Personuppgiftsbiträdesavtal
Version 1.0 · gäller från 2026-11-01
Avtalet ingås mellan företaget som använder NONOX (den personuppgiftsansvarige) och Stafe Development AB (org.nr 559420-6665) (biträdet), och gäller när biträdet behandlar personuppgifter för den personuppgiftsansvariges räkning i tjänsten NONOX, enligt artikel 28 i dataskyddsförordningen (GDPR).
1. Behandlingen
| Ändamål | Att tillhandahålla tjänsten: bokföring, fakturering, leverantörsreskontra, moms, bokslut, lön och arkivering. |
| Kategorier av registrerade | Den personuppgiftsansvariges anställda, kunder, leverantörer, kontaktpersoner och användare. |
| Kategorier av uppgifter | Namn, kontaktuppgifter, personnummer, bankuppgifter, fakturor och underlag, lön, skatt, förmåner, utlägg, frånvaro. |
| Känsliga uppgifter | Sjukfrånvaro (uppgift om hälsa) och, om den personuppgiftsansvarige anger det, medlemskap i Svenska kyrkan för skatteberäkning. |
| Varaktighet | Så länge avtalet om tjänsten gäller, och därefter enligt punkt 8. |
2. Instruktioner
Biträdet behandlar personuppgifterna endast enligt den personuppgiftsansvariges dokumenterade instruktioner. Avtalet, villkoren och de val den personuppgiftsansvarige gör i tjänsten utgör instruktionerna. Biträdet underrättar den personuppgiftsansvarige om en instruktion strider mot dataskyddsreglerna.
3. Sekretess
Den som arbetar för biträdet och har tillgång till personuppgifterna har tystnadsplikt och får bara behandla dem enligt instruktionerna.
4. Säkerhet (artikel 32)
Biträdet vidtar bland annat dessa åtgärder:
- Kryptering: personnummer, bankuppgifter och andra känsliga uppgifter krypteras i databasen.
- Inloggning och åtkomst: inloggning sker med engångskod till e-post, och åtkomsten styrs per företag och roll. Rättigheten att se känsliga löneuppgifter är särskild.
- Spårbarhet: behandlingshistorik som inte kan ändras.
- Säkerhetskopior: dagliga säkerhetskopior av databasen.
- Överföring: krypterade förbindelser (TLS).
- Uppdateringar: regelbundna säkerhetsuppdateringar.
5. Underbiträden
Den personuppgiftsansvarige ger ett allmänt förhandstillstånd till de underbiträden som anges på underbitradessidan. Biträdet meddelar minst 30 dagar i förväg innan ett underbiträde läggs till eller byts, och den personuppgiftsansvarige får invända. Biträdet ingår avtal med varje underbiträde med motsvarande skyldigheter och ansvarar för underbiträdets arbete.
6. Överföring till tredje land
Personuppgifterna lagras på servrar i Sverige. Underbiträden utanför EU/EES anges på underbitradessidan, och överföringen sker med stöd av EU–US Data Privacy Framework eller EU-kommissionens standardavtalsklausuler. Om den personuppgiftsansvarige själv slår på AI-modulen och väljer en leverantör utanför EU/EES sker överföringen på den personuppgiftsansvariges instruktion och med dennes egen nyckel. Den personuppgiftsansvarige ansvarar för att det finns stöd för överföringen.
7. Bistånd
Biträdet hjälper den personuppgiftsansvarige att
- besvara begäranden från registrerade (tjänsten har utdrag och export),
- uppfylla skyldigheterna i artiklarna 32–36,
- göra konsekvensbedömningar.
Biträdet underrättar den personuppgiftsansvarige utan onödigt dröjsmål, och senast inom 36 timmar, efter att ha fått kännedom om en personuppgiftsincident, med de uppgifter som artikel 33.3 kräver.
8. När avtalet upphör
Den personuppgiftsansvarige kan exportera sina uppgifter i 90 dagar efter att avtalet upphört. Därefter raderar biträdet uppgifterna, inklusive kopior, inom 90 dagar. Det som lag kräver att biträdet själv sparar raderas inte.
9. Granskning
Biträdet ger den personuppgiftsansvarige den information som behövs för att visa att skyldigheterna i artikel 28 är uppfyllda. Biträdet möjliggör och bidrar till granskningar, med rimligt varsel.
10. Övrigt
Avtalet gäller före villkoren vid motstridighet i fråga om personuppgifter. Svensk lag gäller.