Personuppgiftsbiträdesavtal

Svensk version – utkast för granskning före publicering till gold-grenen.

Uppdaterad: 2026-06-12

1. Inledning

Detta personuppgiftsbiträdesavtal (»Biträdesavtalet») har ingåtts mellan Manymore AB, org.nr 559398-1599 (»Manymore», som agerar personuppgiftsbiträde), och användaren av tjänsten (»den personuppgiftsansvarige»). Avtalet reglerar Manymores behandling av personuppgifter för den personuppgiftsansvariges räkning enligt EU:s förordning 2016/679 (GDPR) och svensk dataskyddslagstiftning. Vid konflikt mellan detta avtal och användarvillkoren har detta avtal företräde i dataskyddsfrågor. Juridiska frågor: legal@rightperson.com.

Undantag för uppgifter om lagöverträdelser: För personuppgifter om lagöverträdelser (artikel 10 GDPR) agerar Manymore AB som självständigt personuppgiftsansvarig enligt sitt tillstånd från Integritetsskyddsmyndigheten (IMY), inte som personuppgiftsbiträde. För sådan behandling gäller villkoren i Manymores IMY-tillstånd och vår integritetspolicy.

2. Definitioner

Begreppen personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, underbiträde, tredjeland och personuppgiftsincident har den innebörd som följer av artikel 4 i GDPR. Granskning avser en inspektion av biträdets efterlevnad av detta avtal.

3. Den personuppgiftsansvariges rättigheter och skyldigheter

Den personuppgiftsansvarige bestämmer ändamålen med och medlen för behandlingen, säkerställer att uppgifterna samlas in och behandlas enligt dataskyddslagstiftningen, lämnar dokumenterade instruktioner till biträdet och säkerställer att det finns en rättslig grund för behandlingen.

4. Behandlingens omfattning

4.1 Ändamål och instruktioner. Biträdet behandlar personuppgifter endast enligt dokumenterade instruktioner från den personuppgiftsansvarige (artikel 28.3 a GDPR) och för att leverera de avtalade tjänsterna. Om en instruktion strider mot GDPR ska biträdet utan onödigt dröjsmål underrätta den personuppgiftsansvarige.

4.2 Kategorier. Behandlingen avser kunder och användare, anställda/uppdragstagare och företrädare för den personuppgiftsansvarige, samt andra personer som är relevanta för bakgrundskontrollens ändamål. Uppgiftskategorier omfattar namn, kontakt- och identifieringsuppgifter (inklusive personnummer där relevant), arbets-, utbildnings- och yrkesuppgifter, dokument som laddats upp via tjänsten samt IP-adresser, enhetsidentifierare och loggar.

4.3 Varaktighet. Behandlingen pågår så länge avtalsförhållandet består.

4.4 Upphörande. Vid avtalets upphörande ska biträdet, enligt den personuppgiftsansvariges val, återlämna eller säkert radera alla personuppgifter (inklusive säkerhetskopior) utan onödigt dröjsmål, dock senast inom 90 dagar, om inte lag kräver fortsatt lagring.

5. Konfidentialitet

Biträdet och alla underbiträden ska iaktta sekretess. Åtkomst till personuppgifter begränsas till behörig personal med tjänstebehov. Sekretessen gäller även efter avtalets upphörande.

6. Säkerhetsåtgärder

Biträdet ska upprätthålla lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, bl.a.: fysisk åtkomstkontroll; systemåtkomstkontroll med lösenordspolicy och flerfaktorsautentisering; rollbaserad behörighetsstyrning och loggning av användaraktivitet; kryptering vid överföring och i vila; säkerhetsövervakning och periodiska granskningar; krypterade säkerhetskopior och katastrofberedskap; samt obligatorisk personalutbildning i dataskydd och säkerhet. Dokumentation lämnas på begäran.

7. Anmälan av personuppgiftsincident

Biträdet ska utan onödigt dröjsmål, och där möjligt inom 24 timmar, underrätta den personuppgiftsansvarige när biträdet får kännedom om en personuppgiftsincident, så att den personuppgiftsansvarige kan uppfylla sina skyldigheter enligt artikel 33 GDPR. Underrättelsen ska beskriva incidentens art, berörda uppgiftskategorier, antal berörda registrerade, sannolika konsekvenser och vidtagna åtgärder.

8. De registrerades rättigheter

Biträdet ska bistå den personuppgiftsansvarige med att uppfylla de registrerades rättigheter enligt GDPR (artiklarna 15–18 och 20). Biträdet besvarar inte förfrågningar direkt från registrerade utan instruktion, utan vidarebefordrar dem till den personuppgiftsansvarige.

9. Anlitande av underbiträden

Biträdet får anlita underbiträden – bl.a. Right Person AS, som utför kontrollerna på Manymores instruktioner – endast med den personuppgiftsansvariges föregående godkännande och under skriftligt avtal som ålägger underbiträdet samma skyldigheter (artikel 28.4 GDPR). En uppdaterad förteckning över underbiträden lämnas på begäran.

10. Internationella överföringar

Personuppgifter behandlas inom EU/EES. Vid eventuell överföring till tredjeland används lagliga mekanismer, t.ex. EU:s standardavtalsklausuler, med kompletterande skyddsåtgärder.

11. Granskningsrätt

Biträdet ska göra all information som behövs för att visa efterlevnad tillgänglig och möjliggöra samt bidra till granskningar som utförs av den personuppgiftsansvarige eller en anlitad revisor.

12. Tillämplig lag och tvister

Detta avtal regleras av svensk rätt. Tvister prövas av svensk domstol.

13. Ändringar

Väsentliga ändringar i detta avtal meddelas den personuppgiftsansvarige. Datumet överst visar senaste uppdatering.

14. Kontakt

Frågor om personuppgiftsbehandlingen? Kontakta vårt dataskyddsombud Rodney Boot på rodney@skiwo.com.