Personuppgiftsbiträdesavtal – Crafttrack

Version: 1.0

Gäller från: 24 augusti 2026

Detta personuppgiftsbiträdesavtal (”Avtalet”) gäller mellan kunden (”Personuppgiftsansvarig”) och Witmix AB, som driver Crafttrack (”Personuppgiftsbiträde”). Avtalet är en del av parternas avtal om Crafttrack.

1. Varför avtalet finns

Kunden använder Crafttrack för att hantera bland annat reparationer, kundkontakter och arbetsflöden. När Witmix AB behandlar personuppgifter för kundens räkning ska detta Avtal uppfylla kraven i artikel 28 i EU:s dataskyddsförordning (GDPR).

Kunden bestämmer varför och hur personuppgifterna ska användas. Witmix AB behandlar dem endast för att leverera, driva, säkra, ge support för och utveckla Crafttrack enligt kundens dokumenterade instruktioner, huvudavtalet och tillämplig lag.

2. Behandlingen

Behandlingen pågår så länge kunden använder Crafttrack och därefter så länge uppgifter behöver behållas enligt detta Avtal eller lag.

Behandlingen kan omfatta insamling, registrering, strukturering, lagring, läsning, ändring, överföring, säkerhetskopiering, felsökning, export, begränsning och radering.

Uppgifterna kan avse:

• kundens kontaktpersoner, administratörer och medarbetare,
• kundens egna kunder och andra personer i reparationsärenden,
• namn, kontaktuppgifter, kund- och ärendeuppgifter,
• information om föremål, reparationer, bilder, meddelanden, kostnadsförslag och status,
• konto-, behörighets-, logg- och tekniska uppgifter, samt
• andra personuppgifter som kunden väljer att lägga in i tjänsten.

Kunden ska inte lägga in känsliga personuppgifter, personnummer eller uppgifter om lagöverträdelser om det inte är nödvändigt, tillåtet och särskilt överenskommet skriftligen.

3. Kundens ansvar

Kunden ansvarar för att:

• det finns laglig grund och tydlig information till de registrerade,
• instruktionerna till Witmix AB är lagliga, riktiga och tillräckliga,
• endast nödvändiga uppgifter läggs in och att de är korrekta,
• användare har rätt behörighet och skyddar sina inloggningsuppgifter,
• gallringsregler, svar till registrerade och andra skyldigheter enligt GDPR följs, och
• kunden inte använder Crafttrack på ett sätt som strider mot lag eller huvudavtalet.

Om en instruktion enligt Witmix AB:s rimliga bedömning strider mot dataskyddsregler får Witmix AB pausa den och informera kunden.

4. Witmix AB:s åtaganden

Witmix AB ska:

• endast behandla uppgifter enligt dokumenterade instruktioner, om inte lag kräver annat,
• se till att personer med tillgång till uppgifterna omfattas av sekretess,
• använda lämpliga tekniska och organisatoriska säkerhetsåtgärder i förhållande till riskerna,
• hjälpa kunden med förfrågningar från registrerade, säkerhet, konsekvensbedömningar och myndighetskontakter i den utsträckning som krävs enligt artikel 28 GDPR,
• ge kunden den information som skäligen behövs för att visa att Avtalet följs, och
• meddela kunden utan onödigt dröjsmål efter att Witmix AB fått kännedom om en personuppgiftsincident som rör kundens uppgifter.

Crafttrack är en standardiserad molntjänst. Kunden kan inte kräva särskilda tekniska lösningar, rapporter eller arbetsinsatser utöver lag, huvudavtal och den tjänst som beställts utan separat överenskommelse.

5. Säkerhet och incidenter

Witmix AB använder rimliga skydd, exempelvis behörighetsstyrning, loggning, krypterade anslutningar, säkerhetskopiering och rutiner för incidenthantering där det är relevant. Ingen digital tjänst kan garanteras vara helt fri från intrång, fel eller dataförlust.

Kunden ansvarar för sin egen användning, sina användare, enheter, integrationer, exporter och säkerhetskopior som kunden behöver utanför Crafttrack.

Vid en incident samarbetar parterna och begränsar skadan. Kunden ansvarar för bedömning och anmälan till Integritetsskyddsmyndigheten och information till registrerade, om inte annat följer av tvingande lag.

6. Underbiträden och överföringar

Kunden ger Witmix AB ett generellt tillstånd att anlita underbiträden för exempelvis drift, lagring, kommunikation, support, analys och säkerhet. Witmix AB ska ställa relevanta dataskyddskrav på underbiträden.

Witmix AB får ändra underbiträden. Kunden ska informeras om en väsentlig förändring och får invända av välgrundade dataskyddsskäl. Om parterna inte kan lösa frågan får kunden säga upp den berörda tjänsten. Det är kundens enda påföljd med anledning av ett godkänt byte av underbiträde.

Om uppgifter behandlas utanför EU/EES ska Witmix AB använda en laglig överföringsmekanism när det krävs, exempelvis EU-kommissionens standardavtalsklausuler.

7. Förfrågningar, hjälp och ersättning

Om en registrerad, myndighet eller annan part kontaktar Witmix AB om kundens uppgifter får Witmix AB hänvisa förfrågan till kunden, om lag inte förbjuder det.

Funktioner och normal support som ingår i Crafttrack debiteras enligt huvudavtalet. För extraordinärt, kundspecifikt eller manuellt arbete – exempelvis omfattande sökning, sammanställning, export, rättning, radering, återställning, revision, juridisk samordning eller myndighetskontakt – har Witmix AB rätt till skäligt löpande arvode enligt aktuell timtaxa samt ersättning för skäliga externa kostnader. Kunden ska normalt informeras innan debiterbart arbete påbörjas.

Witmix AB får inte vägra eller fördröja en åtgärd som bolaget enligt tvingande lag måste utföra enbart på grund av en betalningstvist. Rätten till skälig ersättning gäller i den utsträckning som lag och artikel 28 GDPR tillåter.

8. Kontroll och revision

Kunden får högst en gång per år begära rimlig information för att kontrollera att Avtalet följs, om inte en incident eller myndighet kräver mer. Befintlig dokumentation ska användas i första hand.

Revision ska planeras i god tid, ske under normal arbetstid, inte störa verksamheten eller äventyra andra kunders säkerhet och utföras av en oberoende granskare som omfattas av sekretess. Kunden betalar sina egna kostnader och Witmix AB:s skäliga kostnader för kundspecifikt revisionsarbete, om revisionen inte visar ett väsentligt avtalsbrott av Witmix AB.

9. Radering och återlämning

När tjänsten avslutas ska Witmix AB, enligt kundens val och i den mån det är praktiskt och lagligt möjligt, radera eller lämna tillbaka kundens personuppgifter. Kunden ska begära och hämta önskad export innan åtkomsten stängs.

Witmix AB får behålla uppgifter som måste sparas enligt lag och uppgifter i säkerhetskopior tills de skrivs över enligt ordinarie rutiner. Under tiden ska uppgifterna skyddas och inte användas för andra ändamål.

10. Ansvar

Parternas ansvar enligt detta Avtal följer ansvarsbegränsningarna i huvudavtalet. Så långt tvingande lag tillåter ansvarar Witmix AB inte för indirekt skada, utebliven vinst, omsättningsbortfall, goodwillförlust, följdskada, krav från tredje part eller dataförlust som hade kunnat undvikas genom kundens rimliga säkerhetskopiering eller rutiner.

Witmix AB ansvarar inte för incidenter eller skador som orsakas av kunden, kundens användare, svaga eller delade inloggningsuppgifter, kundens utrustning eller integrationer, olagliga instruktioner, felaktiga uppgifter, tredje part utanför Witmix AB:s kontroll eller händelser utanför rimlig kontroll.

Witmix AB:s sammanlagda ansvar under en tolvmånadersperiod är, så långt lagen tillåter, begränsat till de avgifter kunden betalat för Crafttrack under samma period. Begränsningen gäller även kostnader som följer av personuppgiftsincidenter, utredning, återställning, underrättelser och tredjepartskrav. Den gäller inte ansvar som inte får begränsas enligt tvingande lag eller skada som orsakats uppsåtligen eller genom grov vårdslöshet.

Ingenting i Avtalet flyttar över kundens eget personuppgiftsansvar till Witmix AB. Varje part svarar för administrativa sanktionsavgifter och krav i den utsträckning de beror på den partens eget ansvar, agerande eller underlåtenhet enligt tillämplig lag.

11. Avtalstid, ändringar och företräde

Avtalet gäller från kundens godkännande och så länge Witmix AB behandlar personuppgifter för kunden.

Witmix AB får uppdatera Avtalet när tjänsten, leverantörer eller lagkrav ändras. Vid en väsentlig ändring får kunden information och ska godkänna den nya huvudversionen. Till dess fortsätter senast godkända version att gälla i den utsträckning den fortfarande är tillämplig. Mindre förtydliganden som inte försämrar kundens dataskydd kan göras utan nytt godkännande.

Om detta Avtal och huvudavtalet säger olika saker om behandling av personuppgifter gäller detta Avtal. EU-kommissionens standardavtalsklausuler eller tvingande lag går alltid före motstridiga villkor.

12. Lag och tvist

Svensk lag gäller. Tvist ska i första hand lösas genom samtal och därefter av svensk allmän domstol med Stockholms tingsrätt som första instans.

Parter

Personuppgiftsansvarig: den organisation som godkänner Avtalet i Crafttrack.

Personuppgiftsbiträde: Witmix AB, som driver Crafttrack.

Ett elektroniskt godkännande i Crafttrack registreras med organisation, användare, tidpunkt, avtalsversion och en kontrollsumma för den godkända texten.