Konvyras personuppgiftsbiträdesavtal

Senast uppdaterad: 31 oktober 2026

Detta personuppgiftsbiträdesavtal (PUB-avtalet) ingår i Avtalet mellan Leverantören och Kunden och uppfyller kraven i artikel 28 i förordning (EU) 2016/679 (dataskyddsförordningen). Termer som definieras i Konvyras användarvillkor (Villkoren) har samma betydelse här. Den svenska versionen är en översättning för bekvämlighets skull. Om versionerna skiljer sig åt gäller den engelska versionen.

1. Roller

1.1 Kunden är personuppgiftsansvarig, och Leverantören är personuppgiftsbiträde, för de personuppgifter som ingår i Kunddata (Personuppgifter).

1.2 Om Kunden behandlar Personuppgifter som personuppgiftsbiträde för en annan personuppgiftsansvarig intygar Kunden att den har rätt att anlita Leverantören som underbiträde, att de instruktioner Kunden ger är den personuppgiftsansvariges instruktioner och att Leverantörens skyldigheter i detta PUB-avtal räcker för att Kunden ska kunna fullgöra sina egna skyldigheter mot den personuppgiftsansvarige. Leverantören är då underbiträde.

1.3 Detta PUB-avtal gäller bara behandling av Personuppgifter för Kundens räkning. Leverantören är personuppgiftsansvarig för egna ändamål, till exempel för att fakturera Kunden, hantera kundrelationen och driva sin webbplats; se integritetspolicyn på konvyra.com.

2. Föremål och varaktighet

2.1 Behandlingens föremål, art och ändamål samt typerna av Personuppgifter och kategorierna av registrerade beskrivs i bilaga 1.

2.2 PUB-avtalet gäller så länge Leverantören behandlar Personuppgifter för Kunden enligt Avtalet, inklusive under Exportfönstret och fram till radering enligt punkt 10.

3. Instruktioner

3.1 Leverantören ska behandla Personuppgifter endast på Kundens dokumenterade instruktioner, även i fråga om överföringar till tredjeland, om inte unionsrätten eller en medlemsstats nationella rätt som Leverantören omfattas av kräver något annat. Leverantören informerar då Kunden om det rättsliga kravet innan behandlingen, om inte lagen förbjuder det.

3.2 Avtalet, Kundens och dess Användares användning av Tjänstens funktioner samt skriftliga instruktioner via e-post som är förenliga med Avtalet är Kundens dokumenterade instruktioner. En instruktion som kräver ändringar utöver Tjänstens normala drift kan göras beroende av överenskommelse om omfattning och en rimlig avgift.

3.3 Leverantören ska utan onödigt dröjsmål informera Kunden om Leverantören anser att en instruktion strider mot dataskyddsförordningen eller annan unionsrättslig eller nationell dataskyddsbestämmelse, och får avvakta med att genomföra instruktionen tills Kunden har bekräftat eller ändrat den.

4. Sekretess för personal

4.1 Leverantören ska se till att de personer som har tillstånd att behandla Personuppgifter har åtagit sig att iaktta sekretess eller omfattas av lämplig lagstadgad tystnadsplikt, och att åtkomsten är begränsad till dem som behöver den för att tillhandahålla Tjänsten.

5. Säkerhet vid behandlingen

5.1 Leverantören ska vidta de tekniska och organisatoriska åtgärder som artikel 32 i dataskyddsförordningen kräver, lämpliga i förhållande till risken. Åtgärderna vid tidpunkten för detta PUB-avtal beskrivs i bilaga 2.

5.2 Leverantören får uppdatera åtgärderna, förutsatt att den samlade säkerhetsnivån inte väsentligt försämras.

5.3 Kunden ansvarar för sin egen användning av Tjänsten, inklusive Användarnas behörigheter och inloggningsuppgifter, säkerheten i sina enheter och nät samt de konfigurationsval den gör, och för att bedöma om åtgärderna i bilaga 2 är lämpliga för de Personuppgifter den väljer att behandla.

6. Underbiträden

6.1 Kunden ger Leverantören ett generellt tillstånd att anlita de underbiträden som anges i bilaga 3. Leverantören ska genom avtal ålägga varje underbiträde dataskyddsskyldigheter som i sak inte är mindre skyddande än dem i detta PUB-avtal, och är fullt ansvarig gentemot Kunden för underbiträdets fullgörande, med förbehåll för punkt 12.

6.2 Leverantören ska meddela Kunden om varje avsedd tillägg eller ersättning av ett underbiträde senast 30 dagar innan det nya underbiträdet börjar behandla Personuppgifter. Meddelandet lämnas via e-post till Kundens kontakt i Beställningen, eller på annat skriftligt sätt som Leverantören har informerat Kunden om. I ett nödläge, till exempel när ett underbiträde blir otillgängligt, får meddelandet vara kortare.

6.3 Kunden får invända mot ändringen inom 14 dagar från meddelandet, av rimliga skäl som rör dataskydd. Parterna ska då diskutera invändningen i god tro. Om den inte löses får Leverantören välja att inte använda det nya underbiträdet för Kundens Instans. Om Leverantören inte kan eller vill erbjuda det får Kunden säga upp den berörda delen av Tjänsten genom skriftligt meddelande med verkan från den dag det nya underbiträdet skulle börja, och få förskottsbetalda Avgifter för tiden efter den dagen återbetalda i proportion.

6.4 Ett underbiträde i form av en AI-leverantör som Leverantören tillhandahåller (se bilaga 3) används bara när Beställningen innehåller en sådan AI-leverantör. En AI-leverantör som Kunden har valt enligt sitt eget avtal är inte Leverantörens underbiträde.

7. Överföringar till tredjeland

7.1 Personuppgifter hostas i den Region som anges i Beställningen. Leverantören ska inte överföra Personuppgifter till ett land utanför EU/EES, eller tillåta åtkomst från ett sådant land, utom på det sätt som denna punkt 7 tillåter eller som Kunden instruerar.

7.2 Innan Personuppgifter överförs till ett land utanför EU/EES, eller åtkomst sker från ett sådant land, genom Leverantören eller dess underbiträden ska Leverantören se till att Kunden har gett dokumenterade instruktioner om det och att lämpliga skyddsåtgärder enligt kapitel V i dataskyddsförordningen finns för överföringen eller åtkomsten. Detta gäller till exempel hosting i USA om Kunden har valt USA som Region, hanteringen av trafik i Cloudflares globala nät samt en AI-leverantör som Leverantören tillhandahåller och dess underliggande modellleverantörer (bilaga 3). Den Region som anges i Beställningen och underbiträdena i bilaga 3 är sådana instruktioner endast på villkor att skyddsåtgärden finns på plats innan överföringen eller åtkomsten börjar. Skyddsåtgärden är, i tillämpliga fall:

(a) ett beslut om adekvat skyddsnivå, inklusive ramverket för dataskydd mellan EU och USA (EU–US Data Privacy Framework; kommissionens genomförandebeslut (EU) 2023/1795) om mottagaren är certifierad enligt det och beslutet gäller; eller
(b) i annat fall standardavtalsklausulerna i kommissionens genomförandebeslut (EU) 2021/914 (för ett underbiträde modul tre, från personuppgiftsbiträde till personuppgiftsbiträde), tillsammans med de kompletterande åtgärder som behövs.

7.3 Leverantören ska på rimlig begäran bistå Kunden med de bedömningar av en överföring som dataskyddsförordningen kräver.

7.4 Om inte lagen förbjuder det ska Leverantören utan dröjsmål meddela Kunden om en rättsligt bindande begäran från en myndighet om utlämnande av Personuppgifter, och lämna ut endast det som lagen kräver.

7.5 Om Kunden är etablerad utanför EU/EES och återlämnandet av Personuppgifter till den är en överföring ska parterna komma överens om och införa en lämplig skyddsåtgärd innan återlämnandet sker. Kunden ansvarar för överföringar som den eller dess Användare gör genom att komma åt Tjänsten från ett land utanför EU/EES.

8. Bistånd

8.1 Med beaktande av behandlingens art ska Leverantören genom lämpliga tekniska och organisatoriska åtgärder bistå Kunden så att den kan svara på begäranden från registrerade som utövar sina rättigheter enligt kapitel III i dataskyddsförordningen. Kunden kan använda Tjänstens funktioner för att söka, rätta, radera och exportera Personuppgifter. Om en registrerad kontaktar Leverantören direkt ska Leverantören vidarebefordra begäran till Kunden utan att svara på den, utöver att meddela att den har vidarebefordrats.

8.2 Leverantören ska bistå Kunden med att fullgöra dess skyldigheter enligt artiklarna 32–36 i dataskyddsförordningen (säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd), med beaktande av behandlingens art och den information som Leverantören har tillgång till.

8.3 Bistånd som går utöver Tjänstens funktioner och normal support kan debiteras med en rimlig avgift som överenskoms i förväg.

9. Personuppgiftsincident

9.1 Leverantören ska underrätta Kunden utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som rör Personuppgifter.

9.2 Underrättelsen ska, så långt Leverantören då känner till det, beskriva incidentens art, kategorierna av och ungefärligt antal registrerade och poster som berörs, de sannolika följderna och de åtgärder som vidtagits eller föreslås, och ange en kontaktpunkt. Information får lämnas i etapper allteftersom den blir tillgänglig.

9.3 Leverantören ska vidta rimliga åtgärder för att begränsa och avhjälpa incidenten och samarbeta med Kunden. Kunden beslutar om tillsynsmyndigheten och de registrerade ska underrättas. Leverantören underrättar inte dem för Kundens räkning om inte lagen kräver det. En underrättelse är inte ett erkännande av fel eller ansvar.

10. Radering och återlämnande

10.1 När Avtalet upphör ska Leverantören, enligt Kundens val, lämna tillbaka Personuppgifterna (i CSV-format, se punkt 5.5 i Villkoren) eller radera dem. Återlämnande avslutar inte Leverantörens skyldigheter: efter att ha lämnat tillbaka Personuppgifterna ska Leverantören radera alla kvarvarande kopior enligt punkt 10.2, utom i den utsträckning unionsrätten eller en medlemsstats nationella rätt kräver lagring. Kunden ska göra sitt val inom Exportfönstret. Om Kunden inte gör något val raderar Leverantören Personuppgifterna efter Exportfönstret.

10.2 Leverantören ska ha slutfört raderingen av Instansen inom 30 dagar efter Exportfönstrets slut. Säkerhetskopior raderas eller skrivs över i den ordinarie säkerhetskopieringscykeln, inom 30 dagar efter att Instansen har raderats. Fram till dess är säkerhetskopiorna fortsatt skyddade enligt detta PUB-avtal och används inte för driftändamål.

10.3 Leverantören får behålla kopior endast i den utsträckning unionsrätten eller en medlemsstats nationella rätt kräver det, och ska då fortsätta skydda dem enligt detta PUB-avtal.

10.4 På begäran ska Leverantören skriftligen bekräfta raderingen.

11. Information och revision

11.1 Leverantören ska ge Kunden tillgång till den information som behövs för att visa att artikel 28 i dataskyddsförordningen följs och möjliggöra och bidra till revisioner, inklusive inspektioner, som genomförs av Kunden eller en revisor som Kunden har gett i uppdrag.

11.2 Leverantören ska först besvara rimliga skriftliga frågor och lämna dokumentation, till exempel rapporter eller certifikat som den eller dess underbiträden har. Om det inte räcker, till exempel för att en myndighet kräver det, dokumentationen är otillräcklig eller en personuppgiftsincident har inträffat, får Kunden genomföra en revision på följande villkor:

(a) Kunden lämnar minst 30 dagars skriftligt förhandsmeddelande och kommer överens med Leverantören om omfattning, tidpunkt och metod, med undantag för att kortare varsel gäller när en tidigare revision rimligen behövs för att följa dataskyddsförordningen, till exempel efter en personuppgiftsincident eller på begäran av en tillsynsmyndighet;
(b) en revision genomförs högst en gång var tolfte månad, om inte ytterligare en revision rimligen behövs för att följa dataskyddsförordningen, till exempel för att en myndighet kräver det eller en personuppgiftsincident har inträffat;
(c) revisionen sker under normal kontorstid och stör Leverantörens verksamhet så lite som möjligt;
(d) revisorn är bunden av sekretess och är inte konkurrent till Leverantören;
(e) revisionen omfattar endast behandlingen av Personuppgifter för Kunden och ger ingen åtkomst till andra kunders data eller till information som skulle äventyra Tjänstens säkerhet; och
(f) vardera parten bär sina egna kostnader, och Kunden betalar Leverantörens rimliga dokumenterade kostnader för tid som överstiger normalt bistånd.

11.3 Revisioner av underbiträden genomförs i första hand genom de rapporter och certifieringar som underbiträdena gör tillgängliga. Om de inte räcker för att visa efterlevnad ska Leverantören göra rimliga ansträngningar för att få ytterligare information från underbiträdet eller möjliggöra en revision av det.

11.4 Ingenting i denna punkt begränsar Kundens rättigheter, eller Leverantörens skyldigheter, enligt artikel 28.3 h i dataskyddsförordningen eller en tillsynsmyndighets befogenheter.

12. Ansvar

12.1 Ansvar enligt detta PUB-avtal följer punkt 12 i Villkoren, inklusive dess begränsningar, undantag och förbehåll, med förbehåll för artikel 82 i dataskyddsförordningen. Detta PUB-avtal begränsar inte de registrerades rättigheter gentemot den personuppgiftsansvarige eller personuppgiftsbiträdet enligt artikel 82. Mellan parterna regleras skadestånd enligt artikel 82 av punkt 12 i Villkoren i den utsträckning lagen tillåter det.

12.2 Sanktionsavgifter som en part har påförts enligt artikel 83 i dataskyddsförordningen för sin egen överträdelse bärs av den parten, som anges i punkt 12.4 d i Villkoren.

13. Giltighetstid och ändringar

13.1 Detta PUB-avtal träder i kraft tillsammans med Avtalet och upphör när Leverantören har raderat alla Personuppgifter enligt punkt 10, efter eventuellt återlämnande. Punkterna 10.2 och 10.3 fortsätter gälla för säkerhetskopior, och för kopior som sparas för att lagen kräver det, tills de har raderats.

13.2 Leverantören får ändra detta PUB-avtal enligt punkt 14 i Villkoren. En ändring som krävs av en bindande rättsakt, till exempel nya standardavtalsklausuler, får träda i kraft tidigare.

14. Rangordning och tillämplig lag

14.1 I fråga om behandling av Personuppgifter gäller detta PUB-avtal före Villkoren och Beställningen, med undantag för att den Region och den dataplacering som anges i Beställningen gäller. Där standardavtalsklausuler gäller har de företräde framför detta PUB-avtal.

14.2 Punkterna 15.6 och 16 i Villkoren (språk, tillämplig lag och tvister) gäller för detta PUB-avtal. Standardavtalsklausuler regleras av den lag som anges i dem.

Bilaga 1: Uppgifter om behandlingen

Föremål och art. Hosting och drift av Kundens Instans av Tjänsten, vilket omfattar att lagra, hämta, organisera, visa, redigera, exportera, säkerhetskopiera och radera Kunddata samt att ge support. Om Kunden använder AI-chatt förs innehåll som Kunden eller dess Användare väljer att skicka vidare till AI-leverantören. Klicka-för-att-ringa öppnar Användarens egen telefons uppringning och loggar utfallet; Leverantören förmedlar och spelar inte in samtal.

Ändamål. Att tillhandahålla Tjänsten till Kunden enligt Avtalet.

Varaktighet. Avtalets löptid, Exportfönstret och tiden fram till radering enligt punkt 10.

Kategorier av registrerade. Kundens Användare; Kundens leads, prospekt och kunder samt deras kontaktpersoner; andra personer som Kunden väljer att registrera i Tjänsten.

Typer av Personuppgifter.

identifierings- och kontaktuppgifter, till exempel namn, titel, arbetsgivare, e-postadress, telefonnummer och adress;
affärsuppgifter om kontakten, till exempel företag, roll, anteckningar, uppgifter, offerter, affärer och utfallet av samtal;
uppgifter om Användarkonton, till exempel namn, e-postadress, roll samt inloggnings- och aktivitetsloggar;
tekniska uppgifter, till exempel IP-adresser och loggar från driften av Instansen; och
andra personuppgifter som Kunden lägger in i fritextfält.

Tjänsten är inte utformad för särskilda kategorier av personuppgifter eller uppgifter om lagöverträdelser (punkt 5.3 i Villkoren).

Plats. Den Region som anges i Beställningen.

Bilaga 2: Säkerhetsåtgärder

Leverantören ska upprätthålla följande åtgärder på en nivå som är rimlig i förhållande till risken och till Tjänsten. Kundspecifika uppgifter, nämligen hostingleverantör, Region och leverantörens certifieringar, anges i Beställningen innan någon behandling startar.

Åtskillnad. Kunddata ska finnas i Kundens egen Instans och inte blandas med andra kunders data.
Åtkomstkontroll. Användare ska logga in med egna konton, och roller och behörigheter i Tjänsten ska begränsa vad varje Användare kan se och göra. Leverantörens egen åtkomst till Instanser ska vara begränsad till behörig personal som behöver den för drift och support. Leverantörens personal ska använda personliga administratörskonton med flerfaktorsautentisering.
Kryptering. Trafiken mellan Användare och Tjänsten ska vara krypterad under överföring. Lagrade data och säkerhetskopior ska vara krypterade i vila.
Nät- och åtkomstskydd. Tjänsten ska skyddas av nät- och åtkomsttjänster; leverantören är Cloudflare (bilaga 3).
Hosting. Instansen ska hostas i datacenter hos den molnleverantör och i den Region som anges i Beställningen, vilka ska svara för fysisk säkerhet och infrastrukturskydd som är lämpligt i förhållande till risken. Beställningen anger hostingleverantören och dess certifieringar.
Säkerhetskopiering och återställning. Leverantören ska ta säkerhetskopior av Instansen så att Kunddata kan återställas. Säkerhetskopior ska tas dagligen och sparas i 30 dagar.
Loggning och övervakning. Leverantören ska logga och övervaka Tjänstens drift för att upptäcka missbruk och fel. Drift- och åtkomstloggar ska sparas i upp till 90 dagar.
Sårbarhetshantering. Leverantören ska hålla programvaran uppdaterad och åtgärda kända säkerhetssårbarheter inom rimlig tid.
Incidenthantering. Leverantören ska ha en rutin för att upptäcka, hantera och underrätta om personuppgiftsincidenter enligt punkt 9.
Personal. Personal med åtkomst till Personuppgifter ska vara bunden av sekretess och ha åtkomst endast i den utsträckning arbetet kräver.
Radering. Personuppgifter ska raderas och lämnas tillbaka enligt punkt 10, och lagringsmedier kasseras på ett säkert sätt.

Bilaga 3: Godkända underbiträden

Kunden godkänner underbiträdena nedan.

Molnleverantör för Kundens Region: den leverantör som anges i Beställningen (Amazon Web Services, Microsoft Azure eller Oracle Cloud), i den Region som anges i Beställningen. Ändamål: hosting av Instansen och säkerhetskopior.
Cloudflare. Ändamål: nät, säkerhet och åtkomst till Tjänsten. Cloudflare hanterar nätverkstrafik, inklusive IP-adresser, i sitt globala nät.
Google Workspace (Google). Ändamål: e-postkorrespondens med Kunden. Google Workspace hanterar e-postkorrespondensen.
Den AI-leverantör som anges i Beställningen. Ändamål: leverans av AI-chatt, endast när Beställningen innehåller en AI-leverantör som Leverantören tillhandahåller; innehåll som skickas i AI-chatten behandlas av den leverantören och av eventuell underliggande modellleverantör som anges i Beställningen.