Personuppgiftsbiträdesavtal för CRMdata Tycho

• Version: [att bekräfta: till exempel 2026-11]
• Gäller från: [att bekräfta]
• Adress till den här versionen: [att bekräfta: till exempel https://crmdata.se/bitradesavtal/2026-11]

Om avtalet

Avtalet gäller personuppgifterna som kunden lägger in i CRMdata Tycho. Kunden är personuppgiftsansvarig och CRMdata i Sverige AB är personuppgiftsbiträde (GDPR artikel 28).

• Del A är EU-kommissionens standardavtalsklausuler enligt genomförandebeslut (EU) 2021/915, ordagrant ur den svenska versionen i Europeiska unionens officiella tidning, EUT L 199, 7.6.2021, s. 18. Texten hämtades 2026-10-16 från Publikationsbyrån (http://publications.europa.eu/resource/celex/32021D0915), som har samma text som EUR-Lex, CELEX 32021D0915. Där klausulerna låter parterna välja står bara det valda alternativet:
  • klausul 1 a: alternativet förordning (EU) 2016/679, alltså GDPR,
  • klausul 5, som är frivillig, är med oförändrad,
  • klausul 7.7 a: alternativ 2, allmänt skriftligt tillstånd, med besked 30 dagar i förväg,
  • klausul 8 c 4, 9.1 b, 9.1 c och sista stycket i 9.2: alternativ 1, hänvisningarna till förordning (EU) 2016/679.
• Del B är tillägg, som klausul 2 b tillåter. Skulle något i del B strida mot klausulerna gäller klausulerna (klausul 4).
• Bilaga I–IV är ifyllda utifrån hur CRMdata Tycho fungerar 2026-10-16. Där appen ännu inte gör det som står, står [att bekräfta].

För kunderna i nuvarande CRMdata (app.crmdata.se) används samma del A, men del B och bilaga I byts mot dem i avsnittet Nuvarande CRMdata sist i avtalet, och bilaga II–IV ska beskriva det systemet och dess leverantörer [att bekräfta: rapportens punkt 5].

Del A. Standardavtalsklausuler

AVSNITT I

Klausul 1

Syfte och tillämpningsområde

a) Syftet med dessa standardavtalsklausuler (klausulerna) är att säkerställa överensstämmelse med artikel 28.3 och 28.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.

b) De personuppgiftsansvariga och de personuppgiftsbiträden som anges i bilaga I har kommit överens om att tillämpa dessa klausuler för att säkerställa efterlevnaden av artikel 28.3 och 28.4 i förordning (EU) 2016/679 och/eller artikel 29.3 och 29.4 i förordning (EU) 2018/1725.

c) Dessa klausuler är tillämpliga på behandling av personuppgifter i enlighet med bilaga II.

d) Bilagorna I–IV utgör en integrerad del av klausulerna.

e) Dessa klausuler påverkar inte de skyldigheter som den personuppgiftsansvarige har enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

f) Genom dessa klausuler säkerställs inte i sig att skyldigheterna i samband med internationella överföringar i enlighet med kapitel V i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 fullgörs.

Klausul 2

Klausulernas oföränderlighet

a) Parterna förbinder sig att inte ändra klausulerna, förutom för att lägga till information i bilagorna eller uppdatera informationen i dem.

b) Detta hindrar inte parterna från att inkludera de standardavtalsklausuler som fastställs i dessa klausuler i ett mer omfattande avtal eller att lägga till andra klausuler eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt strider mot klausulerna eller begränsar de registrerades grundläggande rättigheter eller friheter.

Klausul 3

Tolkning

a) Om de begrepp som definieras i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 används i dessa klausuler ska dessa begrepp ha samma betydelse som i den förordningen.

b) Dessa klausuler ska läsas och tolkas mot bakgrund av bestämmelserna i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725.

c) Dessa klausuler ska inte tolkas så att de strider mot de rättigheter och skyldigheter som föreskrivs i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 eller påverkar de registrerades grundläggande rättigheter eller friheter.

Klausul 4

Hierarki

Om dessa klausuler strider mot bestämmelser i tillhörande avtal mellan parterna som gäller vid den tidpunkt då dessa klausuler avtalas eller ingås därefter, ska dessa klausuler ha företräde.

Klausul 5 – Frivillig

Dockningsklausul

a) Varje enhet som inte är part i dessa klausuler får, med godkännande från samtliga parter, när som helst ansluta sig till dessa klausuler som personuppgiftsansvarig eller personuppgiftsbiträde genom att fylla i bilagorna och underteckna bilaga I.

b) När de bilagor som avses i led a har fyllts i och undertecknats ska den anslutande enheten behandlas som part i dessa klausuler och ha de rättigheter och skyldigheter som gäller personuppgiftsansvariga eller personuppgiftsbiträden i överensstämmelse med dess intagande i bilaga I.

c) Den anslutande enheten ska inte ha några rättigheter eller skyldigheter som följer av dessa klausuler innan den blir part.

AVSNITT II

PARTERNAS SKYLDIGHETER

Klausul 6

Beskrivning av behandlingen

Närmare uppgifter om behandlingen, särskilt kategorierna av personuppgifter och de ändamål för vilka personuppgifterna behandlas för den personuppgiftsansvariges räkning, anges i bilaga II.

Klausul 7

Parternas skyldigheter

7.1 Instruktioner

a) Personuppgiftsbiträdet får endast behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av. I så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida detta inte är förbjudet med hänvisning till ett viktigt allmänintresse enligt denna rätt. Den personuppgiftsansvarige får även ge efterföljande instruktioner under hela den tid som personuppgifterna behandlas. Dessa instruktioner ska alltid dokumenteras.

b) Personuppgiftsbiträdet ska omedelbart informera den personuppgiftsansvarige om personuppgiftsbiträdet anser att en instruktion från den personuppgiftsansvarige strider mot förordning (EU) 2016/679 eller förordning (EU) 2018/1725 eller mot unionens eller medlemsstaternas tillämpliga dataskyddsbestämmelser.

7.2 Ändamålsbegränsning

Personuppgiftsbiträdet får behandla personuppgifterna endast för det eller de specifika ändamål med behandlingen som anges i bilaga II, såvida det inte erhåller ytterligare instruktioner från den personuppgiftsansvarige.

7.3 Varaktigheten för behandlingen av personuppgifter

Behandling som utförs av personuppgiftsbiträdet får endast äga rum under den tid som anges i bilaga II.

7.4 Säkerhet i samband med behandlingen

a) Personuppgiftsbiträdet ska åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga III för att säkerställa säkerheten för personuppgifterna. Detta omfattar att skydda uppgifterna mot säkerhetsincidenter som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömningen av lämplig säkerhetsnivå ska parterna ta vederbörlig hänsyn till den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerade.

b) Personuppgiftsbiträdet ska bevilja sin personal tillgång till de personuppgifter som behandlas endast i den mån det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Personuppgiftsbiträdet ska säkerställa att personer med behörighet att behandla de erhållna personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

7.5 Känsliga uppgifter

Om behandlingen omfattar personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller en persons sexualliv eller sexuella läggning eller uppgifter om fällande domar i brottmål och överträdelser (känsliga uppgifter), ska personuppgiftsbiträdet tillämpa särskilda begränsningar och/eller ytterligare skyddsåtgärder.

7.6 Dokumentation och efterlevnad

a) Parterna ska kunna visa att dessa klausuler följs.

b) Personuppgiftsbiträdet ska skyndsamt och på lämpligt sätt hantera förfrågningar från den personuppgiftsansvarige om behandlingen av uppgifter i enlighet med dessa klausuler.

c) Personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som behövs för att påvisa efterlevnad av de skyldigheter som fastställs i dessa klausuler och härrör direkt från förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725. På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet även tillåta och bidra till granskningar av den behandling som omfattas av dessa klausuler, med rimliga intervall eller om det finns tecken på bristande efterlevnad. Vid beslut om översyn eller granskning får den personuppgiftsansvarige ta hänsyn till relevanta certifieringar som personuppgiftsbiträdet innehar.

d) Den personuppgiftsansvarige kan välja att själv utföra granskningen eller bemyndiga en oberoende revisor. Granskningar får även omfatta inspektioner i personuppgiftsbiträdets lokaler eller fysiska anläggningar och ska vid behov utföras med rimligt varsel.

e) Parterna ska på begäran göra den information som avses i denna klausul, inklusive resultaten av eventuella granskningar, tillgänglig för den (de) behöriga tillsynsmyndigheten(-erna).

7.7 Användning av underleverantörer

a) ALTERNATIV 2: ALLMÄNT SKRIFTLIGT TILLSTÅND: Personuppgiftsbiträdet har erhållit ett allmänt tillstånd från den personuppgiftsansvarige att anlita underleverantörer från en överenskommen förteckning. Personuppgiftsbiträdet ska skriftligen informera den personuppgiftsansvarige om eventuella planerade ändringar av förteckningen genom att underleverantörer läggs till eller ersätts minst 30 dagar i förväg, så att den personuppgiftsansvarige får tillräckligt med tid för att kunna invända mot sådana ändringar innan den eller de berörda underleverantörerna anlitas. Personuppgiftsbiträdet ska tillhandahålla den personuppgiftsansvarige den information som krävs för att denne ska kunna utöva sin rätt att göra invändningar.

b) Om personuppgiftsbiträdet anlitar en underleverantör för att utföra en specifik behandling (för den personuppgiftsansvariges räkning) ska personuppgiftsbiträdet göra detta genom ett avtal som i sak ålägger underleverantören samma skyldigheter i fråga om uppgiftsskydd som de som personuppgiftsbiträdet åläggs i enlighet med dessa klausuler. Personuppgiftsbiträdet ska se till att underleverantören uppfyller de skyldigheter som personuppgiftsbiträdet omfattas av enligt dessa klausuler och förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

c) På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet tillhandahålla den personuppgiftsansvarige en kopia av ett sådant underleverantörsavtal och eventuella senare ändringar. I den mån det är nödvändigt för att skydda affärshemligheter eller annan konfidentiell information, inbegripet personuppgifter, får personuppgiftsbiträdet redigera avtalstexten innan kopian delas.

d) Personuppgiftsbiträdet ska fortsatt vara fullt ut ansvarig gentemot den personuppgiftsansvarige för att underleverantören fullgör sina skyldigheter i enlighet med sitt avtal med personuppgiftsbiträdet. Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige om underleverantören underlåter att uppfylla sina skyldigheter enligt avtalet.

e) Personuppgiftsbiträdet och underleverantören ska avtala om en klausul om tredjepartsberättigande, enligt vilken den personuppgiftsansvarige – om personuppgiftsbiträdet har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd – ska ha rätt att säga upp underleverantörsavtalet och instruera underleverantören att radera eller återlämna personuppgifterna.

7.8 Internationella överföringar

a) Personuppgiftsbiträdet får endast överföra uppgifter till ett tredjeland eller en internationell organisation på grundval av dokumenterade instruktioner från den personuppgiftsansvarige eller för att uppfylla ett särskilt krav enligt unionsrätten eller en medlemsstats lagstiftning som personuppgiftsbiträdet omfattas av, och överföringen ska genomföras i enlighet med kapitel V i förordning (EU) 2016/679 eller förordning (EU) 2018/1725.

b) Den personuppgiftsansvarige samtycker till att, om personuppgiftsbiträdet anlitar en underleverantör i enlighet med klausul 7.7 för att utföra specifik behandling (för den personuppgiftsansvariges räkning) och denna behandling omfattar en överföring av personuppgifter i den mening som avses i kapitel V i förordning (EU) 2016/679, personuppgiftsbiträdet och underleverantören kan säkerställa att kapitel V i förordning (EU) 2016/679 efterlevs genom att använda standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 46.2 i förordning (EU) 2016/679, förutsatt att villkoren för att använda dessa standardavtalsklausuler är uppfyllda.

Klausul 8

Stöd till den personuppgiftsansvarige

a) Personuppgiftsbiträdet ska utan dröjsmål underrätta den personuppgiftsansvarige om varje begäran som erhållits från den registrerade. Personuppgiftsbiträdet ska inte själv besvara begäran, såvida inte den personuppgiftsansvarige har godkänt detta.

b) Personuppgiftsbiträdet ska hjälpa den personuppgiftsansvarige att fullgöra sin skyldighet att besvara framställningar från registrerade för att utöva sina rättigheter, med hänsyn till behandlingens art. Personuppgiftsbiträdet ska följa den personuppgiftsansvariges instruktioner när det fullgör sina skyldigheter i enlighet med leden a och b.

c) Utöver personuppgiftsbiträdets skyldighet att bistå den personuppgiftsansvarige enligt klausul 8 b ska personuppgiftsbiträdet dessutom bistå den personuppgiftsansvarige med att säkerställa att följande skyldigheter fullgörs, med beaktande av uppgiftsbehandlingens art och den information som personuppgiftsbiträdet har att tillgå:

1) Skyldigheten att utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter (en konsekvensbedömning avseende dataskydd) om en typ av behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter.

2) Skyldigheten att samråda med den (de) behöriga tillsynsmyndigheten(-erna) före behandling om en konsekvensbedömning avseende dataskydd visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.

3) Skyldigheten att säkerställa att personuppgifterna är korrekta och uppdaterade genom att utan dröjsmål informera den personuppgiftsansvarige om personuppgiftsbiträdet får kännedom om att de personuppgifter som behandlas är felaktiga eller har blivit föråldrade.

4) Skyldigheterna i artikel 32 i förordning (EU) 2016/679.

d) Parterna ska i bilaga III ange de lämpliga tekniska och organisatoriska åtgärder genom vilka personuppgiftsbiträdet ska bistå den personuppgiftsansvarige vid tillämpningen av denna klausul samt räckvidden och omfattningen av det bistånd som krävs.

Klausul 9

Anmälan av personuppgiftsincidenter

Vid en personuppgiftsincident ska personuppgiftsbiträdet samarbeta med och bistå den personuppgiftsansvarige för att denne ska kunna fullgöra sina skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679 eller artiklarna 34 och 35 i förordning (EU) 2018/1725, i tillämpliga fall, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå.

9.1 Personuppgiftsincidenter som rör uppgifter som behandlas av den personuppgiftsansvarige

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av den personuppgiftsansvarige ska personuppgiftsbiträdet bistå den personuppgiftsansvarige med att

a) anmäla personuppgiftsincidenten till den (de) behöriga tillsynsmyndigheten(-erna), utan onödigt dröjsmål efter det att den personuppgiftsansvarige har fått kännedom om den, i förekommande fall/(med undantag för om det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter),

b) erhålla följande information som, i enlighet med artikel 33.3 i förordning (EU) 2016/679, ska anges i den personuppgiftsansvariges anmälan, och åtminstone ska omfatta

1) personuppgifternas art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,

2) de sannolika konsekvenserna av personuppgiftsincidenten,

3) de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.

Om och i den mån det inte är möjligt att tillhandahålla all denna information samtidigt ska den ursprungliga anmälan innehålla den information som finns tillgänglig, och ytterligare information ska därefter, i den mån den blir tillgänglig, tillhandahållas utan onödigt dröjsmål.

c) uppfylla, i enlighet med artikel 34 i förordning (EU) 2016/679, skyldigheten att utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten, om den sannolikt kommer att medföra en hög risk för fysiska personers rättigheter och friheter.

9.2 Personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet ska personuppgiftsbiträdet underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter det att personuppgiftsbiträdet har fått kännedom om incidenten. En sådan anmäla ska åtminstone innehålla

a) en beskrivning av incidentens art (inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade och uppgiftsposter som berörs),

b) uppgifter från en kontaktpunkt där mer information om personuppgiftsincidenten kan erhållas,

c) de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslagits för att åtgärda incidenten, inbegripet åtgärder för att mildra dess potentiella negativa effekter.

Om och i den mån det inte är möjligt att tillhandahålla all denna information samtidigt ska den ursprungliga anmälan innehålla den information som finns tillgänglig, och ytterligare information ska därefter, i den mån den blir tillgänglig, tillhandahållas utan onödigt dröjsmål.

Parterna ska i bilaga III ange alla andra uppgifter som personuppgiftsbiträdet ska tillhandahålla när denne bistår den personuppgiftsansvarige vid fullgörandet av den personuppgiftsansvariges skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679.

AVSNITT III

SLUTBESTÄMMELSER

Klausul 10

Bristande efterlevnad av klausulerna och uppsägning

a) Utan att det påverkar tillämpningen av bestämmelserna i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 får den personuppgiftsansvarige, om personuppgiftsbiträdet inte fullgör sina skyldigheter enligt dessa klausuler, instruera personuppgiftsbiträdet att avbryta behandlingen av personuppgifter till dess att denne uppfyller dessa klausuler eller avtalet sägs upp. Personuppgiftsbiträdet ska omedelbart underrätta den personuppgiftsansvarige om denne av något skäl inte kan följa dessa klausuler.

b) Den personuppgiftsansvarige ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter i enlighet med dessa klausuler om

1) personuppgiftsbiträdets behandling av personuppgifter har avbrutits av den personuppgiftsansvarige i enlighet med led a och om efterlevnaden av dessa klausuler inte återställs inom rimlig tid och i alla händelser inom en månad efter det att behandlingen avbrutits,

2) personuppgiftsbiträdet allvarligt eller ihållande åsidosätter dessa klausuler eller sina skyldigheter enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725,

3) personuppgiftsbiträdet underlåter att följa ett bindande beslut från en behörig domstol eller den (de) behöriga tillsynsmyndigheten(-erna) som rör dennes skyldigheter i enlighet med dessa klausuler eller förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

c) Personuppgiftsbiträdet ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter enligt dessa klausuler, om den personuppgiftsansvarige, efter att ha informerats av personuppgiftsbiträdet om att dennes instruktioner strider mot tillämpliga rättsliga krav i enlighet med klausul 7.1 b, insisterar på att instruktionerna följs.

d) Efter uppsägningen av avtalet ska personuppgiftsbiträdet, beroende på vad den personuppgiftsansvarige väljer, radera alla personuppgifter som behandlats för den personuppgiftsansvariges räkning och intyga för den personuppgiftsansvarige att detta är utfört, eller återlämna alla personuppgifter till den personuppgiftsansvarige och radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt. Till dess att uppgifterna raderas eller återlämnas ska personuppgiftsbiträdet säkerställa efterlevnaden av dessa klausuler.

Del B. Tillägg

B1. Hur avtalet ingås och hur länge det gäller

Avtalet ingås elektroniskt när kundens administratör startar ett provkonto, eller beställer och godkänner villkoren och det här avtalet. Det ersätter underskriften i bilaga I. CRMdata sparar vilken version som godkändes, när och av vem. Avtalet gäller så länge CRMdata behandlar personuppgifter för kunden: under provet, under abonnemanget och under de 30 dagarna efter, och för provkonton som inte blir kund till 60 dagar efter provets sista dag.

B2. Kundens instruktioner

Kundens dokumenterade instruktioner enligt klausul 7.1 är villkoren för CRMdata Tycho, det här avtalet och det som kundens användare och administratörer gör i tjänsten, till exempel lägger in, ändrar, laddar ner, tar bort, bjuder in eller kopplar. Åtgärder som kundens användare gör i tjänsten räknas som kundens instruktioner.

B3. Kopplingar som kunden väljer

Kunden instruerar CRMdata att göra kundens uppgifter tillgängliga för de tjänster som kundens behöriga användare eller administratörer kopplar till CRMdata: AI-assistenter som Claude från Anthropic och ChatGPT från OpenAI, Fortnox, Microsoft Outlook, API-nycklar och webhooks. AI-kopplingen är avstängd tills kundens administratör slår på den. Mottagarna är inte CRMdatas underbiträden. Kunden ansvarar för sitt avtal med dem och för att uppgifterna kan behandlas utanför EU och EES, till exempel i USA. Åtgärder som kundens användare gör i tjänsten räknas som kundens instruktioner.

Det här gäller för kopplingarna:

• AI-kopplingen. Den går att slå på när första fakturan är betald. Administratören bekräftar att hen har läst texten om var uppgifterna hamnar, och namn, datum och textens version sparas. Det assistenten hämtar skickas till Anthropic eller OpenAI tillsammans med användarens namn och roll och organisationens namn. Assistenten har aldrig större behörighet än användaren, kan aldrig ta bort något och når inte företagsdatan. Den kan bara läsa, om användaren inte har tillåtit att den skriver.
• Outlook. Kopplingen är avstängd tills kundens administratör slår på den. Sedan kopplar varje användare sin egen Outlook och ger CRMdata de här behörigheterna hos Microsoft: att logga in och läsa profilen (openid, profile, email, User.Read), att hämta i bakgrunden (offline_access), att läsa mejl (Mail.Read), att skicka mejl (Mail.Send) och att läsa och skriva i kalendern (Calendars.ReadWrite). CRMdata sparar bara mejl till och från kontakter på sparade företag, och bara ämne, avsändare, mottagare, tid och de första raderna, med personnummer maskerade. En användare kan ta bort ett enskilt mejl från kundkortet, och när kopplingen tas bort raderas mejlen och mötena från den. [att bekräfta: kopplingen är inte påslagen i drift än]
• Fortnox. Kunden kopplar sitt eget Fortnox. Kunder, artiklar och ordrar skickas dit när en användare ber om det, och fakturornas läge och artiklar hämtas därifrån.
• API-nycklar och webhooks. Kundens administratör skapar dem och väljer mottagare.

Det här är också kundens instruktion om överföringar enligt klausul 7.8 a.

B4. Personuppgiftsincidenter inom 48 timmar

CRMdata meddelar kundens administratörer med e-post utan onödigt dröjsmål och senast 48 timmar efter att CRMdata fått kännedom om en personuppgiftsincident som rör kundens uppgifter. Meddelandet innehåller det som står i klausul 9.2 och bilaga III, så långt det är känt. Det som saknas kommer så snart det blir känt. Förlorad tillgång till uppgifterna räknas också som en incident.

B5. Hjälp när någon vill se, rätta eller radera sina uppgifter

Kunden kan själv söka fram, ladda ner, rätta och ta bort uppgifter i appen. Räcker inte det hjälper CRMdata till, utan kostnad inom rimlig omfattning. Vänder sig en registrerad till CRMdata meddelar CRMdata kunden utan dröjsmål och svarar inte själv, om inte kunden har godkänt det (klausul 8 a).

B6. Säkerhetskopior och lagringstider

Det som raderas finns kvar i säkerhetskopiorna tills de skrivs över: databasens kopior efter 30 dagar, filernas efter 14 dagar och Incabus kopior av hela servern, som också innehåller de nattliga kopiorna, efter upp till cirka 8 månader. Kopiorna används bara för att återställa tjänsten. Läses en kopia tillbaka raderar CRMdata det som redan var raderat en gång till. Övriga lagringstider står i bilaga II.

B7. Det som sparas om kundens användare

För kundens räkning sparar CRMdata vem som har skapat och ändrat vad, med värden före och efter (ändringsloggen, som kundens administratör kan ladda ner, villkoren 8.3), märkningen när något har skapats via Claude eller ChatGPT, och vilka AI-kopplingar, API-nycklar och webhooks varje användare har. För säkerhet och felsökning sparar CRMdata dessutom inloggningar (IP-adress och webbläsare) tills de har gått ut, AI-kopplingens logg i 30 dagar och API-loggen i 7 dagar. Kunden ska informera sina anställda om det här (villkoren 11.3).

B8. CRMdatas åtkomst och support

CRMdatas personal ser kundens uppgifter i CRM:et bara i dessa fall:

• Kunden bjuder in någon från CRMdata till sin organisation. Adresser på @crmdata.se kostar inget.
• Kunden saknar en administratör, till exempel för att första inbjudan gick till fel adress eller för att den enda administratören har slutat. Då kan CRMdata på kundens begäran bjuda in en ny administratör till en adress som kunden anger. Det går inte när kunden redan har någon som själv kan bjuda in, och CRMdatas eget administratörskonto bjuds aldrig in. Varje sådan inbjudan sparas i CRMdatas logg, som inte går att ändra. CRMdata mejlar organisationens medlemmar när det görs, och bjuder inte in adresser på crmdata.se eller adresser som inte hör till kunden om kunden inte har bett om det. [att bekräfta: mejlet finns sedan 2026-10-16; att appen nekar sådana adresser byggs, rapportens S35]
• Ett fel måste rättas direkt i databasen. Det görs bara när kunden har bett om det eller när tjänsten annars inte fungerar, och det skrivs ner. [att bekräfta: rutinen]

I övrigt visar CRMdatas egen översikt (Admin) bara antal ur kundens uppgifter. Den kräver tvåstegsinloggning och används bara av [att bekräfta: Axel Bäckström].

B9. Underbiträden

Listan står i bilaga IV och på [att bekräfta: adress]. CRMdata mejlar kundens administratörer minst 30 dagar innan ett underbiträde läggs till eller byts (klausul 7.7 a). Invänder kunden med rimliga skäl och parterna inte hittar en lösning, får kunden säga upp avtalet så att det upphör innan ändringen gäller. Betalar kunden per år betalar CRMdata då tillbaka hela månader som återstår.

B10. När avtalet upphör

Kunden väljer att få tillbaka uppgifterna genom att ladda ner dem under de 30 dagarna efter sista dagen (villkoren punkt 8). Därefter raderar CRMdata allt, enligt klausul 10 d, och bekräftar det med e-post till kundens administratörer och fakturaadress. Kopiorna försvinner enligt B6. Fakturering och godkända avtal sparar CRMdata som självständigt ansvarig i sju år (bokföringslagen 7 kap. 2 §), utan e-postadresser och adresser.

B11. Granskning

CRMdata svarar på kundens frågor om säkerheten och lämnar en säkerhetsbeskrivning [att bekräfta: skrivs, rapportens avsnitt 2, snart efter lansering]. En granskning på plats görs med rimligt varsel, normalt 30 dagar, och så att andra kunders uppgifter inte visas. Varje part står för sina egna kostnader.

B12. Övrigt

Ansvar mellan parterna följer villkoren för CRMdata Tycho, utom där lag säger något annat som inte går att avtala bort. Avtalet följer svensk lag, och tvister avgörs som i villkoren. CRMdata kan uppdatera bilagorna och del B med besked till kundens administratörer 30 dagar i förväg, och varje version sparas oförändrad. Bilaga II ändras bara med kundens godkännande. Bilaga III får bara ändras så att skyddet sammantaget inte blir sämre. Underbiträden ändras enligt B9. Är en annan ändring till nackdel för kunden får kunden säga upp avtalet enligt villkoren 18.3.

BILAGA I

Förteckning över parter

Personuppgiftsansvariga:

1. Namn: kunden, alltså det företag eller den organisation som har startat provkontot eller beställt CRMdata Tycho, med namn och organisationsnummer enligt provkontot eller beställningen.
   • Adress: enligt beställningen.
   • Kontaktpersonens namn, befattning och kontaktuppgifter: den administratör som godkände avtalet, och därefter organisationens administratörer i CRMdata.
   • Underskrift och anslutningsdatum: elektroniskt godkännande enligt B1. Version, datum och namn sparas i CRMdata.
   • Dataskyddsombud: har kunden ett, meddelar kunden CRMdata.

Personuppgiftsbiträden:

1. Namn: CRMdata i Sverige AB, organisationsnummer 559255-7929.
   • Adress: Hagaesplanaden 86, 113 67 Stockholm.
   • Kontaktpersonens namn, befattning och kontaktuppgifter: Axel Bäckström, VD, info@crmdata.se.
   • Underskrift och anslutningsdatum: CRMdata godkänner avtalet när kunden godkänner det i appen.
   • Dataskyddsombud: CRMdata har inget, eftersom det inte krävs. Frågor om personuppgifter: info@crmdata.se.

BILAGA II

Beskrivning av behandlingen

Kategorier av registrerade vars personuppgifter behandlas

• Kontaktpersoner hos kundens kunder, presumtiva kunder och samarbetspartner, också styrelseledamöter och andra företrädare som kunden sparar från CRMdatas företagsdata.
• Ägare till enskilda firmor som kunden har i sitt CRM.
• Kundens användare: anställda och konsulter med konto i kundens organisation.
• Avsändare, mottagare och deltagare i mejl och möten från Outlook, när en användare har kopplat sin Outlook.
• Andra personer som kunden nämner i anteckningar, uppgifter, affärer, ordrar eller filer.

Kategorier av personuppgifter

• Kontaktuppgifter: namn, befattning eller roll i styrelsen, e-post, telefon, mobil och LinkedIn-adress.
• För enskilda firmor: firmans namn, adress, telefon och e-post, och organisationsnumret i maskerad form (ÅÅMMDD-xxxx).
• Säljhistorik: anteckningar, händelser (samtal, mejl och möten), uppgifter, affärer, ordrar och orderrader, ringlistor, taggar och markeringen Kontakta inte med skäl.
• Filer som kunden laddar upp, och deras namn.
• Från Outlook: ämne, avsändare, mottagare, tid och de första raderna i mejl, och ämne, tid, plats och deltagare i möten. [att bekräfta: kopplingen är inte påslagen än]
• Om användarna: namn, e-post, roll, profilbild och det som står i B7.
• För kunder som flyttar från nuvarande CRMdata: råposterna från det gamla systemet, i tre månader, med personnummer och enskilda firmors organisationsnummer maskerade.

Känsliga uppgifter som behandlas (i tillämpliga fall) och tillämpade begränsningar eller skyddsåtgärder som fullt ut tar hänsyn till uppgifternas art och de risker som är förknippade med dem, t.ex. strikt ändamålsbegränsning, åtkomstbegränsningar (inbegripet åtkomst endast för personal som har gått en specialiserad utbildning), registrering av åtkomst till uppgifterna, begränsningar för vidareöverföring eller ytterligare säkerhetsåtgärder.

Inga. Kunden får inte lägga in känsliga uppgifter enligt GDPR artikel 9 eller uppgifter om brott enligt artikel 10 (villkoren 11.2). Personnummer görs om till formen ÅÅMMDD-xxxx innan de sparas, och telefonfält godtar inte personnummer. Kommer något känsligt ändå in i en fritext gäller samma skydd som för allt annat: behörighet per roll, ändringsloggen och att bara administratören kan exportera.

Behandlingens art

Lagring, ordning, sökning, visning, ändring, sammanställning, export och radering i CRMdata Tycho. Hämtning från användarens Outlook när hen har kopplat den. Mejl som appen skickar för kunden, till exempel inbjudningar och påminnelser om uppgifter. Överföring till de tjänster som kundens användare kopplar (B3). Säkerhetskopiering. Support när kunden ber om det (B8).

Ändamål för vilka personuppgifterna behandlas för den personuppgiftsansvariges räkning

Att ge kunden CRM-tjänsten enligt villkoren: att hantera kunder, kontakter och försäljning. Support som kunden ber om. Säkerhet, felsökning och säkerhetskopior för tjänsten. CRMdata använder inte uppgifterna för egna ändamål, för att träna AI eller för att utveckla tjänsten.

Behandlingens varaktighet

Så länge avtalet gäller, också under provet, och 30 dagar efter; för provkonton som inte blir kund till 60 dagar efter provets sista dag. Sedan raderas allt (B10). Enskilda slags uppgifter sparas kortare:

[att bekräfta: raderna märkta Byggs ska vara klara innan avtalet skickas, rapportens punkt 19 och bilaga D]

För behandling som utförs av personuppgiftsbiträden (eller underleverantörer), ange även föremålet för behandlingen, behandlingens art och dess varaktighet

Se bilaga IV. Underbiträdena behandlar uppgifterna så länge CRMdata gör det och enligt tiderna ovan.

BILAGA III

Tekniska och organisatoriska åtgärder, inbegripet tekniska och organisatoriska åtgärder för att säkerställa datasäkerheten

Det som står utan märkning finns i appen och driften 2026-10-16 och är kontrollerat i koden. Det som är märkt [byggs] är beslutat men inte byggt än, och det som är märkt [att bekräfta] väntar på ett besked. Båda ska vara på plats innan avtalet skickas.

Åtgärder för pseudonymisering och kryptering av personuppgifter

• Personnummer sparas aldrig. Varje fritextfält görs om till formen ÅÅMMDD-xxxx innan det sparas, telefonfält godtar inte personnummer och enskilda firmors organisationsnummer sparas i den formen. Exporten gör samma sak med varje cell en gång till. Råposterna från nuvarande CRMdata maskeras vid flytten, och loggen mot kundens Fortnox sparar bara nummer, belopp och lägen.
• Lösenord sparas bara som en saltad hash (scrypt) och går inte att läsa ut.
• API-nycklar och AI-kopplingarnas nycklar sparas bara som en kontrollsumma (sha256). Nyckeln visas en gång, när den skapas.
• Nycklarna till kundens Fortnox och Outlook och hemligheterna för webhooks är krypterade (AES-256-GCM). Nyckeln till krypteringen finns bara i serverns inställningar, inte i databasen.
• Webhooks signeras (HMAC-SHA256), så att mottagaren kan se att de kommer från CRMdata.
• Krypterad anslutning (https) på tycho.crmdata.se, och webbläsaren instrueras att alltid använda https [att bekräfta: rapportens punkt 16].
• CRMdatas egna nattliga säkerhetskopior krypteras, och nyckeln förvaras utanför servern [att bekräfta: byggt 2026-10-19, gäller när Axel har kört steg 4 och steg 6 i docs/drift.md, rapportens punkt 18]. Incabus kopior av hela servern omfattas inte av den krypteringen [att bekräfta: om Incabus krypterar dem där de lagras, se serverns disk nedan].

Åtgärder för att säkerställa fortlöpande konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna

• Varje organisations uppgifter hålls isär i databasen med radskydd: databasen lämnar bara ut rader som hör till den inloggade organisationen. Koden kontrollerar dessutom organisationen i varje fråga.
• Behörighet efter roll: Admin, Säljare, Ekonomi och kundens egna roller. Att exportera, skapa API-nycklar och slå på AI-kopplingen kräver var sin behörighet som från början bara rollen Admin har.
• AI-kopplingen är avstängd tills kundens administratör slår på den. Den kan aldrig ta bort något, når inte företagsdatan och har aldrig större behörighet än användaren.
• Uppladdade filer: servern avgör själv vad en fil är utifrån filens första byte. Bara bilder, PDF och ren text visas i webbläsaren. Allt annat laddas bara ner, och svaren har skydd som stoppar program i filer.
• Webhooks skickas bara till https-adresser på internet, aldrig till adresser inne i vårt nät. Adressen kontrolleras när den sparas och vid varje utskick.
• Mejl och export är skyddade mot inskjuten kod och formler.
• Databasen och företagsdatan är inte öppna mot internet. Företagsdatan läses genom en krypterad tunnel med ett konto som bara får läsa, med högst 5 anslutningar och 30 sekunder per fråga.
• Driften har en egen databas med egna lösenord och nycklar som bara finns på servern. Utvecklingsdatorerna når den inte, och testmiljön har bara påhittade kunduppgifter och ett tak för minne [att bekräfta: väg A, rapportens punkt 9].
• Utvecklingsservern på CRMdatas datorer svarar bara på den egna datorn.

Åtgärder för att säkerställa förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident

• Varje natt kl. 02.30 kopieras databasen (sparas 30 dagar) och filerna (sparas 14 dagar). Misslyckas en kopia görs ett nytt försök efter en timme.
• Varje söndag provas en återställning: den senaste kopian läses in i en tillfällig databas och antalet rader jämförs med den riktiga databasen. Resultatet syns i CRMdatas driftöversikt.
• Incabus kopierar hela servern en gång i månaden och sparar 7 kopior.
• En kopia lämnar servern varje dag [att bekräfta: CRMdata har bett Incabus ta med de nattliga kopiorna i sin dagliga kopiering, rapportens punkt 18. I dag lämnar kopiorna servern en gång i månaden].
• Återställningen är beskriven steg för steg i CRMdatas driftdokument.

Förfaranden för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärderna för att säkerställa behandlingens säkerhet

• Före varje ändring i koden körs automatiska kontroller, bland annat av API:t, AI-kopplingen, Admin och faktureringen. De prövar bland annat behörigheter och att personnummer maskeras.
• Återställningsprovet varje vecka.
• En genomgång av juridik och säkerhet gjordes 2026-10-14, och fynden rättas i prioritetsordning. Genomgången görs om en gång om året och innan en ny koppling eller leverantör läggs till.

Åtgärder för identifiering och godkännande av användare

• Konton skapas bara genom en inbjudan från organisationen eller ett provkonto med bekräftad e-post. Det går inte att ta reda på vilka adresser som har konton.
• Lösenord ska ha minst 10 tecken.
• I driften stoppas upprepade inloggningsförsök från samma adress.
• En inloggning gäller i 14 dagar utan användning.
• AI-kopplingen använder inloggning hos CRMdata (OAuth). Åtkomstnyckeln gäller en timme, förnyelsenyckeln 30 dagar utan användning och kopplingen högst ett år.
• CRMdatas egen översikt (Admin) kräver tvåstegsinloggning med kod från en app, och koden ska ha angetts de senaste 12 timmarna.
• Kundens användare kan slå på tvåstegsinloggning, och organisationen kan kräva det för administratörer. Läckta lösenord nekas, och ett konto pausas en stund efter många fel. [att bekräfta: rapportens punkt 17]

Åtgärder för skydd av uppgifter under överföring

• https mellan webbläsaren och tjänsten [att bekräfta: rapportens punkt 16].
• Företagsdatan läses genom en krypterad tunnel.

Åtgärder för skydd av uppgifter under lagring

• Filerna ligger på serverns disk, aldrig på en öppen adress. De lämnas bara ut till inloggade användare i rätt organisation.
• Lösenord till databasen och nycklar finns bara i serverns inställningar, aldrig i koden, i git eller i loggar.
• Hemligheter i databasen är krypterade, se ovan.
• [att bekräfta: om serverns disk är krypterad, Incabus]

Åtgärder för att säkerställa fysisk säkerhet på platser där personuppgifter behandlas

• Servern står hos Incabus i [att bekräfta: Sverige, och var]. Incabus ansvarar för den fysiska säkerheten [att bekräfta: Incabus beskrivning].
• Företagsdatan står hos Hetzner inom EU och EES (Hetzners biträdesavtal § 3), enligt adressregistret i Finland [att bekräfta: land].
• Axels dator har krypterad disk (BitLocker) och skärmlås (kontrollerat 2026-10-19). [att bekräfta: övriga datorer som används i arbetet, tills de är kontrollerade eller inte används längre]

Åtgärder för att säkerställa loggning av händelser

• Ändringsloggen sparar vem som ändrade vad och när, med värden före och efter. CRMdata tar fram en persons rader ur den när kunden skriftligen ber om det (B5).
• Varje export loggas.
• CRMdatas Admin-logg går inte att ändra.
• AI-kopplingens logg (utan det användaren frågade) och API-loggen.
• Varje säkerhetskopia och varje återställningsprov loggas.

Åtgärder för att säkerställa systemkonfiguration, inklusive standardkonfiguration

• AI-kopplingen är avstängd från början, och rutan som låter assistenten skriva är inte ikryssad från början.
• Hemligheter finns aldrig i koden.
• Programvaran som tjänsten bygger på hämtas i ny version vid varje driftsättning och varje vecka [att bekräfta: rapportens punkt 23].
• Skyddsinställningar i webbläsaren på alla sidor, så att appen inte kan visas inuti en annan sida [att bekräfta: rapportens punkt 16].

Åtgärder för intern it och styrning och hantering av it-säkerhet

• Skrivna regler för utvecklingen: personnummer sparas aldrig, hemligheter skrivs aldrig ut, prov görs bara i testorganisationen och CRMdatas Admin ger ingen åtkomst till kundernas CRM-uppgifter.
• Kunders uppgifter används aldrig i prov, mätningar, statistik eller utveckling.
• AI-verktygen i utvecklingen (Claude) når testmiljön, som har påhittade kunduppgifter, och företagsdatan, men aldrig driftens sökningar eller loggar. En skriven regel förbjuder det, och företagsdatans databas loggar inte tjänstens sökningar. Driften, med kundernas uppgifter, går inte att nå från utvecklingsdatorerna. Inställningen som låter Anthropic använda chattarna för att träna sina modeller är avstängd.
• Den som anställs eller anlitas, och den som ersätter CRMdatas vd i rutinen för incidenter, skriver under en sekretessklausul innan hen får tillgång till personuppgifter. Den gäller också efter att arbetet har upphört.
• Den som arbetar hos CRMdata går igenom riskerna med AI i arbetet när hen börjar och sedan en gång om året.
• En skriven rutin för incidenter, med en ersättare när CRMdatas vd inte går att nå.

Åtgärder för certifiering/säkring av processer och produkter

CRMdata har inga certifieringar.

Åtgärder för att säkerställa uppgiftsminimering

• Inga personnummer och ingen ålder sparas om kontakter.
• Från Outlook sparas bara mejl till och från kontakter på sparade företag, och bara ämne, avsändare, mottagare, tid och de första raderna. Kollegors adresser räknas aldrig som kontakter.
• AI-kopplingens logg sparar inte vad användaren frågade.
• Uppgifterna ur en importerad fil tas bort efter 7 dagar.

Åtgärder för att säkerställa datakvalitet

• Kunden kan rätta allt som kunden har lagt in.
• När företagsdatan har en nyare uppgift, till exempel en ny adress eller styrelse, visas ett förslag, och kunden bestämmer om det ska användas. [att bekräfta: byggs. I dag visas inga förslag.]

Åtgärder för att säkerställa begränsad lagring av uppgifter

Lagringstiderna i bilaga II. En gallring varje natt tar bort det som har passerat sin tid [att bekräfta: delvis byggd, rapportens punkt 19].

Åtgärder för att säkerställa ansvarsskyldighet

• Vilken version av villkoren och biträdesavtalet kunden har godkänt, när och av vem, sparas.
• När en administratör slår på AI-kopplingen sparas namn, datum och textens version.
• Register över behandlingar.

Åtgärder för att möjliggöra dataportabilitet och säkerställa radering

• Kundens administratör kan ladda ner allt som kunden har lagt in, som Excel eller CSV (villkoren punkt 8).
• Kontakter, anteckningar och filer kan raderas i appen. Ett helt företag med allt som hör till det kan raderas.
• Hela organisationen raderas 30 dagar efter att avtalet har upphört, med besked 7 dagar före.

Beskrivning av de specifika tekniska och organisatoriska åtgärder som personuppgiftsbiträdet ska vidta för att kunna bistå den personuppgiftsansvarige.

• Begäran från registrerade (klausul 8): kunden söker fram personen och laddar ner, rättar eller raderar i appen. CRMdata hjälper till enligt B5.
• Konsekvensbedömning och samråd (klausul 8 c): CRMdata lämnar den här bilagan och en säkerhetsbeskrivning, och svarar på frågor.
• Incidenter (klausul 9 och B4): CRMdata mejlar kundens administratörer inom 48 timmar. Meddelandet innehåller, så långt det är känt: vad som har hänt och när, vilka slags uppgifter som berörs, ungefär hur många personer och poster, troliga följder, vad CRMdata har gjort och föreslår, och vem kunden kan kontakta. Det kompletteras när mer blir känt.

BILAGA IV

Förteckning över underleverantörer

Kunden har gett ett allmänt tillstånd enligt klausul 7.7 a, alternativ 2. Det här är den överenskomna förteckningen. Mer om varje leverantör står i listan över underbiträden [att bekräfta: adress].

Den personuppgiftsansvarige har godkänt användningen av följande underleverantörer:

1. Namn: Incabus [att bekräfta: bolagets fullständiga namn och organisationsnummer].
   • Adress: [att bekräfta].
   • Kontaktpersonens namn, befattning och kontaktuppgifter: [att bekräfta].
   • Beskrivning av behandlingen: driver servern där tjänsten, databasen och filerna finns, tar kopior av hela servern och har ett administratörskonto på servern. I Sverige [att bekräfta]. Så länge avtalet gäller, och kopiorna enligt B6.
2. Namn: Hetzner Online GmbH.
   • Adress: Industriestr. 25, 91710 Gunzenhausen, Tyskland.
   • Kontaktpersonens namn, befattning och kontaktuppgifter: info@hetzner.com.
   • Beskrivning av behandlingen: driver servern med CRMdatas företagsdata. Tar emot kundens sökningar i Prospektera och organisationsnummer ur kundens importer, för att hämta uppgifter om företagen. Bara inom EU och EES, enligt Hetzners biträdesavtal med CRMdata (2026-10-19), och enligt adressregistret i Finland [att bekräfta: land]. Under varje sökning.
3. Namn: Resend [att bekräfta: bolagets namn].
   • Adress: [att bekräfta].
   • Kontaktpersonens namn, befattning och kontaktuppgifter: [att bekräfta].
   • Beskrivning av behandlingen: skickar mejlen från tjänsten, till exempel inbjudningar, påminnelser om uppgifter och mejl om nytt lösenord: mottagarens namn och e-post och innehållet i mejlet. Amerikanskt bolag, region [att bekräfta]. Skydd vid överföring: EU:s och USA:s ramverk för dataskydd, med standardavtalsklausuler som reserv [att bekräfta]. Sparar en logg över skickade mejl i [att bekräfta: antal dagar].
4. Namn: Microsoft [att bekräfta: avtalspart, troligen Microsoft Ireland Operations Ltd].
   • Adress: [att bekräfta].
   • Kontaktpersonens namn, befattning och kontaktuppgifter: [att bekräfta].
   • Beskrivning av behandlingen: CRMdatas e-post (Microsoft 365), när kunden skickar uppgifter till supporten. Amerikanskt bolag. CRMdatas e-post lagras i Sverige. Skyddet mot skräppost och virus (Exchange Online Protection) och Viva Connections lagras inom EU och EFTA. Skydd vid överföring: EU:s och USA:s ramverk för dataskydd, med standardavtalsklausuler som reserv.

Nuvarande CRMdata: del B och bilaga I

Det här gäller kunderna i nuvarande CRMdata (app.crmdata.se) i stället för del B och bilaga I ovan. Del A är densamma, och bilaga II–IV skrivs för det systemet [att bekräfta: rapportens punkt 5].

B1. Hur avtalet ingås och hur länge det gäller

CRMdata mejlar avtalet till kundens kontaktperson. Avtalet ingås när kunden svarar på mejlet att kunden godkänner det. Svaret ersätter underskriften i bilaga I, och CRMdata sparar det. Avtalet gäller så länge CRMdata behandlar personuppgifter för kunden i nuvarande CRMdata, också efter en flytt till CRMdata Tycho tills uppgifterna i nuvarande CRMdata är raderade.

B2. Kundens instruktioner och villkor

Kundens dokumenterade instruktioner enligt klausul 7.1 är kundens avtal om nuvarande CRMdata med CRMdatas allmänna villkor, det här avtalet och det som kundens användare gör i systemet. Ber kunden om en flytt till CRMdata Tycho är det också en instruktion. Ansvar mellan parterna följer kundens avtal om nuvarande CRMdata, utom där lag säger något annat som inte går att avtala bort.

B3. Vad avtalet gäller

Avtalet gäller bara de funktioner som finns i nuvarande CRMdata [att bekräfta: om där finns kopplingar till andra tjänster]. Kunden laddar själv ner sina kontakter på crmdata.se/export. Det som bara finns i CRMdata Tycho, till exempel AI-kopplingen och Outlook-kopplingen, ingår inte.

B4. Övrigt

B4, B5, B9 och B11 i del B ovan gäller också här, med bilaga IV för nuvarande CRMdata. Ändringar görs som i B12, men rätten att säga upp följer kundens avtal om nuvarande CRMdata. Säkerhetskopior, lagringstider och radering när avtalet upphör står i bilaga II och III för nuvarande CRMdata. Avtalet följer svensk lag, och tvister avgörs som i kundens avtal om nuvarande CRMdata.

Bilaga I för nuvarande CRMdata

• Personuppgiftsansvarig: kunden, alltså det företag eller den organisation som har ett abonnemang på nuvarande CRMdata, med namn enligt CRMdatas kundregister. Kontaktperson: den som godkände avtalet, och därefter den som kunden anger. Underskrift och anslutningsdatum: godkännandet genom svar på mejlet enligt B1, med datum och namn. Har kunden ett dataskyddsombud meddelar kunden CRMdata.
• Personuppgiftsbiträde: som i bilaga I ovan.