Personuppgiftsbiträdesavtal

Kort sagt

• Du (Kunden) äger din data och bestämmer vad den används till.
• Vi (CN Agency) jobbar bara åt dig och gör inget annat med datan.
• Vi lagrar Tjänstens data i EU (Frankfurt). Vissa leverantörer finns i USA. De står i Bilaga 2.
• Vi meddelar dig utan dröjsmål om något går fel, med målet att det sker inom 24 timmar.
• Du kan exportera all din data när som helst. Efter att du slutat kan du under 30 dagar be oss om en export. Allt raderas senast 90 dagar efter att avtalet upphört.

Rutan är en sammanfattning. Det är avtalstexten nedan som gäller.

Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") har ingåtts mellan

Personuppgiftsansvarig: den kund som har tecknat avtal om tjänsten Impetus ("Kunden"), och

Personuppgiftsbiträde: CN Agency, innehavare Theodore Norström, Sikvägen 11, Sverige, e-post info@cnagency.se ("Leverantören").

Kunden och Leverantören kallas nedan var för sig "Part" och tillsammans "Parterna".

1. Bakgrund och syfte

1.1 Leverantören tillhandahåller Impetus, en webbapp (PWA) för hantverks- och entreprenadföretag inom bygg, VVS, el, industri och mark ("Tjänsten"). Tjänsten omfattar bland annat tid och närvaro, personalliggare, projekt och dagbok, arbetsorder och service, anläggningar och serviceavtal, ÄTA, offert, fakturaunderlag och fakturor, chatt, inköp, kundregister, personal (ledighet, intyg, löneunderlag), KMA och egenkontroller, bokning, kundportal, kopplingar till Fortnox, Spiris, Google och Microsoft 365, SMS via 46elks samt AI-funktioner byggda på Anthropics Claude (se avsnitt 12).

1.2 När Kunden använder Tjänsten behandlar Leverantören personuppgifter för Kundens räkning. Det betyder:

• Personuppgiftsansvarig är den som bestämmer varför och hur personuppgifterna behandlas. Det är Kunden.
• Personuppgiftsbiträde är den som behandlar personuppgifterna åt den ansvarige. Det är Leverantören.
• Underbiträde är en leverantör som Leverantören i sin tur anlitar (se avsnitt 7 och Bilaga 2).

1.3 Biträdesavtalet reglerar Leverantörens behandling av personuppgifter för Kundens räkning enligt artikel 28.3 i Europaparlamentets och rådets förordning (EU) 2016/679 ("Dataskyddsförordningen" eller "GDPR") och kompletterande svensk dataskyddslagstiftning, bland annat lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ("dataskyddslagen").

1.4 Biträdesavtalet är en del av Parternas avtal om Tjänsten ("Huvudavtalet"). Om Biträdesavtalet och Huvudavtalet säger olika saker i en fråga om behandling av personuppgifter gäller Biträdesavtalet.

1.5 Tjänsten säljs endast till företag. Kunden är alltid ett företag och inte en konsument, och konsumentregler som till exempel ångerrätt gäller inte för avtalet.

2. Definitioner

2.1 Begreppen "personuppgifter", "behandling", "personuppgiftsansvarig", "personuppgiftsbiträde", "registrerad", "personuppgiftsincident", "tillsynsmyndighet" och "tredjeland" har samma betydelse som i Dataskyddsförordningen. "Tredjeland" betyder ett land utanför EU/EES.

2.2 "Underbiträde" avser en tredje part som Leverantören anlitar för att behandla personuppgifter för Kundens räkning.

2.3 "Kunddata" avser alla uppgifter, inklusive personuppgifter, som Kunden eller Kundens användare registrerar, laddar upp eller på annat sätt lägger in i Tjänsten.

3. Behandlingens omfattning

3.1 Vad som behandlas, varför, hur länge och om vilka personer beskrivs i Bilaga 1.

3.2 Leverantören får bara behandla personuppgifter så långt det behövs för att tillhandahålla Tjänsten enligt Huvudavtalet och Kundens dokumenterade instruktioner.

3.3 Kunden ansvarar för att:

a) det finns rättslig grund för den behandling som Kunden låter Leverantören utföra, b) de registrerade har fått den information som krävs, c) Kunden har rätt att lägga in de personuppgifter som Kunden lägger in i Tjänsten, till exempel person- och organisationsnummer, foton och position vid incheckning, och d) Kunddata i övrigt behandlas enligt gällande dataskyddslagstiftning.

3.4 Personnummer får bara registreras när det är klart motiverat med hänsyn till ändamålet, vikten av en säker identifiering eller något annat beaktansvärt skäl (3 kap. 10 § dataskyddslagen), till exempel för ROT-avdrag.

3.5 Leverantörens egen behandling. Leverantören är själv personuppgiftsansvarig (inte biträde) för de uppgifter om Kundens kontaktpersoner och användare som Leverantören behandlar för egna ändamål: avtalsadministration, fakturering och bokföring, support, samt säkerhet och drift av Tjänsten (till exempel tekniska loggar). Den behandlingen omfattas inte av detta Biträdesavtal och beskrivs i Leverantörens integritetspolicy.

4. Instruktioner (art. 28.3 a)

4.1 Leverantören får bara behandla personuppgifter enligt dokumenterade instruktioner från Kunden. När Biträdesavtalet ingås består Kundens instruktioner av:

a) Huvudavtalet, b) detta Biträdesavtal med bilagor, och c) de inställningar och funktioner som Kunden och Kundens användare själva slår på och använder i Tjänsten.

4.2 Ytterligare instruktioner ska lämnas skriftligen till info@cnagency.se. Leverantören är inte skyldig att följa instruktioner som ligger utanför Tjänstens funktioner eller som kräver utvecklingsarbete. Sådana instruktioner hanteras i stället som en begäran om tilläggstjänst enligt Huvudavtalet. Detta gäller inte instruktioner som Kunden behöver lämna för att uppfylla Dataskyddsförordningen, till exempel radering, begränsning eller stopp av viss behandling. Sådana instruktioner ska Leverantören följa.

4.3 Om Leverantören anser att en instruktion strider mot Dataskyddsförordningen eller annan dataskyddslagstiftning i EU eller Sverige ska Leverantören genast informera Kunden. Leverantören får vänta med att utföra instruktionen tills Parterna är överens.

4.4 Leverantören får behandla personuppgifter utan Kundens instruktion om det krävs enligt EU-rätt eller svensk rätt. Leverantören ska då informera Kunden om kravet innan behandlingen sker, om inte lagen förbjuder sådan information av hänsyn till ett viktigt allmänintresse.

4.5 Överföring av personuppgifter till tredjeland får bara ske enligt avsnitt 7 och Bilaga 2.

5. Sekretess (art. 28.3 b)

5.1 Leverantören ska se till att de personer som får behandla personuppgifter för Kundens räkning har åtagit sig att hålla dem hemliga eller omfattas av lagstadgad tystnadsplikt.

5.2 Bara de personer som behöver det för att tillhandahålla Tjänsten, ge support eller felsöka får tillgång till personuppgifterna. Leverantören går bara in i Kunddata i supportsyfte när det behövs för ett ärende som Kunden har anmält, eller för att hålla Tjänsten i drift och säker.

5.3 Sekretessen gäller även efter att Biträdesavtalet har upphört.

6. Säkerhetsåtgärder (art. 28.3 c och art. 32)

6.1 Leverantören ska vidta de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i Dataskyddsförordningen. Säkerhetsnivån ska vara lämplig i förhållande till risken.

6.2 När Leverantören bedömer vilken säkerhetsnivå som är lämplig ska Leverantören ta hänsyn till:

a) vilken teknik som finns tillgänglig, b) vad åtgärderna kostar, c) vilka uppgifter som behandlas, hur, i vilken omfattning och varför, och d) riskerna för de registrerades rättigheter och friheter.

6.3 De åtgärder som Leverantören har när Biträdesavtalet ingås står i Bilaga 3. Leverantören får uppdatera åtgärderna, men säkerhetsnivån får inte bli sämre.

6.4 Kunden ansvarar för säkerheten på sin egen sida, till exempel att hantera användarkonton, åtkomstkoder och PIN på ett säkert sätt, att stänga av användare som lämnar Kundens verksamhet och att ge användarna lämpliga roller och behörigheter i Tjänsten.

7. Underbiträden (art. 28.2, 28.3 d och 28.4)

7.1 Kunden ger Leverantören ett allmänt förhandstillstånd att anlita Underbiträden. De Underbiträden som används när Biträdesavtalet ingås står i Bilaga 2, med bolag, land, tjänst, lagringsplats och överföringsmekanism.

7.2 Leverantören ska meddela Kunden skriftligen, via e-post till Kundens registrerade kontaktadress eller genom meddelande i Tjänsten, minst 30 dagar innan

a) ett nytt Underbiträde anlitas, b) ett befintligt Underbiträde byts ut, eller c) ett befintligt Underbiträdes land, lagringsplats eller överföringsmekanism ändras.

7.3 Kunden har rätt att invända inom 30 dagar från meddelandet. Invändningen ska vara skriftlig och ange sakliga skäl som rör dataskydd. Om Parterna inte hittar en lösning inom 30 dagar från invändningen har Kunden rätt att säga upp Huvudavtalet med verkan från den dag ändringen börjar gälla. Uppsägningen ger inte rätt till återbetalning av redan betalda avgifter utöver vad som följer av Huvudavtalet.

7.4 Leverantören ska ha ett skriftligt avtal med varje Underbiträde. Avtalet ska ge Underbiträdet samma skyldigheter om dataskydd som Leverantören har enligt detta Biträdesavtal, särskilt tillräckliga garantier för lämpliga tekniska och organisatoriska åtgärder.

7.5 Om ett Underbiträde inte fullgör sina skyldigheter om dataskydd är Leverantören fullt ansvarig mot Kunden för Underbiträdets skyldigheter.

7.6 Överföring till USA. Underbiträden med säte i USA anlitas bara om överföringen omfattas av den mekanism som anges för respektive bolag i Bilaga 2:

• Render Services, Inc.: EU-kommissionens beslut om adekvat skyddsnivå för EU–US Data Privacy Framework (Render är certifierat).
• Anthropic, PBC: EU-kommissionens standardavtalsklausuler (artikel 46.2 c), modul 2 och 3, som ingår i Anthropics personuppgiftsbiträdesavtal (Data Processing Addendum).
• Functional Software, Inc. (Sentry): EU–US Data Privacy Framework, med standardavtalsklausuler som reserv.

Om EU–US Data Privacy Framework upphör att gälla, eller ett Underbiträde inte längre är certifierat, ska Leverantören utan dröjsmål se till att överföringen i stället sker med standardavtalsklausuler eller annan giltig mekanism, eller sluta använda Underbiträdet för Kunddata. Leverantören ska informera Kunden enligt punkt 7.2.

7.7 Kundens egna integrationer. Fortnox AB och Visma Spiris AB (Spiris, f.d. Visma eEkonomi) är system som Kunden själv har avtal med och själv väljer att koppla till Tjänsten. Google LLC och Microsoft Corporation används bara när Kunden eller Kundens användare själva kopplar sitt Google- eller Microsoft-konto (kalender, filer och mejl, och utskick av fakturor, offerter och påminnelser från Kundens egen e-post). Dessa bolag är inte Underbiträden till Leverantören. De är Kundens egna personuppgiftsbiträden eller själva personuppgiftsansvariga, och Kunden ansvarar för att de avtal som behövs finns. Leverantören skickar bara de uppgifter som behövs för att kopplingen ska fungera, och bara när Kunden har valt att koppla.

7.8 Kundens slutkunder kan i kundportalen se ett Swish-nummer som Kunden har valt att visa. Betalningen sker utanför Tjänsten och Leverantören behandlar inga betalningsuppgifter för Kundens slutkunder. Kundens egen betalning för Tjänsten sker via Stripe och omfattas av Leverantörens integritetspolicy, inte av detta Biträdesavtal.

8. Hjälp med de registrerades rättigheter (art. 28.3 e)

8.1 Leverantören ska, så långt det är möjligt och med hänsyn till behandlingens art, hjälpa Kunden genom lämpliga tekniska och organisatoriska åtgärder så att Kunden kan svara på begäranden från registrerade enligt kapitel III i Dataskyddsförordningen (rätt till information, tillgång, rättelse, radering, begränsning, dataportabilitet och invändning).

8.2 Hjälpen ges i första hand genom Tjänstens inbyggda funktioner. Kunden kan själv söka, rätta, exportera och radera uppgifter om anställda, kunder och slutkunder. Personalen kan själv ladda ner ett registerutdrag (Min profil → Mina uppgifter), och slutkunder kan ladda ner sina uppgifter i kundportalen. Kunden kan anonymisera en tidigare anställd och en slutkund vars projekt är avslutade; uppgifter som lag kräver att Kunden sparar, till exempel fakturor och personalliggare, ligger då kvar.

8.3 Om en registrerad vänder sig direkt till Leverantören om behandling som sker för Kundens räkning ska Leverantören utan onödigt dröjsmål hänvisa personen till Kunden och informera Kunden. Leverantören svarar inte själv på begäran utan Kundens instruktion, om inte lagen kräver det.

8.4 Hjälp utöver Tjänstens inbyggda funktioner ges i skälig omfattning. Leverantören har rätt till skälig ersättning för sådant arbete, om det inte beror på brister hos Leverantören.

9. Hjälp vid personuppgiftsincidenter, konsekvensbedömning och förhandssamråd (art. 28.3 f)

9.1 Leverantören ska hjälpa Kunden att fullgöra Kundens skyldigheter enligt artiklarna 32–36 i Dataskyddsförordningen, med hänsyn till behandlingens art och den information Leverantören har.

9.2 Personuppgiftsincidenter. En personuppgiftsincident är till exempel att uppgifter läcker, förloras eller ändras av misstag. Leverantören ska meddela Kunden utan onödigt dröjsmål efter att ha fått kännedom om en incident som rör Kunddata. Meddelandet ska komma i så god tid att Kunden hinner anmäla incidenten till Integritetsskyddsmyndigheten inom 72 timmar från att Kunden fick kännedom om den. Leverantörens mål är att meddela Kunden inom 24 timmar.

9.3 Meddelandet ska, så långt Leverantören har informationen, innehålla:

a) vad som har hänt, och om möjligt vilka typer av och ungefär hur många personer och poster som berörs, b) namn och kontaktuppgifter till den som kan svara på frågor, c) vilka följder incidenten sannolikt får, och d) vad Leverantören har gjort eller föreslår för att åtgärda incidenten och minska skadan.

Information som saknas vid första meddelandet får lämnas efter hand, utan onödigt dröjsmål.

9.4 Leverantören ska dokumentera incidenter som rör Kunddata och på begäran ge Kunden tillgång till dokumentationen. Leverantören ska samarbeta med Kunden och vidta skäliga åtgärder för att begränsa skadan.

9.5 Leverantören ska inte informera tredje part, registrerade eller tillsynsmyndighet om en incident som rör Kunddata utan Kundens instruktion, om inte lagen kräver det.

9.6 Konsekvensbedömning och förhandssamråd. Leverantören ska på Kundens begäran ge Kunden den information Kunden skäligen behöver för en konsekvensbedömning avseende dataskydd (artikel 35) och för förhandssamråd med tillsynsmyndigheten (artikel 36), så långt informationen rör Tjänsten och Leverantörens behandling. Bilaga 1–3 är ett grundläggande underlag för en sådan bedömning.

10. Radering och återlämnande (art. 28.3 g)

10.1 Kunden äger sin Kunddata. Kunden kan när som helst under avtalstiden exportera all Kunddata i strukturerat format i Tjänsten (JSON och CSV, med bilder och filer och personalliggaren som XML).

10.2 När Huvudavtalet upphör ska Leverantören, efter Kundens val, radera alla personuppgifter eller lämna tillbaka dem till Kunden och radera kopior, om inte EU-rätt eller svensk rätt kräver att uppgifterna sparas.

10.3 Återlämnande sker genom exporten i punkt 10.1, som Kunden bör göra innan Huvudavtalet upphör. Under 30 dagar efter att Huvudavtalet har upphört kan Kunden begära en export av Leverantören. Om Kunden inte säger något annat inom den tiden anses Kunden ha valt radering.

10.4 Leverantören raderar Kunddata, även i säkerhetskopior och lagrade bilder och filer, senast 90 dagar efter att Huvudavtalet har upphört. Säkerhetskopior sparas i högst 30 dagar och raderas sedan automatiskt. Till dess används säkerhetskopior bara för återställning och inte för något annat.

10.5 Om Tjänsten pausas på grund av utebliven betalning enligt Huvudavtalet behålls Kunddata under pausen. Den raderas inte förrän Huvudavtalet har upphört och tidsfristerna i punkterna 10.3–10.4 har gått ut.

10.6 Leverantören ska på begäran skriftligen bekräfta att raderingen är gjord.

11. Information och granskning (art. 28.3 h)

11.1 Leverantören ska ge Kunden den information som behövs för att visa att Leverantören följer artikel 28 i Dataskyddsförordningen. Det sker i första hand genom detta Biträdesavtal med bilagor, Leverantörens dokumentation av säkerhetsåtgärder, Underbiträdenas rapporter och certifieringar samt skriftliga svar på Kundens rimliga frågor. Kunden ska i första hand använda dessa underlag innan Kunden begär en granskning på plats.

11.2 Kunden, eller en oberoende revisor som Kunden utser och som inte är konkurrent till Leverantören, har rätt att granska och inspektera Leverantörens behandling av personuppgifter för Kundens räkning. Granskning får ske högst en gång per kalenderår, och därutöver när det behövs på grund av en personuppgiftsincident eller ett krav från tillsynsmyndighet. Leverantören ska möjliggöra och bidra till granskningen.

11.3 Granskning ska anmälas skriftligen minst 30 dagar i förväg och ska:

a) ske under vardagar 08–17, b) bara avse behandling som sker för Kundens räkning, c) inte i onödan störa Leverantörens verksamhet eller riskera andra kunders data, och d) genomföras av personer som är bundna av sekretess.

11.4 Underbiträden granskas genom de rapporter, certifieringar och granskningsrättigheter som Leverantören har hos Underbiträdet. Leverantören ska på begäran skicka sådan dokumentation till Kunden, om Leverantören har rätt att göra det.

11.5 Varje Part står för sina egna kostnader för granskning. Om granskningen tar Leverantörens arbetstid i anspråk mer än vad som är skäligt har Leverantören rätt till skälig ersättning för den tiden.

12. Särskilt om AI-funktionerna

12.1 Tjänstens AI-funktioner bygger på Anthropics Claude och anropas via Anthropics API. Det innehåll som behövs skickas till Anthropic, PBC, och det kan innehålla personuppgifter. Det gäller:

a) Copilot: frågan, tidigare frågor i samtalet och de uppgifter ur Tjänsten som användaren själv får se (till exempel projekt, arbetsorder, kunder, pass och inköp). b) Kvitton och leverantörsfakturor: bilden eller filen. c) Offertförslag: beskrivningen av jobbet och Kundens prislista. d) Mängder från ritning: ritningen eller bilden och beskrivningen. e) Import av kundregister och prislistor: filens innehåll, som kan innehålla kunders namn, adresser, telefonnummer, e-post och personnummer. f) Översättning: korta texter som personalen skrivit (chatt, arbetsorder, egenkontroller) när en användare har ett annat språk än svenska. g) Sammanfattning av en person: namn, timmar, projekt och dagsrapporter för två veckor, och att personen varit frånvarande, men aldrig orsaken. Funktionen är avstängd tills Kunden slår på den. h) Veckorapport till slutkund: projektets namn och vad som är klart och planerat. Texten är ett utkast tills Kunden godkänt den. i) Sortering av mejl: avsändare, ämnesrad och början av mejlet, bara från kända avsändare (kunder, leverantörer och kollegor) och bara för användare som själva slagit på funktionen.

Appens egna texter översätts också med AI, men då skickas inga personuppgifter. Varje funktion har ett tak per månad enligt Regler för användning av Impetus.

12.2 Enligt Anthropics villkor för API-tjänsten vid Biträdesavtalets datum gäller följande:

a) Indata och utdata raderas normalt från Anthropics system inom 30 dagar. b) Innehåll som Anthropics automatiska system flaggar som brott mot Anthropics användarpolicy kan sparas i upp till två år. Anthropic kan också spara uppgifter längre om lag kräver det. c) Data används inte för att träna Anthropics modeller utan uttryckligt tillstånd.

Källor: för a) och b) Anthropic, "How long do you store my organization's data?", privacy.claude.com/en/articles/7996866 (kontrollerad 2026-10-22). För c) Anthropic, "API and data retention", platform.claude.com/docs/en/manage-claude/api-and-data-retention (kontrollerad 2026-10-21).

Om Anthropic ändrar dessa villkor till nackdel för Kunden ska Leverantören informera Kunden enligt punkt 7.2.

12.3 Svar från AI-funktionerna skapas automatiskt och kan vara fel eller ofullständiga. Kunden ansvarar för att granska AI-genererat innehåll innan det används. Kunden ska inte lägga in personuppgifter i AI-funktionerna som Kunden saknar rätt att behandla eller som inte behövs, och ska vara särskilt försiktig med känsliga personuppgifter enligt artikel 9 i Dataskyddsförordningen (till exempel uppgifter om hälsa).

12.4 Kunden ansvarar för att AI-funktionerna används inom de volymtak och regler om acceptabel användning som står i Huvudavtalet och i Regler för användning av Impetus.

13. Ansvar

13.1 Varje Part ansvarar för de sanktionsavgifter som tillsynsmyndighet beslutar om för den Partens egen överträdelse av Dataskyddsförordningen.

13.2 Leverantörens ansvar mot Kunden enligt Huvudavtalet och detta Biträdesavtal är begränsat så långt lagen tillåter, enligt följande:

a) Leverantörens totala ansvar är högst det belopp Kunden har betalat för Tjänsten under de tre månader som närmast föregått händelsen som ansvaret grundas på. b) Leverantören ansvarar inte för indirekt skada eller utebliven vinst. c) Leverantören ansvarar inte för dataförlust som Kunden har orsakat. d) Leverantören ansvarar inte för skada som orsakats av tredjepartstjänster som Kunden själv har kopplat till Tjänsten (se punkt 7.7).

13.3 Begränsningarna i punkt 13.2 gäller inte om Leverantören har orsakat skadan med uppsåt eller genom grov vårdslöshet.

13.4 Punkt 13.2 påverkar inte en registrerads rätt till ersättning enligt artikel 82 i Dataskyddsförordningen. Om en Part har betalat full ersättning till en registrerad får den Parten kräva tillbaka den del som motsvarar den andra Partens ansvar för skadan, enligt artikel 82.5.

13.5 Kunden ansvarar fullt ut för hur Kunden och Kundens användare behandlar personuppgifter i Tjänsten, för innehållet i Kunddata och för att Kundens instruktioner till Leverantören är lagliga. Kunden ska ersätta Leverantören för krav från tredje part som beror på att Kunden har lagt in personuppgifter eller lämnat instruktioner i strid med lag.

14. Avtalstid och upphörande

14.1 Biträdesavtalet gäller från det att Kunden har godkänt Huvudavtalet och så länge Leverantören behandlar personuppgifter för Kundens räkning. Det upphör automatiskt när Leverantören har raderat eller lämnat tillbaka alla personuppgifter enligt avsnitt 10.

14.2 Följande gäller även efter att Biträdesavtalet har upphört: sekretess (avsnitt 5), dokumentation av incidenter (punkt 9.4), radering (avsnitt 10), information och granskning (avsnitt 11) så länge uppgifter finns kvar, och ansvar (avsnitt 13).

15. Ändringar

15.1 Leverantören får ändra Biträdesavtalet, inklusive bilagorna, när det behövs på grund av ändrad dataskyddslagstiftning, beslut från tillsynsmyndighet eller ändringar i Tjänsten. Ändringar meddelas Kunden via e-post och i Tjänsten minst 30 dagar innan de börjar gälla. Ändringar som gäller Underbiträden hanteras enligt avsnitt 7.

15.2 Kunden som inte godtar en ändring har rätt att säga upp Huvudavtalet innan ändringen börjar gälla. Om Kunden fortsätter använda Tjänsten efter att ändringen har börjat gälla anses Kunden ha godkänt den.

16. Tillämplig lag och tvist

16.1 Svensk lag gäller för Biträdesavtalet.

16.2 Parterna ska först försöka lösa en tvist genom förhandling. Om Parterna inte blir överens avgörs tvisten av allmän domstol, med tingsrätten på den ort där Leverantören har sitt säte, det vill säga där Leverantören bedriver sin verksamhet, som första instans.

17. Kontaktuppgifter

17.1 Leverantörens kontakt i dataskyddsfrågor: CN Agency, Theodore Norström, info@cnagency.se. Support ges vardagar 08–17 via info@cnagency.se, med svar normalt inom en arbetsdag.

17.2 Kundens kontakt i dataskyddsfrågor är den kontaktperson som Kunden har angett i Tjänsten. Kunden ansvarar för att kontaktuppgifterna är aktuella.

Bilaga 1 – Behandlingens art, ändamål, registrerade och uppgifter

1. Vad behandlingen består av och varför

Leverantören behandlar personuppgifter för att tillhandahålla, drifta, underhålla, säkerhetskopiera, ge support för och felsöka Tjänsten Impetus åt Kunden. Behandlingen omfattar insamling (genom Kundens registrering), lagring, ordning, visning, sökning, överföring till Underbiträden och till Kundens egna integrationer när Kunden väljer det, export, säkerhetskopiering och radering.

Ändamålet bestäms av Kunden och är att administrera Kundens verksamhet inom hantverks- och entreprenadbranschen, bland annat tidrapportering och löneunderlag, personalliggare, dagbok, projekt, arbetsorder och service, ÄTA, offerter, fakturaunderlag och fakturor, intern kommunikation (chatt), inköp, kundregister, personal (ledighet, intyg), KMA och egenkontroller, bokning, kundportal för Kundens slutkunder, utskick från Kundens egen e-post samt AI-funktioner enligt avsnitt 12.

2. Hur länge

Under Huvudavtalets löptid och därefter enligt avsnitt 10: export på begäran i 30 dagar, radering senast 90 dagar efter upphörande. Säkerhetskopior sparas högst 30 dagar. Inom avtalstiden gallrar Tjänsten vissa uppgifter enligt Kundens inställningar, till exempel position vid incheckning efter 30 dagar.

3. Vilka personer (kategorier av registrerade)

a) Kundens anställda och andra användare av Tjänsten (även underentreprenörers personal om Kunden ger dem tillgång). b) Kundens kunder och deras kontaktpersoner (företag och, om Kunden lägger in sådana, privatpersoner). c) Kundens slutkunder som använder kundportalen. d) Andra personer som finns med i Kunddata, till exempel personer som nämns eller syns i chatt, dagbok, foton eller dokument.

4. Vilka uppgifter (kategorier av personuppgifter)

Kundens anställda och användare: namn, telefonnummer, e-postadress, roll och behörighet i Tjänsten, tidsstämplingar (in- och utcheckning), OB-tid, frånvaro och ledighet med orsak, intyg (till exempel läkarintyg eller utbildningsintyg som Kunden laddar upp), profilbild, personalliggare med id-nummer (personnummer eller ID06, lagrat krypterat), samt position vid incheckning om Kunden har slagit på den funktionen. För användare som kopplar sin e-post: mejl som sorteras till projekt.

Kundens kunder: namn, adress, kontaktuppgifter (telefon, e-post), organisationsnummer eller personnummer om Kunden väljer att lägga in det (se punkt 3.4 i Biträdesavtalet), projekt- och orderhistorik, offerter och fakturaunderlag.

Slutkunder i kundportalen: namn, e-postadress, telefonnummer, godkännanden av offerter och ÄTA (det namn slutkunden skriver och tidpunkten), fakturor och annan dokumentation.

Innehåll som Kunden lägger in: chattmeddelanden, dagboksanteckningar, foton (även kvittofoton), dokument och fritext som kan innehålla personuppgifter om alla grupper ovan.

Tekniska uppgifter: inloggningsuppgifter (företagets kod och personliga PIN, lagrade hashade), serverloggar och felrapporter hos driftleverantörerna, samt enhets- och webbläsarinformation och adresser för notiser till enheten.

5. Känsliga personuppgifter

Tjänsten är inte gjord för känsliga personuppgifter enligt artikel 9 i Dataskyddsförordningen. Kunden kan ändå lägga in uppgifter om hälsa, till exempel genom intyg om sjukfrånvaro, läkarintyg eller fritext. Kunden ansvarar för att det finns rättslig grund för det (till exempel artikel 9.2 b om skyldigheter inom arbetsrätten) och ska bara lägga in det som är nödvändigt.

Bilaga 2 – Underbiträden

Följande Underbiträden används av Leverantören. Listan uppdaterades senast 2026-11-10.

Om Render: Render driver inte egna datacenter. Enligt Renders lista över underbiträden (render.com/security, kontrollerad 2026-10-22) använder Render Amazon Web Services och Google Cloud Platform som underliggande molninfrastruktur. Tjänstens data lagras i Renders region Frankfurt.

Om Anthropic: Indata och utdata raderas normalt inom 30 dagar. Innehåll som flaggas för brott mot Anthropics användarpolicy kan sparas i upp till två år. Data används inte för träning av Anthropics modeller utan uttryckligt tillstånd. Se punkt 12.2 för källor.

Notiser till telefonen: när en användare slår på notiser förmedlas de av den push-tjänst som användarens webbläsare använder (Google, Apple eller Mozilla). Innehållet är krypterat ända fram till enheten, så push-tjänsten ser bara mottagarens adress och tidpunkten.

Uppslag i offentliga register: när Kunden slår upp ett företag på organisationsnummer görs uppslaget hos Bolagsverket. För en enskild firma är organisationsnumret ett personnummer.

Leverantörer som bara används när Kunden själv kopplar sitt konto (Kundens egna biträden eller självständigt ansvariga, se punkt 7.7):

Kundens egna system som Kunden kopplar till Tjänsten (inte Underbiträden till Leverantören):

Bilaga 3 – Tekniska och organisatoriska säkerhetsåtgärder

Leverantören har följande åtgärder när Biträdesavtalet ingås.

1. Kryptering

a) Trafik mellan användarens enhet och Tjänsten, och mellan Tjänsten och Underbiträden, krypteras med TLS. b) Databasen och säkerhetskopiorna är krypterade i vila hos driftleverantören Render Services, Inc. c) PIN-koder lagras hashade (scrypt), aldrig i klartext. d) Id-nummer i personalliggaren (personnummer eller ID06) krypteras dessutom i databasen (AES-256-GCM).

2. Åtkomst och behörighet

a) Personalen loggar in med företagets gemensamma kod och en personlig PIN. Ledningen och företagets admin kan aldrig logga in utan PIN, och Kunden kan kräva PIN av alla. Upprepade felaktiga försök spärras i steg. b) Rollbaserad behörighet: Kunden ger varje användare en roll, och rollen styr vilka funktioner och uppgifter användaren kommer åt. Behörigheten kontrolleras på servern, inte bara i appen. c) Varje kunds data hålls logiskt åtskild, så att en kund inte kan nå en annan kunds data. d) Slutkunder i kundportalen kommer bara åt de projekt som Kunden har delat med dem. e) En användare som avaktiveras, får ny PIN eller vars företagskod byts loggas ut inom några sekunder. f) Leverantörens administrativa åtkomst (kontrollrummet) skyddas med en stark kod och tvåstegsinloggning, och är begränsad till de personer som behöver den för drift och support. Inloggningar och känsliga åtgärder i kontrollrummet loggas.

3. Säkerhetskopiering och återställning

a) Säkerhetskopia av varje kunds data tas dagligen. b) Säkerhetskopior lagras krypterat i EU (Frankfurt). c) Säkerhetskopior sparas i högst 30 dagar och raderas sedan automatiskt. d) Raderade poster sparas i 30 dagar och kan återställas av Leverantören på Kundens begäran. e) Säkerhetskopior används bara för återställning efter driftstörning eller dataförlust och skyddas på samma sätt som övrig data. Ett larm går om ingen kopia tagits på två dygn.

4. Loggning

a) Händelser i Kundens verksamhet (till exempel godkännanden, fakturaunderlag, ändringar som AI-funktionerna gjort efter godkännande) loggas i Tjänstens historik med vem och när. b) Godkännanden i kundportalen sparas med det namn slutkunden skrev och tidpunkten. c) Serverhändelser loggas hos driftleverantören Render, och fel rapporteras till Sentry utan e-post, personnummer och telefonnummer. d) Loggar används för felsökning, säkerhetsuppföljning och utredning av incidenter.

5. Lagring inom EU

a) Tjänstens databas, bilder, filer och säkerhetskopior lagras i EU, i region Frankfurt, Tyskland. b) Överföring till Underbiträden utanför EU sker bara enligt Bilaga 2 och bara med de uppgifter som behövs för respektive tjänst (till exempel innehållet i en fråga till Copilot).

6. Drift och underhåll

a) Tjänsten driftas hos Render Services, Inc. med målet 99,5 % tillgänglighet per månad. b) Planerat underhåll görs i regel nattetid (22–06) och meddelas i appen. c) Säkerhetsuppdateringar av plattform och programbibliotek installeras löpande. Ändringar testas automatiskt innan de når drift.

7. Organisatoriska åtgärder

a) Personer med åtkomst till Kunddata omfattas av sekretess enligt avsnitt 5. b) Rutin för personuppgiftsincidenter: den som upptäcker en incident meddelar CN Agency direkt. CN Agency begränsar skadan, utreder vad som hänt och vilka uppgifter som berörs, dokumenterar incidenten och meddelar berörda kunder med målet att det sker inom 24 timmar (se avsnitt 9). c) Kunden kan när som helst exportera sin data och begära radering enligt avsnitt 10. d) Åtgärderna ses över löpande och uppdateras vid behov, utan att säkerhetsnivån blir sämre.

8. Kundens ansvar

Kunden ansvarar för säkerheten på sin sida: att hålla företagets kod och PIN hemliga, att kräva PIN av alla när det behövs, att stänga av användare som slutar, att ge rätt roller, att ha egna rutiner för de enheter som används mot Tjänsten och att inte lägga in uppgifter som Kunden saknar rätt att behandla.