Personuppgiftsbiträdesavtal

Version 6 november 2026. Det här personuppgiftsbiträdesavtalet ("Biträdesavtalet") är en del av avtalet mellan QLFR AI AB, org.nr 559389-2978, Drottninggatan 29, 103 59 Stockholm ("Qualifier") och kunden ("Kunden") om tjänsten Qualifier ("Tjänsten"). Biträdesavtalet ingår i Qualifiers allmänna villkor (qualifier.ai/sv/villkor). Det gäller för nya kunder från den dag Kunden godkänner de allmänna villkoren eller skriver under en offert som hänvisar till dem, och för befintliga kunder från versionsdagen. En engelsk version med samma innehåll finns på qualifier.ai/dpa. Om versionerna skiljer sig åt gäller den svenska.

1. Definitioner

Begrepp som personuppgift, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad, personuppgiftsincident och tillsynsmyndighet har samma innebörd som i förordning (EU) 2016/679 ("GDPR"). Med standardavtalsklausuler avses de klausuler som Europeiska kommissionen har antagit genom genomförandebeslut (EU) 2021/914. Med Kundens kontaktadress avses den mailadress som Kunden har lämnat till Qualifier för meddelanden eller, om ingen finns, mailadressen till Kundens kontoägare i Tjänsten eller, om ingen finns, mailadresserna till Kundens användare.

2. Roller

2.1 Kunden är personuppgiftsansvarig, Qualifier är personuppgiftsbiträde. Kunden bestämmer vem som kontaktas, med vilket budskap och varför. För de personuppgifter som Qualifier behandlar för Kundens räkning för att driva Kundens kampanjer ("Kunddata") är Kunden personuppgiftsansvarig och Qualifier personuppgiftsbiträde. Kunddata beskrivs i bilaga 1.

2.2 Kunden är avsändare. Mailen skickas från Kundens eget mailkonto och i Kundens namn, eller från mailkonton som Qualifier sätter upp för Kunden när parterna har kommit överens om det. Kunden är avsändare av varje mail. Kunden ansvarar för att det finns en rättslig grund för att kontakta varje prospect, för den information Kunden är skyldig prospects enligt artiklarna 13 och 14 i GDPR, och för att följa de marknadsföringsregler som gäller för de mottagare Kunden väljer. Kunden ansvarar också för att ha rätt att ansluta varje mailkonto och CRM till Tjänsten, och för att informera de personer vars mailkonton ansluts.

2.3 Qualifier är självständigt personuppgiftsansvarig för sin egen databas. Qualifier hittar prospects i professionella nätverk, på webben, i öppen företagsdata och hos dataleverantörer, och har en egen databas med kontaktuppgifter i yrkesrollen. För den insamlingen och databasen, och för sin egen kundadministration, fakturering, säkerhet och produktutveckling, är Qualifier självständigt personuppgiftsansvarig, så som beskrivs i Qualifiers integritetspolicy (qualifier.ai/sv/integritetspolicy). Biträdesavtalet gäller inte den behandlingen. Parterna är inte gemensamt personuppgiftsansvariga.

2.4 Var gränsen går. En prospects kontaktuppgifter i yrkesrollen finns i Qualifiers databas före och efter Kundens kampanj, och där är Qualifier personuppgiftsansvarig för dem. Kunddata är det som uppstår när Kunden använder Tjänsten: valet av en prospect till Kundens kampanj, mailen och svaren, statusar, anteckningar och uppgifter, det Kunden laddar upp eller skriver in, och det som synkroniseras med Kundens CRM. Kontakter som Kunden laddar upp eller synkroniserar erbjuds inte andra kunder.

2.5 Signaler som Qualifier sparar. För att ingen kund ska skriva till en adress som inte fungerar eller till en person som har tackat nej instruerar Kunden Qualifier att notera följande från Kundens kampanjer i Qualifiers databas, där Qualifier är personuppgiftsansvarig för det: att en adress studsade, att en person bad om att inte bli kontaktad, att ett autosvar visar att personen har lämnat arbetsgivaren, och om en gissad adress visade sig stämma. Qualifier får också ta fram statistik ur Kunddata där ingen person kan identifieras, spara den efter att avtalet har upphört och använda den för att driva, förbättra och beskriva Tjänsten. Statistik och exempel som Qualifier visar för andra identifierar inte Kunden. Qualifier säljer inte Kunddata.

3. Instruktioner

3.1 Qualifier behandlar Kunddata bara enligt dokumenterade instruktioner från Kunden. Avtalet, Biträdesavtalet och Kundens inställningar och åtgärder i Tjänsten är Kundens fullständiga instruktioner. Instruktionerna omfattar de överföringar som anges i bilaga 3. Qualifier använder inte Kunddata för egna ändamål utöver det som anges i punkt 2.5.

3.2 Qualifier informerar Kunden om Qualifier anser att en instruktion strider mot GDPR eller mot annan dataskyddslagstiftning i unionen eller en medlemsstat. Qualifier får pausa den berörda behandlingen tills Kunden har bekräftat eller ändrat instruktionen.

3.3 Om unionsrätt eller en medlemsstats rätt kräver att Qualifier behandlar Kunddata på annat sätt informerar Qualifier Kunden före behandlingen, om inte den rätten förbjuder det.

4. Sekretess

Qualifier ser till att alla som får behandla Kunddata har tystnadsplikt, genom avtal eller enligt lag, och bara har tillgång till det de behöver för sitt arbete.

5. Säkerhet

Qualifier vidtar de tekniska och organisatoriska åtgärderna i bilaga 2 och håller en säkerhetsnivå som är lämplig i förhållande till risken, enligt artikel 32 i GDPR. Qualifier får ändra åtgärderna så länge skyddsnivån inte sänks.

6. Underbiträden

6.1 Kunden ger Qualifier ett generellt tillstånd att anlita underbiträden. De underbiträden som används på versionsdagen står i bilaga 3.

6.2 Qualifier informerar Kunden om ett nytt eller utbytt underbiträde minst 30 dagar innan det börjar behandla Kunddata, genom mail till Kundens kontaktadress eller genom ett meddelande i Tjänsten, och genom att uppdatera bilaga 3 på qualifier.ai/sv/personuppgiftsbitradesavtal. Qualifier får ge kortare varsel när ett underbiträde måste bytas direkt för att Tjänsten ska vara säker eller fungera. Kunden får invända skriftligen inom varseltiden om det finns rimliga och dokumenterade dataskyddsskäl. Qualifier får då välja att inte använda underbiträdet för Kundens uppgifter eller föreslå en annan lösning. Om Qualifier inte gör något av det inom 30 dagar från invändningen får Kunden säga upp den del av Tjänsten som inte kan levereras utan underbiträdet och får tillbaka förskottsbetalda avgifter för den delen för tiden efter uppsägningen. Detta är Kundens enda påföljd vid en invändning.

6.3 Qualifier binder varje underbiträde med ett skriftligt avtal med dataskyddsskyldigheter som motsvarar dem i Biträdesavtalet, och ansvarar gentemot Kunden för sina underbiträden.

7. Överföring utanför EU/EES

7.1 Tjänstens servrar, databas och säkerhetskopior finns inom EU. Vissa underbiträden, bland annat leverantörerna av AI-språkmodeller, behandlar uppgifter utanför EU/EES.

7.2 Qualifier för över Kunddata utanför EU/EES bara när kapitel V i GDPR följs: till ett land med ett beslut om adekvat skyddsnivå från Europeiska kommissionen, till en mottagare i USA som är certifierad enligt EU–US Data Privacy Framework, eller med standardavtalsklausuler. Bilaga 3 anger var varje underbiträde behandlar uppgifter och vilken grund som gäller för överföringen.

8. Hjälp till Kunden

8.1 Registrerade. Om en registrerad kontaktar Qualifier om Kunddata vidarebefordrar Qualifier begäran till Kunden utan onödigt dröjsmål och besvarar den inte själv, om inte Kunden har bett om det. Med hänsyn till behandlingens art hjälper Qualifier Kunden att besvara en begäran enligt kapitel III i GDPR med funktionerna i Tjänsten och, där de inte räcker, med rimlig hjälp.

8.2 Avregistrering. När en mottagare ber om att inte bli kontaktad stoppar Qualifier fler mail till mottagaren genom Tjänsten. Kunden godtar att Qualifier, som självständigt personuppgiftsansvarig, sparar en spärrnotering så att begäran respekteras.

8.3 Konsekvensbedömning och tillsynsmyndighet. Qualifier ger Kunden den information som rimligen behövs för Kundens skyldigheter enligt artiklarna 32 till 36 i GDPR, bland annat konsekvensbedömningar och förhandssamråd, i den del de gäller Tjänsten.

8.4 Kostnad. Hjälp enligt punkterna 8.1, 8.3 och 10 som funktionerna i Tjänsten och Qualifiers standarddokumentation inte täcker debiteras enligt Qualifiers gällande timpris, efter att Qualifier har meddelat Kunden den förväntade kostnaden. Qualifier tar inte betalt för hjälp som beror på Qualifiers eget brott mot Biträdesavtalet.

9. Personuppgiftsincident

Qualifier underrättar Kunden på dess kontaktadress utan onödigt dröjsmål och senast inom 72 timmar efter att ha fått kännedom om en personuppgiftsincident som berör Kunddata. Underrättelsen beskriver, så långt det är känt, incidentens art, kategorierna av och det ungefärliga antalet registrerade och uppgifter, de sannolika följderna och de åtgärder som har vidtagits eller föreslås. Qualifier kompletterar med information när den finns. En underrättelse är inget medgivande av fel eller ansvar.

10. Granskning

10.1 Qualifier ger Kunden den information som behövs för att visa att artikel 28 i GDPR följs.

10.2 Kunden använder i första hand informationen enligt 10.1 och Qualifiers skriftliga svar. Om det inte räcker för att visa att kraven följs får Kunden granska Qualifiers behandling av Kunddata, själv eller genom en oberoende granskare som har tystnadsplikt och inte är konkurrent till Qualifier, högst en gång per år och med minst 30 dagars skriftligt varsel, om inte en tillsynsmyndighet kräver annat eller en personuppgiftsincident har inträffat. Granskningen sker under arbetstid, får inte störa Tjänsten eller röja andra kunders uppgifter, och bekostas av Kunden. Kunden delar granskningsrapporten med Qualifier och behandlar den konfidentiellt.

11. Avtalstid, återlämnande och radering

11.1 Biträdesavtalet gäller så länge Qualifier behandlar Kunddata. Om Kunden inte har någon löpande betald period upphör avtalet när Kunden ber Qualifier att stänga kontot, eller när ingen av Kundens användare har loggat in på 24 månader.

11.2 När avtalet upphör väljer Kunden om Kunddata ska raderas eller först lämnas ut i ett vanligt filformat, genom att skriva till support@qualifier.ai. Qualifier utför valet inom 30 dagar från begäran. Om Kunden inte har gjort något val raderar Qualifier Kunddata senast 90 dagar efter att avtalet upphörde. Kopior i säkerhetskopior raderas automatiskt när säkerhetskopian löper ut, senast 22 dagar efter att kopian togs. Om en säkerhetskopia återläses raderar Qualifier uppgifterna igen innan Tjänsten används. Åtkomstnycklar och inloggningsuppgifter till de konton Kunden har anslutit raderas när avtalet upphör. Spår i tekniska loggar raderas genom de automatiska lagringstiderna i bilaga 2. Radering sker inte om unionsrätt eller en medlemsstats rätt kräver att uppgifterna sparas.

11.3 Punkt 11.2 gäller inte uppgifter som Qualifier har som självständigt personuppgiftsansvarig enligt punkt 2.3: kontaktuppgifter i yrkesrollen i Qualifiers egen databas, spärrnoteringar, signalerna och statistiken i punkt 2.5, Kundens kontaktpersoner och det underlag som Qualifier måste spara enligt bokföringslagen.

12. Ansvar

12.1 Varje part står för de sanktionsavgifter som påförs den.

12.2 En part som har betalat ersättning till en registrerad för en skada som den andra parten ansvarar för får kräva tillbaka den delen av den andra parten, enligt artikel 82.5 i GDPR.

12.3 Kunden håller Qualifier skadeslöst för krav från registrerade, mottagare och myndigheter som beror på Kundens instruktioner, Kundens val av mottagare, innehållet i Kundens mail, eller på att rättslig grund eller information till registrerade saknas.

12.4 Ansvarsbegränsningen i de allmänna villkoren gäller för allt Qualifiers ansvar enligt Biträdesavtalet, även enligt punkt 12.2 och enligt åtaganden om skadeslöshet i de allmänna villkoren. Den gäller inte vid uppsåt eller grov vårdslöshet.

12.5 Ingenting i Biträdesavtalet begränsar en registrerads rättigheter eller en parts ansvar gentemot en tillsynsmyndighet enligt GDPR.

13. Ändringar, företräde, lag och tvister

13.1 Qualifier får ändra Biträdesavtalet på samma sätt som de allmänna villkoren. En ändring får inte sänka skyddet för Kunddata.

13.2 Om Biträdesavtalet och resten av avtalet strider mot varandra i fråga om behandling av personuppgifter gäller Biträdesavtalet. Punkt 6.2 gäller trots det som de allmänna villkoren säger om återbetalning. Tillämplig lag och tvistlösning följer de allmänna villkoren.

Bilaga 1. Beskrivning av behandlingen

Bilaga 2. Tekniska och organisatoriska åtgärder

Här står bara åtgärder som finns på plats på versionsdagen.

• Krypterade anslutningar (TLS) till Tjänsten och mellan applikation och databas.
• Databasen tar bara emot anslutningar från applikationsservern. Läsningar för felsökning görs med en databasroll som bara kan läsa.
• Åtkomstnycklar till anslutna mailkonton är krypterade med en nyckel som finns i Google Cloud Key Management Service i regionen europe-west4 (Nederländerna).
• Databasen säkerhetskopieras varje natt. Kopian krypteras innan den lämnar databasservern, och nyckeln som krävs för att läsa den finns inte på servrarna. Återläsning testas varje kvartal.
• För att logga in i Tjänsten som en kunds användare krävs ett administratörskonto hos Qualifier, och varje start och avslut loggas. Produktionens hemligheter kan bara dekrypteras med en nyckel som en namngiven person hos Qualifier har och med byggsystemets nyckel.
• Varje kunds data är logiskt åtskild i Tjänsten. Användare når bara sitt eget företags data.
• Inloggning sker med en engångslänk till användarens mailadress eller med användarens Google- eller Microsoft-konto. Sessionskakor är krypterade.
• Exportfiler med Kunddata lagras privat och lämnas bara ut till inloggade användare med behörighet.
• Lagringstider som Tjänsten tillämpar automatiskt: besökares råa IP-adresser 30 dagar, händelseloggar om prospects 90 dagar, felrapporter 14 dagar, tekniska prestandamätningar 30 till 60 dagar, historik över ändringar i poster 12 månader, användares IP-historik vid inloggning 12 månader och säkerhetskopior 22 dagar. Applikationsloggar på servrarna skrivs över löpande när de når en fast storlek.
• Utskick pausas automatiskt när andelen studsar stiger, och varje adress verifieras före utskick.
• En begäran om avregistrering stoppar fler mail till mottagaren.