Personuppgiftsbiträdesavtal

Senast uppdaterad: 2026-10-15

Gäller från: 2026-10-15 för organisationer som skapas från och med det datumet, och 2026-12-01 för organisationer som fanns dessförinnan (se 1.3)

WWW Holding AB Organisationsnummer: 559515-3668 Anundsgatan 22 753 34 Uppsala Sverige

Kontakt: [email protected]

1. Parter och tillämpning

1.1 Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") är en del av Kursportals allmänna villkor och ingås mellan WWW Holding AB, org.nr 559515-3668 ("Kursportal" eller "Biträdet"), och varje Organisation som använder Kursportal ("Kunden" eller "den Ansvarige"). Med Organisation avses ett företag, en förening, en myndighet eller en annan organisation som har ett organisationskonto i Kursportal, oavsett om organisationen säljer kurser eller använder Kursportal för internutbildning eller medlemmar.

1.2 Biträdesavtalet reglerar Kursportals behandling av personuppgifter för Kundens räkning enligt artikel 28 i Europaparlamentets och rådets förordning (EU) 2016/679 ("GDPR"). Kunden är personuppgiftsansvarig och Kursportal personuppgiftsbiträde för Kunddata enligt avsnitt 2.

1.3 För en Organisation som skapar sitt organisationskonto från och med 2026-10-15 gäller Biträdesavtalet från att kontot skapas, och det godkänns då. För en Organisation som hade ett organisationskonto före 2026-10-15 gäller Biträdesavtalet från och med 2026-12-01, enligt villkorens bestämmelser om ändringar. En sådan Organisation som inte godkänner Biträdesavtalet har rätt att säga upp avtalet med Kursportal före 2026-12-01.

1.4 Har Kunden och Kursportal ingått ett särskilt, undertecknat personuppgiftsbiträdesavtal gäller det avtalet i stället för detta Biträdesavtal.

1.5 Vid motstridighet mellan Biträdesavtalet och de allmänna villkoren har Biträdesavtalet företräde i frågor som rör behandling av personuppgifter.

2. Vad Biträdesavtalet omfattar

2.1 Kunddata är de personuppgifter som Kursportal behandlar för Kundens räkning när Kunden använder Kursportal: uppgifter om de personer som Kunden bjuder in till, lägger till i eller ger tillgång till sin organisation och sina kurser, de uppgifter som uppstår när de använder Kundens kurser, samt personuppgifter i material som Kunden laddar upp.

2.2 Biträdesavtalet omfattar inte behandling där Kursportal själv bestämmer ändamål och medel och därför är personuppgiftsansvarig, nämligen:

• köp av kurser där Kursportal är säljare och betalningsmottagare, inklusive betalning, fakturering och bokföring;
• Kursportals egen kundrelation med Kunden, till exempel kontaktpersoner, avtal och fakturering av Kunden;
• drift, felsökning och säkerhet i den mån den avser plattformen som helhet, till exempel skydd mot missbruk och tekniska loggar;
• statistik över inloggningar i plattformen som helhet, med pseudonyma användar-id:n;
• besöksstatistik och marknadsföring på kursportal.se.

Denna behandling beskrivs i Kursportals integritetspolicy.

3. Behandlingens föremål, art, ändamål och varaktighet

• Föremål och ändamål: att tillhandahålla Kursportal enligt de allmänna villkoren, inklusive användarkonton och inloggning till Kundens portal, kurser och utbildningsresultat, utskick av e-post och SMS enligt Kundens inställningar, BankID-signering av dokument, support samt säkerhetskopiering.
• Behandlingens art: insamling, lagring, visning, bearbetning, överföring till underbiträden enligt avsnitt 8, säkerhetskopiering och radering.
• Typ av personuppgifter: namn, e-postadress, telefonnummer (vid SMS-utskick), profilbild (om användaren laddar upp en), personnummer (vid inloggning eller signering med BankID), kursregistreringar, kursframsteg, quiz- och provresultat, inlämningar, kursbevis, meddelanden i kurskanaler, deltagande i evenemang, användningsloggar, supportärenden samt teknisk information (IP-adress och webbläsarinformation vid inloggning). Vid BankID-signering av dokument lagras även signaturbevis (undertecknad text, undertecknarens namn och tekniskt underskriftsbevis). Därutöver de personuppgifter som Kunden själv lägger in i Kursportal, till exempel i kursmaterial.
• Kategorier av registrerade: Kundens anställda, uppdragstagare, medlemmar, kursdeltagare och andra personer som Kunden bjuder in till eller ger tillgång till sin organisation eller sina kurser, samt personer som förekommer i material som Kunden laddar upp.
• Särskilda kategorier av personuppgifter (artikel 9 GDPR) är inte avsedda att behandlas i Kursportal, och Kunden ska inte ladda upp sådana. Personnummer behandlas endast i den utsträckning som krävs för säker identifiering vid BankID-inloggning och BankID-signering (jfr 3 kap. 10 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning).
• Varaktighet: så länge Kunden använder Kursportal, och därefter den tid som krävs för radering eller återlämning enligt avsnitt 10.

4. Kundens instruktioner och ansvar

4.1 Kursportal behandlar Kunddata endast enligt Kundens dokumenterade instruktioner. De allmänna villkoren, detta Biträdesavtal och de val Kunden gör i Kursportal (till exempel vilka personer som bjuds in, vilka utskick som skickas och vilka funktioner som används) utgör Kundens fullständiga instruktioner. Kräver unionsrätt eller svensk rätt att Kursportal behandlar Kunddata på annat sätt informerar Kursportal Kunden om detta innan behandlingen, om inte sådan information är förbjuden enligt lag.

4.2 Kunden ansvarar för att det finns rättslig grund för behandlingen, för att de registrerade får den information som krävs enligt GDPR och för att Kundens instruktioner är förenliga med GDPR och annan tillämplig dataskyddslagstiftning.

4.3 Kursportal ska omedelbart informera Kunden om Kursportal anser att en instruktion strider mot GDPR eller annan dataskyddsbestämmelse. Kursportal har då rätt att avvakta med att utföra instruktionen till dess att frågan är löst. Vidhåller Kunden en instruktion som Kursportal på sakliga grunder bedömer strider mot lag, har Kursportal rätt att vägra utföra den och, om Kunden inte återkallar instruktionen inom 30 dagar efter skriftlig underrättelse, att säga upp avtalet med Kunden.

4.4 När Kunden själv aktiverar en integration som för ut Kunddata ur Kursportal, till exempel en API-nyckel, en webhook eller en koppling till Kundens bokföringssystem, sker överföringen på Kundens instruktion. Mottagaren är då inte Kursportals underbiträde.

5. Kursportals skyldigheter

Kursportal ska:

a) säkerställa att de personer som har behörighet att behandla Kunddata har åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt;

b) vidta de tekniska och organisatoriska säkerhetsåtgärder som krävs enligt artikel 32 GDPR, se avsnitt 6;

c) med hänsyn till behandlingens art och i skälig omfattning bistå Kunden med att svara på registrerades begäranden enligt kapitel III GDPR. Får Kursportal en begäran direkt från en registrerad som avser Kunddata vidarebefordrar Kursportal den till Kunden utan onödigt dröjsmål och besvarar den inte själv i sak, om inte Kunden instruerat annat. På Kundens begäran tillhandahåller Kursportal inom tio (10) arbetsdagar de personuppgifter om den registrerade och den information om behandlingen som Kunden behöver. Kundens ägare kan dessutom själv exportera organisationens data i Kursportal (Inställningar, "Exportera all data");

d) bistå Kunden med att fullgöra skyldigheterna enligt artiklarna 32 till 36 GDPR, med hänsyn till behandlingens art och den information Kursportal har tillgång till, bland annat med information om behandlingen, säkerhetsåtgärderna och underbiträdena vid konsekvensbedömning avseende dataskydd och vid förhandssamråd med Integritetsskyddsmyndigheten (IMY);

e) ge Kunden tillgång till den information som krävs för att visa att skyldigheterna i artikel 28 GDPR fullgörs, enligt avsnitt 11.

6. Säkerhetsåtgärder

6.1 Kursportal vidtar tekniska och organisatoriska åtgärder för att uppnå en säkerhetsnivå som är lämplig i förhållande till risken. När detta Biträdesavtal börjar gälla omfattar åtgärderna åtminstone:

• kryptering av all trafik mellan användare och Kursportal (TLS);
• kryptering av säkerhetskopior innan de lagras, och kryptering av lagrade filer i vila hos objektlagringsleverantören;
• åtkomst till uppladdade privata filer endast via tidsbegränsade, signerade länkar;
• rollbaserad behörighetsstyrning som avgränsar varje organisations uppgifter från andra organisationers;
• inloggning med BankID eller personlig engångslänk till verifierad e-postadress;
• loggning av inloggningar och av administrativa åtgärder av betydelse;
• hemligheter och åtkomstnycklar lagrade i krypterad form;
• felövervakning som är konfigurerad att inte samla in personuppgifter som standard;
• återkommande granskning av åtkomstkontrollen;
• regelbunden säkerhetskopiering med rotation enligt avsnitt 10.

6.2 Kursportal får ändra och utveckla åtgärderna under förutsättning att skyddsnivån inte försämras.

7. Personuppgiftsincidenter

Kursportal underrättar Kunden om en personuppgiftsincident som rör Kunddata utan onödigt dröjsmål och senast inom 48 timmar efter att Kursportal fått kännedom om incidenten. Underrättelsen skickas till Kundens ägare och innehåller den information som då är känd (incidentens art, berörda kategorier av registrerade och personuppgifter, sannolika konsekvenser och vidtagna eller föreslagna åtgärder). Den kompletteras löpande så att Kunden kan fullgöra sin skyldighet att anmäla incidenten till IMY och informera de registrerade enligt artiklarna 33 och 34 GDPR.

8. Underbiträden

8.1 Kunden lämnar ett allmänt förhandstillstånd till att Kursportal anlitar underbiträden. De underbiträden som anlitas framgår av förteckningen på kursportal.se/underbitraden, som är en del av detta Biträdesavtal. Förteckningen anger för varje underbiträde vilken tjänst det utför, var behandlingen sker och vilken överföringsmekanism som används.

8.2 Kursportal ingår ett skriftligt avtal med varje underbiträde som ålägger det samma dataskyddsskyldigheter som i detta Biträdesavtal, och ansvarar fullt ut gentemot Kunden för underbiträdets behandling.

8.3 Kursportal underrättar Kunden minst 30 dagar innan ett nytt underbiträde börjar behandla Kunddata eller ett befintligt byts ut. Underrättelsen skickas med e-post till Kundens ägare, och förteckningen uppdateras med datum. Kunden kan invända mot ändringen skriftligen till [email protected] inom 30 dagar från underrättelsen. Invänder Kunden på sakliga grunder ska parterna i god tro försöka hitta en lösning. Kan parterna inte enas har Kunden rätt att säga upp avtalet och sluta använda Kursportal innan ändringen får verkan för Kunden.

8.4 Måste ett underbiträde bytas ut snabbare än så för att upprätthålla säkerheten eller driften underrättar Kursportal Kunden så snart som möjligt, och Kunden har samma rätt att invända och säga upp avtalet som enligt 8.3.

9. Överföring till tredjeland

9.1 Kunddata lagras huvudsakligen inom EU/EES. Vissa underbiträden behandlar personuppgifter i USA, till exempel vid leverans av e-post och hantering av supportärenden. Sådan behandling sker med stöd av den överföringsmekanism enligt kapitel V GDPR som anges för respektive underbiträde i förteckningen: EU-US Data Privacy Framework (kommissionens beslut om adekvat skyddsnivå 2023/1795) för underbiträden som är certifierade deltagare, och EU-kommissionens standardavtalsklausuler (beslut 2021/914) för övriga.

9.2 Kursportal kontrollerar underbiträdenas certifieringsstatus vid varje byte eller tillägg och minst en gång per år. Upphör en mekanism att vara giltig ska Kursportal utan onödigt dröjsmål säkerställa en annan giltig mekanism eller upphöra med överföringen.

9.3 På Kundens begäran tillhandahåller Kursportal dokumentation som styrker mekanismen för respektive underbiträde (certifieringsutdrag, tillämpliga standardavtalsklausuler och i förekommande fall utförd överföringskonsekvensbedömning).

10. Radering och återlämning

10.1 Kundens ägare kan när som helst själv exportera organisationens data i Kursportal (Inställningar, "Exportera all data"), och därmed få tillbaka Kunddata utan att behöva kontakta Kursportal.

10.2 När Kunden slutar använda Kursportal raderar eller återlämnar Kursportal, enligt Kundens val, all Kunddata och raderar befintliga kopior, om inte lagring krävs enligt unionsrätt eller svensk rätt. Har Kunden inte begärt återlämning inom 90 dagar raderas uppgifterna. Kunddata i säkerhetskopior raderas genom Kursportals rotationsschema, varvid säkerhetskopior raderas senast 30 dagar efter att de skapats. På begäran bekräftar Kursportal raderingen skriftligen.

11. Granskning

Kursportal ger Kunden tillgång till den information som krävs för att visa att skyldigheterna i artikel 28 GDPR fullgörs, och möjliggör och bidrar till granskningar som utförs av Kunden eller av en oberoende granskare som Kunden utser och som omfattas av tystnadsplikt. Granskning ska i första hand ske genom att Kursportal tillhandahåller skriftlig dokumentation. Granskning på plats ska aviseras minst 30 dagar i förväg, genomföras under kontorstid och högst en gång per år, om inte en tillsynsmyndighet kräver annat eller en personuppgiftsincident ger anledning. Vardera parten bär sina egna kostnader.

12. Ansvar

12.1 Ansvarsbegränsningen i de allmänna villkoren gäller även för detta Biträdesavtal, med undantag för vad som följer av tvingande rätt.

12.2 Ansvarsbegränsningen påverkar inte registrerades rätt till ersättning enligt artikel 82 GDPR eller parts skyldighet att betala sanktionsavgift som beslutats av behörig tillsynsmyndighet.

12.3 Om en tillsynsmyndighet beslutar om sanktionsavgift som hänför sig till behandling enligt detta Biträdesavtal, ska den part vars agerande eller underlåtenhet föranlett avgiften slutligt bära den. I den mån en part har betalat en avgift som enligt föregående mening ska bäras av den andra parten, ska den andra parten ersätta beloppet inom 30 dagar efter skriftlig begäran med underlag som visar avgiftsbeslutet och grunden för fördelningen.

13. Giltighet, ändringar och tillämplig lag

13.1 Biträdesavtalet gäller så länge Kursportal behandlar Kunddata för Kundens räkning.

13.2 Ändringar i Biträdesavtalet görs enligt de allmänna villkorens bestämmelser om ändringar. Ändringar i förteckningen över underbiträden görs enligt avsnitt 8.

13.3 Biträdesavtalet regleras av svensk lag. Tvister avgörs enligt de allmänna villkoren.

14. Kontakt

Frågor om detta Biträdesavtal, invändningar mot underbiträden och begäran om dokumentation skickas till:

WWW Holding AB E-post: [email protected] Adress: Anundsgatan 22, 753 34 Uppsala