Detta är avtalet som gäller mellan oss för personuppgiftsbehandling när ni använder Callmaker. Det utgör Bilaga 1 till Tjänsteavtalet och gäller utan separat underskrift när Beställningen ingås.
Gäller från och med 2026-10-09.
(1) Kunden enligt Beställningen (den ”Personuppgiftsansvarige”); och
(2) CM Software Callmaker AB, org.nr 556999-9971, Stora Badhusgatan 18, 411 21 Göteborg (”Personuppgiftsbiträdet”).
Personuppgiftsbiträdet och den Personuppgiftsansvarige benämns var för sig ”Part” och gemensamt ”Parterna”.
A. Parterna har ingått avtal om Personuppgiftsbiträdets tillhandahållande av Tjänsten, bestående av Beställningen, Tjänsteavtalet och dess bilagor (”Avtalet”). Detta Personuppgiftsbiträdesavtal utgör Bilaga 1 till Avtalet.
B. Inom ramen för Tjänsten behandlar Personuppgiftsbiträdet personuppgifter för vilka den Personuppgiftsansvarige är ansvarig. Behandlingens föremål, art, ändamål och varaktighet samt kategorier av Registrerade och Personuppgifter framgår av Bilaga 1.1. De Underbiträden som anlitas framgår av Bilaga 1.2. Detta Personuppgiftsbiträdesavtal reglerar hur Personuppgiftsbiträdet ska behandla Personuppgifter för den Personuppgiftsansvariges räkning i enlighet med artikel 28 i Dataskyddsförordningen.
C. Vid konflikt mellan en bestämmelse i detta Personuppgiftsbiträdesavtal och en bestämmelse i Avtalet gäller detta Personuppgiftsbiträdesavtal i frågor om behandling av Personuppgifter, i den utsträckning bestämmelsen innebär ett bättre skydd för de Personuppgifter som behandlas. Bestämmelser om ansvar, ansvarsbegränsning, ersättning, avgifter, betalning och uppsägning utgör inte skydd för Personuppgifter i denna mening; för dem gäller punkt 7 nedan och Avtalet.
D. Detta Personuppgiftsbiträdesavtal accepteras genom Beställningen och kräver ingen separat underskrift.
I detta Personuppgiftsbiträdesavtal ska följande definitioner ha den betydelse som anges nedan:
”Behandling”, ”Personuppgiftsansvarig”, ”Personuppgifter”, ”Personuppgiftsbiträde”, ”Personuppgiftsincident” och ”Registrerad” har samma innebörd som i Dataskyddsförordningen.
”Dataskyddsförordningen” betyder Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän dataskyddsförordning).
”Tillämplig Dataskyddslagstiftning” betyder Dataskyddsförordningen, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, samt annan från tid till annan gällande lagstiftning, förordning och föreskrift om skydd för Personuppgifter, inklusive föreskrifter och bindande beslut från Integritetsskyddsmyndigheten (”IMY”) eller annan behörig tillsynsmyndighet, som är tillämplig på Personuppgiftsbiträdet eller den Personuppgiftsansvarige.
”Tillämplig Lagstiftning” betyder från tid till annan gällande lagstiftning, förordningar och föreskrifter i EU och relevanta medlemsstater som är tillämpliga på en Part.
”Personuppgiftsbiträdesavtal” betyder detta Personuppgiftsbiträdesavtal jämte Bilaga 1.1 och Bilaga 1.2.
”Underbiträde” betyder en underleverantör som Personuppgiftsbiträdet anlitar och som behandlar Personuppgifter för den Personuppgiftsansvariges räkning.
”Tredje Land” betyder en stat som varken ingår i Europeiska unionen (EU) eller är ansluten till Europeiska ekonomiska samarbetsområdet (EES).
”Tjänsten”, ”Beställningen”, ”Tjänsteavtalet”, ”Tjänsteprislistan”, ”Kunddata”, ”Användare”, ”Fasta avgifter”, ”Bindningstid”, ”Återstående avtalsperiod” och ”Betalningsvillkoret” har den betydelse som anges i Tjänsteavtalet.
2.1 Den Personuppgiftsansvarige bestämmer över ändamålen med och medlen för Behandlingen av Personuppgifterna och är därför ansvarig för Behandlingen. Personuppgiftsbiträdet behandlar Personuppgifter för den Personuppgiftsansvariges räkning och är därmed att se som personuppgiftsbiträde. Punkt 2.4 gäller om den Personuppgiftsansvarige själv behandlar Personuppgifterna som personuppgiftsbiträde åt annan.
2.2 Den Personuppgiftsansvarige ansvarar för att Behandlingen sker i enlighet med Tillämplig Dataskyddslagstiftning. Detta innefattar bland annat att den Personuppgiftsansvarige (i) har rättslig grund för Behandlingen och för den kontakt som sker med Registrerade genom Tjänsten, (ii) informerar de Registrerade om Behandlingen, (iii) säkerställer att inspelning, transkribering och annan bearbetning av samtal och meddelanden är tillåten enligt Tillämplig Lagstiftning, inklusive lagen (2022:482) om elektronisk kommunikation och marknadsföringslagen (2008:486), (iv) säkerställer att personnummer, samordningsnummer och kreditinformation endast behandlas i Tjänsten när det är tillåtet enligt 3 kap. 10 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och annan Tillämplig Dataskyddslagstiftning, samt (v) inte lägger in särskilda kategorier av Personuppgifter eller Personuppgifter om lagöverträdelser i Tjänsten utan Personuppgiftsbiträdets föregående skriftliga godkännande.
2.3 Den Personuppgiftsansvariges dokumenterade instruktioner utgörs av detta Personuppgiftsbiträdesavtal, Bilaga 1.1, Avtalet, de inställningar som den Personuppgiftsansvarige eller dess Användare gör i Tjänsten samt sådana ytterligare skriftliga instruktioner som Parterna kommer överens om enligt punkt 3.2.
2.4 Behandlar den Personuppgiftsansvarige Personuppgifterna i Tjänsten som personuppgiftsbiträde åt en eller flera andra personuppgiftsansvariga (var och en en ”Uppdragsgivare”), är Personuppgiftsbiträdet underbiträde till den Personuppgiftsansvarige enligt artikel 28.4 i Dataskyddsförordningen. Hänvisningar i detta Personuppgiftsbiträdesavtal till den Personuppgiftsansvarige avser då Kunden i dess egenskap av personuppgiftsbiträde, och därutöver gäller följande.
2.4.1 Den Personuppgiftsansvarige garanterar att varje Uppdragsgivare skriftligen har godkänt att Personuppgiftsbiträdet och de Underbiträden som anges i Bilaga 1.2 anlitas, och att de instruktioner och godkännanden som den Personuppgiftsansvarige lämnar enligt detta Personuppgiftsbiträdesavtal, inklusive instruktionerna i Bilaga 1.1 och godkännanden enligt punkt 10.1 (ii), ryms inom Uppdragsgivarens instruktioner.
2.4.2 Den Personuppgiftsansvarige ansvarar för att skyldigheterna i punkt 2.2 fullgörs, av den Personuppgiftsansvarige eller av Uppdragsgivaren, och för att detta Personuppgiftsbiträdesavtal uppfyller de krav som avtalet med Uppdragsgivaren ställer på underbiträden. Personuppgiftsbiträdet åtar sig inte skyldigheter utöver dem som följer av detta Personuppgiftsbiträdesavtal, om inte Parterna skriftligen kommit överens om det.
2.4.3 Personuppgiftsbiträdet tar emot instruktioner endast från den Personuppgiftsansvarige och lämnar underrättelser, information och bistånd enligt detta Personuppgiftsbiträdesavtal, inklusive enligt punkterna 4.2 och 8.2, endast till den Personuppgiftsansvarige; information enligt punkt 5.3 lämnas genom publicering enligt den punkten. Den Personuppgiftsansvarige ansvarar för att vidarebefordra dem till Uppdragsgivaren och för att framföra Uppdragsgivarens instruktioner, invändningar och begäranden till Personuppgiftsbiträdet. En invändning enligt punkt 5.4 ska lämnas av den Personuppgiftsansvarige inom den tid som anges där, även när den grundas på en invändning från Uppdragsgivaren.
2.4.4 En granskning enligt punkt 4.3.2 som en Uppdragsgivare begär genomförs genom den Personuppgiftsansvarige, och Uppdragsgivaren eller en revisor som Uppdragsgivaren utsett får delta på de villkor som anges där. Sådana granskningar räknas in i det antal granskningar som anges i punkt 4.3.2, oavsett antalet Uppdragsgivare.
2.4.5 Personuppgiftsbiträdet har inga skyldigheter gentemot Uppdragsgivaren enligt detta Personuppgiftsbiträdesavtal, och Uppdragsgivarens krav med anledning av Behandlingen ska riktas mot den Personuppgiftsansvarige. Den Personuppgiftsansvariges skadeslöshetsåtagande enligt punkt 7.5 omfattar även krav från Uppdragsgivaren eller annan som har sin grund i den Personuppgiftsansvariges instruktioner eller i att garantin i punkt 2.4.1 inte är riktig.
3.1 Personuppgiftsbiträdet åtar sig att endast Behandla Personuppgifter i enlighet med den Personuppgiftsansvariges dokumenterade instruktioner och bestämmelserna i detta Personuppgiftsbiträdesavtal och Avtalet. Personuppgiftsbiträdet ska inte Behandla Personuppgifter för vilka den Personuppgiftsansvarige är personuppgiftsansvarig för några andra ändamål.
3.2 För det fall den Personuppgiftsansvarige inkommer med nya instruktioner som går utöver vad som följer av detta Personuppgiftsbiträdesavtal eller Avtalet, ska sådana instruktioner lämnas skriftligen. Personuppgiftsbiträdet är inte skyldigt att följa instruktioner som kräver ändringar av Tjänsten, och har rätt till ersättning för arbete som föranleds av nya instruktioner enligt Tjänsteprislistan eller enligt överenskommelse mellan Parterna.
3.3 Oaktat vad som anges i punkt 3.1 har Personuppgiftsbiträdet rätt att Behandla Personuppgifter i den utsträckning som krävs för att Personuppgiftsbiträdet ska kunna uppfylla skyldigheter som åvilar Personuppgiftsbiträdet enligt Tillämplig Lagstiftning. Personuppgiftsbiträdet ska informera den Personuppgiftsansvarige om den rättsliga skyldigheten innan Behandlingen sker, såvida inte Personuppgiftsbiträdet är förhindrat enligt Tillämplig Lagstiftning att lämna sådan information.
3.4 Oaktat bestämmelser om lagval i Avtalet ska Tillämplig Dataskyddslagstiftning gälla för den Behandling av Personuppgifter som omfattas av detta Personuppgiftsbiträdesavtal.
3.5 Personuppgiftsbiträdet ska utan onödigt dröjsmål informera den Personuppgiftsansvarige om Personuppgiftsbiträdet inte kan uppfylla sina skyldigheter enligt detta Personuppgiftsbiträdesavtal, eller om Personuppgiftsbiträdet anser att en instruktion som den Personuppgiftsansvarige lämnat står i strid med Tillämplig Dataskyddslagstiftning, såvida inte Personuppgiftsbiträdet är förhindrat att lämna sådan information enligt Tillämplig Lagstiftning. Personuppgiftsbiträdet har i sådant fall rätt att avvakta med att utföra instruktionen till dess att den Personuppgiftsansvarige bekräftat eller ändrat den. Personuppgiftsbiträdet är inte skyldigt att göra någon självständig rättslig bedömning av den Personuppgiftsansvariges instruktioner.
3.6 Personuppgiftsbiträdet ska föra register över de kategorier av Behandling som utförs för den Personuppgiftsansvariges räkning i enlighet med artikel 30.2 i Dataskyddsförordningen.
4.1.1 Personuppgiftsbiträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att de Personuppgifter som Behandlas ska vara skyddade mot Personuppgiftsincidenter, i enlighet med artikel 32 i Dataskyddsförordningen. Åtgärderna ska med beaktande av den senaste utvecklingen, genomförandekostnaderna, Behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de Registrerade uppnå en säkerhetsnivå som är lämplig i förhållande till risken. En översikt över åtgärderna framgår av avsnitt G i Bilaga 1.1. Personuppgiftsbiträdet har rätt att uppdatera åtgärderna förutsatt att säkerhetsnivån inte försämras.
4.1.2 Personuppgiftsbiträdet ska bistå den Personuppgiftsansvarige med att fullgöra sina skyldigheter enligt artiklarna 32–36 i Dataskyddsförordningen, i den utsträckning det är möjligt med hänsyn till Behandlingens art och den information som Personuppgiftsbiträdet har tillgång till. Detta innefattar att på begäran tillhandahålla den information som är nödvändig för att den Personuppgiftsansvarige ska kunna genomföra konsekvensbedömning och förhandssamråd med IMY avseende den Behandling som omfattas av detta Personuppgiftsbiträdesavtal. Personuppgiftsbiträdet har rätt till ersättning enligt Tjänsteprislistan för bistånd som går utöver vad som följer av Avtalet, detta Personuppgiftsbiträdesavtal eller tvingande Tillämplig Dataskyddslagstiftning, samt för bistånd vid konsekvensbedömning som den Personuppgiftsansvarige begär trots att skyldighet att genomföra sådan inte föreligger.
4.2.1 För det fall en Personuppgiftsincident inträffar som rör Personuppgifter som Behandlas för den Personuppgiftsansvariges räkning ska Personuppgiftsbiträdet skriftligen underrätta den Personuppgiftsansvarige om detta utan onödigt dröjsmål, dock senast fyrtioåtta (48) timmar från det att Personuppgiftsincidenten kom till Personuppgiftsbiträdets kännedom. Underrättelse lämnas till de kontaktuppgifter som den Personuppgiftsansvarige angett i Beställningen eller därefter skriftligen meddelat Personuppgiftsbiträdet.
4.2.2 Personuppgiftsbiträdet ska utan onödigt dröjsmål vidta lämpliga avhjälpande åtgärder för att begränsa Personuppgiftsincidentens negativa effekter.
4.2.3 Underrättelsen enligt punkt 4.2.1 ska, i den utsträckning informationen är tillgänglig för Personuppgiftsbiträdet, innehålla:
4.2.3.1 en beskrivning av Personuppgiftsincidentens art, inklusive om möjligt kategorier av och ungefärligt antal Registrerade som berörs samt kategorier av och ungefärligt antal personuppgiftsposter som berörs;
4.2.3.2 de sannolika konsekvenserna av Personuppgiftsincidenten; samt
4.2.3.3 en beskrivning av de åtgärder som Personuppgiftsbiträdet har vidtagit eller avser att vidta för att åtgärda Personuppgiftsincidenten och begränsa dess negativa effekter.
Om och i den utsträckning det inte är möjligt att tillhandahålla informationen samtidigt får informationen lämnas i omgångar utan onödigt ytterligare dröjsmål.
4.2.4 Personuppgiftsbiträdets underrättelse om eller åtgärder med anledning av en Personuppgiftsincident innebär inte ett medgivande av fel eller ansvar. Den Personuppgiftsansvarige ansvarar för anmälan till IMY och information till Registrerade enligt artiklarna 33 och 34 i Dataskyddsförordningen. Underrättelse och information enligt punkterna 4.2.1–4.2.3 lämnas utan ersättning. För bistånd därutöver enligt denna punkt 4.2 har Personuppgiftsbiträdet rätt till ersättning enligt Tjänsteprislistan i den utsträckning Personuppgiftsincidenten inte orsakats av Personuppgiftsbiträdets brott mot detta Personuppgiftsbiträdesavtal.
4.3.1 Personuppgiftsbiträdet dokumenterar löpande de åtgärder som Personuppgiftsbiträdet har vidtagit för att uppfylla sina skyldigheter enligt detta Personuppgiftsbiträdesavtal. Den Personuppgiftsansvarige har rätt att på begäran ta del av den senaste versionen av sådan dokumentation samt av tillgängliga revisionsrapporter, certifieringar eller motsvarande underlag från Personuppgiftsbiträdet och dess Underbiträden.
4.3.2 Personuppgiftsbiträdet ska ge den Personuppgiftsansvarige tillgång till den information som krävs för att visa att Personuppgiftsbiträdet fullgjort sina skyldigheter enligt artikel 28 i Dataskyddsförordningen, samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av den Personuppgiftsansvarige eller av en oberoende revisor som den Personuppgiftsansvarige utsett och som Personuppgiftsbiträdet skäligen godkänt. En granskning får genomföras högst en gång per kalenderår, om inte en Personuppgiftsincident eller ett föreläggande från IMY ger anledning till ytterligare granskning. Granskning ska föregås av skriftligt meddelande minst trettio (30) dagar i förväg, genomföras under kontorstid på ett sätt som inte stör Personuppgiftsbiträdets verksamhet eller andra kunder och endast omfatta information som är nödvändig för att bedöma efterlevnaden av artikel 28. Information om Personuppgiftsbiträdets affärsverksamhet i övrigt, andra kunder eller säkerhetsdetaljer som skulle kunna öka riskerna för Tjänsten omfattas inte. Den Personuppgiftsansvarige bär sina egna kostnader för granskningen och ersätter Personuppgiftsbiträdets skäliga kostnader för medverkan enligt Tjänsteprislistan, såvida inte granskningen påvisar ett väsentligt brott mot detta Personuppgiftsbiträdesavtal från Personuppgiftsbiträdets sida. Den Personuppgiftsansvarige ska säkerställa att anlitad revisor är bunden av sekretess minst motsvarande punkt 6.
4.3.3 Ingen av Parterna har rätt att företräda den andra Parten inför IMY eller annan tredje part.
5.1 Den Personuppgiftsansvarige lämnar härmed ett allmänt förhandstillstånd för Personuppgiftsbiträdet att anlita Underbiträden för att Behandla Personuppgifter för den Personuppgiftsansvariges räkning. De Underbiträden som anlitas vid detta Personuppgiftsbiträdesavtals ingående framgår av Bilaga 1.2 och är godkända av den Personuppgiftsansvarige.
5.2 Personuppgiftsbiträdet ska ingå ett skriftligt avtal med varje Underbiträde som ålägger Underbiträdet dataskyddsskyldigheter som i sak motsvarar och inte är mindre restriktiva än de som följer av detta Personuppgiftsbiträdesavtal. Den Personuppgiftsansvarige accepterar att Personuppgiftsbiträdet, när omständigheterna så kräver, ingår Underbiträdets standardavtal för behandling av personuppgifter, under förutsättning att sådant standardavtal uppfyller kraven i artikel 28 i Dataskyddsförordningen.
5.3 Personuppgiftsbiträdet ska informera den Personuppgiftsansvarige om planerade förändringar som innebär att nya Underbiträden anlitas eller att Underbiträden ersätts. Informationen lämnas enbart genom att Personuppgiftsbiträdet publicerar en uppdaterad Bilaga 1.2 på sin webbplats minst trettio (30) dagar innan det nya Underbiträdet börjar Behandla Personuppgifter. Bilaga 1.2 ska för varje nytt Underbiträde ange dagen för publiceringen. Den Personuppgiftsansvarige ansvarar för att bevaka sådana uppdateringar. Informationen ska innehålla:
5.3.1 Underbiträdets identitet (firma, organisationsnummer eller motsvarande och adress);
5.3.2 vilken typ av tjänst Underbiträdet utför; samt
5.3.3 på vilken plats Underbiträdet kommer att Behandla Personuppgifter samt, i förekommande fall, tillämplig överföringsmekanism enligt punkt 10.
5.4 Den Personuppgiftsansvarige har rätt att skriftligen invända mot anlitandet av ett nytt Underbiträde inom trettio (30) dagar från den dag då den uppdaterade Bilaga 1.2 publicerades enligt punkt 5.3 eller 5.5. En invändning ska ange sakliga skäl hänförliga till dataskydd. En invändning är befogad om anlitandet av Underbiträdet skulle hindra den Personuppgiftsansvarige från att fullgöra sina skyldigheter enligt Tillämplig Dataskyddslagstiftning, exempelvis för att Underbiträdet inte ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder. Om invändningen är befogad och Parterna inte inom trettio (30) dagar från invändningen kommer överens om en lösning, får den Personuppgiftsansvarige som sin enda påföljd säga upp den del av Tjänsten som berörs av det nya Underbiträdet, eller om Tjänsten inte kan tillhandahållas utan Underbiträdet hela Avtalet, med trettio (30) dagars uppsägningstid. Sådan uppsägning utgör inte avtalsbrott. Personuppgiftsbiträdet återbetalar förskottsbetalda Fasta avgifter som avser det som sagts upp för tiden efter upphörandet, och någon ersättning för Återstående avtalsperiod utgår inte för det som sagts upp. Den Personuppgiftsansvarige har inte rätt till skadestånd med anledning av uppsägningen. En invändning som inte är befogad ger inte rätt till uppsägning enligt denna punkt. Om den Personuppgiftsansvarige inte invänder inom fristen anses det nya Underbiträdet godkänt.
5.5 Om det är nödvändigt för att upprätthålla Tjänstens säkerhet eller kontinuitet, exempelvis vid ett Underbiträdes plötsliga bortfall eller vid en Personuppgiftsincident, får Personuppgiftsbiträdet byta ut ett Underbiträde med omedelbar verkan. Personuppgiftsbiträdet ska i sådant fall utan onödigt dröjsmål publicera en uppdaterad Bilaga 1.2, varefter punkt 5.4 tillämpas.
5.6 Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran tillhandahålla en sammanfattning av de dataskyddsvillkor som gäller mellan Personuppgiftsbiträdet och ett Underbiträde samt, i den utsträckning informationen är tillgänglig för Personuppgiftsbiträdet, information om de underleverantörer som Underbiträdet i sin tur anlitar för Behandlingen. Affärsvillkor och information som omfattas av sekretess gentemot Underbiträdet får uteslutas.
5.7 Personuppgiftsbiträdet ansvarar gentemot den Personuppgiftsansvarige för Underbiträdens Behandling av Personuppgifter såsom för egen Behandling, med de begränsningar som följer av punkt 7.
6.1 Utan att det påverkar tillämpningen av sekretessåtagandena i Avtalet ska Personuppgiftsbiträdet hålla alla Personuppgifter som Behandlas för den Personuppgiftsansvariges räkning strikt konfidentiella. Personuppgiftsbiträdet ska således inte, direkt eller indirekt, lämna ut några Personuppgifter till tredje part om inte den Personuppgiftsansvarige skriftligen på förhand godkänt detta, såvida inte Personuppgiftsbiträdet är skyldigt enligt Tillämplig Lagstiftning eller beslut av domstol eller myndighet att lämna ut Personuppgifterna, eller om det är nödvändigt för fullgörandet av Avtalet eller detta Personuppgiftsbiträdesavtal, inklusive utlämnande till Underbiträden och teleoperatörer i enlighet med Avtalet. Vid utlämnande av Personuppgifter till tredje part enligt beslut av domstol eller myndighet ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige om utlämnandet, såvida hinder inte föreligger enligt Tillämplig Lagstiftning eller beslutet.
6.2 Personuppgiftsbiträdet ska säkerställa att de personer som är behöriga att Behandla Personuppgifterna, inklusive anställda och konsulter hos Personuppgiftsbiträdet och dess Underbiträden, har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt, samt att de endast Behandlar Personuppgifter i enlighet med den Personuppgiftsansvariges instruktioner.
6.3 Personuppgiftsbiträdet accepterar att sekretessåtagandet enligt denna punkt 6 ska fortsätta att gälla även efter att detta Personuppgiftsbiträdesavtal upphört och till dess att alla Personuppgifter har återlämnats till den Personuppgiftsansvarige eller raderats enligt punkt 9.
6.4 Den Personuppgiftsansvarige förbinder sig att hålla all information som den Personuppgiftsansvarige erhåller avseende Personuppgiftsbiträdets säkerhetsåtgärder, rutiner, IT-system, Underbiträden eller som annars är av konfidentiell karaktär strikt konfidentiell och att inte till någon utomstående röja sådan information, annat än vad den Personuppgiftsansvarige är skyldig att röja enligt Tillämplig Lagstiftning, Avtalet eller detta Personuppgiftsbiträdesavtal. Detta åtagande gäller även efter att detta Personuppgiftsbiträdesavtal har upphört.
7.1 Vardera Part ansvarar för skada som Parten vållar den andra Parten genom brott mot detta Personuppgiftsbiträdesavtal eller Tillämplig Dataskyddslagstiftning, med de begränsningar som följer nedan.
7.2 Personuppgiftsbiträdets ansvar enligt detta Personuppgiftsbiträdesavtal är begränsat till direkt skada. Personuppgiftsbiträdet ansvarar inte för indirekt skada eller följdskada, såsom utebliven vinst, förlorad intäkt, förlorade affärsmöjligheter, produktionsbortfall, förlust av data, kostnader för ersättningstjänst eller krav från tredje man, oavsett om skadan var förutsebar. Personuppgiftsbiträdets sammanlagda ansvar för samtliga skador enligt detta Personuppgiftsbiträdesavtal och Avtalet tillsammans är begränsat till det belopp som följer av ansvarsbegränsningen i Tjänsteavtalets avsnitt ”Ansvar och ansvarsbegränsning”, det vill säga, för varje tolvmånadersperiod räknad från den första skadegrundande händelsen, det lägre av de Fasta avgifter den Personuppgiftsansvarige erlagt för Tjänsten under de sex (6) månader som närmast föregick den skadegrundande händelsen och två (2) prisbasbelopp enligt 2 kap. 7 § socialförsäkringsbalken för det år då den skadegrundande händelsen inträffade. Ansvarsbegränsningen utgör ett gemensamt tak för Avtalet, detta Personuppgiftsbiträdesavtal, Bilaga 3 – Cybersäkerhetsincidenter och Bilaga 4 – AI-funktioner; belopp som utgått enligt en av handlingarna avräknas mot taket för de övriga. För skada till följd av en Cybersäkerhetsincident enligt Bilaga 3 gäller i stället den ansvarsbegränsning som anges i Bilaga 3 avsnitt 7. Återkrav enligt punkt 7.3 omfattas dock alltid av ansvarsbegränsningen i denna punkt 7.2, även när skadan har sin grund i en Cybersäkerhetsincident.
7.3 Om en Part har betalat ersättning till en Registrerad enligt artikel 82 i Dataskyddsförordningen har Parten rätt att av den andra Parten återkräva den del av ersättningen som motsvarar den andra Partens del av ansvaret för skadan, i enlighet med artikel 82.5. Personuppgiftsbiträdets ansvar enligt denna punkt omfattas av ansvarsbegränsningen i punkt 7.2. Den Part som mottar ett krav från en Registrerad ska utan onödigt dröjsmål informera den andra Parten och inte medge ansvar eller ingå förlikning som påverkar den andra Parten utan dennes skriftliga godkännande.
7.4 Vardera Part svarar för administrativa sanktionsavgifter som en tillsynsmyndighet påför Parten. Ingen Part är skyldig att ersätta den andra Parten för sådan sanktionsavgift, med undantag för vad som följer av punkt 7.5.
7.5 Den Personuppgiftsansvariges skadeslöshetsåtagande enligt Tjänsteavtalets avsnitt ”Kundens skadeslöshetsåtagande” omfattar även krav, sanktionsavgifter, skadestånd och kostnader som riktas mot eller drabbar Personuppgiftsbiträdet och som har sin grund i (i) den Personuppgiftsansvariges instruktioner, (ii) avsaknad av rättslig grund för Behandlingen eller för kontakt med Registrerade genom Tjänsten, (iii) inspelning, transkribering eller annan bearbetning av samtal eller meddelanden som den Personuppgiftsansvarige beslutat om, (iv) att den Personuppgiftsansvarige lagt in personnummer, samordningsnummer, kreditinformation, särskilda kategorier av Personuppgifter eller Personuppgifter om lagöverträdelser i Tjänsten i strid med punkt 2.2, eller (v) den Personuppgiftsansvariges brott i övrigt mot punkt 2.2 eller Tillämplig Dataskyddslagstiftning. Ansvarsbegränsningen i punkt 7.2 gäller inte för detta åtagande.
7.6 Begränsningarna i denna punkt 7 gäller inte skada som orsakats uppsåtligen eller av grov vårdslöshet, och inte heller ansvar som inte kan begränsas enligt tvingande lag.
7.7 Krav på ersättning enligt detta Personuppgiftsbiträdesavtal ska framställas skriftligen till den andra Parten utan oskäligt dröjsmål, dock senast tre (3) månader efter det att skadan upptäcktes eller borde ha upptäckts. Krav som framställs senare bortfaller.
8.1 Personuppgiftsbiträdet ska, med hänsyn till Behandlingens art och i den mån det är möjligt, bistå den Personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder så att den Personuppgiftsansvarige kan fullgöra sin skyldighet att svara på en begäran om utövande av Registrerades rättigheter enligt kapitel III i Dataskyddsförordningen. Bistånd sker i första hand genom de funktioner för sökning, export, rättelse och radering som finns i Tjänsten och som den Personuppgiftsansvarige själv kan använda. Personuppgiftsbiträdet har rätt till ersättning enligt Tjänsteprislistan för bistånd som går utöver detta.
8.2 Om en Registrerad vänder sig direkt till Personuppgiftsbiträdet med en begäran som rör Behandling för den Personuppgiftsansvariges räkning ska Personuppgiftsbiträdet utan onödigt dröjsmål vidarebefordra begäran till den Personuppgiftsansvarige och inte själv besvara den i sak, annat än genom att hänvisa den Registrerade till den Personuppgiftsansvarige.
9.1 Vid Avtalets upphörande ska den Personuppgiftsansvarige skriftligen instruera Personuppgiftsbiträdet om huruvida de Personuppgifter som Personuppgiftsbiträdet Behandlat för den Personuppgiftsansvariges räkning ska (i) återlämnas till den Personuppgiftsansvarige eller (ii) raderas. Återlämnande sker genom att Personuppgiftsbiträdet en gång tillgängliggör Personuppgifterna i det format och på det sätt som anges i Bilaga 2 – Dataportabilitet, varefter Personuppgifterna raderas. Återlämnande förutsätter att Betalningsvillkoret är uppfyllt; är det inte uppfyllt gäller Bilaga 2 punkt 8.3. Om den Personuppgiftsansvarige inte inkommer med instruktion inom trettio (30) dagar från att Avtalet upphört att gälla, ska Personuppgiftsbiträdet radera Personuppgifterna utan onödigt dröjsmål. Löper en Uttagsperiod enligt Bilaga 2 vid den tidpunkten, raderas Personuppgifterna i stället i samband med radering enligt Bilaga 2 avsnitt 9.
9.2 Radering omfattar befintliga kopior, med undantag för (i) Personuppgifter som Personuppgiftsbiträdet är skyldigt att bevara enligt Tillämplig Lagstiftning, vilka fortsatt behandlas endast för det ändamålet och raderas när skyldigheten upphört, samt (ii) säkerhetskopior, som raderas genom ordinarie rutiner inom den tid som anges i Bilaga 1.1 och under tiden inte används för något annat ändamål. Personuppgiftsbiträdet bekräftar på begäran skriftligen att radering skett.
9.3 Skyldigheten att radera Personuppgifter enligt denna punkt 9 och bistånd enligt Bilaga 2 punkt 6.5 gäller oberoende av om den Personuppgiftsansvarige fullgjort sina betalningsskyldigheter enligt Avtalet. Återlämnande enligt punkt 9.1 (i) förutsätter att Betalningsvillkoret är uppfyllt.
10.1 Personuppgiftsbiträdet får inte överföra Personuppgifter till, eller ge åtkomst till Personuppgifter från, ett Tredje Land utan att (i) överföringen sker till ett Underbiträde som godkänts enligt punkt 5 och med den överföringsmekanism som anges i Bilaga 1.2, eller (ii) den Personuppgiftsansvarige på förhand skriftligen godkänt överföringen.
10.2 Varje överföring till Tredje Land ska ske i enlighet med kapitel V i Dataskyddsförordningen, genom beslut om adekvat skyddsnivå enligt artikel 45, av EU-kommissionen antagna standardavtalsklausuler enligt artikel 46.2 c med de kompletterande skyddsåtgärder som en bedömning av mottagarlandet visar behövs, eller annan giltig överföringsmekanism. Personuppgiftsbiträdet får ingå sådana avtal med Underbiträden för den Personuppgiftsansvariges räkning.
10.3 Om en överföringsmekanism upphör att vara giltig ska Personuppgiftsbiträdet utan onödigt dröjsmål övergå till en annan giltig mekanism eller upphöra med överföringen, och informera den Personuppgiftsansvarige. Sådan förändring ger inte den Personuppgiftsansvarige rätt till skadestånd.
11.1 Detta Personuppgiftsbiträdesavtal träder i kraft när Avtalet ingås och gäller under Avtalets löptid samt därefter till dess att Personuppgiftsbiträdet, och Underbiträden anlitade av Personuppgiftsbiträdet, upphört med att Behandla Personuppgifter för den Personuppgiftsansvariges räkning enligt punkt 9.
11.2 Punkterna 6, 7, 9 och 14 gäller även efter att detta Personuppgiftsbiträdesavtal i övrigt upphört.
Bestämmelserna om överlåtelse i Avtalet ska äga motsvarande tillämpning på detta Personuppgiftsbiträdesavtal.
13.1 Bestämmelserna om avtalsändring i Avtalet ska äga motsvarande tillämpning på detta Personuppgiftsbiträdesavtal.
13.2 Personuppgiftsbiträdet har därutöver rätt att uppdatera Bilaga 1.2 i enlighet med punkt 5 samt att uppdatera Bilaga 1.1 för att återspegla ändringar i Tjänstens funktioner, säkerhetsåtgärder eller Tillämplig Dataskyddslagstiftning, förutsatt att uppdateringen inte innebär ett sämre skydd för Personuppgifterna. Sådana uppdateringar meddelas genom publicering på Personuppgiftsbiträdets webbplats. För planerade förändringar som innebär att nya Underbiträden anlitas eller att Underbiträden ersätts gäller dessutom punkt 5.3.
Bestämmelserna om tillämplig lag och tvist i Avtalet ska äga motsvarande tillämpning på detta Personuppgiftsbiträdesavtal.
Denna bilaga utgör den Personuppgiftsansvariges dokumenterade instruktioner enligt punkt 2.3 och beskriver den Behandling som Personuppgiftsbiträdet utför.
Personuppgiftsbiträdet behandlar Personuppgifter för den Personuppgiftsansvariges räkning i syfte att tillhandahålla Tjänsten: systemstöd för utgående och inkommande telefoni, SMS och relaterad kundkontakt (Callmaker Dialer eller motsvarande tjänst som Parterna från tid till annan överenskommer), systemsupport, kvalitets- och complianceuppföljning samt relaterad administration. Behandlingen omfattar lagring, strukturering, uppringning och utskick, visning för Användare, loggning, rapportering, backup och radering.
Behandlingen får därutöver, i den utsträckning den Personuppgiftsansvarige aktiverar sådana funktioner i Tjänsten, omfatta inspelning av inkommande och utgående samtal, transkribering av samtal, strukturering och automatiserad bearbetning av ljudfiler, transkript och tillhörande metadata, inklusive sammanfattning, analys och bedömning av Användares arbetsprestation, samt anonymisering eller pseudonymisering av sådant material. Den Personuppgiftsansvarige ansvarar för att aktivering av sådana funktioner är tillåten enligt Tillämplig Lagstiftning.
Personuppgiftsbiträdet får även Behandla Personuppgifter i den utsträckning som krävs för support, felsökning, systemunderhåll och teknisk drift. Behandlingen omfattar vidare Assistentfunktioner enligt Bilaga 4 – AI-funktioner, det vill säga automatiserat besvarande av Användares frågor om Tjänstens handhavande och stöd vid utformning av automatiseringar, inklusive lagring av Användares frågor och Assistentfunktionens svar utan koppling till Användare, konto eller kund. Administration av behörigheter och inställningar i Tjänsten sker av den Personuppgiftsansvarige.
Den Personuppgiftsansvarige instruerar Personuppgiftsbiträdet att anonymisera Personuppgifter i transkript, Utdata enligt Bilaga 4 – AI-funktioner och tillhörande metadata, i Användares konversationer med Assistentfunktioner samt i Kunddata som förekommer i supportärenden och annan kommunikation med Personuppgiftsbiträdets support, i syfte att utveckla och förbättra Tjänstens AI-funktioner. Instruktionen omfattar inte ljudfiler. Anonymiseringen sker inom ramen för de säkerhetsåtgärder som anges i avsnitt G, och uppgifter som har anonymiserats omfattas inte av detta Personuppgiftsbiträdesavtal.
Den Personuppgiftsansvarige instruerar vidare Personuppgiftsbiträdet att framställa Aggregerad data enligt Tjänsteavtalets avsnitt ”Aggregerad data och synpunkter” genom aggregering eller anonymisering av Personuppgifter. Uppgifter som har aggregerats eller anonymiserats på detta sätt omfattas inte av detta Personuppgiftsbiträdesavtal.
Behandlingen omfattar följande kategorier av Registrerade:
(i) den Personuppgiftsansvariges kunder och potentiella kunder, såväl privatpersoner som kontaktpersoner hos företag och organisationer, som den Personuppgiftsansvarige kontaktar eller avser att kontakta genom Tjänsten;
(ii) personer som förekommer i de lead-, ring- och kontaktlistor som den Personuppgiftsansvarige lägger in i eller importerar till Tjänsten, inklusive listor från tredjepartsleverantörer av leads;
(iii) mottagare av SMS och andra meddelanden som skickas genom Tjänsten, samt personer som ringer in till nummer som hanteras i Tjänsten;
(iv) den Personuppgiftsansvariges Användare, det vill säga anställda, konsulter och andra som den Personuppgiftsansvarige ger tillgång till Tjänsten.
För Registrerade enligt B (i)–(iii): namn, adress, telefonnummer, e-postadress, uppgift om företag och befattning, kund- eller ärendenummer, uppgifter om kontaktförsök och samtal (tidpunkt, varaktighet, utfall, disposition, samtalsstatus, inspelning i förekommande fall), innehåll i SMS och andra meddelanden, transkript och därav framställda sammanfattningar i förekommande fall, anteckningar och innehåll i fritextfält, svar på frågor som ställts i samtal, uppgifter om bokade möten, inklusive kalenderhändelser i kalendrar som anslutits till Tjänsten, samt uppgifter som förekommer i de listor som den Personuppgiftsansvarige lägger in i Tjänsten. I förekommande fall, och endast om den Personuppgiftsansvarige själv väljer att lägga in dem i Tjänsten i enlighet med punkt 2.2: personnummer eller samordningsnummer, kreditinformation samt uppgifter om avtal och beställningar.
För Användare enligt B (iv): namn, e-postadress, telefonnummer, användarnamn och inloggningsuppgifter, roll och behörighet, röst i inspelade samtal, aktivitets- och åtkomstloggar, IP-adress, kalenderhändelser när en kalenderintegration har aktiverats samt prestations- och statistikuppgifter som Tjänsten genererar om Användarens arbete i Tjänsten.
Tjänsten är inte avsedd för Behandling av särskilda kategorier av Personuppgifter enligt artikel 9 i Dataskyddsförordningen eller Personuppgifter om lagöverträdelser enligt artikel 10. Den Personuppgiftsansvarige ska inte lägga in sådana uppgifter i Tjänsten utan Personuppgiftsbiträdets föregående skriftliga godkännande enligt punkt 2.2. Den Personuppgiftsansvarige är medveten om att sådana uppgifter ändå kan förekomma i inspelningar, transkript och fritextfält till följd av vad Registrerade själva uppger, och ansvarar för att detta hanteras i enlighet med Tillämplig Dataskyddslagstiftning.
Behandlingen pågår under Avtalets löptid och därefter till dess att radering skett enligt punkt 9. Följande lagringstider gäller som den Personuppgiftsansvariges instruktion, om inte annat följer av Beställningen eller av inställningar som den Personuppgiftsansvarige gör i Tjänsten:
(i) Kunddata i Tjänsten: enligt de regeluppsättningar för radering som den Personuppgiftsansvarige ställer in i Tjänstens GDPR-modul. De inställningar som den Personuppgiftsansvarige gör räknas som instruktion enligt detta Personuppgiftsbiträdesavtal.
(ii) Ljudfiler: raderas efter nittio (90) dagar och orderljudfiler efter trehundranittio (390) dagar, i enlighet med Tjänsteavtalets avsnitt ”Ljudfiler”, om inte annat överenskommits.
(iii) Säkerhetskopior: sju (7) dagar.
(iv) Loggar: etthundraåttio (180) dagar eller enligt inställning av den Personuppgiftsansvarige. Loggar som AI-funktionerna genererar sparas enligt Bilaga 4 – AI-funktioner punkt 5.6.
(v) Konversationer med Assistentfunktioner: lagras utan koppling till Användare, konto eller kund; innehåll som ännu inte anonymiserats raderas eller anonymiseras inom trettio (30) dagar.
Personuppgifter lagras och Behandlas i Sverige, Tyskland, Italien och Irland samt, för Assistentfunktionerna, i den europeiska region som anges i Bilaga 1.2, som omfattar EU/EES och Schweiz, av Personuppgiftsbiträdet och de Underbiträden som anges i Bilaga 1.2. Eventuell åtkomst från eller överföring till Tredje Land sker endast i enlighet med punkt 10 och de överföringsmekanismer som anges i Bilaga 1.2.
Personuppgiftsbiträdet tillämpar bland annat följande åtgärder: kryptering av Personuppgifter vid överföring över publika nät och vid lagring, inklusive krypterade säkerhetskopior; logisk åtskillnad av varje kunds Kunddata och säkerhetskopior från andra kunders; behörighetsstyrning enligt principen om minsta möjliga behörighet, med individuella konton och möjlighet till flerfaktorsautentisering för Användare; loggning av åtkomst till Personuppgifter med möjlighet till uppföljning i efterhand; rutiner för säker radering och för test av återläsning från säkerhetskopia; fysiskt skydd av lokaler och utrustning; sekretessåtaganden och löpande utbildning för personal med tillgång till Personuppgifter; samt årlig översyn av säkerhetspolicy och säkerhetsåtgärder. En aktuell och mer detaljerad beskrivning tillhandahålls på begäran enligt punkt 4.3.1.
Underrättelser enligt detta Personuppgiftsbiträdesavtal lämnas till de kontaktuppgifter Parterna angett enligt Avtalets avsnitt ”Meddelanden”. Personuppgiftsbiträdet nås i dataskyddsfrågor på privacy@cmsoftware.se.
Vid ingåendet av detta Personuppgiftsbiträdesavtal godkänner den Personuppgiftsansvarige att Personuppgiftsbiträdet anlitar följande Underbiträden för att fullgöra sina åtaganden enligt Avtalet. Förteckningen uppdateras i enlighet med punkt 5. Senast uppdaterad: 2026-10-09.
Akamai Technologies International AG
Reg.nr: CHE-115.356.067 (UID, Schweiz)
Adress: Grafenauweg 8, 6300 Zug, Schweiz
Tjänst: Virtuella servrar, lagring och krypterad backuplagring (Akamai Cloud, tidigare Linode).
Plats för Behandlingen: Sverige (Stockholm), Tyskland (Frankfurt) och Italien (Milano).
Överföringsmekanism till Tredje Land: Schweiz omfattas av EU-kommissionens beslut om adekvat skyddsnivå. För eventuell supportåtkomst från koncernbolag i Indien och USA: EU-kommissionens standardavtalsklausuler (beslut (EU) 2021/914) enligt Akamais biträdesavtal.
Amazon Web Services EMEA SARL
Reg.nr: B186284 (RCS Luxemburg)
Adress: 38 Avenue John F. Kennedy, L-1855 Luxemburg
Tjänst: Instanser av virtuella maskiner med GPU för drift och automatiserad bearbetning av ljud och text.
Plats för Behandlingen: Irland (AWS-regionen Europe (Ireland)), genom Amazon Data Services Ireland Limited.
Överföringsmekanism till Tredje Land: Ej tillämplig för behandlingen. För eventuell supportåtkomst från USA: EU-kommissionens standardavtalsklausuler (beslut (EU) 2021/914) enligt AWS:s biträdesavtal, samt EU–USA Data Privacy Framework i den utsträckning mottagande bolag är certifierat.
LEKAB Communication Systems AB
Org.nr: 556340-7468
Adress: Sankt Eriksgatan 113, 113 43 Stockholm, Sverige
Tjänst: Förmedling av SMS som skickas och tas emot genom Tjänsten, inklusive leveransrapporter.
Plats för Behandlingen: Sverige.
Överföringsmekanism till Tredje Land: Ej tillämplig för behandlingen hos Underbiträdet. När den Personuppgiftsansvarige skickar SMS till ett telefonnummer i Tredje Land överförs meddelandet och mottagarens telefonnummer, i den utsträckning det krävs för leveransen, till mottagarens teleoperatör, i förekommande fall via Underbiträdets operatörspartner. Sådan överföring sker på den Personuppgiftsansvariges instruktion och godkänns härmed enligt punkt 10.1 (ii).
OpenAI Ireland Ltd.
Reg.nr: 737350 (CRO, Irland)
Adress: 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland
Tjänst: Språkmodeller via API för Assistentfunktionerna enligt Bilaga 4 – AI-funktioner. Uppgifterna lagras inte hos Underbiträdet och används inte för att träna dess modeller.
Plats för Behandlingen: OpenAI:s Europa-region, som omfattar EU/EES och Schweiz, med bearbetning inom regionen.
Överföringsmekanism till Tredje Land: För behandling i Schweiz: EU-kommissionens beslut om adekvat skyddsnivå enligt artikel 45 i Dataskyddsförordningen. För eventuell åtkomst från koncernbolag i USA: EU-kommissionens standardavtalsklausuler (beslut (EU) 2021/914) enligt OpenAI:s biträdesavtal.
Teleoperatörer som kopplar upp och förmedlar samtal till och från Tjänsten är inte Underbiträden. Det gäller både de operatörer som Personuppgiftsbiträdet har avtal med och den andra partens operatör. Teleoperatörerna förmedlar samtalen i realtid, lagrar inte samtalens innehåll för Personuppgiftsbiträdets räkning och behandlar trafikuppgifter, såsom telefonnummer, tidpunkt och varaktighet, som självständigt personuppgiftsansvariga med de skyldigheter som följer av lagen (2022:482) om elektronisk kommunikation. Inspelning, transkribering och annan bearbetning av samtal sker i Tjänsten hos Personuppgiftsbiträdet och de Underbiträden som anges ovan. När ett samtal kopplas till eller från ett telefonnummer i Tredje Land överförs telefonnumren och samtalet, i den utsträckning det krävs för uppkopplingen, till den andra partens teleoperatör, i förekommande fall via mellanliggande operatörer. Sådan överföring sker på den Personuppgiftsansvariges instruktion och godkänns härmed enligt punkt 10.1 (ii).
