# Personuppgiftsbiträdesavtal Version 2026-10-30 Det här biträdesavtalet är en del av avtalet mellan Bolagskällan AB och kunden, enligt [användarvillkoren](/villkor/) avsnitt 1 och 6. Ord som "kunden", "användare" och "tjänsten" betyder samma sak som i villkoren. Ord som "personuppgiftsbiträde" och "personuppgiftsincident" betyder samma sak som i dataskyddsförordningen. ## 1. Vad avtalet gäller Kundens administratörer kan i kontot följa hur kundens användare använder tjänsten: vilka uppslag som har gjorts, när, med vilken nyckel eller ansluten klient och vad de kostade, per användare. När vi behandlar personuppgifter om användarna för den uppföljningen gör vi det för kundens räkning. Kunden är då personuppgiftsansvarig och vi är personuppgiftsbiträde. Avtalet gäller bara den behandlingen. När vi behandlar samma uppgifter för att tillhandahålla, debitera, ge support för och skydda tjänsten är vi själva personuppgiftsansvariga, och då gäller [integritetspolicyn](/integritet/). Uppgifterna i registret omfattas inte av biträdesavtalet. Tjänsten har i dag ingen funktion där kunden skickar in egna listor eller andra egna uppgifter om personer för att vi ska behandla dem. Bygger vi en sådan funktion beskriver vi den behandlingen här innan den börjar. ## 2. Behandlingen - **Ändamål:** att ge kunden underlag för att följa upp hur tjänsten används inom kundens bolag och för att kontrollera kostnaderna. - **Kategorier av registrerade:** kundens användare. - **Personuppgifter:** namn, e-postadress och behörighet; vilka nycklar och anslutna klienter som hör till användaren; vilka slags uppslag användaren har gjort, när och vad de kostade. - **Särskilda kategorier av personuppgifter:** inga. - **Behandlingar:** registrering, lagring, sammanställning, visning för kundens administratörer, export till fil på kundens begäran, och radering. - **Varaktighet:** så länge avtalet gäller och tills uppgifterna är raderade enligt avsnitt 9. - **Var:** inom EU, i Finland och Tyskland. Bara kundens administratörer ser uppföljningen för hela bolaget. Övriga användare ser sin egen användning. Kunden ser bara sitt eget bolags uppgifter. ## 3. Instruktioner Vi behandlar personuppgifterna bara enligt kundens dokumenterade instruktioner. Biträdesavtalet, villkoren och de inställningar kunden gör i kontot är kundens instruktioner. Kräver svensk lag eller EU-rätt att vi behandlar uppgifterna på något annat sätt, meddelar vi kunden innan behandlingen börjar, om lagen inte förbjuder det. Vi använder inte personuppgifterna för egna ändamål inom ramen för det här avtalet. Anser vi att en instruktion strider mot dataskyddsförordningen meddelar vi kunden genast. Kunden ansvarar för att det finns en rättslig grund för behandlingen och för att användarna har fått information om den. ## 4. Sekretess De som arbetar för oss och har tillgång till personuppgifterna har tystnadsplikt, genom avtal eller lag. Sekretessen i villkoren avsnitt 17 gäller också för personuppgifterna. ## 5. Säkerhet Vi vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i dataskyddsförordningen. Det innebär bland annat att - uppgifterna överförs krypterat, - varje användare har en egen inloggning, och nycklar knyts till en namngiven användare, - kundens uppgifter hålls åtskilda från andra kunders, och en kund ser bara sitt eget bolag, - åtkomsten till servrar och databas är begränsad till de personer som driver tjänsten. ## 6. Personuppgiftsincidenter Vi meddelar kunden utan onödigt dröjsmål, och senast 72 timmar efter att vi fått kännedom om den, om en personuppgiftsincident som rör personuppgifterna. Meddelandet beskriver så långt vi kan vad som har hänt, vilka och hur många som berörs, vilka följderna kan bli och vad vi har gjort eller föreslår. Det vi inte vet direkt lämnar vi så snart vi kan. ## 7. Underbiträden Kunden godkänner att vi anlitar de underbiträden som står på [underbiträden](/underbitraden/), under "Underbiträden för biträdesavtalet". Vi ska binda varje underbiträde med ett skriftligt avtal med samma skyldigheter som i det här avtalet, och vi ansvarar för underbiträdet som för oss själva. Vi meddelar kunden med e-post minst 14 dagar innan vi anlitar ett nytt underbiträde eller byter ut ett. Kunden får invända inom 14 dagar. Anlitar vi underbiträdet ändå får kunden säga upp avtalet med omedelbar verkan, och vi betalar då tillbaka den oanvända delen av det betalda beloppet enligt villkoren avsnitt 8. Personuppgifter som omfattas av biträdesavtalet behandlas inom EU och EES och förs inte över till något land utanför. ## 8. Hjälp till kunden Vi hjälper kunden, så långt det går med hänsyn till behandlingens art, att - svara när en användare vill ta del av, rätta eller radera sina uppgifter, invända eller använda någon annan rättighet enligt dataskyddsförordningen, - uppfylla kraven på säkerhet, anmäla personuppgiftsincidenter och göra konsekvensbedömningar. Vänder sig en användare till oss med en begäran som gäller kundens uppföljning, hänvisar vi användaren till kunden och meddelar kunden. Vi lämnar inte ut personuppgifterna till någon annan, om inte lag eller ett myndighetsbeslut kräver det. Gör det det meddelar vi kunden först, om vi får. ## 9. När avtalet upphör När avtalet mellan oss och kunden upphör raderar vi personuppgifterna som omfattas av biträdesavtalet senast tolv månader efter att avtalet upphört. Vill kunden få ut uppgifterna först ska kunden be om det inom 30 dagar efter att avtalet upphört, och vi lämnar dem då som en fil. Underlag som vi enligt bokföringslagen måste spara, till exempel vad ett uppslag kostade och när det gjordes, sparar vi så länge lagen kräver. På kundens begäran bekräftar vi skriftligen vad vi har raderat. ## 10. Granskning Vi ger kunden den information som behövs för att visa att vi följer det här avtalet och artikel 28 i dataskyddsförordningen. Räcker inte informationen får kunden, eller en granskare som kunden utser och som har tystnadsplikt, granska behandlingen efter att ha meddelat oss i skälig tid. Granskningen får inte äventyra andra kunders uppgifter eller tjänstens säkerhet. Kunden betalar sina egna kostnader och våra skäliga kostnader för granskningen. ## 11. Ansvar och tvist För ansvar gäller villkoren avsnitt 13, utom där dataskyddsförordningen säger annat om ansvaret gentemot den registrerade. Svensk lag gäller, och tvister avgörs enligt villkoren avsnitt 20. Biträdesavtalet gäller så länge vi behandlar personuppgifter för kundens räkning.