Personuppgiftsbiträdesavtal

Version 2026-11-06

1. Parter

Personuppgiftsbiträde: CS Kommunikationsbyrå AB, org.nr 559261-2120, Rördromsvägen 3, 591 74 Borensberg ("Biträdet").

Personuppgiftsansvarig: den organisation som har avtal med Biträdet om CRM-systemet YourCoCRM och som godkänner detta avtal i systemet ("Kunden").

2. Bakgrund och syfte

Kunden använder YourCoCRM för att hålla ordning på företag, kontaktpersoner, besök, uppgifter och event. Biträdet behandlar då personuppgifter för Kundens räkning. Detta avtal reglerar den behandlingen enligt artikel 28 i dataskyddsförordningen (GDPR) och gäller som en del av avtalet om tjänsten ("Huvudavtalet"). Vid motstridighet gäller detta avtal i frågor om personuppgifter.

3. Behandlingens föremål, art och ändamål

Biträdet lagrar, organiserar, visar, skickar och raderar personuppgifter i den utsträckning som behövs för att leverera YourCoCRM: företags- och kontaktregister, besöksanteckningar, uppgifter, event med inbjudningar, svarssidor, bekräftelser, påminnelser och incheckning, uppföljningsenkäter, mejlutskick, statistik, AI-hjälp och därtill hörande support. Behandlingen pågår så länge Huvudavtalet gäller.

4. Kategorier av registrerade och personuppgifter

• Kontaktpersoner hos de företag som Kunden har kontakt med: namn, titel, e-post, telefon, vilket företag personen hör till, taggar, samtycke till utskick, besök och möten, anteckningar, inbjudningar, svar, närvaro, enkätsvar och skickade mejl.
• Uppgifter om specialkost och allergier som deltagaren själv lämnar vid anmälan. Sådana uppgifter kan vara hälsouppgifter enligt artikel 9 i GDPR.
• Kundens användare: namn, e-post, titel, roll och vilka uppgifter, besök och event de är kopplade till.

Kunden ansvarar för att inte föra in andra känsliga personuppgifter i systemet, till exempel i anteckningar och fritextfält, än vad som behövs.

5. Kundens ansvar

Kunden är personuppgiftsansvarig och ansvarar för att det finns rättslig grund för behandlingen, till exempel för utskick till kontaktpersonerna, att de registrerade får information om behandlingen och att instruktionerna till Biträdet är lagliga.

6. Biträdets åtaganden

• Biträdet behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner. Detta avtal, Huvudavtalet och Kundens inställningar och val i systemet utgör instruktionerna.
• Biträdet informerar Kunden om en instruktion enligt Biträdets bedömning strider mot dataskyddsreglerna.
• Biträdet behandlar inte uppgifterna för egna ändamål, och säljer eller lämnar inte ut dem till någon annan än godkända underbiträden eller när lag kräver det.

7. Sekretess

Biträdet ser till att de personer som har tillgång till personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Biträdet har bara tillgång till Kundens uppgifter när det behövs för drift, felsökning eller support.

8. Säkerhet

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR, bland annat:

• kryptering av all trafik och av lagrade uppgifter hos databasleverantören,
• att varje kunds uppgifter skiljs från andra kunders med behörighetsregler i databasen,
• rollbaserad behörighet inom varje kund, där besöksanteckningar bara visas för den ansvarige och för roller som Kunden ger rätt att se alla anteckningar,
• personliga, svårgissade länkar till svarssidor och enkäter,
• lösenord som bara sparas i krypterad form,
• att administrativ åtkomst begränsas till de personer hos Biträdet som behöver den.

9. Underbiträden

Kunden lämnar ett allmänt förhandstillstånd till att Biträdet anlitar underbiträden. Vid avtalets början anlitas:

• Supabase Inc. – databas, inloggning och fillagring, med lagring i Irland (EU).
• Vercel Inc. – drift av webbplatsen, med serverfunktioner i Dublin (EU).
• Resend Inc. – e-postutskick, från servrar i Irland (EU).
• Anthropic PBC – AI-assistenten Millie och AI-hjälpen med texter. Används bara om Kunden har modulen Millie och AI-hjälp påslagen, och bara med de uppgifter som behövs för den fråga användaren ställer.

Biträdet ingår avtal med varje underbiträde som ger motsvarande skydd som detta avtal. Biträdet meddelar Kunden minst 30 dagar innan ett nytt underbiträde anlitas. Kunden kan invända av sakliga skäl. Kan parterna inte enas har Kunden rätt att säga upp tjänsten till den dag ändringen träder i kraft.

10. Överföring till tredje land

Personuppgifterna lagras inom EU. Om uppgifter överförs till land utanför EU/EES, till exempel genom ett amerikanskt underbiträde, sker det bara med stöd av ett beslut om adekvat skyddsnivå, såsom EU:s ramverk för dataskydd mellan EU och USA (Data Privacy Framework), eller EU-kommissionens standardavtalsklausuler.

11. Bistånd till Kunden

• Systemet låter Kunden själv söka fram, rätta, exportera och radera uppgifter om en registrerad. Biträdet hjälper därutöver Kunden att besvara begäranden från registrerade.
• Får Biträdet en begäran direkt från en registrerad hänvisas den till Kunden.
• Biträdet hjälper Kunden att fullgöra skyldigheterna i artiklarna 32–36 i GDPR, med hänsyn till behandlingens art och den information Biträdet har.

12. Personuppgiftsincidenter

Biträdet underrättar Kunden utan onödigt dröjsmål, och senast inom 36 timmar efter att Biträdet fått kännedom om en personuppgiftsincident som berör Kundens uppgifter. Underrättelsen innehåller den information som Kunden behöver för att kunna anmäla incidenten till Integritetsskyddsmyndigheten och informera de registrerade.

13. Granskning

Biträdet ger Kunden den information som behövs för att visa att avtalet följs. Kunden har rätt att, efter skriftligt meddelande minst 30 dagar i förväg, granska behandlingen själv eller genom en oberoende granskare som omfattas av tystnadsplikt. Kunden står för sina egna kostnader för granskningen.

14. Avtalets upphörande, återlämning och radering

När Huvudavtalet upphör kan Kunden exportera sina uppgifter från systemet. Biträdet raderar därefter Kundens personuppgifter senast 90 dagar efter avtalets slut, om inte lag kräver att de sparas. Uppgifter i säkerhetskopior skrivs över enligt leverantörens rutiner.

15. Ansvar

Varje part ansvarar för skada som parten orsakat i strid med detta avtal eller dataskyddsreglerna, enligt artikel 82 i GDPR. I övrigt gäller ansvarsbegränsningarna i Huvudavtalet.

16. Ändringar

Biträdet kan uppdatera avtalet, till exempel om lagen ändras eller nya underbiträden anlitas. Kunden meddelas om väsentliga ändringar minst 30 dagar i förväg och ombeds godkänna den nya versionen i systemet.

17. Giltighet, tillämplig lag och tvister

Avtalet gäller från att Kunden godkänner det i systemet och så länge Biträdet behandlar personuppgifter för Kundens räkning. Ett elektroniskt godkännande av en behörig företrädare för Kunden gäller som skriftligt avtal. Svensk lag gäller. Tvister avgörs av allmän domstol i Sverige.