--- title: "Personuppgiftsbiträdesavtal (DPA)" description: "Contrackos personuppgiftsbiträdesavtal: hur vi behandlar kunders personuppgifter som personuppgiftsbiträde enligt GDPR." canonical: "https://contracko.com/sv/juridik/personuppgiftsbitradesavtal" --- # Personuppgiftsbiträdesavtal (DPA) Source: https://contracko.com/sv/juridik/personuppgiftsbitradesavtal # Personuppgiftsbiträdesavtal (DPA) Version 1.3. Senast uppdaterad: 31 augusti 2026. Contrackos kontakt: [security@contracko.com](mailto:security@contracko.com). ## 1. Parter, roller och förhållande till huvudavtalet Detta personuppgiftsbiträdesavtal ("DPA") utgör en del av, och är införlivat i, avtalet mellan Kunden ("personuppgiftsansvarig" eller "Kund") och Velocity Ventures B.V., Mauritskade 9, 2514 HD Den Haag, Netherlands (KvK 87321432) ("personuppgiftsbiträde" eller "Contracko"), enligt vilket Contracko tillhandahåller Contracko-tjänsten ("Tjänsten") – närmare bestämt Common Paper Cloud Service Agreement (Standard Terms v2.1) såsom den accepterats av Kunden eller såsom framgår av en signerad Cover Page ( "Avtalet"). För personuppgifter som Contracko behandlar på Kundens vägnar vid tillhandahållandet av Tjänsten är Kunden personuppgiftsansvarig och Contracko personuppgiftsbiträde. När Contracko behandlar uppgifter för egna ändamål (t.ex. kontoadministration, fakturering och säkerhet) agerar Contracko som självständig personuppgiftsansvarig för den begränsade behandlingen, vilket regleras av Contrackos integritetspolicy. Vid motstridighet är följande rangordning gällande: (1) de Standardavtalsklausuler som anges i Bilaga 3 (i den utsträckning de tillämpas på en begränsad överföring), (2) detta DPA, (3) Avtalet. ## 2. Definitioner "personuppgifter", "behandling", "registrerad", "personuppgiftsansvarig", "personuppgiftsbiträde", "underbiträde" och "tillsynsmyndighet" har de betydelser som anges i EU:s allmänna dataskyddsförordning (förordning (EU) 2016/679, "GDPR"). "Tillämplig dataskyddslagstiftning" avser GDPR tillsammans med den nederländska genomförandelagen (UAVG) samt, där tillämpligt, UK GDPR och den schweiziska FADP. "Begränsad överföring" avser en överföring av personuppgifter till ett land utanför EES som inte omfattas av ett adekvathetsbeslut. ## 3. Föremål, löptid, karaktär och syfte (art. 28.3) - Föremål: behandling av personuppgifter som ingår i eller har samband med de avtal, dokument och kontouppgifter som Kunden lämnar in till Tjänsten. - Löptid: Avtalets löptid, plus perioden för radering/återlämning i avsnitt 11. - Karaktär och syfte: lagring, organisering, tolkning, AI-assisterad analys och extrahering, hämtning, elektronisk signering samt hantering av Kundens avtalsdata, enbart för att tillhandahålla Tjänsten. - Fullständiga behandlingsuppgifter framgår av Bilaga 1. ## 4. Typer av personuppgifter och kategorier av registrerade - Typer (illustrativa, fastställda av Kunden): namn, kontaktuppgifter, signaturer, finansiella och kommersiella villkor, arbetsrelaterade uppgifter samt alla andra personuppgifter som Kunden inkluderar i uppladdade dokument och kontouppgifter. - Kategorier av registrerade: Kundens anställda, kunder, leverantörer, motparter och andra fysiska personer som nämns i Kundens dokument. Kunden ansvarar för att det finns en rättslig grund för de personuppgifter som Kunden lämnar in och för de instruktioner som Kunden lämnar. Kunden får inte lämna in personuppgifter som rör särskilda kategorier, utom sådant som är en naturlig del av avtalsinnehållet, och ansvarar för sådana uppgifter som Kunden väljer att lämna in. ## 5. Personuppgiftsbiträdes skyldigheter (art. 28.3 a–h) Contracko ska: 1. behandla personuppgifter endast enligt Kundens dokumenterade instruktioner (inklusive vad gäller överföringar), vilka utgörs av detta DPA, Avtalet och Kundens konfigurerade användning av Tjänsten, såvida inte lag föreskriver något annat – i vilket fall Contracko informerar Kunden i förväg, om inte lagen förbjuder det; 2. säkerställa att personer som är behöriga att behandla personuppgifter är bundna av sekretess; 3. vidta de tekniska och organisatoriska åtgärder som anges i Bilaga 2 (TOM) (art. 32); 4. respektera villkoren i avsnitt 6 för anlitande av underbiträden; 5. hjälpa Kunden, genom lämpliga tekniska och organisatoriska åtgärder och i den mån det är möjligt, med registrerades förfrågningar (avsnitt 7); 6. hjälpa Kunden med säkerhet, underrättelse om personuppgiftsincidenter, konsekvensbedömningar av dataskydd samt föregående samråd (avsnitt 8–9), med hänsyn till behandlingens karaktär och den information som står till Contrackos förfogande; 7. på Kundens val, radera eller återlämna personuppgifter vid Tjänstens upphörande (avsnitt 11); 8. tillhandahålla den information som behövs för att kunna redovisa efterlevnad och tillåta granskningar (avsnitt 10); samt 9. inte använda Kundens personuppgifter för att träna någon AI-modell, och anlita AI-underbiträden endast på villkor som utesluter träning på Kunddata och, där så erbjuds, tillämpar noll datalagring. Otillåtna instruktioner. Contracko kommer att informera Kunden utan oskäligt dröjsmål om en instruktion efter Contrackos bedömning strider mot Tillämplig dataskyddslagstiftning. Kunden har därefter en skälig period (minst 30 dagar) på sig att lämna en reviderad, laglig instruktion. I avvaktan på att frågan löses får Contracko suspendera den berörda behandlingen, och om Kunden inte lämnar en laglig instruktion inom denna period får Contracko säga upp den berörda delen av Tjänsten utan ansvar. ## 6. Underbiträden (art. 28.2 och 4) Allmänt tillstånd. Kunden lämnar allmänt skriftligt tillstånd för att Contracko får anlita underbiträden att behandla personuppgifter vid tillhandahållandet av Tjänsten, i kategorier som inkluderar hosting och lagring, databas, AI-assisterad analys, elektronisk signering, e-postutskick, analys, betalningar samt intern drift och larmning. Den aktuella listan över namngivna underbiträden framgår av Bilaga 1. Underrättelse om ändringar. Contracko för en aktuell lista över namngivna underbiträden. Minst fjorton (14) dagar innan Contracko tillåter ett nytt underbiträde att behandla personuppgifter uppdaterar Contracko listan och underrättar aktivt Kunden via e-post. Invändning. Kunden kan göra invändning mot ett nytt underbiträde på skäliga grunder som har samband med dataskydd genom skriftligt meddelande inom sju (7) dagar från underrättelsen. Om Kunden inte gör invändning inom denna period anses underbiträdet vara godkänt. Det nya underbiträdet får inte behandla Kundens personuppgifter innan underrättelseperioden om fjorton (14) dagar har löpt ut. Om Kunden gör invändning och Contracko inte kan erbjuda ett kommersiellt rimligt alternativ inom rimlig tid är Kundens enda rättsmedel att säga upp den berörda delen av Tjänsten efter skälig förvarning skriftligen. Vidareförpliktelser och ansvar. Contracko ålägger varje underbiträde, genom skriftligt avtal, dataskyddsförpliktelser som är minst lika skyddande som de i detta DPA (i synnerhet åtgärderna i art. 32), och kvarstår i full utsträckning som ansvarig gentemot Kunden för varje underbiträdes fullgörande av sina förpliktelser. ## 7. Registrerades rättigheter (art. 28.3 e) Med hänsyn till behandlingens karaktär ska Contracko hjälpa Kunden, genom lämpliga tekniska och organisatoriska åtgärder och i den mån det är möjligt, att fullgöra sin skyldighet att svara på förfrågningar om utövande av registrerades rättigheter (tillgång, rättelse, radering, begränsning, portabilitet, invändning), bland annat genom Tjänstens självbetjäningsfunktioner för export och radering. Om en registrerad kontaktar Contracko direkt hänvisar Contracko denne till Kunden. ## 8. Personuppgiftsincident (art. 33) Contracko ska underrätta Kunden utan oskäligt dröjsmål efter att ha blivit medveten om en personuppgiftsincident som påverkar Kundens personuppgifter, och tillhandahålla den information som rimligen finns tillgänglig för att hjälpa Kunden att fullgöra sina egna underrättelseplikter, inklusive, i den mån det finns tillgängligt, incidentens karaktär, kategorier och ungefärligt antal berörda registrerade och poster, de sannolika konsekvenserna samt de åtgärder som vidtagits eller föreslagits. Där informationen inte kan lämnas på en gång får den lämnas i etapper utan ytterligare oskäligt dröjsmål. Som personuppgiftsbiträde underrättar Contracko inte tillsynsmyndigheten eller registrerade; den skyldigheten vilar på Kunden som personuppgiftsansvarig. ## 9. Säkerhet, konsekvensbedömningar av dataskydd och föregående samråd (art. 32, 35–36) Contracko vidtar och vidmakthåller åtgärderna i Bilaga 2, med hänsyn till den tekniska utvecklingsnivån, implementeringens kostnader samt behandlingens karaktär, omfattning, sammanhang och risk. Contracko garanterar inte att dessa åtgärder är effektiva under alla omständigheter; i överensstämmelse med artikel 82.2 i GDPR är Contracko endast ansvarigt där skada beror på att Contracko inte har fullgjort förpliktelser som är särskilt riktade till personuppgiftsbiträden enligt Tillämplig dataskyddslagstiftning, eller Kundens lagliga instruktioner. Contracko hjälper Kunden, med hänsyn till behandlingens karaktär och den information som står till Contrackos förfogande, med konsekvensbedömningar av dataskydd samt vid behov föregående samråd med tillsynsmyndigheten. Contracko får ta ut en skälig avgift för hjälp enligt avsnitt 7–9 som väsentligt överstiger Tjänstens ordinära funktionalitet, dock inte där hjälpen erfordras på grund av att Contracko bryter mot detta DPA. ## 10. Granskningar (art. 28.3 h) Contracko ska tillhandahålla Kunden den information som är nödvändig för att kunna redovisa efterlevnad av detta DPA. Contracko kan tillmötesgå granskningsförfrågningar genom att tillhandahålla sina tillgängliga tredjepartsgranskningsrapporter, certifieringar eller självutvärderingar (såsom ISO 27001, SOC 2 eller CSA STAR, i den utsträckning Contracko innehar sådana) samt sina TOM-åtgärder, vilka Kunden godtar som fullgörande av granskningsrätten i den mån de på rimliga grunder tillgodoser förfrågan. Där dessa inte är rimligen tillräckliga får Kunden (eller en utsedd granskare som är bunden av sekretess och som inte är en Contracko-konkurrent) utföra en inspektion högst en gång per år, på minst 30 dagars skriftlig förvarning, under kontorstid, utan oskäligt besvär, och på Kundens kostnad. ## 11. Återlämning och radering (art. 28.3 g) Vid upphörandet av Tjänsten ska Contracko, på Kundens val, radera eller återlämna alla personuppgifter samt radera befintliga kopior, såvida inte lagring krävs enligt lag. Contracko fullgör raderingen utan oskäligt dröjsmål och i varje fall inom 90 dagar från upphörandet eller från en verifierad raderingsbegäran; kvarvarande kopior i backuper raderas i den normala säkerhetskopieringscykeln. ## 12. Internationella överföringar (GDPR kapitel V) Contrackos hosting och primära lagring finns inom EU. Relationen Kund–Contracko är intra-EES och innefattar i sig inte en begränsad överföring. Där tillhandahållandet av Tjänsten innefattar en Begränsad överföring till ett underbiträde utanför EES sker överföringen enligt en lämplig överföringsmekanism, tillämpad i följande ordning: (a) ett adekvathetsbeslut eller, där mottagaren är certifierad, EU-US Data Privacy Framework; i annat fall (b) EU:s Standardavtalsklausuler (kommissionens genomförandebeslut (EU) 2021/914), Modul tre för vidarebefordran från personuppgiftsbiträde till underbiträde (och Modul två där Kunden är dataexportör), tillsammans med den brittiska International Data Transfer Addendum och schweiziska anpassningar där relevant, samt alla kompletterande åtgärder som krävs efter en överföringskonsekvensbedömning. Varje underbiträdes plats anges i listan över underbiträden (Bilaga 1). SCC-klausulerna införlivas genom hänvisning och, där de tillämpas, har de företräde framför detta DPA (Bilaga 3 redovisar valda moduler och ifyllda bilagor). ## 13. Ansvar och tillämplig lag Varje parts ansvar enligt detta DPA är föremål för ansvarsbegränsningarna och ansvarsundantagen i Avtalet (Common Paper CSA Standard Terms v2.1), som tillämpas på detta DPA. Kunden ska hålla Contracko skadeslös för tredjemanskrav och förluster i den utsträckning de beror på Kundens otillåtna behandlingsinstruktioner, otillåtet Kundinnehåll eller Kundens brott mot detta DPA eller Tillämplig dataskyddslagstiftning. Detta DPA regleras av nederländsk lag, och domstolarna i Haag eller Amsterdam har behörighet, i överensstämmelse med Avtalet, utan hinder av tvingande skyddsregler för registrerade samt av den tillämpliga lagval/forumreglering som krävs enligt SCC-klausulerna. ## 14. Språk Detta DPA har upprättats på engelska. Om Contracko tillhandahåller en översättning har den engelska versionen företräde vid varje motstridighet eller inkonsekvens, förutom där Standardavtalsklausulerna föreskriver annat. ## Bilagor - Bilaga 1 – Behandlingsuppgifter och lista över underbiträden: behandlingsuppgifterna i avsnitt 3 och 4, tillsammans med listan över underbiträden nedan. - Bilaga 2 – Tekniska och organisatoriska åtgärder (TOM): Contrackos nuvarande tekniska och organisatoriska säkerhetsåtgärder, som tillhandahålls Kunden på begäran. - Bilaga 3 – Standardavtalsklausuler: där en Begränsad överföring grundas på SCC-klausulerna tillämpas EU:s Standardavtalsklausuler (kommissionens genomförandebeslut (EU) 2021/914), med Modul två och tre valda som tillämpligt, där behörig tillsynsmyndighet är Autoriteit Persoonsgegevens när Contracko är dataexportör (Modul tre) och Kundens behöriga tillsynsmyndighet när Kunden är dataexportör (Modul två), samt där Bilaga 2-åtgärderna utgör bilagan om tekniska och organisatoriska åtgärder. - Bilaga 4 – Säkerhets- och behandlingsredovisning: en strukturerad redovisning av Contrackos säkerhetsstandard, certifieringar, underbiträden samt praxis för lagring och radering, som tillhandahålls Kunden på begäran. ### Bilaga 1 – Lista över underbiträden Underbiträdena som Contracko anlitar för att behandla personuppgifter vid tillhandahållandet av Tjänsten. Ändringar underrättas i enlighet med avsnitt 6. | Underbiträde | Syfte | Plats | | --- | --- | --- | | Hetzner Cloud | Applikationshosting och jobbkö | Tyskland (EU) | | PlanetScale | Hanterad applikationsdatabas | USA (hostat inom EU) | | Cloudflare | Dokumentlagring, DNS, CDN och säkerhet | EU | | Google (Gemini API) | AI-assisterad avtalsanalys och extrahering | USA | | Mistral AI | AI-analys (noll datalagring) | Frankrike (EU) | | OpenAI | Reserv-AI-analys (noll datalagring) | USA | | xAI (Grok) | AI-analys (noll datalagring) | USA | | LlamaIndex (LlamaParse) | Dokumenttolkning och textextrahering | EU | | DocuSeal | Begäranden om elektronisk signering och signering | USA (hostat inom EU) | | Mailgun | Import av inkommande e-post | EU | | Bento | Transaktions- och livscykel-e-post samt supportchatt | Australien | | Stripe | Betalningar och fakturering | EU och USA | | PostHog | Produkt- och webbplatsanalys | EU | | Slack | Intern kommunikation och driftlarm | USA | ## Tillskrivning Detta personuppgiftsbiträdesavtal har, med ändringar, anpassats av Velocity Ventures B.V. från [Common Paper Data Processing Agreement](https://commonpaper.com/standards/), © Common Paper, licensierat under [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/).