Personuppgiftsbiträdesavtal

Senast uppdaterad 2 oktober 2026

Detta personuppgiftsbiträdesavtal (»avtalet«) ingås mellan den verksamhet som har skapat ett konto i 1-5.io (»personuppgiftsansvarig« eller »kunden«) och World of eCom AS, organisationsnummer 935 198 399, C. J. Hambros plass 2, 0164 Oslo, Norge (»personuppgiftsbiträdet« eller »1-5.io«). Avtalet utgör en del av användarvillkoren för 1-5.io och uppfyller kraven i dataskyddsförordningen (GDPR) artikel 28.3. Det träder i kraft när kunden godkänner villkoren och gäller utan ny underskrift.

1. Föremål, varaktighet, art och ändamål

1. Föremål. Personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning när tjänsten 1-5.io används för att be kunder om betyg och följa upp återkoppling.
2. Varaktighet. Behandlingen pågår så länge kunden har ett konto och ett avtal om tjänsten, och till dess att uppgifterna har raderats eller återlämnats enligt punkt 9.
3. Art. Lagring, organisering, överföring, visning, export, anonymisering och radering av uppgifter samt utskick av SMS och e-post.
4. Ändamål. Att tillhandahålla tjänsten: skicka förfrågningar om omdömen via SMS och e-post, ta emot och lagra betyg, hantera interna ärenden för betyg på 1 till 3 stjärnor, skicka nöjda kunder vidare till omdömesplattformar samt tillhandahålla statistik, export och integrationer.

2. Kategorier av registrerade och personuppgifter

1. Registrerade: den personuppgiftsansvariges kunder och andra personer som får en förfrågan om omdöme; den personuppgiftsansvariges anställda och övriga användare som får åtkomst till tjänsten.
2. Personuppgifter: namn, mobilnummer, e-postadress, betyg (1 till 5 stjärnor), kommentar (för 1 till 3 stjärnor), ärendehistorik, meddelandelogg (SMS och e-post: mottagare, tidpunkt, innehåll, leveransstatus, avregistrering), webhook- och API-data som den personuppgiftsansvarige skickar in samt, för användare, namn, e-postadress, roll, inloggningslogg och granskningslogg.
3. Känsliga personuppgifter (art. 9) är inte avsedda att behandlas. Kommentarer är fritext och den personuppgiftsansvarige ska uppmana kunderna att inte lämna sådana uppgifter.

3. Den personuppgiftsansvariges skyldigheter

1. Den personuppgiftsansvarige ansvarar för att det finns rättslig grund för behandlingen och för att kontakta mottagarna, bland annat samtycke eller intresseavvägning, för att fullgöra informationsskyldigheten gentemot de registrerade samt för att uppfylla kraven i marknadsföringslagen och lagen om elektronisk kommunikation.
2. Avtalet och tjänstens funktioner utgör den personuppgiftsansvariges fullständiga och dokumenterade instruktioner vid avtalets ingående. Ytterligare instruktioner ska lämnas skriftligen och stå i rimlig proportion till tjänstens art.

4. Personuppgiftsbiträdets skyldigheter

1. Dokumenterade instruktioner. Personuppgiftsbiträdet behandlar uppgifterna endast på dokumenterade instruktioner från den personuppgiftsansvarige, även när det gäller överföring till tredjeland, om inte unionsrätten eller nationell rätt kräver något annat. I så fall informeras den personuppgiftsansvarige före behandlingen, om inte lagen förbjuder sådan information. Personuppgiftsbiträdet underrättar den personuppgiftsansvarige om en instruktion enligt dess bedömning strider mot dataskyddsreglerna.
2. Konfidentialitet. Alla som har tillgång till uppgifterna hos personuppgiftsbiträdet omfattas av tystnadsplikt eller en lämplig lagstadgad sekretessförpliktelse och får tillgång endast när det är nödvändigt.
3. Säkerhetsåtgärder (art. 32). Personuppgiftsbiträdet har genomfört lämpliga tekniska och organisatoriska åtgärder, bland annat:
   • krypterad anslutning (HTTPS/TLS) mellan användare och tjänst;
   • lösenord lagrade som scrypt-hash, aldrig i klartext;
   • valfri tvåfaktorsautentisering (TOTP) för användarkonton;
   • rollbaserad behörighetsstyrning (agent, chef, ägare) och minsta möjliga behörighet;
   • inloggningslogg och granskningslogg över åtgärder i kontot;
   • e-postbekräftelse av användare;
   • inloggningscookie som är HttpOnly och SameSite samt begränsad sessionstid (14 dagar);
   • frekvensbegränsning per telefonnummer, tysta timmar (21 till 08) och avregistreringsfunktion (länk, och STOPP för SMS) för att förhindra oönskad kontakt;
   • automatisk anonymisering efter den lagringstid som den personuppgiftsansvarige väljer (30 till 1 825 dagar, standard 365), radering per ärende, export av alla uppgifter och kontoradering;
   • hosting hos leverantör inom EU och begränsad åtkomst för anställda;
   • API-nycklar med begränsad behörighet och rutiner för snabb åtgärd av sårbarheter.
   Åtgärderna utvärderas regelbundet och kan förbättras, dock utan att säkerhetsnivån försämras väsentligt.
4. Bistånd vid de registrerades rättigheter. Personuppgiftsbiträdet bistår den personuppgiftsansvarige, med lämpliga tekniska och organisatoriska åtgärder, att besvara begäranden från registrerade om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning. Funktioner för export och radering finns i tjänsten. Vänder sig en registrerad direkt till personuppgiftsbiträdet vidarebefordras begäran utan onödigt dröjsmål och personuppgiftsbiträdet svarar inte själv utan instruktion.
5. Bistånd vid säkerhet, bedömningar och samråd. Personuppgiftsbiträdet bistår med att uppfylla skyldigheterna enligt art. 32 till 36, däribland konsekvensbedömningar avseende dataskydd (DPIA) och förhandssamråd med tillsynsmyndigheten, med beaktande av behandlingens art och de uppgifter som personuppgiftsbiträdet har tillgång till.
6. Underrättelse om personuppgiftsincidenter. Personuppgiftsbiträdet underrättar den personuppgiftsansvarige utan onödigt dröjsmål och senast 48 timmar efter att ha fått vetskap om en personuppgiftsincident. Underrättelsen skickas till kontoägarens e-postadress och ska så långt möjligt beskriva incidentens art, kategorier och ungefärligt antal berörda, sannolika konsekvenser samt åtgärder som vidtagits eller föreslagits. Uppgifter får lämnas i omgångar. Det är den personuppgiftsansvarige som anmäler till tillsynsmyndigheten och informerar de registrerade, och personuppgiftsbiträdet bistår.
7. Radering eller återlämnande. Se punkt 9.
8. Dokumentation. Personuppgiftsbiträdet för register över behandling som utförs som personuppgiftsbiträde (art. 30.2) och tillhandahåller den information som behövs för att visa att skyldigheterna i artikel 28 är uppfyllda.

5. Underbiträden

1. Allmänt godkännande. Den personuppgiftsansvarige ger personuppgiftsbiträdet ett allmänt godkännande att anlita underbiträden. De underbiträden som är godkända vid avtalets ingående framgår av tabellen nedan.
2. Underrättelse om ändringar. Personuppgiftsbiträdet underrättar den personuppgiftsansvarige skriftligen (e-post till kontoägaren eller meddelande i tjänsten) minst 30 dagar innan ett nytt underbiträde tas i bruk eller ett befintligt byts ut.
3. Rätt att göra invändningar. Den personuppgiftsansvarige kan inom 30 dagar invända mot ändringen med sakliga dataskyddsskäl. Parterna försöker hitta en lösning. Om det inte går kan den personuppgiftsansvarige säga upp avtalet om tjänsten med verkan från den dag ändringen träder i kraft, utan kostnad och med återbetalning av förskottsbetalt belopp för tiden efter avslutet.
4. Villkor. Personuppgiftsbiträdet ålägger varje underbiträde i ett skriftligt avtal samma dataskyddsskyldigheter som i detta avtal och ansvarar fullt ut gentemot den personuppgiftsansvarige för underbiträdets fullgörande.

6. Överföring till tredjeland

1. Personuppgiftsbiträdet överför personuppgifter till länder utanför EU/EES endast i enlighet med GDPR kapitel V, i dag till USA via Twilio, med stöd av EU-kommissionens standardavtalsklausuler och i förekommande fall dataskyddsramverket EU–USA, samt kompletterande skyddsåtgärder där det behövs.
2. Den personuppgiftsansvarige ger sin instruktion om sådana överföringar i den utsträckning de är nödvändiga för att tillhandahålla tjänsten (bland annat SMS- och e-postutskick). En kopia av skyddsåtgärderna lämnas ut på begäran.

7. Revision och granskning

1. Personuppgiftsbiträdet ger den personuppgiftsansvarige den information som behövs för att visa att skyldigheterna i artikel 28 är uppfyllda och möjliggör och bidrar till granskningar, inbegripet inspektioner, som genomförs av den personuppgiftsansvarige eller en oberoende revisor som den personuppgiftsansvarige utsett.
2. Granskning ska aviseras minst 30 dagar i förväg, ske under ordinarie arbetstid, inte störa verksamheten oproportionerligt och omfattas av tystnadsplikt. Granskning begränsas normalt till en per år, om inte en incident har inträffat eller tillsynsmyndigheten kräver det. Den personuppgiftsansvarige bär sina egna kostnader och ersätter personuppgiftsbiträdets kostnader utöver rimlig tid. Personuppgiftsbiträdet kan i första hand visa efterlevnad genom dokumentation, certifieringar eller revisionsrapporter, om detta är tillräckligt för syftet.

8. Ansvar

Ansvaret mellan parterna följer användarvillkoren för tjänsten, inklusive ansvarsbegränsningen. Detta påverkar inte de registrerades rätt till skadestånd enligt GDPR artikel 82 eller tillsynsmyndigheternas befogenheter. Vardera parten bär sin andel av ansvaret gentemot de registrerade enligt art. 82.4 och 82.5 och har den regressrätt som följer av lag.

9. Radering och återlämnande vid avslut

1. När avtalet om tjänsten upphör kan den personuppgiftsansvarige exportera alla uppgifter (JSON eller CSV) under 30 dagar.
2. Därefter raderar eller anonymiserar personuppgiftsbiträdet alla personuppgifter och raderar befintliga kopior inom ytterligare 30 dagar, om inte unionsrätten eller nationell rätt kräver fortsatt lagring. Uppgifter i säkerhetskopior skrivs över enligt normal rotation och skyddas under tiden av detta avtal.
3. Den personuppgiftsansvarige kan när som helst radera enskilda ärenden eller hela kontot i tjänsten och kan välja lagringstid (30 till 1 825 dagar) som styr den automatiska anonymiseringen. Personuppgiftsbiträdet bekräftar radering skriftligen på begäran.

10. Giltighet och upphörande

Avtalet gäller så länge personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning. Bestämmelserna om konfidentialitet, ansvar och radering gäller även efter avtalets upphörande. Vid väsentligt avtalsbrott kan den personuppgiftsansvarige tillfälligt stoppa behandlingen och säga upp avtalet om tjänsten.

11. Tillämplig lag och tvistlösning

Avtalet ska tolkas och tillämpas enligt svensk rätt. Tvister avgörs av svensk allmän domstol med Stockholms tingsrätt som första instans, i enlighet med användarvillkoren för tjänsten. Avtalet ska tolkas i överensstämmelse med GDPR och dataskyddslagen, och vid motstridighet har GDPR företräde.

12. Kontakt

Frågor om behandlingen och om incidenter skickas till [email protected]. Personuppgiftsbiträde: World of eCom AS, C. J. Hambros plass 2, 0164 Oslo.