Bilaga 3 – Cybersäkerhetsincidenter

Bilaga till Tjänsteavtal för Callmaker, CM Software Callmaker AB, org.nr 556999-9971

Gäller från och med 2026-10-09.

1. Inledning

1.1 Denna bilaga reglerar våra säkerhetsåtaganden för Tjänsten, hur Cybersäkerhetsincidenter hanteras, vilka förutsättningar som gäller för att vi ska ansvara för skada till följd av en Cybersäkerhetsincident samt omfattningen av det ansvaret.

1.2 Bilagan är en del av Avtalet och kompletterar avsnittet ”Ansvar och ansvarsbegränsning” i Tjänsteavtalet. I frågor som denna bilaga reglerar har bilagan företräde framför Tjänsteavtalet. Bilagan gäller utan separat underskrift när Beställningen ingås.

1.3 Behandling av personuppgifter i samband med en Cybersäkerhetsincident regleras därutöver av Bilaga 1 – Personuppgiftsbiträdesavtal, i den utsträckning som anges i punkterna 5.5 och 7.5.

2. Definitioner

Utöver definitionerna i Tjänsteavtalet och Bilaga 1 – Personuppgiftsbiträdesavtal gäller följande i denna bilaga:

• Cybersäkerhetsincident – en händelse där en obehörig tredje man, genom angrepp på eller intrång i Tjänsten eller den infrastruktur som vi eller våra Underbiträden använder för att tillhandahålla Tjänsten, får åtkomst till, förändrar, förstör, krypterar eller sprider Kunddata, eller gör Tjänsten eller Kunddata otillgänglig. Som Cybersäkerhetsincident räknas inte (i) nedtid eller driftstörning som inte orsakats av sådant angrepp eller intrång, vilket regleras i avsnittet ”Vite vid nedtid” i Tjänsteavtalet, (ii) händelser som har sin grund i Kundsidan enligt avsnitt 6, eller (iii) planerat underhåll.
• Säkerhetskonfigurationen – de fyra åtgärder som anges i punkt 4.1.
• Minimibehörighet – principen om minsta nödvändiga behörighet enligt punkt 4.1 d) och 4.2.
• Kundsidan – era och era Användares enheter, nätverk, konton, inloggningsuppgifter, MFA-faktorer, API-nycklar, integrationer och tredjepartssystem samt de behörigheter och inställningar i Tjänsten som ni råder över.
• Ersättningsgill skada – de kostnader som anges i punkt 7.2.
• Fel från vår sida – att Cybersäkerhetsincidenten har möjliggjorts av (i) en sårbarhet i programvara som vi utvecklar eller i konfigurationen av infrastruktur som vi kontrollerar, (ii) att vi inte inom trettio (30) dagar från att en säkerhetsuppdatering blivit tillgänglig har installerat den i tredjepartsprogramvara, inklusive komponenter med öppen källkod, som vi använder för Tjänsten, (iii) brott mot våra åtaganden enligt avsnitt 3, eller (iv) vårdslöshet av oss eller vår personal. Att en sårbarhet i tredjepartsprogramvara utnyttjas innan en säkerhetsuppdatering har varit tillgänglig i trettio (30) dagar utgör inte i sig Fel från vår sida. En Cybersäkerhetsincident som har sin grund i en sårbarhet, ett angrepp eller en brist i ett Underbiträdes eller annan underleverantörs egen plattform eller infrastruktur utgör inte heller Fel från vår sida, även om den beror på vårdslöshet hos Underbiträdet eller underleverantören, om den inte även har möjliggjorts av en omständighet enligt (i)–(iii) eller av vårdslöshet av oss eller vår personal.

3. Våra säkerhetsåtaganden

3.1 Vi ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda Tjänsten och Kunddata mot Cybersäkerhetsincidenter, med beaktande av den senaste utvecklingen, genomförandekostnaderna och riskerna. Åtgärderna ska minst omfatta kryptering av Kunddata under överföring och vid lagring, loggning av åtkomst till Kunddata, logisk separation mellan kunders data, behörighetsstyrning med multifaktorautentisering för vår personal med administrativ åtkomst, löpande säkerhetsuppdatering av system, samt säkerhetskopiering minst dagligen med lagring skild från produktionsmiljön.

3.2 Vi låter minst en gång per år genomföra en oberoende sårbarhetsgranskning av Tjänsten och åtgärdar identifierade sårbarheter i prioritetsordning efter allvarlighetsgrad.

3.3 Vi tillhandahåller de funktioner som krävs för Säkerhetskonfigurationen som en del av Tjänsten utan tilläggsavgift.

3.4 Vi har rätt att uppdatera åtgärderna enligt detta avsnitt förutsatt att säkerhetsnivån inte försämras.

4. Säkerhetskonfigurationen – förutsättning för vårt ansvar

4.1 Vårt ansvar enligt avsnitt 7 förutsätter att ni i Beställningen uttryckligen har beställt samtliga följande åtgärder, att de var aktiverade och tillämpade för samtliga era Användare och integrationer vid tidpunkten för Cybersäkerhetsincidenten, och att intrånget inte kan hänföras till en tid då någon av åtgärderna inte var aktiverad:

• a) tvingande multifaktorautentisering (MFA-policy) för samtliga Användare vid inloggning i Tjänsten, utan undantag för enskilda Användare eller roller;
• b) IP-begränsning (IP-lås) för åtkomst till Tjänsten, så att inloggning endast medges från de IP-adresser eller IP-intervall ni angett;
• c) IP-begränsning (IP-lås) och autentisering för samtliga integrationer mot Tjänsten, innebärande att (i) varje integration som ansluter till Tjänsten, såsom API-läsning, API-skrivning, automatiserad filimport och inläsning av leads, endast medges från de IP-adresser eller IP-intervall ni angett, (ii) varje integration autentiseras med egna åtkomstuppgifter som är unika för integrationen och som inte delas mellan integrationer, Användare eller system, och (iii) utgående dataflöden som Tjänsten initierar, såsom webhooks och automatiserad filexport, endast sänds till mottagare som kräver autentisering och som tar emot data över krypterad förbindelse. Export och import som en inloggad Användare gör i Tjänsten omfattas av punkt b) och d) och inte av denna punkt; samt
• d) Minimibehörighet, innebärande att ni aktivt och dokumenterat har begränsat varje Användares behörighet till (i) de arbetsflöden – kampanjer, projekt, listor och datamängder – som Användaren behöver för sina arbetsuppgifter (arbetsflödesomfång), och (ii) de funktioner – såsom export, import, administration, åtkomst till inspelningar och rapportering – som Användaren behöver för sina arbetsuppgifter (funktionsomfång).

4.2 Minimibehörighet enligt punkt 4.1 d) anses uppfylld endast om ni kan visa att

• (i) ni har en skriftlig behörighetsmodell för Tjänsten som anger vilka roller som finns och vilka arbetsflöden och funktioner respektive roll har åtkomst till;
• (ii) administratörsbehörighet är begränsad till namngivna personer med ett dokumenterat behov och till högst tjugo (20) procent av Användarna, avrundat uppåt till närmaste heltal, dock får ni alltid ha två (2) Administratörer;
• (iii) behörigheterna har granskats och behörigheter utan aktuellt behov tagits bort minst var sjätte (6) månad samt vid ändrade arbetsuppgifter;
• (iv) Användarkonton för personer som lämnat er verksamhet eller sitt uppdrag har inaktiverats inom fem (5) Arbetsdagar; och
• (v) gemensamma eller delade Användarkonton inte förekommer.

4.3 Ni bär bevisbördan för att Säkerhetskonfigurationen var uppfylld. Våra loggar och inställningar i Tjänsten utgör, i avsaknad av motbevis, tillräcklig bevisning om vad som var aktiverat vid en viss tidpunkt.

4.4 Om ni, tillfälligt eller varaktigt, begär eller själva genomför att någon del av Säkerhetskonfigurationen inaktiveras, undantas eller försvagas – exempelvis undantag från MFA för en Användare, tillägg av ett öppet IP-intervall eller behörigheter utöver behovet – bortfaller vårt ansvar enligt avsnitt 7 för Cybersäkerhetsincidenter som inträffar under den tid avvikelsen består, samt för incidenter som möjliggjorts av avvikelsen även om den senare återställts.

4.5 Säkerhetskonfigurationen kan beställas i Beställningen eller genom senare skriftligt tillägg till Beställningen. Vårt ansvar enligt avsnitt 7 gäller endast för Cybersäkerhetsincidenter som inträffar efter det att samtliga fyra åtgärder aktiverats.

5. Hantering av Cybersäkerhetsincidenter

5.1 Vi ska skriftligen underrätta er om en Cybersäkerhetsincident som påverkar eller sannolikt påverkar era Kunddata eller er användning av Tjänsten utan onödigt dröjsmål, dock senast fyrtioåtta (48) timmar från det att incidenten kom till vår kännedom, till de kontaktuppgifter ni angett i Beställningen eller därefter skriftligen meddelat oss. Underrättelsen ska i tillämpliga delar innehålla den information som anges i Bilaga 1 punkt 4.2.3. Information som inte är tillgänglig vid underrättelsen får lämnas i omgångar.

5.2 Vi ska utan onödigt dröjsmål vidta åtgärder för att begränsa, stoppa och avhjälpa incidenten, inklusive återställning av Kunddata från säkerhetskopia när det är möjligt.

5.3 Inom trettio (30) dagar från det att incidenten avhjälpts ska vi på er begäran lämna en skriftlig incidentrapport med orsak eller, om orsaken inte har kunnat fastställas, de utredningsåtgärder som vidtagits, samt påverkan, vidtagna åtgärder och åtgärder för att förhindra upprepning. Vi får utelämna information som skulle öka riskerna för Tjänsten eller som rör andra kunder.

5.4 Ni ska omedelbart underrätta oss om ni upptäcker eller misstänker obehörig åtkomst till era Användarkonton, API-nycklar eller Kunddata, och samverka med oss vid utredningen, inklusive genom att lämna uppgifter om Kundsidan.

5.5 Utgör incidenten även en Personuppgiftsincident gäller därutöver Bilaga 1 punkt 4.2. En underrättelse enligt punkt 5.1 uppfyller samtidigt underrättelseskyldigheten enligt Bilaga 1 punkt 4.2.1 om den innehåller den där föreskrivna informationen.

5.6 Vi har rätt att utan föregående meddelande stänga av Användare, integrationer, API-nycklar eller IP-adresser när det är nödvändigt för att begränsa en pågående eller befarad Cybersäkerhetsincident. Sådan avstängning utgör inte nedtid enligt avsnittet ”Vite vid nedtid” i Tjänsteavtalet och grundar inte rätt till ersättning.

6. Kundsidan och undantag

6.1 Ni ansvarar för Kundsidan. Vi ansvarar inte för skada till följd av en Cybersäkerhetsincident som helt eller delvis har sin grund i

• a) att inloggningsuppgifter, MFA-faktorer, API-nycklar eller sessioner tillhörande er eller era Användare röjts, delats, stulits eller åtkommits genom nätfiske eller social manipulation;
• b) skadlig kod, intrång eller sårbarheter på Kundsidan;
• c) att ni, era Användare eller någon som fått behörighet från er agerat i strid med Avtalet eller våra skriftliga säkerhetsinstruktioner;
• d) tredjepartssystem eller integrationer som ni valt, konfigurerat eller anslutit, inklusive deras hantering av data som exporterats ur Tjänsten;
• e) att ni inte utan dröjsmål vidtagit skyddsåtgärder som vi rekommenderat efter underrättelse enligt avsnitt 5; eller
• f) att ni underlåtit att underrätta oss enligt punkt 5.4.

6.2 Kunddata som exporterats ur Tjänsten omfattas inte av denna bilaga efter exporten.

7. Ansvar

7.1 Vi ersätter er Ersättningsgill skada till följd av en Cybersäkerhetsincident som har möjliggjorts av Fel från vår sida, under förutsättning att Säkerhetskonfigurationen var uppfylld enligt avsnitt 4 och med de begränsningar som följer nedan. Kan det inte fastställas att Cybersäkerhetsincidenten har möjliggjorts av Fel från vår sida utgår ingen ersättning enligt detta avsnitt.

7.2 Ersättningsgill skada är era dokumenterade, skäliga och nödvändiga direkta kostnader för

• a) teknisk utredning (forensisk analys) av incidenten;
• b) återställande eller återskapande av Kunddata som förlorats eller förvanskats, i den mån den inte kunnat återställas av oss enligt punkt 5.2, utan hinder av att förlust av data anges som indirekt skada i Tjänsteavtalet;
• c) underrättelser till Registrerade eller myndigheter som ni är skyldiga att lämna enligt lag till följd av incidenten; samt
• d) byte av lösenord, nycklar och åtkomstuppgifter som påverkats.

Ersättningsgill skada omfattar inte annan indirekt skada eller följdskada enligt Tjänsteavtalets avsnitt ”Ansvar och ansvarsbegränsning”, utpressningsbelopp, sanktionsavgifter eller viten som påförs er, krav från tredje man utöver vad som anges i c), skada på anseende eller goodwill, eller kostnader för er egen personal.

7.3 Vårt ansvar för varje enskild Cybersäkerhetsincident är begränsat till ett (1) prisbasbelopp enligt 2 kap. 7 § socialförsäkringsbalken, beräknat för det år då incidenten inträffade. Cybersäkerhetsincidenter som har samma eller sammanhängande orsak utgör en (1) incident, som ska anses ha inträffat vid tidpunkten för den första av dem. Belopp som utgår enligt denna bilaga avräknas mot det gemensamma taket enligt Tjänsteavtalets avsnitt ”Ansvar och ansvarsbegränsning” och Bilaga 1 punkt 7.2, och vårt sammanlagda ansvar för samtliga Cybersäkerhetsincidenter kan aldrig överstiga det taket.

7.4 Denna bilaga reglerar uttömmande vårt ansvar för skada till följd av Cybersäkerhetsincidenter. Var Säkerhetskonfigurationen inte uppfylld enligt avsnitt 4, eller kan det inte fastställas att Cybersäkerhetsincidenten har möjliggjorts av Fel från vår sida, har ni inte rätt till ersättning för sådan skada enligt Avtalet, med undantag för återkrav enligt Bilaga 1 punkt 7.3. Rätten till vite för nedtid enligt Tjänsteavtalet påverkas inte, men utbetalt vite räknas av mot taket för den incidenten enligt punkt 7.3 i den mån nedtiden orsakats av Cybersäkerhetsincidenten.

7.5 Begränsningarna av och förutsättningarna för vårt ansvar i denna bilaga, inklusive avsnitt 4 och punkt 7.4, gäller inte skada som orsakats uppsåtligen eller av grov vårdslöshet, och inte heller ansvar som inte kan begränsas enligt tvingande lag. Bilaga 1 punkt 7.3 och 7.4 gäller oförändrat. Återkrav enligt Bilaga 1 punkt 7.3 omfattas av ansvarsbegränsningen i Bilaga 1 punkt 7.2, inte av taket enligt punkt 7.3 i denna bilaga, och förutsätter varken att Säkerhetskonfigurationen var uppfylld eller att Fel från vår sida föreligger. Belopp som utgår som sådant återkrav avräknas mot det gemensamma taket.

7.6 Krav på ersättning ska framställas skriftligen utan oskäligt dröjsmål, dock senast tre (3) månader efter det att skadan upptäcktes eller borde ha upptäckts. Krav som framställs senare bortfaller. Ni ska på begäran tillhandahålla underlag som styrker kostnaderna.

8. Skadeslöshet, företräde och överlevnad

8.1 Ni ska hålla oss skadeslösa för krav från tredje man som har sin grund i en Cybersäkerhetsincident orsakad av omständighet på Kundsidan, i enlighet med Tjänsteavtalets avsnitt ”Kundens skadeslöshetsåtagande”.

8.2 Denna bilaga har företräde framför Tjänsteavtalet i de frågor den reglerar.

8.3 Denna bilaga gäller även efter Avtalets upphörande så länge vi lagrar Kunddata enligt Bilaga 2 – Dataportabilitet, dock längst till dess att Kunddata raderats enligt Bilaga 2 avsnitt 9. Avsnitt 7 gäller därutöver för Cybersäkerhetsincidenter som inträffat dessförinnan.

9. Ändringar

9.1 Ändringar av denna bilaga sker enligt avsnittet ”Avtalsändring” i Tjänsteavtalet.

9.2 Åtgärderna enligt avsnitt 3 får uppdateras löpande utan att det utgör en avtalsändring, förutsatt att säkerhetsnivån inte försämras.

10. Kontakt

Underrättelser om misstänkt obehörig åtkomst enligt punkt 5.4 lämnas, och frågor om denna bilaga ställs, till info@callmaker.se eller 031-313 22 00.