Personuppgiftsbiträdesavtal för Projnod

Version: 2.1 Gäller från: 2026-07-28 Personuppgiftsbiträde: JEJO Studios AB, org.nr 559586-6343, Egnahemsvägen 5, 615 31 Valdemarsvik Kontakt: support@projnod.se

1. Parter och avtalets ställning

Detta personuppgiftsbiträdesavtal (”PUB-avtalet”) ingås mellan:

• det företag eller den organisation som anges som kund i beställningen eller huvudavtalet (”Kunden” eller ”Personuppgiftsansvarig”), och
• JEJO Studios AB, org.nr 559586-6343 (”Projnod” eller ”Personuppgiftsbiträdet”).

PUB-avtalet är en integrerad del av avtalet om Projnod (”Huvudavtalet”). Det gäller när Projnod behandlar personuppgifter för Kundens räkning.

Vid motstridighet har PUB-avtalet företräde framför Huvudavtalet i frågor om behandling av personuppgifter. Kundens dokumenterade instruktioner har företräde i den utsträckning de är förenliga med Huvudavtalet, detta PUB-avtal och tillämplig dataskyddslagstiftning.

Begrepp som personuppgift, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad, personuppgiftsincident och tillsynsmyndighet har samma betydelse som i EU:s dataskyddsförordning (GDPR).

2. Roller och ansvar

Kunden bestämmer ändamålen och de väsentliga medlen för behandlingen av Kunddata och är normalt personuppgiftsansvarig.

Projnod behandlar personuppgifter endast:

• för Kundens räkning,
• enligt Kundens dokumenterade instruktioner,
• för att fullgöra Huvudavtalet och detta PUB-avtal, och
• i den utsträckning behandling krävs enligt unionsrätt eller svensk rätt.

Kunden ansvarar för att behandlingen är laglig, att registrerade får nödvändig information, att rättslig grund finns, att uppgifterna är adekvata och relevanta samt att lämpliga lagringstider och behörigheter beslutas.

3. Behandlingens föremål, art, ändamål och varaktighet

Närmare behandlingsuppgifter anges i Bilaga 1.

4. Dokumenterade instruktioner

Huvudavtalet, detta PUB-avtal, Kundens konfiguration och användning av tjänstens funktioner samt skriftliga anvisningar från en behörig kontaktperson utgör Kundens dokumenterade instruktioner.

Instruktioner kan lämnas via tjänstens funktioner eller skriftligen till support@projnod.se. En instruktion som går utöver tjänstens normala funktion kan kräva särskild överenskommelse om genomförande, säkerhet, tid och kostnad.

Projnod ska utan onödigt dröjsmål informera Kunden om Projnod bedömer att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning. Projnod får avvakta med instruktionen tills den har förtydligats, ändrats eller rättsligt stöd har visats.

Om Projnod enligt unionsrätt eller svensk rätt måste behandla personuppgifter utöver Kundens instruktioner ska Projnod, innan behandlingen påbörjas, informera Kunden om det rättsliga kravet, om inte lagen förbjuder sådan information av viktiga allmänintressen.

Projnod får inte behandla personuppgifter för egna oförenliga ändamål inom ramen för rollen som personuppgiftsbiträde.

5. Konfidentialitet och behörig personal

Projnod ska säkerställa att personer som får behandla Kundens personuppgifter:

• endast får åtkomst när det behövs för deras arbetsuppgifter,
• är bundna av avtalad eller lagstadgad sekretess,
• har fått relevanta instruktioner om säkerhet och dataskydd, och
• inte behandlar uppgifterna utanför Kundens instruktioner.

Sekretesskyldigheten ska bestå efter att personens uppdrag eller anställning har upphört.

6. Tekniska och organisatoriska säkerhetsåtgärder

Projnod ska införa och upprätthålla lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR med hänsyn till:

• teknikens utveckling,
• genomförandekostnader,
• behandlingens art, omfattning, sammanhang och ändamål, och
• risken för de registrerades rättigheter och friheter.

De nuvarande huvudåtgärderna anges i Bilaga 2. Projnod får ändra en säkerhetsåtgärd om den samlade skyddsnivån inte väsentligt försämras.

Kunden ansvarar för de säkerhetsåtgärder som ligger under Kundens kontroll, bland annat användaradministration, val av behörigheter, säkra enheter, kontoskydd, intern information och konfiguration av kundvalda integrationer.

7. Underbiträden

Kunden ger Projnod ett allmänt skriftligt förhandstillstånd att anlita de underbiträden som anges i Bilaga 3.

Projnod ska:

• endast anlita ett underbiträde efter en dokumenterad bedömning,
• ingå ett skriftligt avtal som ålägger underbiträdet dataskyddsskyldigheter som i sak motsvarar de relevanta skyldigheterna i detta PUB-avtal,
• begränsa underbiträdets behandling till vad som krävs för dess uppdrag, och
• förbli ansvarigt gentemot Kunden för underbiträdets fullgörande av sina dataskyddsskyldigheter.

Projnod ska informera Kunden minst 30 dagar innan ett nytt eller ersatt underbiträde börjar behandla Kundens personuppgifter. Informationen får lämnas via e-post, tjänsten eller en publicerad lista med prenumerations- eller aviseringsfunktion.

Kunden får under aviseringsperioden invända på sakliga dataskyddsgrunder. Parterna ska då i god tro försöka hitta en rimlig lösning. Om någon lösning inte kan nås får Kunden säga upp den del av tjänsten som påverkas av ändringen innan underbiträdet börjar användas, utan särskild uppsägningsavgift för den delen.

8. Kundvalda mottagare och integrationer

När Kunden aktiverar Fortnox eller en annan integration instruerar Kunden Projnod att överföra de valda uppgifterna till den externa tjänsten.

Fortnox är inte upptaget som Projnods underbiträde eftersom överföringen initieras och styrs av Kunden till Kundens eget Fortnox-konto. Den externa tjänstens roll och ansvar följer av Kundens avtal med leverantören och tillämplig lag.

Projnod ansvarar för att genomföra överföringen på ett rimligt säkert sätt inom den del av integrationen som Projnod kontrollerar. Kunden ansvarar för behörighet, rättsligt stöd, urval, mappning och användning efter att uppgifterna har tagits emot av den externa tjänsten.

9. Registrerades rättigheter

Om Projnod tar emot en begäran från en registrerad som tydligt avser Kundens behandling ska Projnod, utan att själv avgöra begäran:

• hänvisa den registrerade till Kunden eller vidarebefordra begäran till Kunden, om det är möjligt och lämpligt,
• inte lämna ut eller ändra Kunddata utan Kundens instruktion, om inte lag kräver det, och
• med hänsyn till behandlingens art hjälpa Kunden genom lämpliga tekniska och organisatoriska åtgärder så att Kunden kan svara på begäran enligt kapitel III GDPR.

Hjälpen kan omfatta sökning, export, rättelse, begränsning och radering i den utsträckning funktionerna och tillgängliga uppgifter medger det.

10. Hjälp med säkerhet, konsekvensbedömning och tillsyn

Projnod ska, med hänsyn till behandlingens art och den information som är tillgänglig för Projnod, ge Kunden skälig hjälp med att fullgöra skyldigheter enligt artiklarna 32–36 GDPR, bland annat:

• säkerhet i behandlingen,
• bedömning och dokumentation av personuppgiftsincidenter,
• konsekvensbedömning avseende dataskydd,
• förhandssamråd med tillsynsmyndighet, och
• relevant information om tjänstens behandling, underbiträden och säkerhetsåtgärder.

Projnod behöver inte utföra Kundens rättsliga bedömning eller agera som Kundens dataskyddsombud. Om hjälpen går utöver normal support får Projnod ta ut skälig ersättning enligt överenskommelse, utom när behovet huvudsakligen har orsakats av Projnods avtalsbrott.

11. Personuppgiftsincidenter

Projnod ska underrätta Kunden utan onödigt dröjsmål efter att Projnod har fått vetskap om en personuppgiftsincident som rör Kundens personuppgifter.

Projnod ska inte invänta en fullständig utredning innan den första underrättelsen lämnas. Informationen får lämnas stegvis och ska, i den utsträckning den är tillgänglig, omfatta:

• incidentens art,
• berörda kategorier och ungefärligt antal registrerade,
• berörda kategorier och ungefärligt antal personuppgiftsposter,
• sannolika konsekvenser,
• vidtagna eller föreslagna åtgärder för att hantera och begränsa incidenten,
• relevant tidslinje, och
• kontaktväg för uppföljning.

Projnod ska vidta skäliga åtgärder för att stoppa, begränsa, utreda och dokumentera incidenten samt bevara relevant bevisning.

Kunden ansvarar för bedömning och eventuell anmälan till tillsynsmyndighet och information till registrerade, om inte parterna skriftligen har avtalat något annat. Projnod ska ge den hjälp som skäligen krävs för dessa bedömningar.

En underrättelse innebär inte att Projnod medger fel eller ansvar.

12. Dokumentation, information och revision

Projnod ska lämna den information som skäligen behövs för att visa att skyldigheterna enligt artikel 28 GDPR och detta PUB-avtal följs.

Revision ska i första hand genomföras genom tillgängliga avtal, säkerhetsbeskrivningar, leverantörsdokumentation, frågeformulär och oberoende rapporter eller intyg.

Kunden har rätt att själv eller genom en oberoende revisor genomföra en revision, inklusive inspektion, om dokumentationen inte ger tillräckligt underlag eller om det finns en konkret misstanke om allvarlig brist. Revisionen ska:

• föregås av minst 30 dagars skriftligt varsel, utom vid allvarlig incident eller myndighetskrav,
• normalt inte ske oftare än en gång per tolvmånadersperiod,
• genomföras under normal arbetstid och utan oskälig störning,
• begränsas till system, processer och uppgifter som är relevanta för Kunden,
• skydda andra kunders uppgifter och Projnods säkerhetshemligheter, och
• utföras av en revisor som omfattas av sekretess och inte är en direkt konkurrent till Projnod.

Kunden står för sina och Projnods skäliga kostnader för en kundinitierad revision, utom om revisionen visar ett väsentligt avtalsbrott av Projnod.

Projnod ska informera Kunden om Projnod bedömer att en revisionsinstruktion strider mot tillämplig dataskyddslagstiftning.

13. Myndighets- och tredjepartsbegäranden

Projnod ska inte lämna ut Kundens personuppgifter till en myndighet eller annan tredje man om inte:

• Kunden har instruerat det,
• utlämnandet krävs enligt bindande lag eller beslut, eller
• det är nödvändigt för att skydda liv, fysisk säkerhet eller tjänsten i en akut situation och utlämnandet är lagligt.

När lagen tillåter det ska Projnod informera Kunden innan utlämnande och begränsa utlämnandet till vad som krävs. Projnod ska, när det är rimligt, invända mot en uppenbart oproportionerlig eller rättsstridig begäran.

14. Överföring till tredjeland

Projnod ska i första hand välja lagring i EU/EES där tjänsten och vald leverantör medger det. Kunden är införstådd med att leverantörer, supportfunktioner eller underleverantörer kan behandla personuppgifter utanför EU/EES.

Projnod får endast överföra eller låta överföra personuppgifter till tredjeland när det finns en giltig rättslig grund för överföringen, exempelvis:

• beslut om adekvat skyddsnivå,
• EU-kommissionens standardavtalsklausuler med tillämplig modul, eller
• annan mekanism som är tillåten enligt kapitel V GDPR.

Projnod ska vid behov bedöma överföringsrisken och införa kompletterande skyddsåtgärder. Kunden kan begära information om tillämplig överföringsmekanism, med nödvändiga sekretessbegränsningar.

Kundens aktivering av en extern integration utgör en dokumenterad instruktion att genomföra den överföring som funktionen tydligt innebär.

15. Återlämnande och radering

Under avtalstiden får Kunden använda tillgängliga exportfunktioner eller begära en rimlig export från support@projnod.se.

När Huvudavtalet upphör ska Projnod, enligt Kundens val:

1. återlämna eller göra personuppgifterna tillgängliga för export och därefter radera dem, eller
2. radera personuppgifterna utan föregående export.

Om Kunden inte lämnar en särskild instruktion gäller alternativ 1 med den 30 dagar långa exportperiod som anges i Huvudavtalet. Efter exportperioden ska Projnod radera eller anonymisera aktiva kopior och se till att underbiträden gör motsvarande.

Projnod ska radera befintliga kopior, om inte unionsrätt eller svensk rätt kräver fortsatt lagring. Uppgifter som måste behållas ska isoleras, åtkomsten begränsas och uppgifterna endast behandlas för det rättsliga kravet.

Personuppgifter i säkerhetskopior raderas genom ordinarie rotation och överskrivning. De ska fortsatt omfattas av detta PUB-avtal och får inte återföras till aktiv drift annat än när det behövs för återställning, säkerhet eller rättsligt krav. Om en backup återställs ska gallringen åter genomföras så snart det är praktiskt möjligt.

På Kundens begäran ska Projnod bekräfta när den avtalade raderingen har genomförts.

16. Ansvar

Parternas ansvar regleras av Huvudavtalet, utan att det inskränker registrerades rättigheter eller ansvar som följer direkt av GDPR eller annan tvingande lag.

En part som får ett krav, myndighetsärende eller misstänker en överträdelse som kan beröra den andra parten ska informera den andra parten utan onödigt dröjsmål och ge skälig möjlighet att medverka i hanteringen.

17. Giltighet och upphörande

PUB-avtalet gäller från den tidpunkt då Projnod börjar behandla personuppgifter för Kundens räkning och så länge Projnod eller ett underbiträde innehar sådana personuppgifter.

Bestämmelser om sekretess, säkerhet, revision, ansvar och radering fortsätter att gälla efter Huvudavtalets upphörande i den utsträckning de fortfarande är relevanta.

Bilaga 1 – Behandlingsinstruktion och kategorier

1. Registrerade

Behandlingen kan avse:

• Kundens anställda, arbetssökande, konsulter och andra användare,
• Kundens befintliga och potentiella kunder,
• kontaktpersoner hos kunder och leverantörer,
• leverantörer, underentreprenörer och samarbetspartner,
• personer som förekommer i projekt, dokument, offerter, fakturor och supportärenden, och
• andra personer vars uppgifter Kunden lagligen väljer att behandla i tjänsten.

2. Personuppgifter

Behandlingen kan omfatta:

• namn, kontaktuppgifter, adress, roll, titel och företagskoppling,
• användar-ID, kontostatus, behörighet och sessions-/säkerhetsuppgifter,
• projekt, arbetsuppgifter, planering, kalenderposter och dokument,
• tidrapporter, närvaro och frånvaro,
• kund-, leverantörs- och kontaktregister,
• offert-, order-, artikel-, faktura-, betalnings- och bokföringsrelaterade referenser,
• bankgiro, plusgiro, IBAN, OCR-nummer och andra uppgifter som förekommer på fakturor,
• kommentarer, anteckningar, filer, bilder och meddelanden, och
• teknisk metadata och auditloggar.

3. Särskilda kategorier och skyddsvärda uppgifter

Projnod är inte avsett för diagnoser, journaluppgifter, biometrisk identifiering, uppgifter om lagöverträdelser eller andra särskilt skyddsvärda register.

Kundens användning av frånvarofunktionen kan ändå innebära behandling av begränsade hälsouppgifter, exempelvis att en person är sjukfrånvarande. Kunden instruerar Projnod att behandla sådana uppgifter endast när behandlingen är nödvändig och laglig. Kunden ska begränsa fritext och åtkomst och ska inte registrera diagnos eller medicinska detaljer utan separat skriftlig överenskommelse och dokumenterad riskbedömning.

4. Kundens instruktioner om lagring

Kunden bestämmer lagringstid inom tjänstens funktioner och enligt sin lagliga gallringsplan. Om ingen särskild instruktion lämnas sparas uppgifter under Huvudavtalets löptid och exportperioden och raderas därefter enligt avsnitt 15.

Bilaga 2 – Tekniska och organisatoriska åtgärder

Projnods säkerhetsåtgärder omfattar, med förbehåll för löpande förbättringar:

A. Styrning och åtkomst

• individuella användarkonton,
• rollbaserad behörighetsstyrning,
• företags-/tenantkoppling av data,
• serverbaserad validering av session och företagsmedlemskap,
• Row Level Security i databasen där det är relevant,
• principen om minsta behörighet för administrativ åtkomst,
• regelbunden borttagning eller ändring av åtkomst när behovet upphör, och
• sekretessförpliktelser för personer med administrativ åtkomst.

B. Autentisering och sessionsskydd

• autentisering via Supabase Auth,
• HTTPS/TLS för överföring,
• säkra, HttpOnly- och SameSite-skyddade sessionscookies där tillämpligt,
• sessionskontroller och möjlighet att spärra eller ersätta en aktiv webbsession,
• rate limiting och andra skydd mot upprepade obehöriga försök där det är relevant, och
• rutiner för att återkalla komprometterade nycklar och konton.

C. Dataskydd i systemet

• logisk kundseparation,
• åtkomstkontroll både i serverlogik och databasregler,
• minimering av personuppgifter i vyer och loggar,
• kryptering i transit och leverantörernas skydd för lagring,
• begränsning av produktionsåtkomst,
• versions- och ändringsstyrning av kod, och
• testning av säkerhetskritiska behörighetsflöden.

D. Loggning och spårbarhet

• auditfält och säkerhetsloggar för relevanta händelser,
• begränsad loggretention,
• skydd mot att hemligheter, fullständiga autentiseringstoken eller onödiga personuppgifter skrivs till logg, och
• möjlighet att utreda incidenter och obehöriga aktiviteter.

E. Tillgänglighet, backup och återställning

• säkerhetskopiering och återställningsmöjligheter enligt den aktuella leverantörs- och abonnemangskonfigurationen,
• separata rutiner för databas och fil-/objektlagring,
• övervakning av drift och fel,
• återställnings- och incidentrutiner, och
• regelbunden kontroll av att kritiska dataflöden och återställningsberoenden är dokumenterade.

Databasbackup omfattar inte automatiskt filobjekt i all objektlagring. Projnod ska därför hantera databas- och filradering samt återställning som separata dataflöden.

F. Incident- och kontinuitetshantering

• intern kontakt- och eskaleringsväg,
• skyndsam begränsning och utredning,
• dokumentation av incidentens omfattning, konsekvenser och åtgärder,
• underrättelse till berörda kunder utan onödigt dröjsmål, och
• lärande och korrigerande åtgärder efter incident.

G. Leverantörer och utveckling

• dataskydds- och säkerhetsbedömning före användning av ett nytt underbiträde,
• avtal som reglerar konfidentialitet, säkerhet, incidenter och radering,
• kontroll av tredjelandsöverföring,
• kodgranskning, testning och kontrollerad driftsättning, och
• hantering av kända sårbarheter och beroenden utifrån risk.

Bilaga 3 – Godkända underbiträden

Listan gäller från versionsdatumet. Projnod ska uppdatera Kunden enligt avsnitt 7 innan ett nytt eller ersatt underbiträde börjar behandla Kundens personuppgifter.

Kundvalda integrationer som inte anges som Projnods underbiträden

Fortnox: Kunden aktiverar integrationen till sitt eget Fortnox-konto och instruerar vilka uppgifter som ska överföras. Fortnox behandlar uppgifterna enligt Kundens avtal med Fortnox och anges därför inte i tabellen ovan som ett av Projnod anlitat underbiträde.