Underbiträdesförteckning

Version 1.0 — gäller från 2026-07-28

Senast ändrad: 2026-07-28

Utfärdare: Sparrings & Eckert AB ("Jolene", "vi", "oss"), org.nr 559553-5179, momsreg.nr SE559553517901. Tjänsten Jolene tillhandahålls via jolenesverige.se.

1. Vad den här förteckningen är

Ett underbiträde är en tredje part som Jolene anlitar för att behandla personuppgifter för Kundens räkning när vi levererar Tjänsten — till exempel för drift, lagring, e-postutskick, betalning eller AI-funktioner. Den här Underbiträdesförteckningen är den offentliga, aktuella listan över de underbiträden som Jolene använder.

Förteckningen är en bilaga till och en integrerad del av Personuppgiftsbiträdesavtalet (PUB-avtalet) som du hittar på /personuppgiftsbitrade. Den gäller den behandling där Jolene är personuppgiftsbiträde och Kunden är personuppgiftsansvarig, det vill säga behandlingen av Kunddata om tredje part (Kundens anställda, Kundens kunder, medlemmar med flera). För den behandling där Jolene i stället är personuppgiftsansvarig — uppgifter om Kundens egna företrädare och Användare — hänvisar vi till Integritetspolicyn (/privacy).

Genom att ingå PUB-avtalet lämnar Kunden ett allmänt förhandstillstånd (enligt artikel 28.2 i GDPR) till att Jolene anlitar de underbiträden som anges i denna förteckning, samt framtida underbiträden som tillkommer i enlighet med notifieringsrutinen i avsnitt 2.

För varje underbiträde säkerställer Jolene, i enlighet med artikel 28.4 i GDPR, att underbiträdet genom avtal åläggs i allt väsentligt samma dataskyddsskyldigheter som Jolene har gentemot Kunden. Jolene förblir fullt ansvarigt gentemot Kunden för att underbiträdena fullgör sina skyldigheter.

2. Notifieringsrutin och rätt att invända

Jolene kan från tid till annan behöva lägga till, byta ut eller ta bort ett underbiträde. Följande rutin gäller:

1. Förhandsavisering minst 30 dagar i förväg. Innan ett planerat tillägg eller byte av underbiträde träder i kraft aviserar Jolene ändringen minst 30 dagar i förväg. Avisering sker via e-post till den kontaktadress Kunden angett och/eller genom att den uppdaterade förteckningen publiceras på webbplatsen (jolenesverige.se). Vi rekommenderar att du bevakar den här sidan för att hålla dig uppdaterad.

2. Rätt att invända. Kunden har rätt att invända mot ett nytt eller utbytt underbiträde inom skälig tid från aviseringen. En invändning ska vara skriftlig, motiverad och skickas till info@jolenesverige.se.

3. Hantering av invändning. Vid en befogad invändning — en invändning som grundas på sakliga dataskyddsskäl — söker parterna i första hand en rimlig lösning, till exempel genom ytterligare skyddsåtgärder eller ett alternativt underbiträde. Om en sådan lösning inte kan uppnås inom skälig tid har Kunden rätt att säga upp den berörda tjänsten eller den del av Tjänsten som förutsätter det aktuella underbiträdet, utan att drabbas av någon avgift eller påföljd för den uppsägningen.

Denna rutin ersätter eventuella tidigare skrivningar om krav på "föregående skriftligt godkännande" i enskilda fall; det som gäller är det allmänna förhandstillståndet enligt avsnitt 1 tillsammans med aviserings- och invändningsrutinen ovan.

3. Underbiträden

Kolumnen Överföringsgrund anger på vilken grund personuppgifter i förekommande fall överförs till ett tredjeland (utanför EU/EES). Grunderna förklaras i avsnitt 4.

Platshållarna "(bekräftas)" markerar regioner eller avtalsparter som ännu inte har kunnat fastställas slutligt. Så snart de är bekräftade uppdateras tabellen och fältet "Senast ändrad" överst justeras.

4. Överföringsgrunder — kort förklaring

När ett underbiträde behandlar personuppgifter utanför EU/EES krävs en giltig överföringsgrund enligt kapitel V i GDPR. I den här förteckningen används följande beteckningar:

• EU — behandlingen sker inom EU/EES. Ingen särskild tredjelandsgrund behövs.
• DPF — EU-US Data Privacy Framework. Överföringen till USA sker till en mottagare som är certifierad enligt ramverket och därmed omfattas av EU-kommissionens adekvansbeslut enligt artikel 45 i GDPR. Ett adekvansbeslut innebär att EU-kommissionen bedömt att skyddsnivån hos mottagaren är väsentligen likvärdig med den inom EU.
• SCC + TIA — standardavtalsklausuler (Standard Contractual Clauses) enligt artikel 46 i GDPR, kompletterade med en konsekvensbedömning avseende överföring (TIA — Transfer Impact Assessment) och vid behov ytterligare tekniska och organisatoriska skyddsåtgärder. SCC är av EU-kommissionen antagna standardklausuler som avtalsvägen ålägger mottagaren en skyddsnivå motsvarande GDPR, och TIA:n bedömer om skyddet är effektivt i mottagarlandet i det enskilda fallet.

En kopia av de skyddsåtgärder som tillämpas för en viss överföring — till exempel de standardavtalsklausuler som ingåtts — kan begäras kostnadsfritt via info@jolenesverige.se.

5. Mottagare och myndigheter (ej underbiträden)

Följande parter är mottagare respektive myndigheter och är inte underbiträden i GDPR:s mening, eftersom de inte behandlar personuppgifter för Jolenes räkning:

• Skatteverket — tar emot deklarations- och uppgiftsdata när Kunden själv lämnar in (till exempel deklarationer, AGI, moms). Skatteverket är en självständig mottagare/myndighet och agerar under eget ansvar enligt lag, inte på uppdrag av Jolene.
• Sveriges Riksbank — tillhandahåller valutakurser för Tjänstens valutafunktioner. Inga personuppgifter överförs till Riksbanken.

Skatteverket omnämns även som mottagare i Integritetspolicyn (/privacy) där det är relevant.

6. Kontakt

Frågor om denna förteckning, invändningar mot ett underbiträde eller begäran om kopia av skyddsåtgärder skickas till:

• E-post: info@jolenesverige.se
• Dataskyddskontakt: info@jolenesverige.se (inget dataskyddsombud är utsett, men detta är vår kontaktväg i dataskyddsfrågor)
• Postadress: [postadress fylls i]

Du kan också vända dig till tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy@imy.se, imy.se.

Se även: Personuppgiftsbiträdesavtalet (/personuppgiftsbitrade) och Integritetspolicyn (/privacy).