Personuppgiftsbiträdesavtal

Senast uppdaterad: 2026-10-20

Version: 1.0

Detta personuppgiftsbiträdesavtal (“Biträdesavtalet”) är en del av avtalet om JOBBS-plattformen (“Huvudavtalet”) och uppfyller kraven i artikel 28.3 i Europaparlamentets och rådets förordning (EU) 2016/679 (“Dataskyddsförordningen”).

1. Parter

1.1 Kunden, det vill säga den juridiska person som har ingått Huvudavtalet med JOBBS, som personuppgiftsansvarig (“Kunden”).

1.2 JOBBS AB, org.nr 559378-9083, Mellbygatan 9, 531 31 Lidköping, som personuppgiftsbiträde (“JOBBS”).

1.3 Kunden och JOBBS kallas tillsammans “Parterna” och var för sig “Part”.

2. Bakgrund

2.1 JOBBS tillhandahåller plattformen JOBBS, som består av administrationsgränssnittet, kassa och självbetjäning, JOBBS-appen, webbappen pay.jobbs.se, bokning, medlemskap, klippkort, presentkort, prenumerationer, passage och dörrstyrning samt tillhörande tjänster (“Tjänsten”).

2.2 När JOBBS tillhandahåller Tjänsten behandlar JOBBS personuppgifter för Kundens räkning. Kunden är personuppgiftsansvarig för den behandlingen.

2.3 JOBBS är självständigt personuppgiftsansvarig för behandling av uppgifter om slutkundernas konton i JOBBS-appen (registrering, inloggning, kontosäkerhet och appens funktion) samt för behandling som JOBBS utför för egna ändamål, såsom fakturering av Kunden, avtalsadministration och utveckling av Tjänsten med avidentifierade eller aggregerade uppgifter. Sådan behandling omfattas inte av detta Biträdesavtal.

3. Definitioner

3.1 Begrepp som används i Dataskyddsförordningen, till exempel personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident, har samma betydelse i detta Biträdesavtal.

3.2 Dessutom gäller följande:

Dataskyddslagstiftning: Dataskyddsförordningen, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och annan tillämplig lagstiftning om skydd av personuppgifter, samt bindande beslut och föreskrifter från behörig tillsynsmyndighet.
Instruktioner: Kundens dokumenterade instruktioner enligt avsnitt 5.
Underbiträde: ett annat personuppgiftsbiträde som JOBBS anlitar för att behandla personuppgifter för Kundens räkning.
Tredjeland: ett land utanför EU/EES.
Slutkund: en fysisk person som handlar, bokar, är medlem hos eller passerar hos Kunden med hjälp av Tjänsten.
Administratörsinställningar: de inställningar Kunden eller Kundens behöriga användare gör i administrationsgränssnittet, till exempel aktiverade moduler, integrationer och lagringstider.

4. Föremål, varaktighet, art och ändamål

4.1 Föremål: behandling av personuppgifter som krävs för att JOBBS ska kunna tillhandahålla Tjänsten till Kunden enligt Huvudavtalet.

4.2 Varaktighet: så länge Huvudavtalet gäller och därefter den tid som behövs för att radera eller återlämna personuppgifterna enligt avsnitt 15.

4.3 Art: insamling, registrering, organisering, lagring, bearbetning, sökning, användning, överföring till Kundens betal- och integrationspartner, sammanställning, begränsning, radering och förstöring.

4.4 Ändamål: att tillhandahålla, drifta, underhålla, felsöka och säkra Tjänsten, till exempel försäljning och kvitton, bokningar, medlemskap och kort, passage och dörrstyrning, kommunikation med Slutkunder för Kundens räkning, rapporter och support.

4.5 Närmare beskrivning finns i Bilaga 1.

5. Instruktioner

5.1 JOBBS får bara behandla personuppgifterna enligt Kundens dokumenterade Instruktioner. Instruktionerna består av:

detta Biträdesavtal och Huvudavtalet,
Administratörsinställningar som Kunden gör i Tjänsten, och
andra skriftliga instruktioner som Parterna kommer överens om.

5.2 Instruktionerna omfattar också överföringar till Tredjeland som sker enligt avsnitt 9 och till de Underbiträden som har godkänts enligt avsnitt 8, samt överföringar till externa system som Kunden själv aktiverar (se avsnitt 8.7).

5.3 JOBBS får behandla personuppgifterna utan instruktion om det krävs enligt unionsrätten eller svensk rätt. JOBBS ska då informera Kunden om det rättsliga kravet innan behandlingen sker, om inte lagen förbjuder sådan information av viktiga skäl som rör allmänintresset.

5.4 JOBBS ska omedelbart informera Kunden om JOBBS anser att en instruktion strider mot Dataskyddslagstiftningen. JOBBS får skjuta upp utförandet av instruktionen tills Kunden har bekräftat eller ändrat den.

5.5 Kunden ansvarar för att det finns rättslig grund för behandlingen, att de registrerade får information enligt artiklarna 13 och 14 och att Kundens instruktioner är förenliga med Dataskyddslagstiftningen. Det gäller särskilt behandling av personnummer, som enligt 3 kap. 10 § lagen (2018:218) bara får ske när det är klart motiverat med hänsyn till ändamålet, vikten av en säker identifiering eller något annat beaktansvärt skäl.

5.6 Nya instruktioner som medför väsentligt ökade kostnader för JOBBS och som inte följer av Dataskyddslagstiftningen ersätts enligt JOBBS gällande prislista eller enligt överenskommelse.

6. Sekretess

6.1 JOBBS ska säkerställa att alla personer som har tillgång till personuppgifterna, såsom anställda och konsulter, har förbundit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

6.2 JOBBS ska begränsa åtkomsten till de personer som behöver den för att utföra sina arbetsuppgifter.

6.3 Sekretessen gäller även efter att Biträdesavtalet har upphört.

6.4 Om en myndighet eller annan tredje part begär ut personuppgifter ska JOBBS hänvisa till Kunden, och utan dröjsmål informera Kunden om begäran, om inte lag förbjuder det.

7. Säkerhet

7.1 JOBBS ska vidta de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i Dataskyddsförordningen, med hänsyn till den senaste utvecklingen, kostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerades rättigheter och friheter.

7.2 Åtgärderna beskrivs i Bilaga 2. JOBBS får ändra åtgärderna om skyddsnivån inte sänks.

7.3 Kunden ansvarar för säkerheten i det som Kunden själv kontrollerar, till exempel att tilldela behörigheter till rätt personer, att skydda inloggningsuppgifter för administratörer, att utrusta och skydda Kundens lokaler, kameror och dörrar, och att stänga av användare som inte längre ska ha åtkomst.

8. Underbiträden

8.1 Kunden ger JOBBS ett allmänt förhandsgodkännande att anlita Underbiträden.

8.2 De Underbiträden som JOBBS använder när Biträdesavtalet ingås finns i den publicerade listan över underbiträden, se Bilaga 3. Kunden godkänner dem genom att ingå Biträdesavtalet.

8.3 JOBBS ska informera Kunden minst 30 dagar i förväg om planerade tillägg eller byten av Underbiträden, genom e-post till Kundens kontaktperson och genom att uppdatera listan.

8.4 Kunden får invända mot ändringen inom 30 dagar från meddelandet, om invändningen bygger på sakliga skäl som rör dataskydd. Parterna ska då försöka hitta en lösning i god tro. Om de inte gör det får Kunden säga upp den del av Huvudavtalet som inte kan levereras utan det nya Underbiträdet, med verkan från den dag ändringen skulle ha börjat gälla. Kunden har då rätt till återbetalning av förskottsbetalda avgifter för den uppsagda delen avseende tiden efter uppsägningen. JOBBS får inte använda det nya Underbiträdet för Kundens personuppgifter under tiden invändningen hanteras.

8.5 I brådskande fall, till exempel om ett Underbiträde plötsligt upphör eller ett byte krävs av säkerhetsskäl, får JOBBS byta Underbiträde med kortare varsel. JOBBS ska då informera Kunden så snart som möjligt, och Kunden har samma rätt att invända som enligt punkt 8.4.

8.6 JOBBS ska ingå skriftligt avtal med varje Underbiträde som ålägger Underbiträdet samma dataskyddsskyldigheter som JOBBS har enligt detta Biträdesavtal, särskilt att ge tillräckliga garantier för lämpliga tekniska och organisatoriska åtgärder. Om Underbiträdet inte fullgör sina skyldigheter är JOBBS fullt ansvarigt mot Kunden för Underbiträdets fullgörande.

8.7 Integrationer som Kunden aktiverar. När Kunden aktiverar en integration mot ett externt system som Kunden själv har avtal med, till exempel ett affärssystem, ett medlemssystem eller elektroniska hyllkantsetiketter, överför JOBBS uppgifter till det systemet enligt Kundens instruktion. Leverantören av det externa systemet är då Kundens eget personuppgiftsbiträde eller självständigt ansvarig, och inte JOBBS Underbiträde. Kunden ansvarar för att ha ett eget avtal med den leverantören.

8.8 Moduler som bara används när Kunden aktiverar dem, till exempel vissa låsintegrationer och JOBBS AI, anges särskilt i listan. Underbiträden för en sådan modul behandlar Kundens personuppgifter bara om Kunden har aktiverat modulen.

9. Överföring till tredjeland

9.1 JOBBS får överföra personuppgifter till Tredjeland, eller låta ett Underbiträde göra det, bara om det finns stöd i kapitel V i Dataskyddsförordningen, till exempel:

ett beslut om adekvat skyddsnivå enligt artikel 45, inklusive EU-US Data Privacy Framework för mottagare som är certifierade enligt ramverket,
EU-kommissionens standardavtalsklausuler från 2021 (beslut (EU) 2021/914), i första hand modul 3 (biträde till underbiträde), eller
bindande företagsbestämmelser enligt artikel 47.

9.2 När överföringen grundas på standardavtalsklausuler eller bindande företagsbestämmelser ska JOBBS se till att det finns en bedömning av överföringens konsekvenser (transfer impact assessment) och vid behov kompletterande åtgärder, till exempel kryptering. JOBBS ska på begäran ge Kunden en sammanfattning av bedömningen.

9.3 Vilken grund som gäller för varje Underbiträde framgår av listan i Bilaga 3.

10. Hjälp med de registrerades rättigheter

10.1 JOBBS ska, med hänsyn till behandlingens art, hjälpa Kunden genom lämpliga tekniska och organisatoriska åtgärder så att Kunden kan svara på begäranden från registrerade om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning.

10.2 Kunden kan själv göra det mesta i administrationsgränssnittet, till exempel söka fram, rätta och radera uppgifter om en Slutkund och exportera listor till Excel. Behöver Kunden en fullständig export levererar JOBBS den på begäran.

10.3 Om JOBBS får en begäran direkt från en registrerad som gäller Kundens behandling ska JOBBS utan onödigt dröjsmål skicka den vidare till Kunden och inte själv besvara den, om inte Kunden har instruerat det.

10.4 Hjälp som går utöver funktionerna i Tjänsten ersätts enligt JOBBS gällande prislista, om inte hjälpen behövs på grund av att JOBBS har brutit mot Biträdesavtalet.

11. Hjälp enligt artiklarna 32 till 36

11.1 JOBBS ska, med hänsyn till behandlingens art och den information JOBBS har tillgång till, hjälpa Kunden att fullgöra skyldigheterna enligt artiklarna 32 till 36 i Dataskyddsförordningen, det vill säga säkerhet, anmälan och information vid personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd med tillsynsmyndigheten.

11.2 JOBBS ska på begäran lämna den information om Tjänsten som Kunden behöver för en konsekvensbedömning, till exempel för passage, närhetsupplåsning med position eller kameraövervakning i obemannad butik.

12. Personuppgiftsincidenter

12.1 JOBBS ska underrätta Kunden utan onödigt dröjsmål, och senast inom 48 timmar, efter att JOBBS har fått kännedom om en personuppgiftsincident som rör Kundens personuppgifter.

12.2 Underrättelsen ska, i den mån informationen finns, innehålla:

en beskrivning av incidenten, vilka kategorier av och ungefär hur många registrerade och personuppgiftsposter som berörs,
namn och kontaktuppgifter till JOBBS kontaktperson,
de sannolika konsekvenserna av incidenten, och
de åtgärder JOBBS har vidtagit eller föreslår för att hantera incidenten och mildra dess effekter.

12.3 Om all information inte finns direkt får den lämnas i omgångar utan onödigt dröjsmål.

12.4 JOBBS ska dokumentera incidenten och samarbeta med Kunden. JOBBS får inte själv anmäla incidenten till tillsynsmyndigheten eller informera de registrerade för Kundens räkning, om inte Kunden har instruerat det eller lag kräver det.

12.5 Att JOBBS underrättar Kunden innebär inte att JOBBS medger ansvar för incidenten.

13. Lagringstider

13.1 JOBBS lagrar personuppgifter enligt Kundens instruktion och de standardinställningar som gäller i Tjänsten. Om Kunden inte har gjort något annat val gäller följande:

Kategori	Lagringstid
Kundlogg (händelser kopplade till en Slutkund i administrationsgränssnittet)	24 månader
Felsökningsloggar	30 dagar
Entrélogg (passager), inklusive position, Bluetooth-signal och rörelsedata vid upplåsning	12 månader. Kunden kan välja 3, 6, 12, 24 eller 36 månader i administrationsgränssnittet.
BankID-bevis i entréloggen (IP-adress, enhets-id, signatur)	90 dagar
Besökare	12 månader efter senaste besök
Utskick (mejl- och SMS-text)	12 månader
Kundinbjudningar som inte har använts	90 dagar
Bokningsgästers kontaktuppgifter	12 månader efter bokningen
Leads som skapas vid entré med BankID	24 månader efter senaste kontakt
Kvitton och bokföringsunderlag	Enligt Kundens bokföringsskyldighet, i regel 7 år efter utgången av det kalenderår då räkenskapsåret avslutades (7 kap. 2 § bokföringslagen)
Slutkundsuppgifter (medlemskap, nycklar, kort, bokningar)	Så länge Slutkunden har ett aktivt förhållande till Kunden, eller tills Kunden raderar dem
Säkerhetskopior	Högst 35 dagar

13.2 Kunden ansvarar för att lagringstiderna är förenliga med Dataskyddslagstiftningen för Kundens ändamål.

Automatisk gallring enligt tabellen gäller senast 1 december 2026.

14. Revision och information

14.1 JOBBS ska ge Kunden tillgång till all information som behövs för att visa att skyldigheterna i artikel 28 i Dataskyddsförordningen och detta Biträdesavtal har fullgjorts.

14.2 Kunden ska i första hand begära dokumentation, till exempel en beskrivning av säkerhetsåtgärder, policyer, tredjepartscertifieringar eller revisionsrapporter från JOBBS eller Underbiträden.

14.3 Om dokumentationen inte räcker, eller om tillsynsmyndigheten kräver det, får Kunden eller en oberoende revisor som Kunden utser och som har tystnadsplikt genomföra en revision på plats, inklusive inspektion. Kunden ska meddela JOBBS minst 30 dagar i förväg, och revisionen ska ske under ordinarie arbetstid och utan onödig störning för JOBBS verksamhet. Vid en personuppgiftsincident eller om tillsynsmyndigheten kräver det får varseltiden vara kortare.

14.4 Kunden står för sina egna kostnader för revisionen och ersätter JOBBS för skäliga kostnader för den tid JOBBS lägger på revisionen, om inte revisionen visar att JOBBS väsentligt har brutit mot Biträdesavtalet.

14.5 Revision hos Underbiträden sker genom den dokumentation och de revisionsrapporter som Underbiträdet tillhandahåller, i den utsträckning Underbiträdets avtal tillåter.

15. Radering och återlämnande

15.1 När Huvudavtalet upphör ska JOBBS, efter Kundens val, radera eller återlämna alla personuppgifter som har behandlats för Kundens räkning, och radera befintliga kopior.

15.2 Kunden ska meddela sitt val senast 30 dagar efter att avtalet har upphört. Om Kunden inte gör det raderar JOBBS uppgifterna.

15.3 JOBBS ska slutföra radering eller återlämnande inom 60 dagar efter att avtalet har upphört. Uppgifter i säkerhetskopior raderas när kopiorna skrivs över i den ordinarie cykeln, och skyddas fram till dess enligt detta Biträdesavtal.

15.4 Återlämnande sker genom att Kunden själv exporterar enligt punkt 10.2, eller genom en fullständig export som JOBBS levererar på begäran i ett vanligt maskinläsbart format.

15.5 Kravet på radering gäller inte om JOBBS enligt unionsrätten eller svensk rätt måste spara uppgifterna. JOBBS ska då skydda uppgifterna och bara behandla dem för det ändamål som lagen kräver.

15.6 JOBBS ska på begäran bekräfta raderingen skriftligt.

16. Ansvar

16.1 Ansvar och ansvarsbegränsningar regleras i Huvudavtalet, med de undantag som följer av punkt 16.2.

16.2 Varje Part ansvarar för ersättning till registrerade och för administrativa sanktionsavgifter enligt artiklarna 82 och 83 i Dataskyddsförordningen. Om en Part har betalat ersättning till en registrerad för skada som helt eller delvis har orsakats av den andra Parten, har den Parten rätt att kräva tillbaka motsvarande del enligt artikel 82.5. Ansvarsbegränsningen i Huvudavtalet gäller även för sådana anspråk mellan Parterna.

17. Giltighet och ändringar

17.1 Biträdesavtalet gäller från det att Huvudavtalet ingås och så länge JOBBS behandlar personuppgifter för Kundens räkning.

17.2 Ändringar ska vara skriftliga och godkända av båda Parter. JOBBS får dock uppdatera Bilaga 2 och Bilaga 3 enligt avsnitt 7.2 och 8.

17.3 Om Dataskyddslagstiftningen ändras, eller om EU-kommissionen eller tillsynsmyndigheten antar standardavtalsklausuler enligt artikel 28.7 eller 28.8, ska Parterna i god tro ändra Biträdesavtalet så att det uppfyller de nya kraven.

18. Rangordning

18.1 Om Biträdesavtalet och Huvudavtalet strider mot varandra i en fråga om behandling av personuppgifter, gäller Biträdesavtalet före Huvudavtalet.

18.2 Om standardavtalsklausuler har ingåtts gäller de före detta Biträdesavtal i frågor om överföring till tredjeland.

19. Tillämplig lag och tvister

19.1 Svensk lag gäller för Biträdesavtalet.

19.2 Tvister avgörs på det sätt som anges i Huvudavtalet.

Godkännande

Biträdesavtalet gäller som en del av Huvudavtalet och godkänns när Kunden ingår Huvudavtalet. Parterna kan också underteckna Biträdesavtalet separat.

Bilaga 1: Beskrivning av behandlingen

1. Kategorier av registrerade

Kundens slutkunder (köpare, kunder i obemannad butik, gäster)
Kundens medlemmar (till exempel i förening eller gym)
Besökare och personer som passerar Kundens dörrar, inklusive personer som fått en delad nyckel eller länk
Kundens personal och andra användare av administrationsgränssnittet och kassan
Kontaktpersoner hos Kundens leverantörer, i den mån de registreras i Tjänsten

2. Kategorier av personuppgifter

Kategori	Exempel
Identitet	Namn, användar-id, kundnummer
Kontaktuppgifter	Mobilnummer, e-postadress, adress
Personnummer och BankID-bevis	Personnummer (visas maskerat i administrationsgränssnittet), resultat av BankID-legitimering och åldersverifiering
Köp och kvitton	Köpta artiklar, belopp, tidpunkt, butik, kvittonummer, rabatter, kort och presentkort
Bokningar	Resurs, datum, tid, status, avbokningar
Medlemskap och prenumerationer	Typ, period, status, betalningsstatus
Nycklar	Vilka dörrar och tider en person har behörighet till, vem som har delat nyckeln
Entrélogg	Tid, dörr, konto, öppningsmetod (till exempel app, BankID, närhetsupplåsning, kod) och, vid platsdörrar, telefonens position vid öppningen
Felsökningsloggar	Tekniska händelser, enhetsinformation, appversion, IP-adress, felmeddelanden som kan innehålla användar-id
Betalreferenser	Betalningsreferens och transaktions-id hos Adyen, betalsätt, maskerade kortuppgifter (de sista siffrorna). Fullständiga kortnummer behandlas inte av JOBBS
Kommunikation	Innehåll i SMS och e-post som skickas för Kundens räkning, till exempel engångskoder, inbjudningar och kvitton
Personal	Användarnamn, behörigheter, kassahändelser och inloggningar

Position, Bluetooth-signal och rörelsedata sparas i entréloggen när en Slutkund låser upp med appen.

3. Känsliga personuppgifter

Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9 eller uppgifter om lagöverträdelser enligt artikel 10. Kunden ska inte registrera sådana uppgifter i fritextfält.

4. Behandlingens ändamål

Att tillhandahålla Tjänsten enligt Huvudavtalet, se avsnitt 4 i Biträdesavtalet.

5. Plats för behandlingen

I första hand inom EU/EES (Microsoft Azure, region North Europe, Irland). Överföring till tredjeland sker bara enligt avsnitt 9 och Bilaga 3.

Bilaga 2: Tekniska och organisatoriska säkerhetsåtgärder

1. Drift och lagring

Tjänsten driftas i Microsoft Azure i regionen North Europe (Irland).
Microsoft Azure har certifieringar enligt bland annat ISO/IEC 27001 och SOC 2.

2. Kryptering

All kommunikation mellan appar, webbläsare och servrar är krypterad med TLS 1.2 eller senare.
Databaser och lagring är krypterade i vila med Azures standardkryptering.
Hemligheter och nycklar förvaras skyddade, och åtkomsten till dem är begränsad.

3. Åtkomstkontroll

Rollstyrd åtkomst i administrationsgränssnittet. Kunden bestämmer vilka roller personalen har.
Personal hos JOBBS har åtkomst till produktionsmiljön bara när det behövs för drift, support eller felsökning, med personliga konton.
Behörigheter ses över regelbundet och tas bort när en person slutar.

4. Dataminimering och skydd av personnummer

Personnummer visas maskerat i administrationsgränssnittet.
Fullständiga kortnummer hanteras bara av Adyen och lagras inte av JOBBS.

5. Loggning och övervakning

Händelser i Tjänsten loggas, bland annat inloggningar, administrativa ändringar och passager.
Övervakning och larm för drift och fel via Azure Application Insights.
Felsökningsloggar gallras efter 30 dagar.

6. Säkerhetskopiering och kontinuitet

Databaser säkerhetskopieras automatiskt i Azure med möjlighet till återställning till en viss tidpunkt.

7. Utveckling

Säkerhetsuppdateringar av beroenden och plattform installeras löpande.

8. Fysisk utrustning hos Kunden

Styrboxar för dörrar fjärrunderhålls via krypterad anslutning (Raspberry Pi Connect).

9. Organisation

Sekretessåtagande för all personal och alla konsulter.
Rutin för hantering av personuppgiftsincidenter.
Utsedd kontaktperson för dataskydd: support@jobbs.se

Bilaga 3: Underbiträden

De underbiträden som JOBBS använder framgår av den publicerade listan Underbiträden för JOBBS-plattformen, som finns på www.jobbs.se/underbitraden.

Listan anger för varje underbiträde vilken tjänst det utför, vilka personuppgifter det behandlar, var behandlingen sker och vilken grund som finns för eventuell överföring till tredjeland. Listan anger också vilka underbiträden som bara används när Kunden har aktiverat en viss modul.

Den version av listan som gäller när Biträdesavtalet ingås utgör Kundens godkännande enligt avsnitt 8.2. Ändringar meddelas enligt avsnitt 8.3.