Personuppgiftsbiträdesavtal (DPA)

Detta personuppgiftsbiträdesavtal (“Avtalet”) reglerar behandlingen av personuppgifter när Kunden använder Validora. Avtalet gäller mellan Kunden och Ströberg Solutions (“Validora”) och kompletterar Användarvillkoren. Avtalet gäller endast när Validora behandlar personuppgifter som personuppgiftsbiträde för Kundens räkning. Senast uppdaterad 2026-09-25.

1. Parter och roller

Kunden är personuppgiftsansvarig för de personuppgifter som Kunden laddar upp eller matar in i Tjänsten, eller som samlas in via Tjänsten på Kundens uppdrag, och som behandlas på Kundens uppdrag. Ströberg Solutions är personuppgiftsbiträde och behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. I den mån Validora behandlar personuppgifter som personuppgiftsansvarig (t.ex. för kontoadministration, fakturering och säkerhetsloggning) regleras detta i Integritetspolicyn och omfattas inte av detta Avtal.

Om Kunden själv behandlar personuppgifterna som personuppgiftsbiträde åt någon annan, till exempel en lönebyrå som hanterar lön åt sina klienter, är Validora underbiträde till Kunden. Kunden ansvarar då för att den personuppgiftsansvarige har godkänt att Validora anlitas och för att Kundens instruktioner överensstämmer med den personuppgiftsansvariges instruktioner.

2. Behandlingens art och ändamål

Föremålet för behandlingen är att tillhandahålla Tjänsten till Kunden. Behandlingen pågår under tiden Kunden använder Tjänsten och i den utsträckning som krävs för support, felsökning och uppfyllande av detta Avtal. Validora behandlar personuppgifter som ingår i de filer och uppgifter Kunden laddar upp eller matar in i Tjänsten, till exempel kontonummer, personnummer och andra lönerelaterade uppgifter. Ändamålet är att möjliggöra kontonummervalidering, filhantering, rapportering av valideringsresultat, insamling av kontonummer direkt från de registrerade inför Kundens utbetalningar till dem samt relaterade funktioner enligt Användarvillkoren. Behandlingens art kan omfatta insamling/mottagande, strukturering, lagring, analys/validering, sammanställning, överföring (t.ex. visning för Kundens användare) samt radering. Kategorier av registrerade kan omfatta Kundens anställda, uppdragstagare, leverantörer eller andra personer vars uppgifter förekommer i Kundens filer, samt personer som Kunden bjuder in att lämna sitt kontonummer, till exempel anställda, uppdragstagare, förtroendevalda eller medlemmar.

Behandlingen omfattar även uppgifter som samlas in direkt från de registrerade på Kundens uppdrag genom funktionen för kontonummersinsamling: namn och e-postadress (som Kunden anger), kontonummer och IBAN (som den registrerade lämnar respektive som härleds ur kontonumret), tekniska uppgifter om inlämningen (tidpunkt, IP-adress och webbläsare), som sparas för att det ska gå att visa när och hur en inlämning gjorts och för att upptäcka missbruk, samt en händelsehistorik för inbjudan (till exempel när den skickades, när länken öppnades och när inlämningen gjordes). Behandlingens art omfattar då även utskick av e-post till de registrerade – inbjudan, påminnelse och bekräftelse (bekräftelsen innehåller kontonumrets fyra sista siffror) – enligt Kundens instruktioner och med det avsändarnamn Kunden anger. Tjänsten visar även, för Kundens räkning, en standardinformation till de registrerade enligt artiklarna 13 och 14 i GDPR, som Kunden ansvarar för enligt Användarvillkoren.

3. Instruktioner från Kunden

Validora får endast behandla personuppgifter enligt Kundens dokumenterade instruktioner, inklusive vid överföring av personuppgifter till ett land utanför EU/EES, om inte Validora är skyldig att behandla uppgifterna enligt unionsrätt eller svensk rätt. I ett sådant fall ska Validora informera Kunden om det rättsliga kravet före behandlingen, om inte lagen förbjuder sådan information av viktiga skäl av allmänt intresse. Detta Avtal, Användarvillkoren och Kundens användning av Tjänstens funktioner utgör dokumenterade instruktioner i den omfattning de beskriver behandlingen. Instruktioner kan lämnas genom Kundens användning av Tjänsten och dess funktioner, samt genom skriftliga instruktioner till support. Validora får inte använda uppgifterna för egna ändamål och ska säkerställa att personer som behandlar personuppgifter omfattas av lämpliga sekretessåtaganden. Om Validora bedömer att en instruktion strider mot tillämplig dataskyddslagstiftning ska Validora utan onödigt dröjsmål informera Kunden. Validora ska, i skälig omfattning och med beaktande av Tjänstens natur, bistå Kunden med att uppfylla sina skyldigheter enligt GDPR, exempelvis avseende registrerades rättigheter, säkerhet, incidenthantering, konsekvensbedömningar och förhandssamråd (artiklarna 32–36 i GDPR). Om biståndet kräver väsentliga arbetsinsatser utöver normal support har Validora rätt att ta ut skälig ersättning.

Kunden kan i Tjänsten när som helst radera en persons uppgifter från kontonummersinsamlingen, till exempel efter en begäran om radering enligt artikel 17 i GDPR. Uppgifterna raderas då omedelbart från Tjänstens aktiva miljö. Validora bistår därutöver på Kundens skriftliga begäran till privacy@validora.se.

4. Säkerhet

Validora ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter, med beaktande av behandlingens art, risker och den tekniska utvecklingen, bland annat:

kryptering och skydd av data i transit (HTTPS) samt andra lämpliga skyddsåtgärder för kommunikation,
kryptering av insamlade kontonummer i lagrat skick, med en separat nyckel för varje kund som i sin tur skyddas av en huvudnyckel som förvaras åtskild från databasen,
personliga länkar till inlämningsformuläret som bygger på en slumpmässigt genererad nyckel, är tidsbegränsade och endast kan användas en gång,
åtkomstkontroll och behörighetsstyrning enligt principen om minsta privilegium samt autentisering,
loggning och övervakning för drift och säkerhet, inklusive detektion av misstänkt aktivitet och utformning av loggar för att minimera exponering av personuppgifter,
regelbundna säkerhetsuppdateringar, sårbarhetshantering och rutiner för att åtgärda identifierade risker.

5. Underbiträden

Kunden lämnar härmed ett generellt godkännande till att Validora anlitar underbiträden för behandlingen. För närvarande används följande underbiträden:

Supabase – databas och autentisering. Data lagras i Stockholm, Sverige.
Vercel – hosting av frontend. Serverfunktioner körs i Frankfurt, Tyskland.
Render – hosting av backend. Körs i Frankfurt, Tyskland.
Brevo – transaktionella e-postutskick (EU-baserat personuppgiftsbiträde).

Validora ska genom avtal ålägga varje underbiträde samma skyldigheter i fråga om dataskydd som följer av detta Avtal och ansvarar fullt ut gentemot Kunden för att underbiträdena fullgör dessa skyldigheter. Validora ska informera Kunden via e-post om planerade tillägg eller byten av underbiträden minst 30 dagar innan ändringen genomförs. Kunden har rätt att invända mot ändringen på saklig grund inom denna tid. Om parterna inte kommer överens har Kunden rätt att säga upp Tjänsten med verkan innan ändringen genomförs.

För betalningshantering använder Validora Stripe. Stripe är en självständigt personuppgiftsansvarig part och behandlar personuppgifter enligt sina egna villkor och personuppgiftspolicy. Stripe omfattas därför inte av detta personuppgiftsbiträdesavtal.

6. Överföring till tredje land

Personuppgifterna lagras inom EU/EES och behandlas i första hand där (se punkt 5). Flera av underbiträdena är bolag med etablering i USA. Om personuppgifter överförs eller görs tillgängliga utanför EU/EES sker det endast när kraven i kapitel V i GDPR är uppfyllda, med den överföringsmekanism som anges i respektive underbiträdes personuppgiftsbiträdesavtal. Validora informerar på begäran om berört land, mottagare och den överföringsmekanism som används.

7. Incidenter

Vid personuppgiftsincident ska Validora utan onödigt dröjsmål efter att ha fått kännedom om incidenten, med målet att göra det inom 48 timmar, informera Kunden och tillhandahålla tillgänglig information som krävs för att Kunden ska kunna uppfylla sina skyldigheter enligt GDPR. Informationen kan omfatta incidentens art, berörda kategorier av personuppgifter och registrerade, sannolika konsekvenser samt vidtagna eller planerade åtgärder för att hantera incidenten och minska dess negativa effekter.

8. Radering och återlämnande

När Avtalet upphör ska Validora, efter Kundens val, radera eller återlämna personuppgifter samt radera befintliga kopior från aktiv miljö inom skälig tid, såvida inte lag kräver fortsatt lagring (t.ex. bokföringsunderlag). Om säkerhetskopior används ska Validora dokumentera hur länge uppgifter kan finnas kvar i dem, skydda dem mot annan användning och säkerställa att raderade uppgifter inte återinförs i aktiv behandling vid återställning.

Under Avtalets giltighetstid gäller följande för uppgifter från kontonummersinsamlingen: ett insamlat kontonummer och IBAN raderas omedelbart när Kunden markerar inlämningen som hanterad, och annars automatiskt senast 14 dagar efter inlämningen. Namn, e-postadress, tekniska uppgifter om inlämningen (tidpunkt, IP-adress och webbläsare) och händelsehistorik raderas automatiskt senast 30 dagar efter att inlämningen har hanterats eller raderats automatiskt, eller efter att inbjudan har avslutats utan inlämning, till exempel för att länken har gått ut. De tider som gäller för närvarande visas i Tjänsten och kan vara kortare. Validora förlänger dem inte utöver dessa högsta tider utan att först ändra detta Avtal. Underbiträdet för e-postutskick (Brevo) sparar en logg över utskicken, med mottagaradress och leveranshändelser men utan mejlens innehåll, i högst en månad. Öppningar och klick registreras där endast anonymt, utan koppling till mottagaren.

9. Revision

Validora ska på begäran göra all information som behövs för att visa att skyldigheterna enligt artikel 28 i GDPR uppfylls tillgänglig för Kunden, och tillåta och bidra till revisioner, inklusive inspektioner, som genomförs av Kunden eller av en revisor som Kunden utsett. Parterna ska i första hand använda skriftlig dokumentation och fjärrbaserade kontroller när dessa är tillräckliga. Revisioner planeras i samråd, med rimligt varsel och utan åtkomst till andra kunders uppgifter. Ordinarie revisioner får normalt genomföras högst en gång per tolvmånadersperiod; ytterligare revision får genomföras när en incident, en konkret misstanke om bristande efterlevnad eller tvingande lag ger anledning till det. Kunden står för egna kostnader och, om revisionen kräver väsentliga arbetsinsatser från Validora, även skäliga kostnader för Validoras medverkan. Parterna ska iaktta sekretess kring säkerhetsrelaterad information.