PERSONUPPGIFTSBITRÄDESAVTAL

Markviss AS
Organisationsnummer: 917 324 689

Ikraftträdandedatum: 08.09.2026
Senast uppdaterad: 08.09.2026

Detta personuppgiftsbiträdesavtal (“Biträdesavtalet”) utgör en del av, och införlivas genom hänvisning i, Markviss användarvillkor (“Avtalet”) mellan Markviss AS (“Markviss”, “vi”, “oss”) och den kund som har ingått Avtalet (“Kunden”). Det gäller när Markviss behandlar personuppgifter för Kundens räkning som ett led i leveransen av SaaS-tjänsterna.

Ingen separat underskrift krävs: genom att godkänna Avtalet godkänner Kunden även detta Biträdesavtal. En kund som behöver ett undertecknat exemplar på eget papper kan begära det på info@markviss.com.

Biträdesavtalet reglerar personuppgifter som Markviss behandlar som personuppgiftsbiträde, enligt Kundens instruktioner. Personuppgifter som Markviss behandlar som personuppgiftsansvarig i eget namn — besökare på markviss.com, potentiella kunder, faktureringskontakter och egen marknadsföring — beskrivs i stället i integritetspolicyn.

1. Definitioner

Begrepp som definieras i Avtalet har samma innebörd här. Därutöver gäller:

“Dataskyddsförordningen” (GDPR) avser förordning (EU) 2016/679, såsom den genomförts i norsk rätt genom personopplysningsloven.
“Kundens personuppgifter” avser personuppgifter i Kunddata som Markviss behandlar för Kundens räkning enligt Avtalet.
“Underbiträde” avser en tredje part som Markviss anlitar för att behandla Kundens personuppgifter.
“Personuppgiftsansvarig”, “personuppgiftsbiträde”, “registrerad”, “behandling”, “personuppgiftsincident” och “tillsynsmyndighet” har den innebörd som följer av dataskyddsförordningens artikel 4.

2. Roller och tillämpningsområde

Kunden är personuppgiftsansvarig för Kundens personuppgifter och Markviss är personuppgiftsbiträde. Om Kunden själv är personuppgiftsbiträde för en tredje part som är personuppgiftsansvarig, är Markviss underbiträde, och Kunden garanterar att den har behörighet att ingå detta Biträdesavtal för dennes räkning.

Behandlingens föremål, varaktighet, art och ändamål, typerna av personuppgifter och kategorierna av registrerade framgår av Bilaga 1, i enlighet med dataskyddsförordningens artikel 28.3.

Varje part ska uppfylla sina egna skyldigheter enligt tillämplig dataskyddslagstiftning. Kunden ansvarar för att de av Kundens personuppgifter som görs tillgängliga för Markviss behandlas lagligt, inbegripet att ha en giltig rättslig grund och att lämna nödvändig information till de registrerade.

3. Behandling enligt dokumenterade instruktioner

Markviss ska endast behandla Kundens personuppgifter enligt Kundens dokumenterade instruktioner, även vad gäller överföring till tredjeland, om inte annat krävs enligt unionsrätt eller nationell rätt som Markviss omfattas av. Om ett sådant rättsligt krav gäller ska Markviss informera Kunden om kravet före behandlingen, om inte lagstiftningen förbjuder detta med hänsyn till viktiga allmänintressen.

Avtalet, detta Biträdesavtal och Kundens användning av Tjänsternas funktioner och konfigurationsval utgör Kundens fullständiga dokumenterade instruktioner. Instruktioner därutöver kräver skriftlig överenskommelse och kan faktureras.

Markviss ska underrätta Kunden om en instruktion enligt Markviss uppfattning strider mot dataskyddsförordningen eller annan tillämplig dataskyddslagstiftning.

Markviss ska inte sälja Kundens personuppgifter och ska inte använda dem för att träna, finjustera eller förbättra någon maskininlärningsmodell.

4. Konfidentialitet

Markviss ska säkerställa att personer som är behöriga att behandla Kundens personuppgifter har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt, och att åtkomsten är begränsad till den personal som behöver den för att fullgöra Avtalet. Tystnadsplikten består efter det att personens uppdrag hos Markviss har upphört.

5. Säkerhet

Markviss ska genomföra och upprätthålla de tekniska och organisatoriska åtgärder som anges i Bilaga 2, med beaktande av den senaste utvecklingen, genomförandekostnaderna samt behandlingens art, omfattning, sammanhang och ändamål, i enlighet med dataskyddsförordningens artikel 32.

Markviss får uppdatera åtgärderna, förutsatt att skyddsnivån inte sänks. De åtgärder som vid var tid gäller är de som publiceras i Bilaga 2 på denna sida.

6. Underbiträden

Kunden ger Markviss ett allmänt skriftligt godkännande att anlita underbiträden, på villkoren i denna punkt.

Den aktuella förteckningen över underbiträden publiceras på markviss.com/sub-processors och utgör Bilaga 3 till detta Biträdesavtal.
Markviss ska underrätta Kunden om varje planerat tillägg eller byte av underbiträde innan detta börjar behandla Kundens personuppgifter. Kunder kan begära att läggas till på underrättelselistan på info@markviss.com.
Kunden får inom fjorton (14) dagar från underrättelsen invända mot ett nytt underbiträde på sakliga dataskyddsgrunder. Parterna ska diskutera invändningen i god tro; om den inte kan lösas får Kunden säga upp Avtalet vad gäller de berörda Tjänsterna utan kostnad, i enlighet med punkt 10.5 i användarvillkoren.
Markviss ska genom skriftligt avtal ålägga varje underbiträde dataskyddsskyldigheter som inte är mindre skyddande än de som följer av detta Biträdesavtal, och är fullt ansvarigt gentemot Kunden för att varje underbiträde fullgör sina skyldigheter.

7. Bistånd med de registrerades rättigheter

Tjänsterna gör det möjligt för Kunden att själv få tillgång till, rätta, exportera och radera Kundens personuppgifter. I den mån Kunden inte kan göra detta genom Tjänsterna ska Markviss, med beaktande av behandlingens art, bistå Kunden med lämpliga tekniska och organisatoriska åtgärder så att Kunden kan fullgöra sin skyldighet att besvara begäranden enligt dataskyddsförordningens kapitel III.

Om Markviss tar emot en begäran direkt från en registrerad som avser Kundens personuppgifter ska Markviss inte besvara begäran i sak, utan vidarebefordra den till Kunden utan onödigt dröjsmål.

8. Personuppgiftsincident

Markviss ska underrätta Kunden utan onödigt dröjsmål, och under alla omständigheter inom fyrtioåtta (48) timmar, efter att ha fått kännedom om en personuppgiftsincident som berör Kundens personuppgifter. Underrättelsen ska beskriva incidentens art, kategorierna och det ungefärliga antalet berörda registrerade och poster, de sannolika konsekvenserna samt de åtgärder som vidtagits eller föreslås, i den mån uppgifterna finns tillgängliga vid tidpunkten.

Markviss ska bistå Kunden med att fullgöra Kundens egna skyldigheter enligt dataskyddsförordningens artiklar 33 och 34. En underrättelse om en incident innebär inget erkännande av skuld eller ansvar.

9. Konsekvensbedömningar avseende dataskydd

Med beaktande av behandlingens art och den information Markviss har tillgång till ska Markviss ge Kunden rimligt bistånd med konsekvensbedömningar avseende dataskydd och med förhandssamråd med en tillsynsmyndighet enligt dataskyddsförordningens artiklar 35 och 36.

10. Radering och återlämnande

Vid Avtalets upphörande eller utgång ska Markviss, enligt Kundens val, radera eller återlämna Kundens personuppgifter.

Kundens personuppgifter är tillgängliga för export genom Tjänsterna i trettio (30) dagar efter upphörandet.
Markviss ska radera Kundens personuppgifter från sina produktionssystem senast tolv (12) månader efter upphörandet, i linje med lagringstiderna i integritetspolicyn. Kunden kan skriftligen begära tidigare radering.
Restkopior i ordinarie säkerhetskopior raderas vid den vanliga rotation som beskrivs i Bilaga 2 och skyddas av detta Biträdesavtal till dess att de har raderats.
Markviss får bevara Kundens personuppgifter i den utsträckning unionsrätt eller nationell rätt kräver det, under den tid lagen kräver, och ska fortsatt skydda dem i enlighet med detta Biträdesavtal.

11. Information och granskning

Markviss ska göra all information tillgänglig för Kunden som är nödvändig för att visa att skyldigheterna enligt dataskyddsförordningens artikel 28 fullgörs, och ska möjliggöra och bidra till granskningar, inbegripet inspektioner, som utförs av Kunden eller av en revisor som Kunden utsett.

I första hand ska Markviss besvara rimliga skriftliga frågor och säkerhetsformulär samt tillhandahålla de certifieringar eller rapporter från tredje part som Markviss eller underbiträdena vid var tid innehar.
Om detta inte är tillräckligt får Kunden genomföra granskning på plats högst en (1) gång under en period om tolv (12) månader, med trettio (30) dagars skriftligt varsel, under kontorstid, mot sekretessåtagande och på ett sätt som inte stör Tjänsterna eller berör andra kunders data. En tillsynsmyndighet får granska när lagen kräver det.
Kunden bär sina egna kostnader och Markviss skäliga kostnader för en granskning på plats, utom när granskningen visar på ett väsentligt brott mot detta Biträdesavtal från Markviss sida.

12. Överföring till tredjeland

Kundens personuppgifter lagras och behandlas inom EES. Markviss ska inte överföra Kundens personuppgifter utanför EES annat än när det finns en lämplig grund enligt dataskyddsförordningens kapitel V, såsom ett beslut om adekvat skyddsnivå eller EU:s standardavtalsklausuler, tillsammans med eventuella kompletterande åtgärder som följer av en överföringsbedömning.

Platsen för behandlingen hos varje underbiträde anges på markviss.com/sub-processors. Om ett underbiträde är etablerat utanför EES anges överföringsgrunden där.

13. Ansvar och giltighetstid

Varje parts ansvar enligt detta Biträdesavtal omfattas av ansvarsbegränsningarna i Avtalet. Inget i Biträdesavtalet begränsar ansvar som inte får begränsas enligt tillämplig lag, inbegripet en registrerads rättigheter enligt dataskyddsförordningens artikel 82.

Biträdesavtalet träder i kraft när Kunden godkänner Avtalet och gäller så länge Markviss behandlar Kundens personuppgifter. Punkterna 4, 10, 12 och 13 består efter upphörandet.

Vid motstridighet mellan detta Biträdesavtal och Avtalet vad gäller behandling av personuppgifter har Biträdesavtalet företräde.

14. Ändringar av detta Biträdesavtal

Markviss får uppdatera Biträdesavtalet för att återspegla ändringar i lagstiftningen, i Tjänsterna eller bland underbiträdena. Väsentliga ändringar meddelas Kunden minst trettio (30) dagar i förväg, i enlighet med punkt 12.5 i användarvillkoren. Ändringar i förteckningen över underbiträden följer i stället underrättelse- och invändningsförfarandet i punkt 6.

15. Tillämplig lag

Detta Biträdesavtal regleras av norsk rätt, och tvister prövas av domstolarna i Oslo, Norge, i enlighet med punkterna 12.1 och 12.2 i användarvillkoren.

16. Kontakt

För alla frågor enligt detta Biträdesavtal, inbegripet begäranden från registrerade, säkerhetsfrågor och granskningsbegäranden:

Markviss AS
Tanumveien 272, 1339 Vøyenenga, Norge
E-post: info@markviss.com
Telefon: +47 45207543

Markviss har inte utsett något dataskyddsombud, eftersom det inte krävs enligt dataskyddsförordningens artikel 37. Förfrågningar hanteras på adressen ovan.

17. Språk

Detta Biträdesavtal publiceras på engelska, norska, svenska och danska. Den engelska versionen är den auktoritativa texten. Vid avvikelse, oklarhet eller motstridighet mellan den engelska versionen och en översättning har den engelska versionen företräde.

Bilaga 1 — Närmare om behandlingen

Föremål

Leverans av Markviss plattform för mål, mätetal och planering, såsom beskrivs i Avtalet.

Varaktighet

Avtalets löptid samt den raderingsperiod som anges i punkt 10.

Behandlingens art och ändamål

Drift och lagring av Kunddata.
Skapande och administration av användarkonton, autentisering och åtkomststyrning.
Beräkning av mätetal, KPI:er, formler och scenarier utifrån data som Kunden matar in, laddar upp eller importerar.
Import av data från källsystem som Kunden väljer att ansluta, enligt Kundens instruktion.
Generering av svar i AI-assistenten som svar på en användares fråga, och förslag på kolumnmappning för uppladdade filer.
Utskick av tjänste- och kontomeddelanden samt kundsupport.
Upprätthållande av säkerhet, tillgänglighet, säkerhetskopior och granskningsloggar.

Kategorier av registrerade

Kundens behöriga användare — anställda, befattningshavare, konsulter och andra personer som Kunden ger åtkomst.
Personer vars personuppgifter förekommer i data som Kunden matar in, laddar upp eller importerar — vilket kan omfatta Kundens egna anställda, kunder, leverantörer och affärskontakter.

Kategorier av personuppgifter

Identifikations- och kontaktuppgifter: namn, e-postadress, telefonnummer, arbetsgivare eller företagsnamn, befattning.
Kontouppgifter: användaridentifierare, profilinställningar, språk, behörigheter och rolltilldelningar, prenumerations- och licensuppgifter.
Autentiseringsuppgifter: hashade lösenord, sessionstoken, API-nycklar och åtkomsttoken till källsystem som Kunden ansluter.
Användnings- och tekniska uppgifter: IP-adress, webbläsar- och enhetstyp, åtkomsttider, visade sidor och åtgärder som utförts i applikationen.
Innehåll som användarna lämnar: namn på mätetal och kategorier, kommentarer, anteckningar, målbeskrivningar, frågor till och samtalshistorik med AI-assistenten, uppladdade kalkylblad och poster importerade från anslutna källsystem — vilka alla kan innehålla personuppgifter som Kunden själv väljer.

Särskilda kategorier av personuppgifter

Inga. Tjänsterna är inte utformade för särskilda kategorier av personuppgifter enligt dataskyddsförordningens artikel 9, eller för personuppgifter om fällande domar i brottmål och överträdelser enligt artikel 10, och Kunden ska inte lämna sådana uppgifter till Tjänsterna.

Behandlingens frekvens

Löpande, under Avtalets löptid.

Bilaga 2 — Tekniska och organisatoriska åtgärder

Följande åtgärder är på plats per datumet för senaste uppdatering ovan. De beskrivs så detaljerat att beskrivningen är meningsfull utan att i sig skapa en säkerhetsrisk; ytterligare detaljer är tillgängliga mot sekretessåtagande som en del av förfarandet i punkt 11.

Kryptering

Trafik mellan användare och Tjänsterna, och mellan Markviss komponenter och underbiträden, krypteras under överföring med TLS.
Databaser samt lagren för anslutningar och uppgifter krypteras i vila med nycklar som hanteras av AWS Key Management Service.
Lösenord lagras som saltade hashvärden, aldrig i klartext.

Åtkomststyrning och åtskillnad mellan kunder

Varje kundkontos affärsdata ligger i en separat databas som nås via en anslutning per konto; applikationens förfrågningar avgränsas till den autentiserade användarens konto.
Åtkomst till applikationen autentiseras med signerade token med utgångstid och auktoriseras per roll, med nekande som standard för privilegierade åtgärder.
Programmatisk åtkomst använder API-nycklar med avgränsad omfattning som kan återkallas individuellt.
Administrativ åtkomst till produktionsinfrastruktur är begränsad till namngiven personal, kräver personliga inloggningsuppgifter och avgränsas genom tillåtelselistor på nätverksnivå.

Hantering av hemligheter och inloggningsuppgifter

Applikationshemligheter samt åtkomsttoken till källsystem som Kunden ansluter förvaras i AWS Secrets Manager och inte i applikationskod eller konfigurationsfiler.
Inloggningsuppgifter till anslutningar matas in av Kunden och visas aldrig tillbaka i sin helhet.

Drift och fysisk säkerhet

Tjänsterna drivs på Amazon Web Services i Stockholmsregionen (eu-north-1), inom EES. Fysisk säkerhet och miljösäkerhet i datacentren tillhandahålls av AWS under egna certifieringar.
Nätverksåtkomst till databasinstanser begränsas av säkerhetsgruppsregler som endast släpper igenom kända applikationskomponenter och uttryckligen tillåtna administrativa adresser.

Motståndskraft och säkerhetskopiering

Automatiska dagliga säkerhetskopior av databasen som bevaras i 30 dagar, med återställning till vilken tidpunkt som helst inom detta fönster.
Infrastrukturen är definierad som kod, så att miljöer kan byggas upp igen deterministiskt.

Loggning och övervakning

Applikations- och infrastrukturloggar samlas in centralt, med larm vid feltillstånd och vid onormal kostnad eller användning.
Administrativa händelser och autentiseringshändelser loggas.

Organisatoriska åtgärder

Personalen omfattas av skriftlig tystnadsplikt och får vägledning i dataskydd och säkerhet.
Behörigheter ges utifrån behov och tas bort när ett uppdrag upphör.
Ändringar i produktionskod granskas före release och rullas ut genom en automatiserad pipeline.
Underbiträden bedöms innan de anlitas och binds av skriftliga dataskyddsvillkor.

Bilaga 3 — Underbiträden

Den aktuella förteckningen över underbiträden, med ändamålet för varje anlitande, kategorierna av personuppgifter och platsen för behandlingen, publiceras på markviss.com/sub-processors och utgör en del av detta Biträdesavtal.

Senast uppdaterad: 08.09.2026