Personuppgiftsbiträdesavtal

Senast uppdaterad: 30 oktober 2026

Detta personuppgiftsbiträdesavtal (“biträdesavtalet”) är en del av användarvillkoren mellan kunden (personuppgiftsansvarig) och NOD³ Solutions AB, org.nr 559596-1706 (personuppgiftsbiträde). Det gäller när NOD³ behandlar personuppgifter i kundens workspaces. Det godkänns tillsammans med villkoren; kunder som vill ha ett undertecknat exemplar kan skriva till privacy@nod3.se.

1. Föremål och varaktighet

NOD³ behandlar personuppgifter för att leverera WORK³ till kunden, så länge kunden använder tjänsten och tills uppgifterna raderats enligt punkt 9.

2. Behandlingens art och ändamål

Lagra, ordna, visa, söka, skicka (aviseringar, integrationer kunden slår på) och radera uppgifter så att kunden kan planera och följa sitt arbete.

3. Uppgifter och personer

Personer: kundens användare, gäster och expertpartner, samt personer kunden nämner i sitt innehåll (till exempel kundkontakter).
Uppgifter: namn, e-postadresser, profilbilder, roller, arbetsinnehåll (projekt, ärenden, kommentarer, chattar, filer), aktivitet och poster i granskningsloggen, samt hänvisningar till poster i kundens CRM.
Tjänsten är inte avsedd för känsliga personuppgifter (till exempel hälsouppgifter). Kunden bör inte lägga sådana uppgifter i WORK³.

4. Instruktioner

NOD³ behandlar uppgifterna bara enligt kundens dokumenterade instruktioner: villkoren, detta biträdesavtal och kundens inställningar och användning av tjänsten. Om NOD³ anser att en instruktion strider mot dataskyddsregler meddelar NOD³ kunden.

5. Sekretess och åtkomst

Bara personer på NOD³ som behöver det för tjänsten har åtkomst, och de har tystnadsplikt. NOD³:s personal ser innehåll i ett workspace bara via supportåtkomst som en ägare godkänt, som upphör av sig själv och syns i granskningsloggen.

6. Säkerhet

NOD³ vidtar lämpliga tekniska och organisatoriska åtgärder (artikel 32), bland annat:

drift i EU och all trafik över HTTPS;
isolering mellan workspaces som databasen själv upprätthåller (row level security), kontrollerad av automatiska tester vid varje ändring;
kryptering i vila av filer, integrationsnycklar och hemligheter; bara hashvärden av API-nycklar och tokens;
inloggning utan lösenord (Google, engångskoder, passkeys) och sessioner i säkra http-only-kakor;
en granskningslogg över inloggningar, ändringar och åtkomst, med lagringstid som kunden väljer;
säkerhetskopior varje natt som sparas i 14 dagar, och minsta möjliga åtkomst till produktion.

Se även Säkerhet och integritet.

7. Underbiträden

Kunden ger ett allmänt godkännande för underbiträdena under underbiträden. NOD³ meddelar minst 30 dagar innan ett underbiträde läggs till eller byts, genom att uppdatera sidan och mejla workspace-ägare. Kunden kan invända på skälig grund; om vi inte kan lösa det får kunden avsluta tjänsten. NOD³ binder varje underbiträde till samma dataskyddsskyldigheter och ansvarar för det.

Tjänster som kunden själv kopplar (som Slack, ett CRM, Claude eller ChatGPT) är inte NOD³:s underbiträden. Kunden väljer dem och använder dem enligt sitt eget avtal.

8. Överföring utanför EU/EES

Personuppgifter lagras i EU. Överföring utanför EU/EES sker bara via ett listat underbiträde och med stöd av ett beslut om adekvat skyddsnivå (som EU–US Data Privacy Framework) eller EU:s standardavtalsklausuler.

9. Återlämnande och radering

Kunden kan när som helst få ut sina uppgifter via REST-API:t, och NOD³ gör en full export på begäran. När ett workspace raderas stängs det direkt och sparas i 30 dagar så att en ägare kan återställa det. Sedan tas uppgifterna bort ur det aktiva systemet, och ur säkerhetskopior inom 14 dagar efter det, om inte lag kräver att NOD³ sparar dem. På kundens begäran tar NOD³ bort dem tidigare.

10. Hjälp till kunden

NOD³ hjälper kunden, i skälig omfattning, att besvara begäranden från registrerade och med konsekvensbedömningar och förhandssamråd. Mycket av detta kan kunden göra direkt i WORK³.

11. Personuppgiftsincidenter

NOD³ meddelar kunden utan onödigt dröjsmål, och senast inom 48 timmar efter att ha fått kännedom om en incident som rör kundens uppgifter, med den information kunden behöver för att anmäla den.

12. Granskning

NOD³ lämnar den information som behövs för att visa att biträdesavtalet följs. Kunden får granska, på egen bekostnad, med 30 dagars varsel och högst en gång per år, om inte en incident eller en tillsynsmyndighet kräver mer.

13. Företräde

Om biträdesavtalet och villkoren skiljer sig åt i dataskyddsfrågor gäller biträdesavtalet. Svensk lag gäller.