EES

Google Tag Manager används på krogarna.se och laddas inte i utbildningsplattformen. Kursresultat skickas inte dit.

Bilaga 2. Kontakt vid incident

Hoegstedt Consulting AB, kundtjanst@krogarna.se, 010-139 19 90.

Ange gärna i er bekräftelse av avtalet vilken e-postadress ett incidentmeddelande ska gå till. Annars använder vi adressen som beställningen eller bekräftelsen skickades från.