Detta personuppgiftsbiträdesavtal ("Avtalet") ingås mellan Kunden (personuppgiftsansvarig — företagets namn och CVR-nummer fylls i vid registrering) och WEAKESTLINK ApS (CVR 46614011), som driver weakestlink ("Leverantören", personuppgiftsbiträde). Avtalet accepteras elektroniskt vid registrering av kontot och reglerar Leverantörens behandling av personuppgifter på Kundens vägnar i samband med säkerhetsutbildning och phishing-simulering. I frågor som rör personuppgiftsbehandling har Avtalet företräde framför de allmänna villkoren; i alla andra frågor gäller de allmänna villkoren.

1. Föremål och instruktion

Leverantören behandlar endast personuppgifter enligt Kundens dokumenterade instruktioner — detta Avtal med bilagor och den löpande användningen av tjänsten (Bilaga A) — om inte EU-rätt eller dansk rätt kräver annat; i så fall underrättar Leverantören Kunden om kravet innan behandlingen sker, om inte lagen förbjuder detta. Instruktionen omfattar också att Leverantören får sammanställa statistik i anonymiserad och aggregerad form enligt beskrivningen i de allmänna villkoren; efter anonymisering utgör uppgifterna inte längre personuppgifter. Leverantören underrättar Kunden om en instruktion enligt Leverantörens bedömning strider mot dataskyddsreglerna, och överför inte uppgifter till tredjeländer utöver de som anges i Bilaga B utan giltigt överföringsgrund.

2. Sekretess

Leverantören säkerställer att personer som är behöriga att behandla uppgifterna har åtagit sig sekretess eller omfattas av en lämplig lagstadgad tystnadsplikt.

3. Säkerhet (art. 32)

Leverantören genomför lämpliga tekniska och organisatoriska åtgärder (Bilaga C). En bärande princip är dataminimering: i phishing-simuleringar registreras endast att en händelse inträffade (öppnat/klickat/angett), samt fältnamn — aldrig de värden en medarbetare skriver in.

4. Underbiträden

Kunden ger ett generellt förhandsgodkännande till de underbiträden som anges i Bilaga B. Leverantören ålägger varje underbiträde samma dataskyddsförpliktelser som i detta Avtal och meddelar planerade ändringar via e-post med minst 30 dagars varsel, så att Kunden kan invända. Om en invändning inte kan tillgodoses med en rimlig lösning kan Kunden säga upp kundförhållandet med verkan från ändringens ikraftträdande. Leverantören förblir fullt ansvarig för underbiträdenas efterlevnad.

5. Bistånd till Kunden

Leverantören bistår, med hänsyn till behandlingens karaktär och genom lämpliga tekniska och organisatoriska åtgärder, Kunden med att besvara begäranden om de registrerades rättigheter (art. 12–23) och med Kundens skyldigheter enligt art. 32–36 (säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning och förhandssamråd). Tjänsten innehåller en färdig intresseavvägning och en transparenstext till medarbetarna som Kunden kan använda direkt. Bistånd som väsentligt går utöver vad tjänsten normalt innebär kan faktureras för nedlagd tid till skälig taxa.

6. Personuppgiftsincidenter

Leverantören underrättar Kunden utan onödigt dröjsmål och senast 48 timmar efter att ha fått kännedom om en incident som rör Kundens uppgifter — med beskrivning av incidentens karaktär, berörda kategorier och ungefärligt antal registrerade, de sannolika konsekvenserna samt vidtagna eller föreslagna åtgärder. Bedömningen av om incidenten ska anmälas till Datatilsynet (72-timmarsfristen) åligger Kunden i egenskap av personuppgiftsansvarig.

7. Radering och återlämning

När Avtalet upphör ska Leverantören, enligt Kundens val, radera eller återlämna samtliga personuppgifter. Återlämning sker i form av ett strukturerat, allmänt använt och maskinläsbart uttag (t.ex. CSV). Om Kunden inte meddelar sitt val senast vid upphörandet raderas uppgifterna. Om Kunden säger upp Avtalet raderas personuppgifterna 30 dagar efter uppsägningen, eller omedelbart om Kunden begär det; fram till dess kan Kunden ångra uppsägningen och hämta uttaget. Radering genomförs i samtliga fall senast 90 dagar efter upphörandet och är slutgiltig; om kundförhållandet upphör för att kontot har varit i begränsat läge (se avsnitt 4 i försäljningsvillkoren) aviseras raderingen via e-post minst 30 dagar i förväg, och Kunden kan fram till raderingen välja återlämning. Personuppgifter i säkerhetskopior raderas i takt med att dessa roteras, senast 90 dagar efter raderingen i produktionsmiljön. Uppgifter som enligt lag måste bevaras (t.ex. räkenskapsinformation) bevaras endast så länge skyldigheten kvarstår.

8. Revision och tillsyn

Leverantören tillhandahåller Kunden all information som krävs för att visa efterlevnad av art. 28, och möjliggör samt bidrar till granskningar, inklusive inspektioner, som utförs av Kunden eller en av Kunden utsedd revisor. Aktuella säkerhetsbeskrivningar och rapporter kan ersätta fysisk inspektion där det är rimligt. Fysisk granskning genomförs med rimligt varsel, högst en gång per år — såvida inte en incident eller ett myndighetskrav ger konkret anledning till annat — och på Kundens bekostnad.

9. Varaktighet och upphörande

Avtalet gäller så länge Leverantören behandlar personuppgifter på Kundens vägnar och upphör automatiskt när kundförhållandet upphör — inklusive när ett kundförhållande anses ha upphört efter långvarigt begränsat läge, se de allmänna villkoren — varefter avsnitt 7 tillämpas.

10. Ansvar och tillämplig lag

Gentemot de registrerade följer parternas ansvar dataskyddsförordningens art. 82. I förhållandet mellan parterna gäller ansvarsregleringen i de allmänna villkoren, i den mån gällande rätt tillåter det. Avtalet regleras av dansk rätt med samma forum som anges i de allmänna villkoren.

Bilaga A — Behandlingens karaktär

Bilaga B — Underdatabehandlare

Hosting sker på Leverantörens egen infrastruktur i Danmark. Simuleringsmejl skickas från Leverantörens egna system utan ytterligare underdatabehandlare.

Till avgränsning: AI-genererat utbildnings- och simuleringsinnehåll skapas utan användning av personuppgifter — AI-leverantören är därför inte underdatabehandlare. Betalningshantering sköts av QuickPay och Clearhaus som självständigt personuppgiftsansvariga (betalningslösning och kortinlösare) och beskrivs i integritetspolicyn.

Bilaga C — Tekniska och organisatoriska säkerhetsåtgärder (art. 32)

• Åtskillnad per kund (multi-tenancy): strikt tenant-isolering i applikationslagret; en kunds data är otillgängliga för andra kunder.
• Åtkomststyrning: rollbaserad åtkomst (RBAC) enligt principen om minsta privilegium; individuella konton; inga delade inloggningar.
• Kryptering: TLS vid överföring; kryptering av säkerhetskopior.
• Dataminimering: simuleringar lagrar bara händelse + fältnamn, aldrig inmatade värden; rapporter är sammanställda (min. gruppstorlek, k ≥ 5), och individuella resultat är rollstyrda (bara administratören, chefer efter Kundens tillval).
• Loggning och granskning: händelselogg för säkerhetsrelevanta åtgärder; append-only granskningsspår.
• Säkerhetsheaders/CSP: strikt Content-Security-Policy och övriga säkerhetsheaders på alla sidor.
• Beredskap: rutin för personuppgiftsincidenter med underrättelse till Kunden inom 48 timmar (avsnitt 6).
• Radering: automatiserad process vid upphörande – vid Kundens uppsägning radering 30 dagar efter uppsägningen (eller omedelbart på begäran); efter begränsat läge avisering efter 60 dagar och radering efter 90 dagar, aldrig utan minst 30 dagars förhandsavisering; i övriga fall radering/återlämning senast 90 dagar efter upphörandet (avsnitt 7).

Behöver ni en undertecknad version för ert eget arkiv, skriv till info@weakestlink.io.