Personuppgiftsbiträdesavtal

Senast uppdaterad: 2026-08-04

Detta personuppgiftsbiträdesavtal (detta "DPA"), inklusive bilagor, ingås mellan kunden ("Kunden", som personuppgiftsansvarig) och Vidd AB, organisationsnummer 559504-9205, Apelbergsgatan 54, 111 37 Stockholm, Sweden("Vidd", "Personuppgiftsbiträdet"), och införlivas genom hänvisning i avtalet enligt vilket Vidd tillhandahåller Vidds AML- och riskplattform samt tillhörande tjänster ("Avtalet").

Med undantag för ändringar enligt detta DPA förblir Avtalet oförändrat och gäller med full kraft. Vid motsägelse mellan Avtalet och detta DPA avseende behandling av personuppgifter gäller detta DPA.

1. Definitioner

Versaler i Avtalet har samma betydelse i detta DPA om inte annat anges. Begrepp som personuppgiftsansvarig, personuppgiftsbiträde, personuppgifter, behandling, registrerad och tillsynsmyndighethar den innebörd som följer av EU:s dataskyddsförordning (2016/679) ("GDPR") och tillämplig nationell implementinglagstiftning.

2. Parternas roller

Kunden är personuppgiftsansvarig för personuppgifter om sina klienter, motparter, verkliga huvudmän, medarbetare och andra individer som behandlas i plattformen för att uppfylla AML-, KYC-, bedrägeriskydds- och riskbevakningsskyldigheter.

Vidd behandlar sådana personuppgifter uteslutande som personuppgiftsbiträde enligt dokumenterade instruktioner från Kunden, inklusive enligt Avtalet, detta DPA och Kundens användning av plattformen.

Vidd är självständig personuppgiftsansvarig för sin egen affärsverksamhet (fakturering, försäljning, support och produktförbättring som inte omfattar Kundens klientärendedata).

3. Beskrivning av behandlingen

Föremål: Tillhandahållande av Vidds SaaS-plattform för AML-efterlevnad, kundkännedom (KYC), transaktions- och riskbevakning, bedrägeriskydd, screening och tillhörande dokumentation.

Varaktighet: Under Avtalets löptid och tills radering/återlämning enligt avsnitt 9.

Art och ändamål: Lagring, organisering, sökning, screening, analys, rapportering, användaråtkomsthantering och granskningsloggning enligt Kundens instruktioner.

Kategorier av registrerade: Kundens slutklienter och motparter; verkliga huvudmän och företrädare; Kundens medarbetare och behöriga användare; PEP:er och andra granskade individer enligt Kundens konfiguration.

Typer av personuppgifter: Identifikationsuppgifter (namn, personnummer i förekommande fall, födelsedatum, nationalitet); kontaktuppgifter; ägar- och kontrollinformation; riskklassificeringar och bedömningar; transaktions- och betalningsmetadata; screeningresultat; ärendeanteckningar och dokumentation som Kunden laddar upp; användarkonton och åtkomstloggar.

Särskilda kategorier: Plattformen kan behandla uppgifter om brottsliga gärningar eller därmed sammanhängande säkerhetsåtgärder när Kunden lagligt matar in sådan information för AML-ändamål. Vidd kräver inte särskilda kategorier utöver vad Kunden väljer att behandla.

4. Personuppgiftsbiträdets skyldigheter

Vidd ska:

behandla personuppgifter endast enligt dokumenterade instruktioner från Kunden, om inte EU- eller medlemsstatsrätt kräver annat;
säkerställa att personer med behörighet att behandla personuppgifter omfattas av tystnadsplikt;
vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, inklusive kryptering under överföring och i vila, åtkomstkontroller, loggning och regelbundna säkerhetskopior;
inte anlita ytterligare personuppgiftsbiträde utan Kundens allmänna skriftliga tillstånd enligt avsnitt 5;
bistå Kunden, med beaktande av behandlingens art, med begäranden från registrerade och DPIA:er i tillämpliga fall, med rätt till skälig ersättning för omfattande bistånd;
utan onödigt dröjsmål meddela Kunden när Vidd får kännedom om en personuppgiftsincident som rör Kundens data;
radera eller återlämna alla personuppgifter vid upphörande, om inte lag kräver lagring.

5. Underbiträden

Kunden lämnar ett allmänt tillstånd för Vidd att anlita underbiträden i Bilaga 1. Vidd ska pålägga underbiträden dataskyddsskyldigheter som i väsentligt hänseende motsvarar dem i detta DPA.

Vidd meddelar Kunden planerade ändringar av underbiträden minst 30 dagar i förväg, så att Kunden kan invända av väsentliga dataskyddsskäl. Om parterna inte löser invändningen kan Kunden säga upp berörda tjänster enligt Avtalet.

6. Överföringar till tredje land

Vidd behandlar Kundens data huvudsakligen inom EU/EES. Om personuppgifter överförs till land utanför EU/EES utan adekvansbeslut implementerar Vidd lämpliga skyddsåtgärder, t.ex. EU:s standardavtalsklausuler (2021/914) och kompletterande åtgärder vid behov.

7. Granskning och information

Vidd tillhandahåller information som behövs för att visa efterlevnad av artikel 28 GDPR och möjliggör granskningar av Kunden eller utsedd revisor, högst en gång per år om inte tillsynsmyndighet eller väsentlig incident kräver annat. Granskning sker under kontorstid med skäligt varsel och under sekretess- och säkerhetskrav.

8. Ersättning

Om inte annat avtalats bär vardera part sina egna kostnader för fullgörande enligt detta DPA. Skälig ersättning för bistånd utöver standard support kan debiteras enligt Vidds då gällande konsulttaxor.

9. Avtalstid och upphörande

Detta DPA gäller under Avtalets löptid. Vid upphörande raderar eller återlämnar Vidd, efter Kundens val, Kundens personuppgifter inom 90 dagar, utom när EU- eller svensk lag kräver lagring (inklusive AML-dokumentationsskyldigheter för Kunden, då Vidd endast behåller data enligt instruktion).

10. Ansvar

Ansvar enligt eller i samband med detta DPA omfattas av begränsningar i Avtalet. Varje part ansvarar för skada orsakad av behandling som bryter mot GDPR i den utsträckning som följer av artikel 82 GDPR.

11. Övrigt

Ändringar av detta DPA ska vara skriftliga och undertecknade av behöriga företrädare, utom att Vidd får uppdatera Bilaga 1 enligt avsnitt 5. Om en bestämmelse förklaras ogiltig fortsätter övriga bestämmelser att gälla.

12. Tillämplig lag och tvister

Detta DPA regleras av svensk rätt. Tvister löses enligt tvistlösning i Avtalet, eller om sådan saknas av allmän domstol i Sverige med Stockholms tingsrätt som första instans.

Kontakt

Frågor om dataskydd: filip@vidd.se
Vidd AB, 559504-9205
Apelbergsgatan 54, 111 37 Stockholm, Sweden

Bilaga 1 – Underbiträden

Följande kategorier av underbiträden stödjer tillhandahållandet av Tjänsterna. Vidd upprätthåller en aktuell lista med namngivna leverantörer och tillhandahåller den på begäran eller vid ändringsmeddelanden enligt avsnitt 5. För aktuellt leverantörsnamn, avtalsdetaljer och eventuella överföringar utanför EU, kontakta filip@vidd.se.

Underbiträden för plattformen

Molninfrastruktur

Leverantör: EU-based cloud provider
Ändamål: Hosting, lagring och drift av Vidd-plattformen
Personuppgifter som behandlas: All kunddata som behandlas i plattformen
Registrerade: Kundanvändare och slutklienter som granskas i plattformen
Region för datalagring: EU/EEA

Identitet och autentisering

Leverantör: Authentication service provider
Ändamål: Inloggning, SSO och flerfaktorsautentisering
Personuppgifter som behandlas: Namn, e-post, autentiseringstoken, inloggningshändelser
Registrerade: Plattformsanvändare hos kundbyråer
Region för datalagring: EU/EEA

Transaktionell e-post

Leverantör: Email delivery provider
Ändamål: Systemnotiser, larm och kontorelaterad e-post
Personuppgifter som behandlas: E-postadress, namn, notifieringsinnehåll
Registrerade: Plattformsanvändare och konfigurerade mottagare
Region för datalagring: EU/EEA

Felövervakning

Leverantör: Application monitoring provider
Ändamål: Upptäckt och diagnos av plattformsfel
Personuppgifter som behandlas: Begränsade tekniska loggar; personuppgifter minimeras och maskeras där möjligt
Registrerade: Plattformsanvändare (incidentellt i felrapporter)
Region för datalagring: EU/EEA

Underbiträden för affärsverksamheten

CRM och försäljning

Leverantör: CRM provider
Ändamål: Kundrelationer och försäljningsprocess
Personuppgifter som behandlas: Kontaktnamn, e-post, företag, kommunikationshistorik
Registrerade: Kundkontakter och prospekt
Region för datalagring: EU/EEA

Kundsupport

Leverantör: Support platform provider
Ändamål: Helpdesk och supportärenden
Personuppgifter som behandlas: Namn, e-post, supportkorrespondens
Registrerade: Kundanvändare och kontakter hos kundbyråer
Region för datalagring: EU/EEA

Intern produktivitet

Leverantör: Workspace suite provider
Ändamål: Intern kommunikation och dokumentssamarbete
Personuppgifter som behandlas: Medarbetarkontaktuppgifter; kunddata endast vid delning i supportsammanhang
Registrerade: Vidd-personal; vid behov kundkontakter
Region för datalagring: EU/EEA