Ett inbördes arrangemang ska enligt artikel 26 i dataskyddsförordningen tas fram om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen. Arrangemanget behövs när flera personuppgiftsansvariga samarbetar med varandra utan att någon av dem kan ensamt kan bestämma över ändamål och medel. De gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar enligt dataskyddsförordningen. Det inbördes arrangemanget ska på lämpligt sätt återspegla de gemensamt personuppgiftsansvarigas respektive roller och förhållanden gentemot registrerade.

I det här inbördes arrangemanget (avsnitt 2) klargörs rollerna i samarbetet inom JM-koncernen i följande avseenden:

• Vad vardera personuppgiftsansvarig har för eget ansvar i samarbetet.
• I vilka fall man gemensamt hanterar personuppgifter och vilka ändamål det sker för.

Eftersom JM-koncernen även interagerar med andra mottagare beskrivs även hur de interaktionerna ser ut (avsnitt 3).

Slutligen beskrivs hur du som registrerad[1]  kan kontakta JM AB och/eller JM@Home AB om du har frågor eller vill utöva dina rättigheter:

De registrerade som berörs av det inbördes arrangemanget är

• Kunder som vill köpa en bostadsrätt (inklusive göra extra tillval) byggda av JM AB av en bostadsrättsförening
• Kunder som förvärvar ägarlägenheter byggda av JM AB som är anslutna till en samfällighetsförening.
• Företrädare för bostadsrättsföreningar som ingår köpekontrakt och entreprenadkontrakt med JM AB.
• Företrädare för bostadsrättsföreningar som ingår avtal om teknisk och ekonomisk förvaltning med JM@Home AB och JM AB.
• Företrädare för samfällighetsföreningar som avtalar om förvaltning med JM AB och JM@Home AB.
• Anställda inom JM-koncernen som arbetar med någon av de ovanstående punkterna.

[1] Registrerad är en identifierad eller identifierbar fysisk person. En identifierbar fysisk person är en person som direkt eller indirekt kan identifieras t.ex. genom identifierare som namn eller genom en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Inom JM-koncernen finns bolagen JM AB och JM@Home AB som utbyter personuppgifter med varandra för att kunna genomföra hela JM-koncernens erbjudande och affärsidé.

Utifrån ett personuppgiftsperspektiv kan koncernens personuppgiftshantering visuellt beskrivas så här:

Bild 1. I bilden finns ett blått och ett gult fält som representerar den personuppgiftsbehandling som sker i respektive bolag. I överlappningen mellan fälten uppstår ett grått gemensamt fält, vilket symboliserar personuppgifter som behandlas med gemensamt ansvar. Personuppgifter som ingår i detta fält kan även i viss omfattning användas i biträdesrelationer som JM-koncernen har med bostadsrätts- och samfällighetsföreningar. I underavsnitten nedan beskrivs vad som ingår i fälten mer ingående.

• JM AB – det gula fältet

JM AB producerar bostadsrätter (inklusive tillhandahåller tillval) och ägarlägenheter vilket innebär att bolaget behöver behandla personuppgifter av business to business-karaktär (personuppgifter kopplade till anställda hos bolaget och andra som bolaget gör affärer med). Bolagets behandling av personuppgifter beskrivs i integritetspolicyn på webbplatsen och i avsnitt 3 nedan.

Boende i bostadsrättsföreningar kan vända sig till JM AB med kundklagomål till en kundtjänst.

• JM@home AB – det blå fältet

JM@Home AB är personuppgiftsansvarig när bolaget tar emot kundklagomål i den gemensamma kundtjänsten. Behandlingen beskrivs i integritetspolicyn på hemsidan och i avsnitt 3 nedan.

JM@Home AB bistår även bostadsrättsföreningar och samfällighetsföreningar med förvaltningstjänster. I de här fallen är det bostadsrättsföreningarna och samfällighetsföreningarna som är personuppgiftsansvariga. JM@Home AB har ingått personuppgiftsbiträdesavtal med föreningarna som ansvarar för att lämna information om personuppgiftsbehandling vid förvaltningen.

• Det gemensamma området – det gråa fältet

JM AB och JM@Home AB har ett nära samarbete för att kunna öka effektivitet och kvalitet i de erbjudanden som koncernen tillsammans har. Detta innebär att personuppgifter kan behöva behandlas för att kunna förbättra tjänster och fullfölja avtalsvillkor. Detta utförs genom en gemensam kundtjänst för båda bolagen.

För att förstå hur personuppgiftsbehandlingen går till behöver man även förstå hur de båda bolagen interagerar med andra personuppgiftsansvariga, se avsnitt 3. Genom den beskrivningen visas även grovt varifrån personuppgifter kommer och vilka de kan lämnas till. För tydligare bild hänvisas till respektive bolags integritetspolicy (se länkar ovan).

För att förstå det som beskrivs ovan kan det vara bra att förstå hur JM AB och JM@Home AB interagerar med andra personuppgiftsansvariga. Eftersom det är skilda regelverk för bostadsrätter och ägarlägenheter förklaras hanteringen i separata avsnitt.

3.1 Bostadsrätter

JM AB och JM@Home AB interagerar med andra personuppgiftsansvariga på det sätt som beskrivs i nedanstående bild där även tillämplig lagstiftning som används har angetts:

Bild 2. I bilden illustreras med svarta pilar behandlingar av personuppgifter för vilka JM AB eller JM@Home AB kan ha personuppgiftsansvar för (se avsnitt 2). Personuppgiftsbehandling som JM-koncernen inte har ansvar för illustreras med streckade pilar. I förvaltningsrelationen behandlar JM@Home AB personuppgifter som biträde till bostadsrättsföreningar (föreningarna har personuppgiftsansvar för denna behandling, se via streckade pil).

Relationerna i bilden kan kortfattat beskrivas så här:

• JM AB producerar lägenheter för bostadsrättsföreningars räkning.
• En kund som vill köpa en bostadsrättslägenhet kan ha kontakter med fastighetsmäklare, banker och bostadsrättsföreningar (se gråa ovaler i bilden. När dessa interagerar med varandra utbyts personuppgifter (se streckade grå pilar).
• Vid försäljning av en bostadsrätt ingår bostadsrättsföreningen ett förmedlingsuppdrag med extern mäklare. Mäklaren hanterar försäljningen av bostäderna fram till att lägenheten är upplåten med bostadsrätt och att slutlikvid erlagts samt att lägenheten har tillträtts.
• I entreprenadkontraktet mellan bostadsrättsföreningen och JM AB ingår en viss standard och möjliga, för kund, kostnadsfria val avseende vitvaror, ytskikt, etcetera i lägenheten. Önskar kunden ett i jämförelse med vad som ingår i nämnda entreprenad mer kostsamt val av ytskikt, etcetera så får kunden beställa detta direkt av JM AB och ingår då ett avtal om inredningsval med JM AB.
• När en kund ingår ett förhandsavtal (blir förhandstecknare) eller ingår ett upplåtelseavtal och blir medlem i bostadsrättsföreningen så ombesörjer JM AB att träffade avtal (föreningens original i fysiskt eller digitalt format) distribueras till JM@Home AB för att JM@Home ska kunna bistå i förvaltningen (som personuppgiftsbiträde).
• JM AB och JM@HomeAB har en gemensam kundservicefunktion. Typiskt sätt vänder sig kunden till den gemensamma kundservicen och påtalar ett symtom på fel (kallt i lägenheten, bristfällig ventilation, etcetera). Kundservice gör en första bedömning om beskrivet symtom på fel kan vara en förvaltnings- eller garantifråga. Utifrån den bedömningen så sorteras ärendet i systemet till aktuell organisation, vilket är teknisk förvaltning inom JM@Home AB (som bolaget utför som personuppgiftsbiträde) och garantiavdelningar inom JM AB.
• Hantering av penningtvättsfrågor sköts av JM@home. I den rollen föreligger ett personuppgiftsansvar.

3.2 Ägarlägenheter

JM AB och JM@Home AB interagerar med andra personuppgiftsansvariga på det sätt som beskrivs i nedanstående bild där även tillämplig lagstiftning som används har angetts:

Bild 3. I bilden illustreras med svarta pilar behandlingar av personuppgifter för vilka JM AB eller JM@Home AB kan ha personuppgiftsansvar för (se avsnitt 2). Personuppgiftsbehandling som JM-koncernen inte har ansvar för illustreras med streckade pilar. I förvaltningsrelationen behandlar JM@Home AB personuppgifter som biträde till samfällighetsföreningar (föreningarna har personuppgiftsansvar för denna behandling). När JM@Home AB utför tjänster inom ramen för tillstånd hos Finansinspektionen är bolaget personuppgiftsansvarigt.

Relationerna i bilden kan kortfattat beskrivas så här:

• JM AB producerar ägarlägenheter för privatkunders räkning.
• Ofta förmedlas affären i föregående punkt av mäklare. Privatkunden kan även ha haft bankkontakter.
• Den fastighet som ägarlägenhet utgör ingår i en samfällighetsförening i vilken fastighetsägarens företrädare är kontaktperson.
• Samfällighetsföreningen har träffat ett avtal med JM@Home AB som hanterar den ekonomiska och tekniska förvaltningen i vilken ingår att göra aviseringar i debiteringslängden och sköta medlemsregistret.
• För att kunna genomföra ovanstående delar JM AB och JM@Home AB kontaktuppgifter till olika företrädare.
• JM@Home AB hanterar även frågor kopplade till sin tillståndspliktiga verksamhet som betalningsinstitut från Finansinspektionen. Detta görs som personuppgiftsansvarig.

Enligt dataskyddsförordningen ska de som är parter i ett inbördes arrangemang (i detta fall JM AB och JM@Home AB) tydliggöra kontaktpunkter för de registrerade:

• JM AB utgör kontaktpunkt för frågor kopplade till det gula och grå fältet i bild 1.
• JM@Home utgör kontaktpunkt för frågor kopplade till det blå och grå fältet i bild 1 i den utsträckning bolaget har ett personuppgiftsansvar. Frågor där bostadsrättsföreningar eller samfällighetsföreningar är ansvariga för får ställas till dem.

Kontaktuppgifter (telefonnummer och e-postadress) finns angivna i inledningen till det inbördes arrangemanget.

Att vara en kontaktpunkt innebär att den registrerade kan vända sig dit med frågor eller synpunkter på personuppgiftsbehandling. Registrerade kan oavsett kontaktpunkterna ovan alltid välja att vända sig till en eller båda personuppgiftsansvariga för att utöva sina rättigheter enligt dataskyddsförordningen.

Vet du inte vilken kontaktpunkt du ska använda? Ta kontakt med något av bolagen, så lotsar vi dig rätt.