PERSONUPPGIFTSBITRÄDESAVTAL

Bilaga till Unsealds Allmänna villkor

Giltigt från och med 2026-07-07

Detta personuppgiftsbiträdesavtal ("Personuppgiftsbiträdesavtalet") utgör en bilaga till de vid var tid gällande Allmänna villkoren avseende Tjänsten ("Huvudavtalet") och reglerar förhållandet mellan Personuppgiftsbiträdet och Personuppgiftsansvarige vid Personuppgiftsbiträdets behandling av Personuppgifter för Personuppgiftsansvariges räkning.

De definitioner som används i Huvudavtalet ska ha motsvarande innebörd i detta Personuppgiftsbiträdesavtal, om inte annat uttryckligen anges. Vid motsägelser eller avvikelser mellan detta Personuppgiftsbiträdesavtal och Huvudavtalet ska bestämmelserna i detta Personuppgiftsbiträdesavtal ha företräde i den utsträckning motsägelsen avser behandling av Personuppgifter eller dataskydd.

Definitioner

I den mån Europaparlamentets och rådets förordning (EU) 2016/679, hädanefter dataskyddsförordningen, innehåller begrepp som motsvarar dem som används i Avtalet ska sådana begrepp tolkas och tillämpas i enlighet med dataskyddsförordningen.

I detta Personuppgiftsbiträdesavtal ska nedan angivna termer ha följande betydelse:

Med Personuppgiftsbiträdesavtal avses detta dokument.

Med Behandling avses en åtgärd eller kombination av åtgärder beträffande Personuppgifter eller uppsättningar av Personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

Med Dokumenterade instruktioner avses de instruktioner för Behandling av Personuppgifter som följer av Huvudavtalet, detta Personuppgiftsbiträdesavtal, Personuppgiftsansvariges användning av Tjänsten samt andra skriftliga instruktioner som Personuppgiftsansvarige lämnar och som Personuppgiftsbiträdet har accepterat.

Med Parterna avses gemensamt Personuppgiftsbiträdet och Personuppgiftsansvarig.

Med Personuppgift avses varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Med Personuppgiftsbiträdet avses Unseald AB, org.nr 559328-5363, som på uppdrag av Personuppgiftsansvarige Behandlar Personuppgifter.

Med Personuppgiftsincident avses en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de Personuppgifter som överförts, lagrats eller på annat sätt Behandlats.

Med Registrerad avses den identifierade eller identifierbara fysiska person vars Personuppgifter Behandlas enligt detta Personuppgiftsbiträdesavtal.

Med Tillämpliga bestämmelser avses dataskyddsförordningen (EU) 2016/679 (GDPR), nationell kompletterande dataskyddslagstiftning, bindande föreskrifter, beslut och vägledningar från behöriga tillsynsmyndigheter samt andra tillämpliga och bindande regler avseende behandling av Personuppgifter.

Med Tredjeland avses ett land utanför EU/EES.

Med Underbiträde avses den som Behandlar Personuppgifter enligt instruktioner av Personuppgiftsbiträdet.

1. Syfte

Personuppgiftsbiträdet har genom Huvudavtalet och detta Personuppgiftsbiträdesavtal åtagit sig att Behandla Personuppgifter för Personuppgiftsansvariges räkning i samband med tillhandahållandet av Tjänsten.

Detta Personuppgiftsbiträdesavtal reglerar omfattningen av Personuppgiftsbiträdets Behandling av Personuppgifter samt Parternas respektive rättigheter och skyldigheter enligt Tillämpliga bestämmelser.

2. Personuppgiftsansvariges skyldigheter

2.1 Behandling i enlighet med Tillämpliga bestämmelser

2.1.1 Behandling enligt Avtalet och Tillämpliga bestämmelser

Personuppgiftsansvarige ansvarar för att all Behandling av Personuppgifter som sker genom Tjänsten är förenlig med Personuppgiftsbiträdesavtalet, Huvudavtalet och Tillämpliga bestämmelser.

2.1.2 Tillhandahållande av Personuppgifter

Personuppgiftsansvarige ansvarar för att endast tillhandahålla sådana Personuppgifter som är nödvändiga och relevanta för ändamålen med Behandlingen samt för att de Personuppgifter som lämnas till Personuppgiftsbiträdet får Behandlas enligt Tillämpliga bestämmelser.

2.1.3 Korrekta uppgifter

Personuppgiftsansvarige ansvarar för att Personuppgiftsbiträdet får fullständiga, korrekta och dokumenterade instruktioner. Om Personuppgiftsbiträdet bedömer att en instruktion strider mot Tillämpliga bestämmelser eller annars är oklar ska Personuppgiftsbiträdet utan onödigt dröjsmål informera Personuppgiftsansvarige. Personuppgiftsbiträdet har då rätt att avvakta med den berörda Behandlingen till dess att tydliga instruktioner har lämnats.

2.2 Dokumenterade instruktioner

Personuppgiftsbiträdet får endast Behandla Personuppgifter i enlighet med Dokumenterade instruktioner, om inte annat följer av Tillämpliga bestämmelser.

Personuppgiftsansvarige ansvarar för att de Dokumenterade instruktionerna är lagliga, fullständiga och tillräckliga för den Behandling som ska utföras.

Personuppgiftsbiträdet behandlar Personuppgifter endast i syfte att tillhandahålla, drifta, säkra, underhålla och utveckla Tjänsten samt för att fullgöra sina skyldigheter enligt Huvudavtalet, detta Personuppgiftsbiträdesavtal och Tillämpliga bestämmelser.

2.3 Samtycke och informationsskyldighet

Personuppgiftsansvarige ansvarar för att nödvändig information lämnas till Registrerade och att eventuellt samtycke inhämtas enligt tillämplig dataskydds- och cookie-lagstiftning innan insamling av personuppgifter sker genom de tekniska lösningar som tillhandahålls inom ramen för tjänsten.

Personuppgiftsbiträdet förlitar sig på att sådan information och samtyckeshantering sker innan behandling påbörjas. Personuppgiftsbiträdet har ingen självständig skyldighet att inhämta samtycke från Registrerade eller att visa cookie- eller samtycksbanner i samband med användningen av tjänsten. Personuppgiftsbiträdet ansvarar inte för innehåll i kommunikation som distribueras via Tjänsten eller för lagligheten i sådan kommunikation. Personuppgiftsbiträdet agerar endast som teknisk leverantör och behandlar Personuppgifter i enlighet med Personuppgiftsansvariges instruktioner.

Personuppgiftsbiträdet har ingen skyldighet att kontrollera att Personuppgiftsansvarige har uppfyllt sina skyldigheter enligt denna punkt.

3. Personuppgiftsbiträdets ansvarsområden

3.1 Behandling av Personuppgifter

3.1.1 Behandling enligt Personuppgiftsbiträdesavtalet och Tillämpliga bestämmelser

Personuppgiftsbiträdet ska endast Behandla Personuppgifter för Personuppgiftsansvariges räkning och i enlighet med Dokumenterade instruktioner, detta Personuppgiftsbiträdesavtal, Huvudavtalet och Tillämpliga bestämmelser. Om Personuppgiftsbiträdet enligt Tillämpliga bestämmelser är skyldigt att Behandla Personuppgifter på annat sätt än enligt Dokumenterade instruktioner ska Personuppgiftsbiträdet, om inte sådan information är förbjuden enligt lag, informera Personuppgiftsansvarige innan sådan Behandling sker. Personuppgiftsbiträdet får inte utan Personuppgiftsansvariges uttryckliga instruktion, föreläggande från behörig myndighet eller skyldighet enligt Tillämpliga bestämmelser:

samla in eller lämna ut Personuppgifter till tredje man, om inte annat följer av Huvudavtalet eller detta Personuppgiftsbiträdesavtal,
ändra metod för Behandling,
kopiera eller återskapa Personuppgifter utöver vad som är nödvändigt för att tillhandahålla Tjänsten eller uppfylla skyldigheter enligt Tillämpliga bestämmelser, eller
på annat sätt Behandla Personuppgifter för andra ändamål än de som följer av Dokumenterade instruktioner.

3.1.2 Lagring och gallring

Personuppgiftsbiträdet ska Behandla Personuppgifter endast så länge det är nödvändigt för att fullgöra Huvudavtalet, detta Personuppgiftsbiträdesavtal, Dokumenterade instruktioner eller skyldigheter enligt Tillämpliga bestämmelser. Personuppgiftsansvarige ansvarar för att fastställa tillämpliga lagringstider och gallringsinstruktioner, om inte annat följer av Huvudavtalet eller Tillämpliga bestämmelser.

3.1.3 Överföring av Personuppgifter till Tredjeland

Vid överföring av Personuppgifter till Tredjeland ansvarar Personuppgiftsbiträdet för att överföringen och Behandlingen sker enligt Tillämpliga bestämmelser. Överföring får endast ske om laglig överföringsmekanism finns, såsom beslut om adekvat skyddsnivå eller Europeiska kommissionens standardavtalsklausuler i tillämplig modul tillsammans med nödvändiga kompletterande skyddsåtgärder baserat på en överföringsbedömning. Personuppgiftsbiträdet kan använda underbiträden som behandlar Personuppgifter både inom och utanför EU/EES. I de fall Personuppgifter behandlas utanför EU/EES säkerställer Personuppgiftsbiträdet att sådan överföring sker i enlighet med Tillämpliga bestämmelser, inklusive genom användning av Europeiska kommissionens standardavtalsklausuler, EU-kommissionens beslut om adekvat skyddsnivå eller annan giltig överföringsmekanism.

Personuppgiftsansvarige lämnar härmed ett generellt godkännande till att Personuppgiftsbiträdet anlitar underbiträden i tredjeland under förutsättning att ovanstående krav uppfylls. Personuppgiftsbiträdet ska underrätta Personuppgiftsansvarige om tillägg eller ändring av mottagare eller underbiträde i tredjeland på lämpligt sätt, exempelvis genom information på Personuppgiftsbiträdets webbplats eller i annan kanal som Parterna använder för avtalsrelaterad kommunikation. Personuppgiftsansvarige har rätt att inom trettio (30) dagar från sådan underrättelse framföra motiverad invändning.
Personuppgiftsbiträdet ska dokumentera vald överföringsmekanism samt vidtagna skyddsåtgärder och hålla en uppdaterad förteckning över underbiträden och mottagare i tredjeland tillgänglig på sin webbplats. Uppdateringar av förteckningen utgör inte en ändring av detta Avtal.

3.1.4 Skriftligt samtycke vid överföring

En överföring som inte omfattas av ovanstående kräver Personuppgiftsansvariges skriftliga samtycke och ett säkerställande av att sådan överföring sker i överensstämmelse med Tillämpliga bestämmelser.

3.1.5 Genomförande av förändringar

Personuppgiftsbiträdet ska, i den utsträckning det är tekniskt möjligt och inte strider mot Huvudavtalet eller Tillämpliga bestämmelser, genomföra ändringar, rättelser, raderingar, begränsningar och överföringar av Personuppgifter enligt Personuppgiftsansvariges Dokumenterade instruktioner.

3.2 Tekniska och organisatoriska åtgärder

3.2.1 Vidta tekniska och organisatoriska åtgärder

Med beaktande av den senaste utvecklingen, genomförandekostnaderna och Behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska Personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken inbegripet, när det är lämpligt,

pseudonymisering och kryptering av Personuppgifter
förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos Behandlingssystemen och -tjänsterna,
förmågan att återställa tillgängligheten och tillgången till Personuppgifter i rimlig tid vid en fysisk eller teknisk incident,
ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa Behandlingens säkerhet.

Personuppgiftsbiträdet ska säkerställa att endast de personer som behöver tillgång till personuppgifter för att kunna fullgöra sina arbetsuppgifter ges sådan åtkomst. Samtliga personer som behandlar personuppgifter för Personuppgiftsbiträdets räkning omfattas av sekretessförpliktelse, antingen genom lag, avtal eller motsvarande. Personuppgiftsbiträdet har rätt att löpande utveckla, ersätta eller förändra de tekniska och organisatoriska säkerhetsåtgärderna, under förutsättning att säkerhetsnivån inte därigenom väsentligen försämras.

3.3 Upprättande av förteckning

3.3.1 Upprätta en förteckning

Personuppgiftsbiträdet ska föra en förteckning över alla kategorier av Behandling som utförs för Personuppgiftsansvariges räkning, som omfattar följande:

Namn och kontaktuppgifter för Personuppgiftsbiträdet och Personuppgiftsansvarige för vars räkning Personuppgiftsbiträdet agerar, och, i tillämpliga fall, för Personuppgiftsansvariges eller Personuppgiftsbiträdets företrädare samt dataskyddsombudet.
De kategorier av Behandling som har utförts för Personuppgiftsansvariges räkning.
I tillämpliga fall, överföringar av Personuppgifter till ett Tredjeland eller en internationell organisation, inbegripet identifiering av Tredjelandet eller den internationella organisationen och dokumentationen av lämpliga skyddsåtgärder.
Om möjligt, en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärderna.

3.3.2 Skriftlig förteckning

Personuppgiftsbiträdet ska upprätta förteckningen skriftligen, inbegripet i elektronisk form.

3.4 Underrättelseskyldighet

3.4.1 Underrättelse

Personuppgiftsbiträdet ska utan onödigt dröjsmål underrätta Personuppgiftsansvarige om Personuppgiftsbiträdet bedömer att en Dokumenterad instruktion strider mot Tillämpliga bestämmelser eller om Personuppgiftsbiträdet annars får kännedom om omständigheter som medför att Behandlingen riskerar att strida mot Tillämpliga bestämmelser.

3.5 Information

3.5.1 Utlämnande av Personuppgifter

Personuppgiftsbiträdet får inte lämna ut Personuppgifter eller information om Behandlingen av Personuppgifter utan medgivande i förväg från Personuppgiftsansvarige utom för det fall föreläggande finns därom från relevant tillsynsmyndighet eller om Personuppgiftsbiträdet är skyldig att göra det enligt Tillämpliga bestämmelser.

3.5.2 Underrättelseskyldighet vid kontakt

Personuppgiftsbiträdet ska utan onödigt dröjsmål meddela Personuppgiftsansvarige om Personuppgiftsbiträdet kontaktas av behörig tillsynsmyndighet, Registrerad eller tredje part i syfte att få tillgång till Personuppgifter som Personuppgiftsbiträdet Behandlar.

3.6 Revision

3.6.1 Kontroll av efterlevnad

Personuppgiftsansvarige har rätt att en gång per tolvmånadersperiod, samt vid välgrundad misstanke om bristande efterlevnad, efter skriftligt förhandsmeddelande om minst sextio (60) kalenderdagar, genomföra eller låta genomföra revision av Personuppgiftsbiträdets efterlevnad av detta Personuppgiftsbiträdesavtal. Parterna ska i god tid samråda om revisionens omfattning, metod och tidsplan. Personuppgiftsansvarige står för sina egna kostnader och ska ersätta Personuppgiftsbiträdets för på förhand överenskomna kostnader som uppstår till följd av revisionen. Om Personuppgiftsansvarige anlitar en extern part för att genomföra revisionen ska Personuppgiftsansvarige säkerställa att den externa parten, innan revisionen påbörjas, åtar sig sekretessförpliktelser som är minst lika omfattande som dem som gäller för Parterna enligt detta Personuppgiftsbiträdesavtal och Avtalet. Revision ska genomföras på ett sätt som inte oskäligt stör Personuppgiftsbiträdets verksamhet eller medför att konfidentiell information, säkerhetsinformation eller uppgifter som rör andra kunder röjs. Personuppgiftsbiträdet har rätt att vidta skäliga säkerhetsåtgärder och begränsningar för att skydda sådan information.

3.6.2 Tillgång till lokaler och utrustning

Personuppgiftsbiträdet ska bereda Personuppgiftsansvarige tillgång till lokaler och utrustning för inspektion i syfte att säkerställa att Personuppgiftsbiträdet uppfyller sina skyldigheter enligt Personuppgiftsbiträdesavtalet och Tillämpliga bestämmelser. Personuppgiftsansvarige har dock inte sådan rätt när tillgången och/eller inspektionen kan medföra säkerhets- eller integritetsrisker för de Registrerade.

3.6.3 Visa efterlevnad av Personuppgiftsbiträdesavtalet och Tillämpliga bestämmelser

Personuppgiftsbiträdet ska på begäran och utan onödigt dröjsmål kunna visa att skyldigheterna enligt detta Personuppgiftsbiträdesavtal och Tillämpliga bestämmelser efterlevs. Detta innefattar bland annat att tillhandahålla relevant dokumentation samt, i skälig omfattning, möjliggöra och bidra till granskningar enligt punkt 3.6. Personuppgiftsbiträdet är dock inte skyldigt att lämna ut information som skulle innebära att konfidentiell information, affärshemligheter, säkerhetsinformation eller uppgifter om andra kunder röjs.

3.6.4 Tillgång till Personuppgifter

Personuppgiftsbiträdet ska, på Personuppgiftsansvariges skriftliga begäran och i den utsträckning det är tekniskt möjligt, ge Personuppgiftsansvarige tillgång till de Personuppgifter som Personuppgiftsbiträdet Behandlar för Personuppgiftsansvariges räkning samt den information som Personuppgiftsansvarige skäligen behöver för att utöva kontroll enligt detta Personuppgiftsbiträdesavtal. Sådan tillgång ska lämnas utan oskäligt dröjsmål och senast inom tjugo (20) dagar från mottagen begäran, om inte begäran är särskilt omfattande eller komplex. I sådant fall ska Personuppgiftsbiträdet informera Personuppgiftsansvarige om orsaken till förseningen och lämna informationen så snart det är skäligt möjligt. Personuppgiftsbiträdet är inte skyldigt att lämna ut Personuppgifter, upplysningar eller handlingar som:

Personuppgiftsansvarige redan har tillgång till genom Tjänsten,
skulle röja konfidentiell information, affärshemligheter, säkerhetsinformation eller uppgifter om andra kunder, eller
inte är nödvändiga för att Personuppgiftsansvarige ska kunna utöva sina rättigheter enligt detta Personuppgiftsbiträdesavtal eller Tillämpliga bestämmelser.

3.7 Säkerhet och sekretess

3.7.1 Utvärdera risker

Personuppgiftsbiträdet ska utvärdera riskerna med Behandlingen och vidta åtgärder, såsom kryptering, för att minska dem. Åtgärderna bör säkerställa en lämplig säkerhetsnivå, inbegripet konfidentialitet, med beaktande av den senaste utvecklingen och genomförandekostnader i förhållande till riskerna och vilken typ av Personuppgifter som ska skyddas.

3.7.2 Vidta säkerhetsåtgärder

Personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person och juridisk person som utför arbete under Personuppgiftsbiträdets överinseende, och som får tillgång till Personuppgifter, endast Behandlar dessa på instruktion från den Personuppgiftsansvarige. Säkerhetsåtgärderna omfattar såväl tekniska som organisatoriska åtgärder. Omfattningen av åtgärderna ska vidtas med beaktande av den senaste utvecklingen, genomförandekostnaderna och Behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Den säkerhetsnivå som ska säkerställas ska vara lämplig i förhållande till riskerna.

3.7.3 Tillräcklig kunskap och utbildning

Personuppgiftsbiträdet ansvarar för att varje fysisk person som har tillgång till Personuppgifterna som Behandlas enligt Personuppgiftsbiträdesavtalet har tillräckliga kunskaper för att på ett säkert och ändamålsenligt sätt Behandla Personuppgifterna.

3.7.4 Förändringar av Personuppgiftsbehandling

Om Personuppgiftsbiträdet avser att genomföra väsentliga förändringar av hur Personuppgifter Behandlas och förändringen kan påverka säkerheten för de Registrerade, de Registrerades rättigheter eller efterlevnaden av Tillämpliga bestämmelser, ska Personuppgiftsbiträdet informera Personuppgiftsansvarige i förväg. Sådan information innebär inte att Personuppgiftsansvariges samtycke krävs, om förändringen sker för att uppfylla Tillämpliga bestämmelser, förbättra säkerheten, utveckla Tjänsten eller annars ligger inom ramen för Huvudavtalet och detta Personuppgiftsbiträdesavtal.

3.7.5 Sekretess och tystnadsplikt

Personuppgiftsbiträdet förbinder sig att Behandla Personuppgifter och annan information som uppvisar samband med Personuppgiftsbiträdesavtalet i enlighet med gällande sekretesslagstiftning och Tillämpliga bestämmelser. Personalen som Behandlar Personuppgifter har ingått särskilda sekretessförbindelser samt upplysts om att tystnadsplikt föreligger enligt Avtalet, Personuppgiftsbiträdesavtalet eller nationell rätt.

3.7.6 Ändamålsenliga sekretessåtaganden

Personuppgiftsbiträdet ska tillse att samtliga anställda, konsulter och övriga som Personuppgiftsbiträdet svarar för och som Behandlar Personuppgifter är bundna av ett ändamålsenligt sekretessåtagande samt att de är informerade om hur Behandling av Personuppgifterna får ske.

3.7.7 Information till personer med åtkomst

Personuppgiftsbiträdet ansvarar för att de personer som har åtkomst till Personuppgifterna är informerade om hur de får Behandla Personuppgifterna i enlighet med de dokumenterade instruktionerna från Personuppgiftsansvarige. Personuppgiftsbiträdet ska även säkerställa en adekvat behörighetsstyrning.

3.8 Personuppgiftsincidenter

3.8.1 Vidta skadebegränsande åtgärder

Vid en misstänkt eller upptäckt Personuppgiftsincident ska Personuppgiftsbiträdet omedelbart undersöka incidenten och vidta lämpliga åtgärder för att mildra dess potentiella negativa effekter.

3.8.2 Beskrivning av Personuppgiftsincident

Om Personuppgiftsansvarige begär det ska en beskrivning av Personuppgiftsincidenten lämnas till Personuppgiftsansvarig inom sjuttiotvå (72) timmar. En sådan beskrivning ska åtminstone innehålla

beskriva Personuppgiftsincidentens art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet Registrerade som berörs samt de kategorier av och det ungefärliga antalet Personuppgiftsposter som berörs,
förmedla namnet på och kontaktuppgifterna för dataskyddsombudet eller andra kontaktpunkter där mer information kan erhållas,
beskriva de sannolika konsekvenserna av Personuppgiftsincidenten, och
beskriva de åtgärder som Personuppgiftsbiträdet har vidtagit eller föreslagit för att åtgärda Personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.

Om och i den utsträckning det inte är möjligt att tillhandahålla informationen samtidigt, får informationen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.

3.8.3 Bistå med skyldigheter gällande Personuppgiftsincidenter

Personuppgiftsbiträdet ska bistå Personuppgiftsansvarige med att se till att dennes skyldigheter enligt Tillämpliga bestämmelser om Personuppgiftsincidenter fullgörs, med beaktande av typen av Behandling och den information som Personuppgiftsbiträdet har att tillgå. Detta gäller även om Personuppgiftsansvarige misstänkt eller upptäckt en Personuppgiftsincident.

3.8.4 Underrättelse om Personuppgiftsincident

Personuppgiftsbiträdet ska utan onödigt dröjsmål underrätta Personuppgiftsansvarige om en Personuppgiftsincident. Om Tillämpliga bestämmelser kräver att Personuppgiftsansvarige ska kunna fullgöra en underrättelseskyldighet inom viss tid ska Personuppgiftsbiträdet, i den utsträckning det är skäligt och praktiskt möjligt, lämna sådan information i tillräckligt god tid för att Personuppgiftsansvarige ska kunna uppfylla sina skyldigheter.

3.8.5 Information om Personuppgiftsincident

En underrättelse enligt ovan ska innehålla all den information som Personuppgiftsansvarige behöver för att uppfylla sina skyldigheter i förhållande till tillsynsmyndigheten.

3.8.6 Ovillkorlig underrättelseskyldighet

Ovanstående underrättelseskyldighet till Personuppgiftsansvarige gäller även om Personuppgiftsbiträdet av någon annan anledning inte kan uppfylla åtaganden enligt Personuppgiftsbiträdesavtalet eller de dokumenterade instruktionerna alternativt får kännedom om att Personuppgifter har Behandlats i strid med Personuppgiftsbiträdesavtalet.

3.9 Bistå Personuppgiftsansvarige

3.9.1 Konsekvensbedömningar och förhandssamråd

Personuppgiftsbiträdet ska vid behov och på begäran bistå Personuppgiftsansvarige med fullgörande av de skyldigheter som denne har och som härrör från bestämmelserna i dataskyddsförordningen angående utförandet av konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheten.

3.9.2 Fullgörande av skyldigheter gällande Registrerades rättigheter

Personuppgiftsbiträdet ska vid behov och på begäran bistå den Personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, så att den Personuppgiftsansvarige kan fullgöra sin skyldighet att svara på begäran om utövande av den Registrerades rättigheter enligt dataskyddsförordningen.

3.9.3 Kostnader för Personuppgiftsbiträdets bistånd gentemot Personuppgiftsansvarige

Personuppgiftsbiträdet har rätt att debitera skälig ersättning för bistånd enligt punkterna 3.8 och 3.9 i den utsträckning biståndet går utöver vad som skäligen kan anses ingå i Tjänsten eller följer av Personuppgiftsbiträdets skyldigheter enligt Tillämpliga bestämmelser. Ersättning utgår enligt Personuppgiftsbiträdets vid var tid gällande konsulttaxor, om inte Parterna skriftligen har avtalat om annat.

4. Personuppgiftsbiträdets anlitande av Underbiträde

Unsealds uppdaterade lista över underbiträden som används för Lupper.

Se aktuell förteckning över underbiträden →

4.1 Generellt tillstånd för anlitande av Underbiträde

Personuppgiftsansvarige lämnar härmed ett generellt förhandsgodkännande till att Personuppgiftsbiträdet anlitar Underbiträden för Behandling av Personuppgifter.

Personuppgiftsbiträdet ska hålla en aktuell förteckning över Underbiträden tillgänglig på sin webbplats eller på annat lämpligt sätt. En uppdatering av sådan förteckning utgör inte i sig en ändring av detta Personuppgiftsbiträdesavtal.

4.2 Användning av Underbiträden

Personuppgiftsbiträdet använder Underbiträden för att tillhandahålla, drifta, underhålla, utveckla och säkra Tjänsten. Underbiträden kan exempelvis tillhandahålla infrastruktur, lagring, kommunikationstjänster, analysfunktioner, AI-funktioner, integrationer eller andra tekniska tjänster som krävs för Tjänstens funktion.

Personuppgiftsbiträdet ansvarar för att samtliga Underbiträden omfattas av skriftliga avtal som uppfyller kraven enligt artikel 28 GDPR eller annan tillämplig dataskyddslagstiftning.

4.3 Riskfördelning

Personuppgiftsbiträdets anlitande av Underbiträde sker på egen risk. Det medför ingen förändring beträffande den ansvarsfördelning som gäller mellan Parterna enligt Personuppgiftsbiträdesavtalet.

4.4 Tillräcklig skyddsnivå

Personuppgiftsbiträdet ska säkerställa att samtliga Underbiträden upprätthåller en tillräcklig skyddsnivå för de Personuppgifter som Behandlas och uppfyller de krav som följer av Tillämpliga bestämmelser samt tillämpliga delar av detta Personuppgiftsbiträdesavtal.

4.5 Kundaktiverade mottagare

För tydlighets skull klargör Parterna att mottagare, plattformar, integrationer eller andra externa system som Personuppgiftsansvarige själv väljer att ansluta, aktivera eller använda tillsammans med Tjänsten inte ska anses utgöra Personuppgiftsbiträdets Underbiträden.

Sådana mottagare behandlar Personuppgifter inom ramen för Personuppgiftsansvariges egna instruktioner och ansvar. Personuppgiftsbiträdet ansvarar inte för dessa mottagares behandling av Personuppgifter, funktionalitet, säkerhet eller efterlevnad av Tillämpliga bestämmelser.

Om Personuppgiftsbiträdet tillhandahåller en teknisk integration till en sådan mottagare innebär detta inte i sig att mottagaren är Personuppgiftsbiträdets Underbiträde.

4.6 Betalningsleverantör

Personuppgiftsbiträdet kan använda externa betalningsleverantörer för att hantera betalningar inom ramen för Tjänsten. Sådana leverantörer behandlar normalt personuppgifter i egenskap av självständiga personuppgiftsansvariga för att genomföra betalningstransaktioner och uppfylla sina egna rättsliga skyldigheter.

Personuppgiftsbiträdet ansvarar inte för sådana betalningsleverantörers behandling av personuppgifter. Information om aktuell betalningsleverantör och dess integritetspolicy finns tillgänglig via respektive leverantörs officiella webbplats.

4.7 Underrättelse om anlitande eller byte av Underbiträde

Personuppgiftsbiträdet ska informera Personuppgiftsansvarige om tillägg eller byte av Underbiträde minst trettio (30) dagar innan förändringen träder i kraft. Informationen får lämnas via Tjänsten, på Personuppgiftsbiträdets webbplats eller genom annan avtalsrelaterad kommunikation.

Personuppgiftsansvarige har rätt att inom trettio (30) dagar framföra en skriftlig och sakligt motiverad invändning. Om Parterna inte kan lösa invändningen inom skälig tid har Personuppgiftsansvarige rätt att säga upp den del av Huvudavtalet som förutsätter den aktuella Behandlingen.

5. Ansvar för skada

5.1 Personuppgiftsbiträdets ansvar

Personuppgiftsbiträdet ansvarar gentemot Personuppgiftsansvarige endast för skada som uppkommer till följd av Behandling av Personuppgifter om Personuppgiftsbiträdet har åsidosatt skyldigheter enligt Tillämpliga bestämmelser som specifikt riktar sig till Personuppgiftsbiträden eller har Behandlat Personuppgifter i strid med Personuppgiftsansvariges Dokumenterade instruktioner eller detta Personuppgiftsbiträdesavtal.

Personuppgiftsbiträdet ansvarar inte för skada som orsakats av Personuppgiftsansvariges instruktioner, användning av Tjänsten eller andra omständigheter som Personuppgiftsbiträdet inte skäligen kunnat kontrollera.

Personuppgiftsbiträdet ska inte ansvara om det visar att det inte på något sätt är ansvarigt för den händelse som orsakade skadan.

5.2 Personuppgiftsansvariges ansvar

Personuppgiftsansvarige ska hålla Personuppgiftsbiträdet skadeslöst för krav, kostnader, administrativa sanktionsavgifter, skadestånd eller andra anspråk som riktas mot Personuppgiftsbiträdet och som har sin grund i Personuppgiftsansvariges behandling av Personuppgifter, Dokumenterade instruktioner eller annan överträdelse av Tillämpliga bestämmelser, i den utsträckning Personuppgiftsbiträdet inte självt orsakat skadan.

Personuppgiftsansvarige ska även ersätta Personuppgiftsbiträdet för skäliga kostnader som uppkommer till följd av myndighetsutredningar, tillsynsärenden eller rättsliga förfaranden som föranleds av Personuppgiftsansvariges behandling av Personuppgifter eller Dokumenterade instruktioner, i den utsträckning Personuppgiftsbiträdet inte självt har orsakat dessa.

5.3 Ansvar gentemot Registrerade

Parternas ansvar i förhållande till de Registrerade följer de ansvarsbegränsningar som anges i Avtalet. Ingenting i denna klausul eller i Avtalet ska tolkas som att inskränka de rättigheter som följer av artikel 82 GDPR. Parternas ansvar enligt detta Personuppgiftsbiträdesavtal ska vara begränsat i enlighet med den ansvarsbegränsning som framgår av Huvudavtalet, om inte annat följer av tvingande lag.

Om Personuppgiftsbiträdet enligt Tillämpliga bestämmelser blir skyldigt att utge ersättning för skada som i sin helhet orsakats av Personuppgiftsansvarige, ska Personuppgiftsansvarige ersätta Personuppgiftsbiträdet i motsvarande omfattning, i den utsträckning detta är tillåtet enligt Tillämpliga bestämmelser.

6. Avtalets varaktighet samt ändringar i Personuppgiftsbiträdesavtalet

6.1 Varaktighet

Detta Personuppgiftsbiträdesavtal gäller från den tidpunkt då det blir bindande mellan Parterna enligt Huvudavtalet och gäller så länge Personuppgiftsbiträdet Behandlar Personuppgifter för Personuppgiftsansvariges räkning.

6.2 Återlämnande eller radering av Personuppgifter

När Behandlingen av Personuppgifter har upphört ska Personuppgiftsbiträdet, enligt Personuppgiftsansvariges Dokumenterade instruktioner, återlämna eller radera Personuppgifterna, om inte fortsatt lagring krävs enligt Tillämpliga bestämmelser.

Om Personuppgiftsansvarige inte lämnar någon instruktion inom trettio (30) dagar från Huvudavtalets upphörande har Personuppgiftsbiträdet rätt att permanent radera eller anonymisera Personuppgifterna.

Personuppgiftsbiträdet får behålla sådana Personuppgifter som krävs för att uppfylla rättsliga skyldigheter, hantera rättsliga anspråk eller fullgöra andra skyldigheter enligt Tillämpliga bestämmelser.

7. Tvist

Detta Personuppgiftsbiträdesavtal ska tolkas och tillämpas i enlighet med svensk materiell rätt, med undantag för dess internationellt privaträttsliga lagvalsregler.

Tvist som uppstår med anledning av detta Personuppgiftsbiträdesavtal ska slutligt avgöras genom skiljeförfarande administrerat av Stockholms Handelskammares Skiljedomsinstitut (SCC). Skiljeförfarandet ska följa SCC:s Regler för Förenklat Skiljeförfarande, om inte SCC med hänsyn till målets komplexitet, tvisteföremålets värde eller andra omständigheter beslutar att SCC:s Skiljedomsregler ska tillämpas.

Skiljeförfarandets säte ska vara Stockholm. Språket för skiljeförfarandet ska vara svenska.

Skiljedomen ska vara slutlig och bindande för Parterna.

Skiljeförfarandet, skiljedomen samt all information som framkommer under förfarandet ska omfattas av sekretess, i den utsträckning det inte följer annat av tvingande lag.

Ingen bestämmelse i denna punkt hindrar någon av Parterna från att ansöka om interimistiska åtgärder eller andra säkerhetsåtgärder vid behörig domstol.

Oavsett vad som anges ovan har Personuppgiftsbiträdet rätt att ansöka om betalningsföreläggande eller väcka talan vid allmän domstol avseende obetalda och ostridiga fordringar.

8. Undertecknande

Detta Personuppgiftsbiträdesavtal kan ingås genom (i) digital signatur, (ii) elektroniskt godkännande i samband med registrering, anslutning till Tjänsten eller betalning via Unsealds plattform eller därtill ansluten betalningslösning, eller (iii) genom undertecknande av ett separat tilläggsavtal eller annat skriftligt avtal som hänvisar till detta Personuppgiftsbiträdesavtal.

För kunder som registrerar sig via Tjänsten eller genom betalning via Unsealds plattform anses detta Personuppgiftsbiträdesavtal ingånget automatiskt när kontot aktiveras eller betalningen genomförs.

Vid digital signering sker undertecknande i enlighet med Europaparlamentets och rådets förordning (EU) nr 910/2014 (eIDAS).

Vid elektroniskt godkännande blir detta Personuppgiftsbiträdesavtal bindande från den tidpunkt då Kunden godkänt villkoren och bekräftat att denne tagit del av Huvudavtalet samt detta Personuppgiftsbiträdesavtal.

Unseald sparar den elektroniska bekräftelsen som bevis på att avtalet ingåtts.

9. Hela avtalet och skiljbarhet

9.1 Hela avtalet

Detta Personuppgiftsbiträdesavtal, tillsammans med Huvudavtalet och eventuella bilagor, utgör Parternas fullständiga reglering av frågor som rör Behandling av Personuppgifter inom ramen för Tjänsten.

9.2 Skiljbarhet

Om någon bestämmelse i detta Personuppgiftsbiträdesavtal skulle befinnas ogiltig, ogiltigförklaras eller inte kunna verkställas, ska detta inte påverka giltigheten eller verkställbarheten av övriga bestämmelser. Den berörda bestämmelsen ska i stället ersättas eller tolkas på ett sätt som i största möjliga utsträckning uppnår dess syfte och ekonomiska innebörd, i enlighet med Tillämplig lag.

INSTRUKTIONER

Underbilaga till Personuppgiftsbiträdesavtal

Som tillägg till de instruktioner till Personuppgiftsbiträdet som i övrigt framgår av detta Personuppgiftsbiträdesavtal ska de instruktioner och den information som följer nedan iakttas vid Behandling av Personuppgifterna. Uppdatering av dessa instruktioner kan göras via e-post till utsedd kontaktperson, för det fall båda Parter bekräftar den uppdaterade skrivningen.

Behandlingens syfte

Personuppgiftsbiträdet Behandlar Personuppgifter för att tillhandahålla, drifta, underhålla, utveckla, säkra och supportera Tjänsten i enlighet med Huvudavtalet och Personuppgiftsansvariges Dokumenterade instruktioner. Behandlingen omfattar även felsökning, felavhjälpning, prestandaförbättringar, säkerhetsåtgärder, systemadministration samt andra åtgärder som är nödvändiga för att säkerställa Tjänstens funktion, tillgänglighet och informationssäkerhet. Personuppgiftsbiträdet får även Behandla Personuppgifter för att tillhandahålla funktioner för analys, segmentering, automatisering och kundkommunikation inom Tjänsten, inklusive funktioner som använder artificiell intelligens eller annan automatiserad teknik, under förutsättning att sådan Behandling sker enligt Personuppgiftsansvariges Dokumenterade instruktioner och inom ramen för Huvudavtalet samt detta Personuppgiftsbiträdesavtal. Personuppgiftsbiträdet får även utföra annan Behandling som är nödvändig för att uppfylla sina skyldigheter enligt Huvudavtalet, detta Personuppgiftsbiträdesavtal eller Tillämpliga bestämmelser.

Kategorier av Personuppgifter

Följande kategorier av Personuppgifter kan Behandlas av Personuppgiftsbiträdet, i den utsträckning Personuppgiftsansvarige väljer att använda motsvarande funktioner i Tjänsten:

Namn
Adress
E-postadress
Telefonnummer
Kön (om Personuppgiftsansvarige väljer att behandla sådan uppgift)
Platsinformation
Uppgifter om enhet (till exempel enhetstyp, operativsystem och webbläsare)
IP-adress och annan teknisk metadata
Identifierare såsom kund-ID, cookie-ID, användar-ID eller annons-ID
Användarbeteende på webbplats, i e-handel och andra digitala kanaler
Kommunikationsinteraktioner (till exempel leveranser, öppningar, klick, svar, avregistreringar och annan interaktion)
Köpbeteende och transaktionshistorik (till exempel ordervärde, produktkategorier, produkter, köpdatum och varukorgar)
Preferenser, segment och intressen baserade på användarens aktivitet
Annan information som Personuppgiftsansvarige väljer att behandla genom Tjänsten.

Kategori/kategorier av Registrerade

Personuppgiftsbiträdet kan Behandla Personuppgifter för följande kategorier av Registrerade:

Användare av Tjänsten, såsom Personuppgiftsansvariges anställda, konsulter, administratörer och andra personer som använder eller administrerar Tjänsten för Personuppgiftsansvariges räkning.
Personer vars Personuppgifter Personuppgiftsansvarige väljer att Behandla genom Tjänsten, exempelvis kunder, potentiella kunder, prenumeranter, medlemmar, webbplatsbesökare eller andra kontakter.

Behandlingens art och natur

Behandlingen omfattar, inom ramen för Tjänsten, insamling, registrering, lagring, organisering, strukturering, anpassning, analys, segmentering, hämtning, användning, sammanställning, överföring, aktivering, distribution, radering, anonymisering, felsökning, support och annan Behandling av de Personuppgifter som Personuppgiftsansvarige eller dess användare tillhandahåller eller genererar genom användningen av Tjänsten. Behandlingen kan omfatta Personuppgifter som behandlas i samband med skapande, hantering och distribution av elektronisk kommunikation, såsom e-post, SMS, RCS, pop-ups och andra kommunikationskanaler som från tid till annan tillhandahålls inom Tjänsten, inklusive behandling av uppgifter om leverans, öppningar, klick, svar, avregistreringar och annan interaktion. Personuppgifter får även Behandlas för analys, segmentering, automatisering, personalisering och andra funktioner som tillhandahålls inom Tjänsten, inklusive funktioner som använder artificiell intelligens eller annan automatiserad teknik, i enlighet med Personuppgiftsansvariges Dokumenterade instruktioner. Personuppgifter kan även Behandlas i system-, drift-, säkerhets- och åtkomstloggar i den utsträckning som är nödvändig för att säkerställa Tjänstens funktion, informationssäkerhet, felsökning, missbruksförebyggande åtgärder och efterlevnad av Tillämpliga bestämmelser. Sådana loggar lagras endast så länge det är nödvändigt för dessa ändamål.

Behandlingens varaktighet

Personuppgiftsbiträdet får Behandla Personuppgifter under den tid Huvudavtalet och Personuppgiftsbiträdesavtalet gäller samt så länge Behandlingen är nödvändig för att fullgöra Parternas rättigheter och skyldigheter enligt dessa avtal eller enligt Tillämpliga bestämmelser. När Behandlingen upphör ska Personuppgifter återlämnas, raderas eller anonymiseras i enlighet med Personuppgiftsbiträdesavtalet, Huvudavtalet och Personuppgiftsansvariges Dokumenterade instruktioner.