Personuppgiftsbiträdesavtal

Bilaga till Allmänna villkor för Growth Embedded. Version 1.0 – gäller från 2026-10-07.

I korthet

• När vi hanterar er kundlista och annan data som ni för in i tjänsten gör vi det för er räkning. Ni är personuppgiftsansvariga och vi är personuppgiftsbiträde.
• Vi använder bara uppgifterna för att leverera tjänsten till er, enligt era instruktioner i det här avtalet.
• Uppgifterna lagras inom EU. Några underbiträden behandlar uppgifter utanför EU, och då skyddas de enligt GDPR (se Bilaga 2).
• Vi meddelar er utan onödigt dröjsmål om något har hänt med uppgifterna.
• När avtalet upphör raderar vi uppgifterna inom 30 dagar.

Avtalet godkänns samtidigt med de allmänna villkoren. Ni behöver inte skriva under något separat.

Parter och bakgrund

Avtalet gäller mellan kunden som personuppgiftsansvarig (”ni”) och Growth Embedded AB, org.nr 559599-5233, som personuppgiftsbiträde (”vi”).

Avtalet uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR). Ord som ”personuppgift”, ”behandling” och ”personuppgiftsincident” har samma betydelse som i GDPR.

Vad avtalet omfattar

Avtalet gäller de personuppgifter som vi behandlar för er räkning när vi levererar tjänsten. Det är:

• er kundlista och andra uppgifter som vi hämtar från ert Fortnox-konto,
• uppgifter om vilka bolag som är era kunder, och kopplingen mellan dem och de leads ni får,
• uppgifter som ni själva lägger in i tjänsten, till exempel era val och status för era leads.

Vilka uppgifter det gäller, varför och hur länge, framgår av Bilaga 1.

Det här omfattas inte. Vår databas med bolagsdata från offentliga register och dataleverantörer, och de leads vi tar fram, är vi själva personuppgiftsansvariga för. Detsamma gäller uppgifter om era användare som vi behöver för konto, betalning och kundrelation. Det beskrivs i vår integritetspolicy.

Hur delarna hänger ihop. För att hitta leads använder tjänsten organisationsnumren i er kundlista för att hämta offentliga uppgifter om bolagen, till exempel vilka som sitter i styrelsen. De offentliga uppgifterna sparas i vår egen databas. Uppgiften om att ett visst bolag är er kund sparas bara i ert konto, behandlas bara för er räkning och visas aldrig för andra kunder.

Era instruktioner

Vi behandlar bara personuppgifterna enligt era dokumenterade instruktioner. Det här avtalet, de allmänna villkoren och de val ni gör i tjänsten är era instruktioner. Ni instruerar oss också att anonymisera uppgifter och använda dem i sammanställd form för statistik och utveckling av tjänsten, så att de inte kan kopplas till er eller till någon enskild person.

Om vi anser att en instruktion strider mot GDPR eller annan dataskyddslag säger vi till.

Nya eller ändrade instruktioner som går utöver vad tjänsten normalt gör måste vi komma överens om skriftligen. Vi får ta betalt för det merarbete det medför.

Vi får behandla uppgifterna på annat sätt bara om lag kräver det. I så fall informerar vi er först, om lagen tillåter det.

Ert ansvar

Ni ansvarar för att det är lagligt att behandla uppgifterna, att det finns en rättslig grund för det och att de registrerade har fått den information de har rätt till. Ni ansvarar också för att uppgifterna ni för in i tjänsten är riktiga och inte omfattar mer än vad som behövs.

Ni ska inte föra in känsliga personuppgifter, som uppgifter om hälsa, i tjänsten. Tjänsten är inte gjord för det.

Sekretess

Bara personer som behöver uppgifterna för att leverera tjänsten får tillgång till dem. Alla som har tillgång har tystnadsplikt, genom avtal eller lag.

Säkerhet

Vi skyddar personuppgifterna med lämpliga tekniska och organisatoriska åtgärder, med hänsyn till vilka uppgifter det gäller och riskerna med behandlingen. De viktigaste åtgärderna beskrivs i Bilaga 3. Vi får ändra åtgärderna så länge skyddsnivån inte blir lägre.

Underbiträden

Ni ger oss ett allmänt godkännande att anlita underbiträden, det vill säga andra leverantörer som behandlar personuppgifter för vår räkning. De underbiträden vi använder i dag finns i Bilaga 2.

Om vi vill lägga till eller byta ett underbiträde meddelar vi er minst 30 dagar i förväg med e-post. Om ni har en saklig invändning, kopplad till dataskydd, kan ni meddela oss det inom den tiden. Kan vi inte lösa invändningen får ni säga upp avtalet med omedelbar verkan innan ändringen genomförs, utan kostnad utöver redan levererade leads.

Vi ser till att varje underbiträde har ett skriftligt avtal med oss med samma skyldigheter för dataskydd som vi har enligt det här avtalet. Vi ansvarar mot er för underbiträdenas arbete.

Var uppgifterna behandlas

Personuppgifterna lagras inom EU/EES. Om ett underbiträde behandlar uppgifter utanför EU/EES ser vi till att det finns ett giltigt skydd enligt GDPR, till exempel EU-kommissionens standardavtalsklausuler eller att mottagaren är certifierad enligt EU-U.S. Data Privacy Framework. Det framgår i så fall av Bilaga 2.

Hjälp med de registrerades rättigheter

Om en registrerad kontaktar oss direkt om uppgifter som vi behandlar för er räkning hänvisar vi personen till er och meddelar er.

Vi hjälper er, så långt det är rimligt, att svara på begäranden från registrerade och att uppfylla era skyldigheter om säkerhet, konsekvensbedömningar och kontakter med Integritetsskyddsmyndigheten. Om hjälpen går utöver vad som normalt ingår i tjänsten får vi ta betalt för den.

Personuppgiftsincidenter

Om vi upptäcker en personuppgiftsincident som rör uppgifter vi behandlar för er räkning meddelar vi er utan onödigt dröjsmål. Vi strävar efter att göra det inom 48 timmar. Vi lämnar den information vi har, och fyller på efter hand, så att ni kan bedöma incidenten och vid behov anmäla den till Integritetsskyddsmyndigheten.

Vi vidtar de åtgärder som behövs för att begränsa skadan. Att vi meddelar en incident innebär inte att vi medger att vi har gjort fel.

Granskning

Vi ger er den information som behövs för att visa att vi följer det här avtalet. I första hand gör vi det skriftligt, till exempel genom att svara på frågor eller lämna en beskrivning av våra säkerhetsåtgärder.

Om skriftlig information inte räcker får ni, eller en oberoende granskare som är bunden av tystnadsplikt, göra en granskning hos oss högst en gång per år. Granskningen ska meddelas minst 30 dagar i förväg, göras under kontorstid och störa vår verksamhet så lite som möjligt. Ni står för era egna kostnader, och vi får ta betalt för vår tid. Granskning som krävs av en tillsynsmyndighet begränsas inte av detta.

När avtalet upphör

Det här avtalet gäller så länge vi behandlar personuppgifter för er räkning enligt de allmänna villkoren.

När avtalet upphör raderar vi personuppgifterna som vi behandlat för er räkning inom 30 dagar, om ni inte innan dess har bett oss lämna tillbaka dem. Uppgifter i säkerhetskopior raderas när kopiorna skrivs över, senast inom 7 dagar. Vi sparar uppgifter längre bara om lag kräver det.

Ansvar

Varje part ansvarar för skada och sanktionsavgifter enligt artiklarna 82 och 83 i GDPR. Mellan parterna gäller ansvarsbegränsningen i de allmänna villkoren även för det här avtalet, så långt lagen tillåter.

Ändringar och lag

Vi får ändra det här avtalet på samma sätt som de allmänna villkoren. Ändringar som krävs av lag eller av beslut från en tillsynsmyndighet får gälla direkt.

Svensk lag gäller, och tvister avgörs på samma sätt som enligt de allmänna villkoren.

Bilaga 1 – Instruktion för behandlingen

Bilaga 2 – Underbiträden

Bilaga 3 – Säkerhetsåtgärder

• All trafik till och från tjänsten är krypterad (HTTPS/TLS). E-post skickas krypterad när mottagarens e-postserver stöder det.
• Anslutningen till Fortnox sker via Fortnox egen inloggning. Vi ser eller sparar aldrig ert lösenord till Fortnox.
• Varje kunds data hålls åtskild från andra kunders, och användare ser bara data i sitt eget konto.
• Inloggning sker via en etablerad autentiseringstjänst.
• Bara de personer som behöver det för att utveckla och driva tjänsten har tillgång till produktionsmiljön, och tillgången är personlig.
• Säkerhetskopior tas regelbundet.
• Vi uppdaterar programvara och beroenden löpande för att täppa till kända säkerhetsbrister.