1. Parter, tillämpning och företräde
Detta avtal gäller mellan det bolag som accepterar användarvillkoren (Kunden) och Rojs Software AB, organisationsnummer 559573-3501 (Rojs). Version 2026-10-11 ingår i användarvillkor version 2026-10-11 och blir bindande genom Kundens behöriga företrädares uttryckliga accept eller ett separat skriftligt avtal. Publicering innebär inte att tidigare kunder har accepterat den nya versionen.
Kunden är personuppgiftsansvarig för behandling som Rojs utför på Kundens dokumenterade uppdrag. Detta avtal har företräde vid motstridiga dataskyddsvillkor. Kundens företagsidentitet, företrädare, accepterade användarvillkorsversion och accepttid registreras som avtalsbevis.
2. Behandlingsbilaga och ansvarsfördelning
Uppdraget omfattar lagring, strukturering, visning, rättelse, export och radering av de konsult-, kontakt-, arbetsplats-, uppdrags- och tidsrapporteringsuppgifter som Kunden låter hantera i sin arbetsyta. Ändamålet är Kundens bemannings- och uppdragsadministration. Behandlingen pågår under tjänsteavtalet och nödvändig avveckling enligt punkt 9.
Registrerade är Kundens konsulter, anställda, företrädare och kontaktpersoner hos uppdragsgivare. Uppgifterna kan omfatta namn, kontaktuppgifter, yrkesroll, arbetsplats, uppdragsperiod, arbetad tid, godkännande och administrativ kommunikation. Patientuppgifter, journaler, hälsouppgifter och andra känsliga personuppgifter får inte läggas in. Personnummer får inte lämnas i fritext eller kundmaterial.
Rojs är separat personuppgiftsansvarig för egna konton, säkerhet, bolagsverifiering och BankID, den förmedling konsulter själva begär, publika betyg, egen avgiftsberäkning och bokföring samt rättsliga anspråk. Dessa ändamål omfattas av integritetspolicyn. Kundens fortsatta behandling av mottagna intresseanmälningar sker under Kundens eget ansvar. Samma uppgift får inte återanvändas av Rojs för ett eget ändamål enbart med stöd av detta biträdesavtal.
3. Instruktioner och kundens ansvar
Kunden bestämmer tillåtna ändamål och uppgifter, ansvarar för rättslig grund och information till registrerade samt begränsar behörigheter. Avtalet, användningen av avtalade funktioner och skriftliga instruktioner från behörig företrädare utgör dokumenterade instruktioner. Rojs behandlar uppgifterna endast enligt dessa, även vid överföring utanför EES.
Om lag kräver annan behandling informerar Rojs Kunden innan behandlingen, om lagen tillåter det. Rojs underrättar omedelbart Kunden om en instruktion bedöms strida mot dataskyddsrätten och pausar den berörda behandlingen tills instruktionen har klarlagts. Väsentligt ändrad behandling kräver dokumenterad överenskommelse innan den påbörjas.
4. Sekretess och säkerhetsbilaga
Endast personer som behöver åtkomst för uppdraget får tillgång. De ska omfattas av sekretessåtagande eller lagstadgad tystnadsplikt. Rojs tillämpar riskanpassade åtgärder enligt artikel 32 GDPR: behörighetsstyrning och separation mellan bolag, skyddad kommunikation, skydd för hemligheter och identitetsbevis, spårbar privilegierad åtkomst, begränsad loggning, säkerhetskopiering och återställning samt regelbunden kontroll av skyddens funktion.
Databasåtkomst begränsas till behöriga tjänster och operatörer. Schemalagda logiska säkerhetskopior krypteras före uppladdning och har 14 dagars lagringstid. Rojs ska upprätthålla lämplig konfidentialitet, riktighet, tillgänglighet och återställningsförmåga samt rätta upptäckta brister. Kunden kan begära en aktuell beskrivning av åtgärder och relevanta kontrollresultat.
5. Underbiträden och överföringar
Kunden ger allmänt skriftligt förhandstillstånd till följande underbiträden i den mån de behandlar uppgifter för Kundens uppdrag: Vercel (applikationsdrift och tekniska loggar), Neon (databas), GitHub (säkerhetskopiering, återställningskontroll och krypterade backupfiler), Resend (tjänstemeddelanden) och one.com (supportkorrespondens). GitHub kan behandla okrypterade uppgifter tillfälligt under dumpning och återställningskontroll; endast krypterade backupfiler får lagras som artefakter.
När Rojs själv anlitar eller ersätter ett underbiträde underrättas Kundens avtalade kontakt skriftligen minst 30 kalenderdagar före ändringen. Kunden får framföra en motiverad dataskyddsinvändning före ändringen.
Om ett redan anlitat underbiträde ändrar sin egen underbiträdeskedja underrättar Rojs Kundens avtalade kontakt skriftligen utan onödigt dröjsmål och senast två kalenderdagar efter leverantörens besked. Kunden ska få beskedet minst 10 kalenderdagar innan det nya underbiträdet får behandla Kundens uppgifter och får invända inom sju kalenderdagar efter mottaget besked. Resend ger enligt sitt avtal Rojs minst 14 kalenderdagars förhandsbesked. Kundens frister räknas från Kundens mottagande av Rojs besked, inte från leverantörens besked till Rojs.
Beskedet anger berörda tjänster och uppgiftskategorier, det nya underbiträdets identitet och behandlingsländer, skyddsåtgärder, planerad start och sista dag för invändning. Invändningar skickas till support@vardbemanningsguiden.se. Kunden ges längre bedömningstid när behandlingens art eller ändringens omfattning kräver det. Dessa frister innebär inte att nya avtalsvillkor accepteras genom passivitet.
Rojs hanterar invändningar utan onödigt dröjsmål och parterna söker en lösning före planerad start. Om frister, tillräcklig bedömningstid eller dataskydd inte kan säkerställas, eller en motiverad invändning kvarstår, ska Rojs säkerställa att det nya underbiträdet inte behandlar Kundens uppgifter. Det kan kräva en alternativ lösning eller att den berörda behandlingen pausas eller avslutas före ändringen. Kunden får avsluta den berörda tjänsten om någon lösning inte nås. Återlämnande och radering, även hos leverantörer, hanteras enligt punkt 9. Rojs ålägger underbiträden motsvarande dataskyddsskyldigheter och ansvarar gentemot Kunden för deras fullgörande genom hela kedjan.
Överföring utanför EES får endast ske enligt instruktion och med tillämpligt stöd enligt kapitel V GDPR, exempelvis giltigt adekvansbeslut eller EU:s standardavtalsklausuler med nödvändiga kompletterande åtgärder. Kunden kan begära aktuell information om mottagare, behandlingsländer och en kopia av relevanta skyddsåtgärder. BankID-leverantörens självständiga behandling och Rojs egna betalnings- och bokföringsändamål omfattas inte av detta underbiträdestillstånd.
6. Registrerades rättigheter och bistånd
Rojs vidarebefordrar begäranden som gäller Kundens behandling utan onödigt dröjsmål och besvarar dem inte i sak utan instruktion, om inte lag kräver det. Rojs bistår med lämpliga tekniska och organisatoriska åtgärder för tillgång, rättelse, radering, begränsning, invändning och dataportabilitet så att Kunden kan hålla lagstadgade tidsfrister.
Med hänsyn till behandlingens art och tillgänglig information bistår Rojs även med säkerhetsbedömningar, incidentutredning, konsekvensbedömningar och förhandssamråd enligt artiklarna 32–36 GDPR. Kunden ansvarar för sina beslut och anmälningar som personuppgiftsansvarig.
7. Personuppgiftsincidenter
Rojs underrättar Kundens avtalade kontakt utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör uppdraget. Underrättelsen beskriver kända omständigheter, berörda uppgifts- och personkategorier, ungefärligt antal där det är känt, sannolika följder, åtgärder och kontaktväg. Uppgifter lämnas stegvis om allt inte är känt samtidigt.
Rojs begränsar incidenten, säkrar relevanta bevis och samarbetar med Kunden. Rapportering inväntar inte en färdig utredning. Kunden avgör om registrerade eller tillsynsmyndighet ska informeras om Kundens behandling.
8. Information och granskning
Rojs gör den information som behövs för att visa efterlevnad tillgänglig och möjliggör och bidrar till granskning, inklusive inspektion, av Kunden eller en oberoende granskare som Kunden utser. Tid, sekretess och omfattning samordnas för att skydda andra kunder utan att urholka granskningsrätten. Akuta incidenter och myndighetskrav hanteras skyndsamt.
9. Återlämnande, radering och kontakt
När uppdraget upphör ska Rojs, enligt Kundens val, återlämna personuppgifterna i ett användbart format eller radera dem och radera befintliga kopior, om inte unionsrätt eller medlemsstats lag kräver fortsatt lagring. Kunden lämnar sitt val och avvecklingsinstruktion via support@vardbemanningsguiden.se. Rojs bekräftar omfattning, genomförandeplan och utförd åtgärd utan onödigt dröjsmål.
Uppgifter i skyddade backupkopior avskiljs från ordinarie användning tills tillämplig backupcykel löper ut. Vid återställning ska tidigare raderingsinstruktioner åter tillämpas innan uppgifterna används. Om lag kräver kvarvarande uppgifter dokumenteras lagstödet, uppgifterna begränsas till det ändamålet och raderas när skyldigheten upphör. Egen bokföring och andra självständiga ändamål hanteras separat enligt integritetspolicyn.