Personuppgiftsbiträdesavtal

Senast uppdaterad juli 2026

1. Om denna sida

Denna sida innehåller standardpersonuppgiftsbiträdesavtalet (DPA) mellan HR Cluster AS, som personuppgiftsbiträde, och varje kundorganisation, som personuppgiftsansvarig, som använder SRVY. Det utgör en del av avtalet mellan oss och kompletterar våra användarvillkor och vår integritetspolicy.

Denna version är vår förhandsgodkända mall. Behöver du en signerad kopia till ditt arkiv, skicka ett mejl till legal@srvy.app, så returnerar vi en signerad PDF, vanligtvis inom två arbetsdagar.

2. Parter

Personuppgiftsbiträde: HR Cluster AS, som driver SRVY.

Personuppgiftsansvarig: den juridiska enhet vars kundorganisation använder SRVY enligt avtal med HR Cluster AS.

3. Föremål och varaktighet

Detta avtal reglerar den behandling av personuppgifter som sker när den personuppgiftsansvarige använder SRVY. Det träder i kraft vid tjänstens start och varar så länge HR Cluster AS behandlar personuppgifter för den personuppgiftsansvariges räkning, även om tjänsteavtalet ändras eller förnyas.

4. Behandlingens art och ändamål

HR Cluster AS behandlar personuppgifter uteslutande för att leverera SRVY-plattformen för undersökningar och återkoppling. Detta omfattar utformning av undersökningar, distribution av inbjudningar och påminnelser, insamling av svar (inklusive anonyma svar), prenumerations- och mottagarhantering, analys och tillhörande tjänster. HR Cluster AS agerar strikt enligt den personuppgiftsansvariges dokumenterade instruktioner, inklusive konfigurationen av undersökningar och mottagargrupper.

5. Kategorier av registrerade

Respondenter som bjuds in till eller besvarar den personuppgiftsansvariges undersökningar
Prenumeranter i den personuppgiftsansvariges pooler och listor
Arbetsytans användare och administratörer hos den personuppgiftsansvarige
Andra personer vars personuppgifter den personuppgiftsansvarige lägger in eller laddar upp i plattformen

6. Kategorier av personuppgifter

Kontaktuppgifter (respondentens och prenumerantens namn, e-postadress och egenskaper tillagda av den personuppgiftsansvarige)
Svarsdata (undersökningssvar, inte kopplade till respondenters identitet; se vår integritetspolicy för omfattning och begränsningar)
Prenumerations- och samtyckesdata (prenumerationsstatus, anmälnings- och avregistreringsloggar med tidsstämpel och IP)
Data om arbetsytans användare (namn, jobbmejl, roll, behörigheter, hashade inloggningsuppgifter)
Tekniska data (IP-adress, webbläsar- och enhetsmetadata, revisions- och leveranstidsstämplar)

Den personuppgiftsansvarige får inte använda plattformen för att behandla särskilda kategorier av personuppgifter om den inte har säkerställt en lämplig rättslig grund och ytterligare garantier för det.

7. Personuppgiftsbiträdets skyldigheter

HR Cluster AS förbinder sig att:

Endast behandla enligt instruktion. Behandla personuppgifter endast enligt den personuppgiftsansvariges dokumenterade instruktioner, så som de framgår av tjänsteavtalet, detta avtal och den personuppgiftsansvariges konfiguration av plattformen. Krävs behandling utan instruktion enligt lag, informerar HR Cluster AS den personuppgiftsansvarige först, om inte lagen förbjuder sådan information.
Konfidentialitet. Säkerställa att personer som är behöriga att behandla personuppgifter omfattas av tystnadsplikt.
Säkerhet. Vidta lämpliga tekniska och organisatoriska åtgärder, så som beskrivs på vår säkerhetssida, i enlighet med GDPR artikel 32.
Underbiträden. Endast anlita underbiträden under ett skriftligt avtal som ålägger dataskyddsskyldigheter motsvarande dem i detta avtal. De aktuella underbiträdena är förtecknade i bilagan nedan. HR Cluster AS informerar den personuppgiftsansvarige om varje avsedd väsentlig ändring och ger en rimlig möjlighet att invända mot den.
Respondenters och registrerades rättigheter. Bistå den personuppgiftsansvarige, genom lämpliga tekniska och organisatoriska åtgärder, med att besvara förfrågningar från registrerade som utövar sina rättigheter enligt GDPR kapitel III, däribland att respektera avregistreringar genom plattformen.
Bistånd med efterlevnad. Bistå den personuppgiftsansvarige med att uppfylla skyldigheterna enligt GDPR artikel 32 till 36 (säkerhet, incidentrapportering, konsekvensbedömningar avseende dataskydd och förhandssamråd), utifrån behandlingens art och den information som är tillgänglig.
Incidentrapportering. Informera den personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör den personuppgiftsansvariges data, och lämna den information som rimligen behövs för att den personuppgiftsansvarige ska kunna uppfylla sina egna skyldigheter.
Revision. Göra tillgänglig den information som är nödvändig för att visa efterlevnad av detta avtal, och möjliggöra rimliga revisioner för den personuppgiftsansvariges kostnad, med rimligt varsel och under överenskomna konfidentialitetsvillkor.
Retur eller radering. Efter den personuppgiftsansvariges val radera eller returnera alla personuppgifter vid tjänstens upphörande, och radera befintliga kopior om inte lagring krävs enligt lag.

8. Överföring till tredjeland

Där ett underbiträde behandlar personuppgifter utanför EES sker överföringen under EU-kommissionens standardavtalsklausuler och, där det är relevant, EU–US Data Privacy Framework, tillsammans med eventuella kompletterande åtgärder som anges av underbiträdet.

9. Retur eller radering av data

Vid tjänstens upphörande, eller enligt tidigare instruktion från den personuppgiftsansvarige, kommer HR Cluster AS att radera eller returnera den personuppgiftsansvariges personuppgifter inom rimlig tid, och radera kvarvarande kopior, utom där lagring krävs enligt tillämplig lag. Undertryckningsloggar som behövs för att hålla en avregistrering verksam kan behållas i hashad form för det ändamålet.

10. Lagval

Detta avtal lyder under norsk rätt, och tvister lyder under norska domstolar, i överensstämmelse med våra användarvillkor.

11. Bilaga: underbiträden

Följande underbiträden behandlar personuppgifter för HR Cluster AS räkning per datumet nedan. Var och en är bunden av ett skriftligt personuppgiftsbiträdesavtal.

Leverantör	Ändamål	Datakategorier	Plats	Garantier
Hetzner Online GmbH	Drift, databehandling, lagring, säkerhetskopior	All organisationsdata i applikationsdatabasen, uppladdade filer och säkerhetskopior	Dokumenterat operationellt	ISO 27001-certifierade datacenter
Postmark(ActiveCampaign, LLC)	Leverans av transaktions- och undersökningsmejl	Mottagarens namn och e-postadress, och innehåll i inbjudningar, påminnelser samt prenumerations- och kontomejl	USA	Standardavtalsklausuler; EU–US Data Privacy Framework där det är relevant
Google Ireland Ltd.(Google Analytics)	Integritetsvänlig användningsanalys på offentliga sidor	IP-adress (anonymiserad där det stöds), enhets- och webbläsarmetadata, sidinteraktionshändelser	USA / global Google-infrastruktur	Laddas endast efter samtycke; standardavtalsklausuler; IP-anonymisering

Vi informerar kunder i förväg om varje väsentlig ändring i denna lista, vanligtvis per e-post till organisationens administratör. En kund med ett signerat personuppgiftsbiträdesavtal kan invända mot ett nytt underbiträde i enlighet med det avtalet.

12. Begära en signerad kopia

Skicka ett mejl till legal@srvy.app med organisationens namn och registrerade adress. Vi returnerar en signerad PDF till ditt arkiv, vanligtvis inom två arbetsdagar. Inga ändringar i texten är nödvändiga. Versionen på denna sida är densamma som den signerade kopian.

13. Kontakt

HR Cluster AS
E-post: legal@srvy.app