MEMBER

Personuppgiftsbiträdesavtal

Version 1.0 · Senast uppdaterad 26 september 2026

Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") är en del av Villkor för företagskunder ("Företagsvillkoren") och gäller från den dag Företagsvillkoren eller Biträdesavtalet godkänns. Det uppfyller kraven i artikel 28 i Europaparlamentets och rådets förordning (EU) 2016/679 ("Dataskyddsförordningen").

Parter

1. Företaget som har ingått Företagsvillkoren med Member, nedan "Företaget" (personuppgiftsansvarig).
2. EHAL AB, org.nr 559485-4621, Bergsgatan 22, 593 50 Västervik, som tillhandahåller tjänsten Member, nedan "Member" (personuppgiftsbiträde).

1. Bakgrund och omfattning

1.1 Företaget använder Member för att driva sitt eget lojalitetsprogram: medlemsregister, digitala kort i Apple Wallet och Google Wallet, registrering av köp och belöningar, utskick till medlemmar och statistik. För detta behandlar Member personuppgifter om Företagets medlemmar på Företagets uppdrag. Företaget är personuppgiftsansvarigt och Member är personuppgiftsbiträde för den behandlingen.

1.2 Biträdesavtalet gäller inte behandling där Member själv är personuppgiftsansvarig, nämligen:

• Företagets användarkonton (ägare, managers och personal), inloggning, behörigheter och säkerhet i plattformen;
• avtal, fakturering och bokföring;
• verifiering av företag, missbruks- och bedrägeriskydd samt hantering av anmälningar enligt förordning (EU) 2022/2065;
• konsumentens eget Member-konto i Member-appen, och visningen i appen av de kort som konsumenten själv kopplat till kontot (punkt 3.4);
• plattformens säkerhetsloggar och logg över vem som gjort vad.

Den behandlingen beskrivs i Members integritetspolicy.

1.3 Detaljerna om behandlingen står i Bilaga 1, säkerhetsåtgärderna i Bilaga 2 och underbiträdena i Bilaga 3.

2. Företagets ansvar

2.1 Företaget ansvarar för att behandlingen har en rättslig grund, att medlemmarna får information enligt artikel 13 och 14 och att Företagets instruktioner följer lag. Anslutningssidan och kortet visar att Företaget ansvarar för medlemsregistret och länkar till integritetspolicyns avsnitt om medlemskap, som Företaget kan hänvisa till.

2.2 Företaget ansvarar särskilt för att:

• a) utskick följer marknadsföringslagen (2008:486) och god sed;
• b) inte föra in känsliga personuppgifter (artikel 9), uppgifter om lagöverträdelser eller personnummer i fritextfält, villkor, utskick eller namnfält;
• c) bara ge behörighet till personal som behöver den, och ta bort behörigheten när den inte längre behövs.

3. Members skyldigheter

3.1 Dokumenterade instruktioner

Member behandlar personuppgifterna bara enligt Företagets dokumenterade instruktioner, som består av Företagsvillkoren, detta Biträdesavtal och de val Företaget gör i tjänsten (till exempel kortets regler, utskick, målgrupper och att ta bort medlemmar). De stående instruktionerna står i Bilaga 1, under Stående instruktioner. Detta gäller också överföringar till tredjeland, om inte Member är skyldigt att behandla uppgifterna enligt unionsrätt eller svensk rätt; Member informerar i så fall Företaget innan behandlingen, om inte lagen förbjuder det.

Member informerar Företaget omedelbart om Member anser att en instruktion strider mot Dataskyddsförordningen eller annan dataskyddslagstiftning.

3.2 Egna ändamål är förbjudna

Member får inte behandla personuppgifterna för egna ändamål, till exempel egen marknadsföring, försäljning av uppgifter, profilering för andra företag eller träning av AI-modeller. Member får inte lämna ut uppgifterna till andra företag som använder Member. Om Member bryter mot detta blir Member personuppgiftsansvarigt för den behandlingen (artikel 28.10).

3.3 Sekretess

Member ser till att personer som är behöriga att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Members egen personals åtkomst till Företagets uppgifter är begränsad till support, felsökning, säkerhet och verkställande av Företagets instruktioner, och kräver tvåstegsverifiering.

3.4 Kundens eget Member-konto

Företaget instruerar Member att, när en medlem har ett Member-konto och har bevisat att medlemskapets e-postadress är hens egen (genom inloggning eller engångskod), lämna ut medlemskapets uppgifter (företagets namn, kortet, saldot, status och historik) till medlemmens eget konto så att medlemmen kan se och hantera sitt kort i Member-appen. Member är självständigt personuppgiftsansvarigt för behandlingen i appen efter utlämnandet. Uppgifterna lämnas bara till medlemmen själv, aldrig till andra företag.

3.5 Säkerhet

Member vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32, beskrivna i Bilaga 2. Member får ändra åtgärderna om skyddsnivån inte sänks.

3.6 Underbiträden

• a) Företaget ger Member ett allmänt skriftligt förhandstillstånd att anlita de underbiträden som står i Bilaga 3 och nya underbiträden enligt denna punkt.
• b) Member underrättar Företaget minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts, genom e-post till Företagets ägare och genom att uppdatera listan på Members webbplats.
• c) Företaget får invända skriftligt inom 30 dagar på sakliga grunder som rör dataskyddet. Parterna ska då försöka hitta en lösning. Om ingen lösning finns får Företaget säga upp Företagsvillkoren med verkan från den dag underbiträdet börjar anlitas, och Member återbetalar förskottsbetald avgift för tiden därefter.
• d) I brådskande fall (till exempel säkerhet, eller att en leverantör själv byter underbiträde med kortare varsel) får Member byta underbiträde med kortare varsel, och ska då underrätta Företaget så snart som möjligt med samma rätt att invända.
• e) Member ingår avtal med varje underbiträde som ålägger det motsvarande dataskyddsskyldigheter. Member ansvarar gentemot Företaget för underbiträdets fullgörande.

3.7 Överföring till tredjeland

Member lagrar uppgifterna inom EES. Om underbiträden behandlar uppgifter utanför EES, eller kan nå dem därifrån, säkerställer Member att överföringen sker enligt kapitel V i Dataskyddsförordningen, främst genom ett beslut om adekvat skyddsnivå (inklusive EU–US Data Privacy Framework för certifierade mottagare) eller EU-kommissionens standardavtalsklausuler (beslut (EU) 2021/914). Mekanismen per underbiträde står i Bilaga 3.

3.8 Hjälp med de registrerades rättigheter

Member hjälper Företaget att besvara begäran enligt artikel 12–22, genom funktionerna i tjänsten (Bilaga 1, stående instruktion 1) och, när det behövs, genom att på begäran ta fram uppgifter eller verkställa rättelse, radering eller begränsning inom 5 arbetsdagar. Får Member en begäran direkt som gäller Företagets register, och som inte omfattas av de stående instruktionerna, vidarebefordrar Member den till Företaget inom 3 arbetsdagar.

3.9 Personuppgiftsincidenter

Member underrättar Företaget utan onödigt dröjsmål och senast inom 24 timmar efter att Member fått kännedom om en personuppgiftsincident som berör Företagets uppgifter. Underrättelsen innehåller, så långt det är känt, uppgifterna i artikel 33.3. Member hjälper Företaget med anmälan till Integritetsskyddsmyndigheten och med information till de registrerade, och dokumenterar incidenten.

3.10 Konsekvensbedömning och förhandssamråd

Member hjälper Företaget med konsekvensbedömningar (artikel 35) och förhandssamråd (artikel 36) med den information Företaget rimligen behöver.

3.11 Information och granskning

• a) Member ger Företaget den information som behövs för att visa att artikel 28 följs, främst genom detta Biträdesavtal, bilagorna och svar på skriftliga frågor inom 30 dagar.
• b) Företaget, eller en oberoende granskare som omfattas av tystnadsplikt och inte är konkurrent till Member, får granska Members efterlevnad en gång per år och dessutom efter en personuppgiftsincident eller på begäran av en tillsynsmyndighet. Granskningen aviseras minst 30 dagar i förväg, sker under kontorstid och stör inte driften mer än nödvändigt. Varje part står sina egna kostnader, om inte granskningen visar ett väsentligt brott från Members sida.
• c) Granskning av underbiträden sker genom deras egna rapporter och certifieringar.

4. När avtalet upphör

4.1 När Företagsvillkoren upphör kan Företagets ägare under 15 dagar exportera medlemsregistret och historiken i maskinläsbart format (JSON och CSV) i företagsportalen, eller begära exporten av Member. Har Företaget begärt ett byte av leverantör gäller perioden i Företagsvillkoren avsnitt 16.4.

4.2 Efter exportperioden anonymiserar Member Företagets medlemskap automatiskt (namn, e-post och kopplingar till Member-konton tas bort), korten slutar gälla i Wallet och utskicken raderas. Uppgifter om medlemmarnas telefoner (Wallet-registreringar) raderas en vecka senare, och historik utan namn högst 36 månader efter anonymiseringen. Uppgifter i säkerhetskopior försvinner när kopiorna ersätts.

4.3 Member bekräftar skriftligt på begäran att anonymiseringen är gjord.

5. Ansvar

Ansvaret mellan parterna följer Företagsvillkoren. Ansvarsbegränsningen i Företagsvillkoren gäller inte skadestånd till registrerade enligt artikel 82 eller sanktionsavgifter som en tillsynsmyndighet beslutar om mot en part. Mellan parterna svarar var och en för den del av skadan som den orsakat (artikel 82.4 och 82.5).

6. Giltighet, ändringar och tvister

6.1 Biträdesavtalet gäller så länge Member behandlar personuppgifter för Företagets räkning, även efter att Företagsvillkoren upphört.

6.2 Vid motstrid gäller Biträdesavtalet före Företagsvillkoren i frågor om personuppgifter.

6.3 Member får ändra Biträdesavtalet och bilagorna enligt samma rutin som för Företagsvillkoren. Ändringar i Bilaga 3 görs enligt punkt 3.6.

6.4 Svensk lag gäller. Tvister avgörs enligt Företagsvillkoren.

Bilaga 1: Behandlingen

Ändamål. Att tillhandahålla Företagets lojalitetsprogram genom Member enligt Företagsvillkoren: registrera medlemmar, utfärda och uppdatera digitala kort, registrera köp, besök, stämplar, poäng, cashback och belöningar, göra utskick till medlemmar som tar emot erbjudanden, visa statistik för Företaget och gallra uppgifter.

Behandlingens art. Insamling via Members anslutningssida och app, lagring, organisering, sökning, sammanställning till urval och statistik, överföring till Apple och Google för Wallet-kortet, utlämnande till medlemmens eget Member-konto (punkt 3.4), export, anonymisering och radering.

Kategorier av registrerade. Företagets medlemmar och personer som påbörjat en anslutning; Företagets personal, i den mån deras användar-id står i historiken som den som registrerade ett köp.

Kategorier av personuppgifter.

Känsliga personuppgifter behandlas inte och får inte föras in.

Varaktighet. Så länge Företagsvillkoren gäller och därefter enligt punkt 4.

Lagringstider (Members standard).

Stående instruktioner. Företaget instruerar Member att:

1. låta medlemmen själv se sina kort, saldon och historik, exportera sina uppgifter, rätta sitt namn, säga ja eller nej till erbjudanden och lämna kortet (anonymisering) i Member-appen, och säga ja eller nej till erbjudanden och lämna kortet via länken på kortet, samt låta Företaget rätta en medlems namn i företagsportalen;
2. lämna ut medlemskapets uppgifter till medlemmens eget Member-konto enligt punkt 3.4;
3. anonymisera medlemskap efter den inaktivitetstid som gäller enligt tabellen ovan;
4. nolla saldon enligt de förfalloregler Företaget valt för kortet;
5. slå på erbjudanden när en medlem går med, efter att ha sagt det i anslutningen och gett medlemmen möjlighet att tacka nej direkt, och skicka utskick som Företaget skapar till de medlemmar i den valda målgruppen som tar emot erbjudanden från Företaget;
6. använda Företagets butiksadress på kortet så att kortet kan visas på låsskärmen nära butiken, om Företaget valt det.

Plats. Uppgifterna lagras i Sverige (Supabase, AWS eu-north-1). Överföringar enligt Bilaga 3.

Bilaga 2: Tekniska och organisatoriska säkerhetsåtgärder

Bilaga 3: Underbiträden

Listan finns på membernordic.se/underbitraden och är en del av detta avtal.