[{"data":1,"prerenderedAt":884},["ShallowReactive",2],{"legal-pub":3},{"_path":4,"_dir":5,"_draft":6,"_partial":6,"_locale":5,"title":7,"description":8,"version":9,"reviewDraft":10,"body":11,"_type":878,"_id":879,"_source":880,"_file":881,"_stem":882,"_extension":883},"\u002Fpub","",false,"Personuppgiftsbiträdesavtal (PUB)","Avtalsförslag för hur Cavat behandlar personuppgifter på kundens uppdrag, med bilagor för instruktioner, säkerhet och underbiträden.","Granskningsversion 2026-10-06",true,{"type":12,"children":13,"toc":850},"root",[14,32,39,51,61,92,97,103,122,127,141,147,152,157,162,168,173,178,183,188,194,199,204,209,215,220,225,230,236,241,246,251,256,262,274,279,284,289,295,300,305,310,316,321,326,331,337,349,354,359,364,370,375,380,386,391,396,401,407,412,417,422,428,433,438,443,448,454,459,464,469,474,480,490,497,527,533,538,591,596,602,607,613,623,636,720,725,731,741,746,779,784,789,795,800,824],{"type":15,"tag":16,"props":17,"children":18},"element","blockquote",{},[19],{"type":15,"tag":20,"props":21,"children":22},"p",{},[23,30],{"type":15,"tag":24,"props":25,"children":26},"strong",{},[27],{"type":28,"value":29},"text","Granskningsversion - inte ett ingånget avtal.",{"type":28,"value":31}," Cavatos AB:s bolagsidentitet är fastställd, men detta avtalsförslag behöver kompletteras med övriga parts- och kontaktuppgifter samt fastställda bilagor innan det kan accepteras. Att läsa sidan innebär inte att ett avtal ingås. Driftländer, underbiträden, säkerhetsåtaganden och raderingsfrister är ännu inte verifierade. De ska dokumenteras före behandling av kundens personuppgifter.",{"type":15,"tag":33,"props":34,"children":36},"h2",{"id":35},"_1-parter-och-syfte",[37],{"type":28,"value":38},"1. Parter och syfte",{"type":15,"tag":20,"props":40,"children":41},{},[42,44,49],{"type":28,"value":43},"Detta personuppgiftsbiträdesavtal, nedan ",{"type":15,"tag":24,"props":45,"children":46},{},[47],{"type":28,"value":48},"PUB-avtalet",{"type":28,"value":50},", reglerar behandling av personuppgifter som Cavat utför för kundens räkning vid leverans av affärssystemet och avtalade stödtjänster. Avtalet kompletterar parternas tjänsteavtal och ska vara bindande innan sådan behandling påbörjas.",{"type":15,"tag":20,"props":52,"children":53},{},[54,59],{"type":15,"tag":24,"props":55,"children":56},{},[57],{"type":28,"value":58},"Personuppgiftsansvarig:",{"type":28,"value":60}," den kund som anges med juridiskt namn, organisationsnummer, adress och behörig företrädare i beställningen och bilaga 1.",{"type":15,"tag":20,"props":62,"children":63},{},[64,69,71,76,78,83,85,90],{"type":15,"tag":24,"props":65,"children":66},{},[67],{"type":28,"value":68},"Personuppgiftsbiträde:",{"type":28,"value":70}," ",{"type":15,"tag":24,"props":72,"children":73},{},[74],{"type":28,"value":75},"Cavatos AB",{"type":28,"value":77},", organisationsnummer ",{"type":15,"tag":24,"props":79,"children":80},{},[81],{"type":28,"value":82},"559605-6811",{"type":28,"value":84},", med verksamhetsort i ",{"type":15,"tag":24,"props":86,"children":87},{},[88],{"type":28,"value":89},"Göteborg, Sverige",{"type":28,"value":91},". Fullständig postadress, behörig företrädare och kontaktperson ska fyllas i bilaga 1. Cavat är här tjänstens namn.",{"type":15,"tag":20,"props":93,"children":94},{},[95],{"type":28,"value":96},"När en redovisningsbyrå själv är biträde för sin klient kan Cavat i stället vara underbiträde. Då ska bilaga 1 ange rollen, vilka klientuppdrag som omfattas och byråns rätt att anlita Cavat. Byrån får inte lämna instruktioner som går utöver klientens mandat. Detta standardförslag måste anpassas till den faktiska avtalskedjan innan det används i ett sådant upplägg.",{"type":15,"tag":33,"props":98,"children":100},{"id":99},"_2-definitioner-och-företräde",[101],{"type":28,"value":102},"2. Definitioner och företräde",{"type":15,"tag":20,"props":104,"children":105},{},[106,108,113,115,120],{"type":28,"value":107},"Personuppgifter, behandling, registrerad, personuppgiftsansvarig, personuppgiftsbiträde och personuppgiftsincident har samma betydelse som i GDPR. Med ",{"type":15,"tag":24,"props":109,"children":110},{},[111],{"type":28,"value":112},"underbiträde",{"type":28,"value":114}," avses en leverantör som biträdet anlitar för behandling på den ansvariges uppdrag. Med ",{"type":15,"tag":24,"props":116,"children":117},{},[118],{"type":28,"value":119},"instruktion",{"type":28,"value":121}," avses en dokumenterad anvisning från en behörig företrädare om hur uppgifterna får behandlas.",{"type":15,"tag":20,"props":123,"children":124},{},[125],{"type":28,"value":126},"PUB-avtalet och dess fastställda bilagor ska ha företräde framför tjänsteavtalets bestämmelser i frågor om behandling för kundens räkning. Tvingande dataskyddsregler och tillämpliga standardavtalsklausuler för internationella överföringar får inte sättas åt sidan genom avtalet.",{"type":15,"tag":20,"props":128,"children":129},{},[130,132,139],{"type":28,"value":131},"Cavats behandling för egna ändamål, exempelvis den egna faktureringen, omfattas inte av kundens instruktioner enligt detta PUB-avtal. Den behandlingen måste ha ett självständigt rättsligt stöd och beskrivas i ",{"type":15,"tag":133,"props":134,"children":136},"a",{"href":135},"\u002Fprivacy",[137],{"type":28,"value":138},"integritetspolicyn",{"type":28,"value":140},". Denna avgränsning ger inte Cavat rätt att omklassificera kunddata för egna ändamål.",{"type":15,"tag":33,"props":142,"children":144},{"id":143},"_3-uppdragets-omfattning-och-varaktighet",[145],{"type":28,"value":146},"3. Uppdragets omfattning och varaktighet",{"type":15,"tag":20,"props":148,"children":149},{},[150],{"type":28,"value":151},"Behandlingens föremål, ändamål, art, varaktighet, kategorier av registrerade och uppgiftstyper anges i bilaga 1. Endast de funktioner och behandlingar som omfattas av kundens beställning och dokumenterade instruktioner ingår.",{"type":15,"tag":20,"props":153,"children":154},{},[155],{"type":28,"value":156},"Uppdraget kan omfatta registrering, strukturering, lagring, bearbetning, behörig åtkomst, överföring, export och radering inom de beställda funktionerna. Supportåtkomst och eventuella AI-funktioner behöver också rymmas inom den dokumenterade omfattningen.",{"type":15,"tag":20,"props":158,"children":159},{},[160],{"type":28,"value":161},"Avtalet gäller under den tid biträdet eller dess underbiträden behandlar personuppgifter för kundens räkning, inklusive avtalad återlämning och avveckling. Att abonnemanget avslutas upphäver inte skyldigheterna för kvarvarande uppgifter och kopior.",{"type":15,"tag":33,"props":163,"children":165},{"id":164},"_4-dokumenterade-instruktioner",[166],{"type":28,"value":167},"4. Dokumenterade instruktioner",{"type":15,"tag":20,"props":169,"children":170},{},[171],{"type":28,"value":172},"Biträdet får endast behandla personuppgifterna enligt den ansvariges dokumenterade instruktioner, även när det gäller överföring till tredje land. Beställningen, fastställda bilagor och behöriga inställningar i tjänsten kan tillsammans utgöra instruktioner, i den utsträckning deras innebörd är dokumenterad.",{"type":15,"tag":20,"props":174,"children":175},{},[176],{"type":28,"value":177},"Om unionsrätt eller tillämplig nationell rätt kräver annan behandling ska biträdet informera den ansvarige om kravet innan behandlingen sker, om lagen inte förbjuder sådan information av viktiga allmänintressen.",{"type":15,"tag":20,"props":179,"children":180},{},[181],{"type":28,"value":182},"Biträdet ska omedelbart informera den ansvarige om det anser att en instruktion strider mot GDPR eller andra tillämpliga dataskyddsregler. Den berörda åtgärden ska då inte genomföras i strid med lag; parterna ska klargöra en laglig instruktion och hur övrig behandling kan fortsätta säkert.",{"type":15,"tag":20,"props":184,"children":185},{},[186],{"type":28,"value":187},"Muntliga instruktioner som påverkar behandlingen ska dokumenteras. Uppgifter får inte säljas eller användas för fristående marknadsföring, profilering eller egen modellträning utanför uppdraget. PUB-avtalet ger ingen generell tillåtelse till sådana ändamål.",{"type":15,"tag":33,"props":189,"children":191},{"id":190},"_5-den-personuppgiftsansvariges-skyldigheter-och-rättigheter",[192],{"type":28,"value":193},"5. Den personuppgiftsansvariges skyldigheter och rättigheter",{"type":15,"tag":20,"props":195,"children":196},{},[197],{"type":28,"value":198},"Den ansvarige bestämmer ändamålen och har ansvar för rättslig grund, nödvändig information till registrerade, riktighet och att de uppgifter som förs in är relevanta för behandlingen. Den ansvarige ska bedöma eventuellt särskilt stöd för känsliga personuppgifter och personnummer.",{"type":15,"tag":20,"props":200,"children":201},{},[202],{"type":28,"value":203},"Den ansvarige utser behöriga företrädare, tilldelar lämplig åtkomst och lämnar tydliga instruktioner om aktiverade funktioner, mottagare, gallring och avslut. Förändringar som påverkar risk eller omfattning ska meddelas så att skyddsåtgärderna kan anpassas.",{"type":15,"tag":20,"props":205,"children":206},{},[207],{"type":28,"value":208},"Den ansvarige har rätt att begära information, ge lagliga kompletterande instruktioner och kontrollera efterlevnaden enligt detta avtal. Den ansvariges skyldigheter begränsar inte biträdets egna skyldigheter enligt GDPR.",{"type":15,"tag":33,"props":210,"children":212},{"id":211},"_6-personal-och-konfidentialitet",[213],{"type":28,"value":214},"6. Personal och konfidentialitet",{"type":15,"tag":20,"props":216,"children":217},{},[218],{"type":28,"value":219},"Biträdet ska se till att personer som får behandla uppgifterna omfattas av bindande sekretessförpliktelser eller motsvarande lagstadgad tystnadsplikt. Åtkomst ska vara begränsad till arbetsuppgiftens behov och kunna avslutas när behovet upphör.",{"type":15,"tag":20,"props":221,"children":222},{},[223],{"type":28,"value":224},"Personal med tillgång till uppgifterna ska få relevanta instruktioner om dataskydd och informationssäkerhet. Supportarbete ska avgränsas till vad ärendet kräver. Kopior och felsökningsmaterial med personuppgifter ska omfattas av samma skydd och dokumenterad gallring.",{"type":15,"tag":20,"props":226,"children":227},{},[228],{"type":28,"value":229},"Sekretesskyldigheten kvarstår efter uppdragets slut för uppgifter som fortfarande omfattas av sekretess. Lagstadgade utlämnanden hanteras enligt avsnitt 4.",{"type":15,"tag":33,"props":231,"children":233},{"id":232},"_7-tekniska-och-organisatoriska-säkerhetsåtgärder",[234],{"type":28,"value":235},"7. Tekniska och organisatoriska säkerhetsåtgärder",{"type":15,"tag":20,"props":237,"children":238},{},[239],{"type":28,"value":240},"Biträdet ska genomföra de åtgärder som krävs enligt artikel 32 GDPR och de specificerade åtagandena i bilaga 2. Skyddet ska motsvara behandlingens risker och omfatta konfidentialitet, riktighet, tillgänglighet och motståndskraft samt förmåga till återställning och regelbunden utvärdering.",{"type":15,"tag":20,"props":242,"children":243},{},[244],{"type":28,"value":245},"Bedömningen ska särskilt beakta risk för förstöring, förlust, felaktig ändring, obehörigt röjande och åtkomst. Kryptering, pseudonymisering och andra skydd ska väljas där det är lämpligt utifrån riskerna; en allmän hänvisning till säkerhet ersätter inte en konkret åtgärdsbeskrivning.",{"type":15,"tag":20,"props":247,"children":248},{},[249],{"type":28,"value":250},"Biträdet ska följa upp skyddet och dokumentera väsentliga förändringar. Förändringar får inte medföra att den avtalade skyddsnivån eller lagkraven åsidosätts. Ändrad behandling kan kräva nya åtgärder innan den aktiveras.",{"type":15,"tag":20,"props":252,"children":253},{},[254],{"type":28,"value":255},"Bilaga 2 skiljer mellan beskrivna funktioner och operativa uppgifter som måste verifieras. Denna granskningsversion intygar ingen certifiering, uppmätt återställningstid eller viss geografisk driftlösning.",{"type":15,"tag":33,"props":257,"children":259},{"id":258},"_8-underbiträden",[260],{"type":28,"value":261},"8. Underbiträden",{"type":15,"tag":20,"props":263,"children":264},{},[265,267,272],{"type":28,"value":266},"Biträdet får endast anlita underbiträden efter den ansvariges skriftliga förhandstillstånd. ",{"type":15,"tag":24,"props":268,"children":269},{},[270],{"type":28,"value":271},"Detta förslag utgår från särskilt skriftligt tillstånd:",{"type":28,"value":273}," varje underbiträde och dess uppdrag ska godkännas och dokumenteras i bilaga 3 innan det får tillgång till kundens uppgifter. En tom eller ofullständig bilaga är inte ett generellt tillstånd.",{"type":15,"tag":20,"props":275,"children":276},{},[277],{"type":28,"value":278},"Biträdet ska lämna information om leverantören, uppdraget, berörda uppgifter, behandlingsländer och eventuella överföringsskydd så att den ansvarige kan bedöma anlitandet. Tystnad eller en ensidig ändring av webbsidan ska inte räknas som godkännande enligt denna modell.",{"type":15,"tag":20,"props":280,"children":281},{},[282],{"type":28,"value":283},"Om parterna senare väljer allmänt skriftligt förhandstillstånd ska de också avtala om förhandsinformation, konkret underrättelsefrist, rätt att invända och hur en invändning hanteras innan ändringen börjar gälla.",{"type":15,"tag":20,"props":285,"children":286},{},[287],{"type":28,"value":288},"Underbiträdet ska genom ett bindande avtal åläggas samma relevanta dataskyddsskyldigheter som följer av detta PUB-avtal, inklusive tillräckliga garantier för säkerhetsåtgärder. Biträdet ansvarar gentemot den ansvarige för underbiträdets fullgörande av dessa skyldigheter. Kraven ska följas även längre ned i leverantörskedjan.",{"type":15,"tag":33,"props":290,"children":292},{"id":291},"_9-behandlingsplatser-och-internationella-överföringar",[293],{"type":28,"value":294},"9. Behandlingsplatser och internationella överföringar",{"type":15,"tag":20,"props":296,"children":297},{},[298],{"type":28,"value":299},"Tillåtna platser för lagring, supportåtkomst och annan behandling ska framgå av bilaga 3. Även fjärråtkomst från ett annat land ska ingå i bedömningen. En uppgift om serverns plats är därför inte tillräcklig som beskrivning av hela behandlingen.",{"type":15,"tag":20,"props":301,"children":302},{},[303],{"type":28,"value":304},"Överföring utanför EU\u002FEES får bara ske enligt dokumenterad instruktion och med tillämpligt stöd enligt GDPR:s kapitel V. Biträdet ska medverka till bedömning och dokumentation av mottagare, rättsligt överföringsstöd och eventuella kompletterande skyddsåtgärder.",{"type":15,"tag":20,"props":306,"children":307},{},[308],{"type":28,"value":309},"Om ett överföringsstöd upphör att vara giltigt eller inte längre ger det skydd som krävs ska parterna skyndsamt hantera situationen. Den berörda överföringen får inte fortsätta utan tillåtet stöd. Detta PUB-avtal är inte i sig standardavtalsklausuler för tredjelandsöverföring.",{"type":15,"tag":33,"props":311,"children":313},{"id":312},"_10-bistånd-vid-registrerades-rättigheter",[314],{"type":28,"value":315},"10. Bistånd vid registrerades rättigheter",{"type":15,"tag":20,"props":317,"children":318},{},[319],{"type":28,"value":320},"Biträdet ska, med hänsyn till behandlingens art och i den mån det är möjligt, bistå den ansvarige genom lämpliga tekniska och organisatoriska åtgärder när en registrerad begär att utöva sina rättigheter enligt GDPR:s kapitel III.",{"type":15,"tag":20,"props":322,"children":323},{},[324],{"type":28,"value":325},"Om en sådan begäran kommer direkt till biträdet ska den vidarebefordras till utsedd kontakt utan onödigt dröjsmål. Biträdet ska inte själv besluta om utlämnande, rättelse eller radering för kundens räkning utan instruktion, om inte lag kräver det.",{"type":15,"tag":20,"props":327,"children":328},{},[329],{"type":28,"value":330},"Bistånd kan omfatta att lokalisera uppgifter, sammanställa tillgängligt underlag och verkställa godkänd rättelse, begränsning eller radering. Åtgärderna ska utföras så att andra personers uppgifter och andra kunders miljöer skyddas.",{"type":15,"tag":33,"props":332,"children":334},{"id":333},"_11-personuppgiftsincidenter",[335],{"type":28,"value":336},"11. Personuppgiftsincidenter",{"type":15,"tag":20,"props":338,"children":339},{},[340,342,347],{"type":28,"value":341},"Biträdet ska underrätta den ansvarige ",{"type":15,"tag":24,"props":343,"children":344},{},[345],{"type":28,"value":346},"utan onödigt dröjsmål",{"type":28,"value":348}," efter att ha fått vetskap om en personuppgiftsincident som rör uppdraget. Biträdet ska inte invänta en färdig utredning innan den första underrättelsen lämnas.",{"type":15,"tag":20,"props":350,"children":351},{},[352],{"type":28,"value":353},"Underrättelsen ska, i den mån informationen finns tillgänglig, beskriva händelsen, berörda kategorier och ungefärligt antal registrerade och uppgiftsposter, sannolika konsekvenser, vidtagna eller planerade åtgärder samt kontakt för fortsatt hantering. Saknade uppgifter ska kompletteras successivt utan onödigt ytterligare dröjsmål.",{"type":15,"tag":20,"props":355,"children":356},{},[357],{"type":28,"value":358},"Biträdet ska begränsa incidenten, bevara relevant utredningsunderlag och bistå den ansvarige med bedömning, dokumentation och eventuell information till myndighet och registrerade. Den ansvarige fattar beslut om sina anmälningsskyldigheter. Den ansvariges möjliga 72-timmarsfrist för myndighetsanmälan är inte en frist för biträdet att vänta med sin underrättelse.",{"type":15,"tag":20,"props":360,"children":361},{},[362],{"type":28,"value":363},"Verifierade incidentkontakter, reservkontakt och säker kommunikationsväg ska anges i bilaga 1 före behandlingsstart.",{"type":15,"tag":33,"props":365,"children":367},{"id":366},"_12-konsekvensbedömning-och-tillsyn",[368],{"type":28,"value":369},"12. Konsekvensbedömning och tillsyn",{"type":15,"tag":20,"props":371,"children":372},{},[373],{"type":28,"value":374},"Biträdet ska bistå den ansvarige med skyldigheterna enligt artiklarna 32-36 GDPR, med beaktande av behandlingens art och den information biträdet har tillgång till. Det omfattar underlag om säkerhet, incidenthantering, konsekvensbedömning och eventuellt förhandssamråd med tillsynsmyndighet.",{"type":15,"tag":20,"props":376,"children":377},{},[378],{"type":28,"value":379},"Den ansvarige avgör när en konsekvensbedömning behövs. Biträdet ska tillhandahålla relevant information om sina egna och underbiträdenas behandlingar och skydd. Parterna ska samarbeta med behörig tillsynsmyndighet enligt sina respektive skyldigheter.",{"type":15,"tag":33,"props":381,"children":383},{"id":382},"_13-information-kontroll-och-revision",[384],{"type":28,"value":385},"13. Information, kontroll och revision",{"type":15,"tag":20,"props":387,"children":388},{},[389],{"type":28,"value":390},"Biträdet ska tillgängliggöra den information som behövs för att visa att skyldigheterna enligt artikel 28 GDPR fullgörs. Biträdet ska möjliggöra och medverka till granskningar, inklusive inspektioner, som utförs av den ansvarige eller en av denne bemyndigad granskare.",{"type":15,"tag":20,"props":392,"children":393},{},[394],{"type":28,"value":395},"Kontroller ska planeras med hänsyn till säkerhet, sekretess och andra kunders uppgifter. Relevant dokumentation kan användas som ett första steg, men får inte generellt ersätta eller utesluta den ansvariges granskningsrätt. Vid incident, konkret misstanke om brist eller myndighetskrav kan skyndsam granskning behövas.",{"type":15,"tag":20,"props":397,"children":398},{},[399],{"type":28,"value":400},"Konstaterade brister ska dokumenteras, åtgärdas och följas upp. Praktisk samordning och eventuell ersättning för särskilt arbete måste vara skälig och får inte hindra det bistånd eller den kontroll som lagen kräver. Någon separat revisionsavgift eller begränsning till ett visst antal granskningar införs inte genom detta förslag.",{"type":15,"tag":33,"props":402,"children":404},{"id":403},"_14-ai-api-och-kundvalda-mottagare",[405],{"type":28,"value":406},"14. AI, API och kundvalda mottagare",{"type":15,"tag":20,"props":408,"children":409},{},[410],{"type":28,"value":411},"AI-behandling som Cavat utför för kundens räkning ska beskrivas i bilaga 1 och omfattas av tillämpliga säkerhetsåtgärder, instruktioner och godkända underbiträden. Kunddata får inte användas för en AI-leverantörs egna ändamål utanför uppdraget. Villkor om lagring, vidare användning och behandling i andra länder måste bedömas för den faktiska leverantören.",{"type":15,"tag":20,"props":413,"children":414},{},[415],{"type":28,"value":416},"När kunden själv kopplar in en extern app eller AI-assistent genom API behöver kunden bedöma mottagarens roll och avtala med mottagaren där det krävs. En kundvald mottagare är inte automatiskt ett underbiträde till Cavat. Cavats egen behandling vid överföringen omfattas fortfarande av detta avtal när den sker på kundens uppdrag.",{"type":15,"tag":20,"props":418,"children":419},{},[420],{"type":28,"value":421},"API-åtkomst utan separat API-avgift förändrar inte dataskyddsansvaret. Åtkomst ska avgränsas till det dokumenterade behovet. Återkallad behörighet raderar inte automatiskt tidigare överförda uppgifter hos mottagaren, och maskering av enskilda fält är inte en garanti för fullständig anonymisering.",{"type":15,"tag":33,"props":423,"children":425},{"id":424},"_15-återlämning-och-radering",[426],{"type":28,"value":427},"15. Återlämning och radering",{"type":15,"tag":20,"props":429,"children":430},{},[431],{"type":28,"value":432},"När behandlingstjänsterna avslutas ska biträdet, enligt den ansvariges val, återlämna eller radera personuppgifterna och radera befintliga kopior, om inte fortsatt lagring krävs enligt unionsrätt eller tillämplig nationell rätt. Valet och genomförandet ska dokumenteras i bilaga 1 och avslutsinstruktionen.",{"type":15,"tag":20,"props":434,"children":435},{},[436],{"type":28,"value":437},"Återlämning ska omfatta personuppgifterna i uppdraget, inklusive relevanta bilagor och register. SIE kan vara en del av exporten men omfattar inte automatiskt allt sådant material. Tillgängliga format, säker leverans, åtkomstperiod och konkreta frister ska därför fastställas innan avtalet används.",{"type":15,"tag":20,"props":439,"children":440},{},[441],{"type":28,"value":442},"Kvarvarande uppgifter får under avvecklingen endast behandlas för det begränsade avslutsändamålet eller ett tillämpligt lagkrav. Säkerhetskopiors livscykel, sista raderingsdag och skydd mot att raderade uppgifter återinförs vid återläsning ska dokumenteras. Motsvarande instruktioner ska nå underbiträdena.",{"type":15,"tag":20,"props":444,"children":445},{},[446],{"type":28,"value":447},"Biträdet ska på begäran bekräfta genomförd radering och redovisa eventuella lagkravsundantag. Kundens bokföringsskyldighet innebär inte i sig att biträdet har rätt att behålla uppgifterna obegränsat eller en skyldighet att fortsätta som kundens arkiv efter avslut.",{"type":15,"tag":33,"props":449,"children":451},{"id":450},"_16-ändringar-ansvar-och-avtalets-upphörande",[452],{"type":28,"value":453},"16. Ändringar, ansvar och avtalets upphörande",{"type":15,"tag":20,"props":455,"children":456},{},[457],{"type":28,"value":458},"Ändringar av uppdragets omfattning, instruktioner eller bilagor ska dokumenteras och accepteras av behöriga företrädare i den utsträckning avtalet kräver det. En ändrad webbtext ersätter inte automatiskt en tidigare accepterad version.",{"type":15,"tag":20,"props":460,"children":461},{},[462],{"type":28,"value":463},"Om biträdet inte kan uppfylla tillämpliga dataskyddskrav ska det underrätta den ansvarige. Parterna ska skyndsamt ordna rättelse, begränsa eller stoppa den berörda behandlingen och vid behov avsluta uppdraget med säker återlämning eller radering.",{"type":15,"tag":20,"props":465,"children":466},{},[467],{"type":28,"value":468},"Parternas ansvar följer GDPR och den slutligt accepterade avtalsregleringen. Kommersiella ansvarsbestämmelser får inte inskränka registrerades rättigheter eller tillsynsmyndighetens befogenheter. Ingen ny ansvarsbegränsning eller ansvarsfördelning för sanktionsavgifter införs genom denna granskningsversion.",{"type":15,"tag":20,"props":470,"children":471},{},[472],{"type":28,"value":473},"Lagval och forum ska samordnas med det fastställda tjänsteavtalet, med förbehåll för tvingande dataskyddsrätt. Sekretess och skyldigheter för kvarvarande uppgifter gäller även efter upphörandet.",{"type":15,"tag":33,"props":475,"children":477},{"id":476},"bilaga-1-behandlingsinstruktion-och-kontaktuppgifter",[478],{"type":28,"value":479},"Bilaga 1. Behandlingsinstruktion och kontaktuppgifter",{"type":15,"tag":20,"props":481,"children":482},{},[483,488],{"type":15,"tag":24,"props":484,"children":485},{},[486],{"type":28,"value":487},"Status: ska kompletteras och godkännas för det aktuella uppdraget.",{"type":28,"value":489}," Exemplen nedan avgränsar möjliga behandlingar; de innebär inte att samtliga funktioner eller uppgiftstyper ingår för varje kund.",{"type":15,"tag":491,"props":492,"children":494},"h3",{"id":493},"parter-och-mandat",[495],{"type":28,"value":496},"Parter och mandat",{"type":15,"tag":498,"props":499,"children":500},"ul",{},[501,507,512,517,522],{"type":15,"tag":502,"props":503,"children":504},"li",{},[505],{"type":28,"value":506},"Personuppgiftsansvarig: juridiskt namn, organisationsnummer, adress och behörig företrädare ska anges.",{"type":15,"tag":502,"props":508,"children":509},{},[510],{"type":28,"value":511},"Personuppgiftsbiträde: Cavatos AB, organisationsnummer 559605-6811, Göteborg, Sverige. Fullständig postadress, behörig företrädare och kontaktperson ska anges före accepterande.",{"type":15,"tag":502,"props":513,"children":514},{},[515],{"type":28,"value":516},"Byråupplägg: dokumentera klient, roller och mandat där byrån agerar för någon annan.",{"type":15,"tag":502,"props":518,"children":519},{},[520],{"type":28,"value":521},"Kontaktpersoner: ange ordinarie dataskyddskontakt, incidentkontakt, reservkontakt och säker kommunikationsväg för båda parter.",{"type":15,"tag":502,"props":523,"children":524},{},[525],{"type":28,"value":526},"Avtalsreferens: beställning, versionsdatum och datum för accepterande ska anges.",{"type":15,"tag":491,"props":528,"children":530},{"id":529},"ändamål-art-och-uppgiftstyper",[531],{"type":28,"value":532},"Ändamål, art och uppgiftstyper",{"type":15,"tag":20,"props":534,"children":535},{},[536],{"type":28,"value":537},"För varje aktiverat område ska kunden välja och precisera omfattningen:",{"type":15,"tag":498,"props":539,"children":540},{},[541,551,561,571,581],{"type":15,"tag":502,"props":542,"children":543},{},[544,549],{"type":15,"tag":24,"props":545,"children":546},{},[547],{"type":28,"value":548},"Bokföring och fakturering:",{"type":28,"value":550}," exempelvis registrering och bearbetning av fakturor och verifikationer med namn, kontaktuppgifter, betalningsreferenser och personuppgifter i underlag.",{"type":15,"tag":502,"props":552,"children":553},{},[554,559],{"type":15,"tag":24,"props":555,"children":556},{},[557],{"type":28,"value":558},"Kund- och leverantörsrelationer:",{"type":28,"value":560}," exempelvis strukturering av kontakter, affärshändelser och kommunikation med kontaktpersoner och enskilda näringsidkare.",{"type":15,"tag":502,"props":562,"children":563},{},[564,569],{"type":15,"tag":24,"props":565,"children":566},{},[567],{"type":28,"value":568},"Lön och personal:",{"type":28,"value":570}," exempelvis hantering av anställnings-, identitets-, löne- och frånvarouppgifter för anställda. Eventuella hälsouppgifter eller andra särskilda kategorier ska anges uttryckligen med tillhörande skydd; generellt stöd för all känslig information förutsätts inte.",{"type":15,"tag":502,"props":572,"children":573},{},[574,579],{"type":15,"tag":24,"props":575,"children":576},{},[577],{"type":28,"value":578},"Användare och support:",{"type":28,"value":580}," exempelvis behörighetsadministration, spårbarhet och avgränsad felsökning med användaridentitet, roller, aktiviteter och nödvändigt ärendeunderlag.",{"type":15,"tag":502,"props":582,"children":583},{},[584,589],{"type":15,"tag":24,"props":585,"children":586},{},[587],{"type":28,"value":588},"AI och integrationer:",{"type":28,"value":590}," ange den särskilda funktionen, vilka uppgifter som får skickas eller läsas, mottagare, tillåtna åtgärder och ändamål. En generell formulering om AI ersätter inte en konkret instruktion.",{"type":15,"tag":20,"props":592,"children":593},{},[594],{"type":28,"value":595},"Registrerade kan vara kundens användare, anställda, kunder, leverantörer, konsulter och kontaktpersoner samt personer i underlag som behandlingen omfattar. Faktiska kategorier, ungefärlig omfattning och frekvens ska anges. Uppgifter om lagöverträdelser ska inte förutsättas ingå utan särskild bedömning och dokumenterad instruktion.",{"type":15,"tag":491,"props":597,"children":599},{"id":598},"lagring-och-avslut",[600],{"type":28,"value":601},"Lagring och avslut",{"type":15,"tag":20,"props":603,"children":604},{},[605],{"type":28,"value":606},"Fastställ start och varaktighet, gallring per uppgiftskategori, kundens val mellan återlämning och radering, exportformat, sista åtkomstdag, raderingsfrister för drift och kopior samt eventuella specifika lagkravsundantag. Hänvisa till en versionsbestämd rutin; ange inte en allmän sjuårstid för all behandling.",{"type":15,"tag":33,"props":608,"children":610},{"id":609},"bilaga-2-tekniska-och-organisatoriska-åtgärder",[611],{"type":28,"value":612},"Bilaga 2. Tekniska och organisatoriska åtgärder",{"type":15,"tag":20,"props":614,"children":615},{},[616,621],{"type":15,"tag":24,"props":617,"children":618},{},[619],{"type":28,"value":620},"Status: krav- och verifieringsunderlag, inte ett intyg om att varje åtgärd är införd.",{"type":28,"value":622}," Bilagan ska ersättas med en konkret, versionsbestämd beskrivning av åtgärderna för den avtalade tjänsten före behandlingsstart.",{"type":15,"tag":20,"props":624,"children":625},{},[626,628,634],{"type":28,"value":627},"Cavat har beskrivna funktioner för bolagsavgränsning, roller och spårbarhet på ",{"type":15,"tag":133,"props":629,"children":631},{"href":630},"\u002Fsakerhet",[632],{"type":28,"value":633},"säkerhetssidan",{"type":28,"value":635},". Följande områden behöver preciseras med faktisk omfattning och ansvar:",{"type":15,"tag":637,"props":638,"children":639},"ol",{},[640,650,660,670,680,690,700,710],{"type":15,"tag":502,"props":641,"children":642},{},[643,648],{"type":15,"tag":24,"props":644,"children":645},{},[646],{"type":28,"value":647},"Åtkomst:",{"type":28,"value":649}," användaridentifiering, autentisering, administratörs- och supportbehörigheter, regelbunden behörighetskontroll och avveckling av konton och nycklar.",{"type":15,"tag":502,"props":651,"children":652},{},[653,658],{"type":15,"tag":24,"props":654,"children":655},{},[656],{"type":28,"value":657},"Avgränsning:",{"type":28,"value":659}," skydd mellan kundmiljöer och kontroll av åtkomst via gränssnitt, importer, integrationer, rapporter och support.",{"type":15,"tag":502,"props":661,"children":662},{},[663,668],{"type":15,"tag":24,"props":664,"children":665},{},[666],{"type":28,"value":667},"Informationsskydd:",{"type":28,"value":669}," skydd vid överföring och lagring, eventuell krypteringsomfattning, nyckelhantering, maskering och hantering av känsliga uppgifter.",{"type":15,"tag":502,"props":671,"children":672},{},[673,678],{"type":15,"tag":24,"props":674,"children":675},{},[676],{"type":28,"value":677},"Spårbarhet:",{"type":28,"value":679}," vilka händelser som loggas, skydd och åtkomst till loggar, lagringstid samt uppföljning av avvikelser.",{"type":15,"tag":502,"props":681,"children":682},{},[683,688],{"type":15,"tag":24,"props":684,"children":685},{},[686],{"type":28,"value":687},"Drift och återställning:",{"type":28,"value":689}," säkerhetskopior, geografiska platser, livscykel, återställningsförfarande, verifierade tester och ansvar vid avbrott.",{"type":15,"tag":502,"props":691,"children":692},{},[693,698],{"type":15,"tag":24,"props":694,"children":695},{},[696],{"type":28,"value":697},"Förändringar och sårbarheter:",{"type":28,"value":699}," hantering av uppdateringar, säkerhetstester, felrättning samt åtskillnad mellan test och produktion. Kunddata i test kräver särskild avgränsning och skydd.",{"type":15,"tag":502,"props":701,"children":702},{},[703,708],{"type":15,"tag":24,"props":704,"children":705},{},[706],{"type":28,"value":707},"Organisation och leverantörer:",{"type":28,"value":709}," sekretess, utbildning, dokumenterade rutiner, leverantörskontroll, incidenthantering och fysisk säkerhet hos relevanta driftleverantörer.",{"type":15,"tag":502,"props":711,"children":712},{},[713,718],{"type":15,"tag":24,"props":714,"children":715},{},[716],{"type":28,"value":717},"Avveckling:",{"type":28,"value":719}," metoder för export, säker radering, hantering av underbiträdens kopior och kontroll vid återläsning från säkerhetskopia.",{"type":15,"tag":20,"props":721,"children":722},{},[723],{"type":28,"value":724},"Ange datum, ansvarig för verifiering och hänvisningar till kontrollerbara underlag. Ogrundade uppgifter om certifiering, garanterad drifttid eller fullständig anonymisering ska inte användas.",{"type":15,"tag":33,"props":726,"children":728},{"id":727},"bilaga-3-underbiträden-och-behandlingsländer",[729],{"type":28,"value":730},"Bilaga 3. Underbiträden och behandlingsländer",{"type":15,"tag":20,"props":732,"children":733},{},[734,739],{"type":15,"tag":24,"props":735,"children":736},{},[737],{"type":28,"value":738},"Status: ingen verifierad leverantörsförteckning finns i denna granskningsversion.",{"type":28,"value":740}," Detta betyder inte att tjänsten saknar underbiträden. Den faktiska förteckningen ska fyllas i och godkännas innan behandlingen startar.",{"type":15,"tag":20,"props":742,"children":743},{},[744],{"type":28,"value":745},"För varje underbiträde och relevant led i kedjan ska följande dokumenteras:",{"type":15,"tag":498,"props":747,"children":748},{},[749,754,759,764,769,774],{"type":15,"tag":502,"props":750,"children":751},{},[752],{"type":28,"value":753},"Juridiskt namn, identifierande bolagsuppgift och kontakt eller adress.",{"type":15,"tag":502,"props":755,"children":756},{},[757],{"type":28,"value":758},"Uppdrag och vilka uppgifter eller funktioner leverantören får tillgång till.",{"type":15,"tag":502,"props":760,"children":761},{},[762],{"type":28,"value":763},"Länder för lagring, support och annan behandling.",{"type":15,"tag":502,"props":765,"children":766},{},[767],{"type":28,"value":768},"Tillämpligt stöd för eventuell tredjelandsöverföring och kompletterande skydd.",{"type":15,"tag":502,"props":770,"children":771},{},[772],{"type":28,"value":773},"Hänvisning till underbiträdesavtal och bedömda säkerhetsåtgärder.",{"type":15,"tag":502,"props":775,"children":776},{},[777],{"type":28,"value":778},"Datum för kundens skriftliga godkännande, tillåten omfattning och eventuellt slutdatum.",{"type":15,"tag":20,"props":780,"children":781},{},[782],{"type":28,"value":783},"För AI-leverantörer ska även instruktioner om frågor, underlag, svar, loggning, lagring och eventuell vidare användning redovisas. Leverantörskategorier som drift, kommunikation och AI får inte ersätta identifieringen av faktiska bolag.",{"type":15,"tag":20,"props":785,"children":786},{},[787],{"type":28,"value":788},"Kundvalda självständiga mottagare ska dokumenteras separat så att deras roll inte blandas ihop med Cavats underbiträden.",{"type":15,"tag":33,"props":790,"children":792},{"id":791},"fastställande-och-rättsligt-underlag",[793],{"type":28,"value":794},"Fastställande och rättsligt underlag",{"type":15,"tag":20,"props":796,"children":797},{},[798],{"type":28,"value":799},"Före accepterande ska parternas identitet, roller, behandlingsinstruktion, säkerhetsbilaga, underbiträden, länder, kontaktvägar och avslutsfrister vara färdigställda. Den accepterade versionen och samtliga bilagor ska kunna sparas och återsökas. Elektroniskt accepterande behöver dokumentera vem som accepterat för vilken part och när; någon sådan signeringsfunktion erbjuds inte på denna informationssida.",{"type":15,"tag":20,"props":801,"children":802},{},[803,805,813,815,822],{"type":28,"value":804},"Avtalsförslaget har kontrollerats mot artikel 28 GDPR och angränsande krav om säkerhet, incidenter och bistånd. Läs ",{"type":15,"tag":133,"props":806,"children":810},{"href":807,"rel":808},"https:\u002F\u002Feur-lex.europa.eu\u002Flegal-content\u002FSV\u002FTXT\u002F?uri=CELEX%3A32016R0679",[809],"nofollow",[811],{"type":28,"value":812},"GDPR hos EUR-Lex",{"type":28,"value":814}," och ",{"type":15,"tag":133,"props":816,"children":819},{"href":817,"rel":818},"https:\u002F\u002Fwww.imy.se\u002Fverksamhet\u002Fdataskydd\u002Fdet-har-galler-enligt-gdpr\u002Fpersonuppgiftsansvariga-och-personuppgiftsbitraden\u002Fpersonuppgiftsbitradesavtal\u002F",[809],[820],{"type":28,"value":821},"IMY:s vägledning om personuppgiftsbiträdesavtal",{"type":28,"value":823},". Texten är Cavats granskningsförslag, inte myndighetsgodkända standardavtalsklausuler.",{"type":15,"tag":20,"props":825,"children":826},{},[827,829,835,837,843,844,848],{"type":28,"value":828},"För frågor om avtalsunderlaget, använd ",{"type":15,"tag":133,"props":830,"children":832},{"href":831},"\u002Fbook-demo?intent=contact",[833],{"type":28,"value":834},"kontaktsidan",{"type":28,"value":836},". Se även ",{"type":15,"tag":133,"props":838,"children":840},{"href":839},"\u002Fterms",[841],{"type":28,"value":842},"allmänna villkor",{"type":28,"value":814},{"type":15,"tag":133,"props":845,"children":846},{"href":135},[847],{"type":28,"value":138},{"type":28,"value":849},".",{"title":5,"searchDepth":851,"depth":851,"links":852},2,[853,854,855,856,857,858,859,860,861,862,863,864,865,866,867,868,869,875,876,877],{"id":35,"depth":851,"text":38},{"id":99,"depth":851,"text":102},{"id":143,"depth":851,"text":146},{"id":164,"depth":851,"text":167},{"id":190,"depth":851,"text":193},{"id":211,"depth":851,"text":214},{"id":232,"depth":851,"text":235},{"id":258,"depth":851,"text":261},{"id":291,"depth":851,"text":294},{"id":312,"depth":851,"text":315},{"id":333,"depth":851,"text":336},{"id":366,"depth":851,"text":369},{"id":382,"depth":851,"text":385},{"id":403,"depth":851,"text":406},{"id":424,"depth":851,"text":427},{"id":450,"depth":851,"text":453},{"id":476,"depth":851,"text":479,"children":870},[871,873,874],{"id":493,"depth":872,"text":496},3,{"id":529,"depth":872,"text":532},{"id":598,"depth":872,"text":601},{"id":609,"depth":851,"text":612},{"id":727,"depth":851,"text":730},{"id":791,"depth":851,"text":794},"markdown","content:pub.md","content","pub.md","pub","md",1792156653450]