Personuppgiftsbiträdesavtal

TalentRiver AB. Version 1.2. Ikraftträdandedatum: 1 november 2026

Detta personuppgiftsbiträdesavtal ("Personuppgiftsbiträdesavtalet") har ingåtts mellan Kunden och TalentRiver AB.

1. Inledning

1.1 Parterna har ingått ett avtal ("Avtalet") avseende digitala HR-tjänster som ska tillhandahållas av TalentRiver AB till Kunden.

1.2 TalentRiver AB kommer att behandla personuppgifter för Kundens räkning vid tillhandahållandet av tjänster under Avtalet och agerar därför som dess personuppgiftsbiträde för sådan behandling. Kunden är personuppgiftsansvarig.

1.3 Detta Personuppgiftsbiträdesavtal utgör ett sådant avtal mellan den personuppgiftsansvarige och personuppgiftsbiträdet som anges i artikel 28.3 i GDPR.

1.4 Detta Personuppgiftsbiträdesavtal är inte tillämpligt på behandling för vilken TalentRiver AB är självständigt personuppgiftsansvarig, nämligen: (i) insamling, strukturering och underhåll av TalentRiver AB:s databas med allmänt tillgängliga yrkesprofiler innan en profil importeras av Kunden; (ii) konto-, autentiserings- och faktureringsuppgifter för Kundens användare; (iii) säkerhets-, åtkomst- och granskningsloggar som förs för att skydda tjänsten; samt (iv) aggregerad eller anonymiserad användningsstatistik. Sådan behandling styrs av TalentRiver AB:s integritetspolicy, publicerad på talentriver.ai. När Kunden importerar en profil från databasen till en tjänst, ett projekt eller en pipeline blir den importerade kopian Kundens Personuppgifter och behandlas under detta Personuppgiftsbiträdesavtal från och med det ögonblicket.

2. Definitioner

2.1 Termer som definieras i Tillämplig Dataskyddslagstiftning, såsom "personuppgiftsansvarig", "personuppgiftsbiträde", "personuppgifter", "behandling", "registrerad", "personuppgiftsincident" och "tillsynsmyndighet", ska tolkas och tillämpas i enlighet med Tillämplig Dataskyddslagstiftning.

2.2 Därutöver ska definitionerna nedan ha följande betydelser:

"Tillämplig Dataskyddslagstiftning": Förordning (EU) 2016/679 (allmänna dataskyddsförordningen, "GDPR"), tillämplig svensk dataskyddslagstiftning samt, i tillämpliga delar för tjänstens AI-funktioner, förordning (EU) 2024/1689 ("AI-förordningen").

"Kundens Personuppgifter": personuppgifter som överförs till, lagras eller på annat sätt behandlas av TalentRiver AB för Kundens räkning under Avtalet, i enlighet med vad som beskrivs i Bilaga 1 (Specifikation).

"Underbiträde": en tredje part som anlitas av TalentRiver AB för att behandla Kundens Personuppgifter.

"Specifikationen": Bilaga 1 till detta Personuppgiftsbiträdesavtal.

3. Avtalshandlingar och tillämplighet

3.1 Detta Personuppgiftsbiträdesavtal består av detta huvuddokument, Bilaga 1 (Specifikation) och Bilaga 2 (Säkerhetsåtgärder). Vid eventuell motstridighet mellan detta Personuppgiftsbiträdesavtal och Avtalet ska detta Personuppgiftsbiträdesavtal ha företräde vad gäller behandlingen av Kundens Personuppgifter.

4. Behandling och instruktioner

4.1 TalentRiver AB får endast behandla Kundens Personuppgifter i enlighet med dokumenterade instruktioner från Kunden, inklusive vad gäller överföringar av personuppgifter till ett tredjeland eller en internationell organisation, såvida inte sådan behandling krävs enligt unionsrätten eller medlemsstaternas nationella rätt som TalentRiver AB omfattas av; i sådant fall ska TalentRiver AB informera Kunden om detta rättsliga krav före behandlingen, såvida inte lagen förbjuder detta. Kundens instruktioner anges i detta Personuppgiftsbiträdesavtal och i Specifikationen. Kunden kan ge ytterligare skriftliga instruktioner via tjänsten eller via e-post till TalentRiver AB:s integritetskontakt.

4.2 Båda Parter åtar sig att följa Tillämplig Dataskyddslagstiftning i den utsträckning sådan lagstiftning är tillämplig på Partens skyldigheter under Avtalet.

4.3 Om TalentRiver AB anser att en instruktion från Kunden strider mot Tillämplig Dataskyddslagstiftning ska TalentRiver AB omedelbart underrätta Kunden och får avbryta den berörda behandlingen tills Kunden har bekräftat eller ändrat instruktionen.

4.4 TalentRiver AB får inte använda Kundens Personuppgifter för egna syften, inklusive för att träna, finjustera eller förbättra maskininlärningsmodeller, utom i form av anonymiserad och aggregerad statistik som inte kan kopplas till en registrerad eller till Kunden.

5. Säkerhet och personuppgiftsincidenter

5.1 TalentRiver AB ska vidta lämpliga tekniska och organisatoriska åtgärder i enlighet med vad som anges i artikel 32 i GDPR för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerades rättigheter och friheter. De åtgärder som tillämpas beskrivs i Bilaga 2 (Säkerhetsåtgärder). TalentRiver AB får uppdatera Bilaga 2 förutsatt att den övergripande säkerhetsnivån inte försämras.

5.2 Kunden har granskat Bilaga 2 och bedömer att åtgärderna är lämpliga för behandlingen under detta Personuppgiftsbiträdesavtal.

5.3 TalentRiver AB ska underrätta Kunden utan onödigt dröjsmål och senast inom 48 timmar efter att ha fått kännedom om en personuppgiftsincident som påverkar Kundens Personuppgifter, inklusive en incident hos ett Underbiträde. Underrättelsen ska skickas till Kundens administratör och eventuell säkerhetskontakt som Kunden har registrerat, och ska, så långt det är känt vid tillfället, innehålla: incidentens art, kategorier av och ungefärligt antal registrerade och poster som berörs, de sannolika konsekvenserna, vidtagna eller föreslagna åtgärder samt en kontaktpunkt. Information kan tillhandahållas i etapper. TalentRiver AB ska bistå Kunden med att fullgöra sina skyldigheter enligt artiklarna 33 och 34 i GDPR och ska dokumentera samtliga personuppgiftsincidenter.

6. Överföring av personuppgifter till tredjeland

6.1 Kundens Personuppgifter lagras på servrar inom EU/EES i enlighet med vad som anges i Bilaga 1 (Specifikation).

6.2 TalentRiver AB får endast överföra Kundens Personuppgifter till, eller tillåta åtkomst från, ett land utanför EU/EES om (i) landet omfattas av ett beslut om adekvat skyddsnivå enligt artikel 45 i GDPR, eller (ii) en giltig överföringsmekanism enligt artikel 46 i GDPR finns på plats, såsom standardavtalsklausuler, tillsammans med en dokumenterad konsekvensbedömning avseende överföringen och eventuella nödvändiga kompletterande åtgärder. För alla Underbiträden som involverar en sådan överföring gäller processen för underrättelse och invändning i punkt 9.

6.3 Med förbehåll för punkt 6.2 bemyndigar Kunden TalentRiver AB att på Kundens vägnar ingå standardavtalsklausuler med den mottagande parten när så krävs.

7. Bistånd, information och granskning

7.1 TalentRiver AB ska bistå Kunden, genom lämpliga tekniska och organisatoriska åtgärder och i den utsträckning det är möjligt, så att Kunden kan fullgöra sin skyldighet att svara på begäranden från registrerade som utövar sina rättigheter enligt Tillämplig Dataskyddslagstiftning. Tjänsten innehåller självbetjäningsfunktioner för export, rättelse och radering av kandidatposter.

7.2 TalentRiver AB ska bistå Kunden, med beaktande av typen av behandling och den information som TalentRiver AB har tillgång till, med att säkerställa att skyldigheterna enligt artiklarna 32 till 36 i GDPR fullgörs, inklusive genom att tillhandahålla den information som krävs för Kundens konsekvensbedömningar avseende dataskydd och förhandssamråd.

7.3 När behandlingen upphör ska TalentRiver AB, enligt Kundens val, återlämna eller radera Kundens Personuppgifter i enlighet med punkt 15.

7.4 TalentRiver AB ska ge Kunden tillgång till all information som krävs för att visa att skyldigheterna i artikel 28 i GDPR efterlevs.

7.5 Kunden har rätt att granska TalentRiver AB:s efterlevnad av detta Personuppgiftsbiträdesavtal, antingen direkt eller via en oberoende revisor som är bunden av tystnadsplikt. TalentRiver AB ska i första hand tillhandahålla sin senaste granskningsrapport från tredje part, certifiering eller sammanfattning av penetrationstest. Om dessa inte rimligen besvarar Kundens frågor får Kunden genomföra en granskning på distans eller på plats med minst 30 dagars skriftligt varsel, högst en gång per tolvmånadersperiod såvida det inte krävs av en tillsynsmyndighet eller till följd av en personuppgiftsincident, under normal kontorstid och på ett sätt som inte stör TalentRiver AB:s verksamhet eller exponerar andra kunders data. Kunden står för sina egna granskningskostnader. Om granskningen påvisar väsentlig bristande efterlevnad från TalentRiver AB:s sida ska TalentRiver AB åtgärda detta utan onödigt dröjsmål och stå för sina rimliga kostnader för att bistå vid granskningen.

8. Kontakt med registrerade och tillsynsmyndigheter

8.1 Om en registrerad, en tillsynsmyndighet eller en annan tredje part begär information från TalentRiver AB rörande behandlingen av Kundens Personuppgifter ska TalentRiver AB utan onödigt dröjsmål vidarebefordra begäran till Kunden och invänta instruktioner, såvida inte TalentRiver AB enligt lag är skyldigt att svara direkt. I sådant fall ska TalentRiver AB informera Kunden innan svar lämnas, i den mån lagen tillåter detta.

9. Underbiträden

9.1 Kunden ger TalentRiver AB ett allmänt skriftligt förhandstillstånd enligt artikel 28.2 i GDPR att anlita Underbiträden för behandlingen av Kundens Personuppgifter. TalentRiver AB ska genom ett skriftligt avtal ålägga varje Underbiträde dataskyddsskyldigheter som motsvarar de som anges i detta Personuppgiftsbiträdesavtal. De Underbiträden som anlitas vid tidpunkten för detta Personuppgiftsbiträdesavtal anges i Bilaga 1 och på sidan för underbiträden på talentriver.ai.

9.2 TalentRiver AB ska underrätta Kunden via e-post till Kundens administratör minst 30 dagar innan ett Underbiträde läggs till eller byts ut, och ska samtidigt uppdatera sidan för underbiträden på talentriver.ai/subprocessors. Kunden får invända skriftligen på rimliga dataskyddsgrunder inom 14 dagar från underrättelsen. Parterna ska därefter diskutera invändningen i god tro. Om ingen lösning nås inom 30 dagar från invändningen får Kunden säga upp den del av tjänsten som är beroende av det nya Underbiträdet, eller Avtalet om den delen inte kan särskiljas, med verkan innan ändringen träder i kraft och utan sanktioner. Förutbetalda avgifter för den uppsagda delen återbetalas proportionellt.

9.3 TalentRiver AB förblir fullt ansvarigt gentemot Kunden för fullgörandet av varje Underbiträdes dataskyddsskyldigheter.

10. Konfidentialitet

10.1 Utöver konfidentialitetsåtagandena i Avtalet får ingen av Parterna avslöja Kundens Personuppgifter eller annan information som framkommer under detta Personuppgiftsbiträdesavtal ("Konfidentiell Information") för tredje part, såvida det inte krävs enligt Tillämplig Dataskyddslagstiftning eller instrueras av Kunden. Ingen av Parterna får använda Konfidentiell Information för något annat ändamål än att fullgöra sina skyldigheter enligt Tillämplig Dataskyddslagstiftning eller detta Personuppgiftsbiträdesavtal.

10.2 TalentRiver AB ska säkerställa att personer med behörighet att behandla Kundens Personuppgifter har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

11. Ersättning

11.1 TalentRiver AB:s behandling av Kundens Personuppgifter är en del av tjänsterna och ingår i avgifterna under Avtalet. Bistånd enligt punkterna 5.3, 7.1, 7.2, 7.4 och 8 ingår också. TalentRiver AB får endast ta ut en rimlig avgift baserad på administrativa kostnader om Kundens begäran om bistånd är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art, och först efter att i förväg ha informerat Kunden om avgiften och skälet för den. Granskningar enligt punkt 7.5 sker på Kundens bekostnad i enlighet med vad som anges där.

12. Ansvar

12.1 Om TalentRiver AB, eller någon för vilken TalentRiver AB ansvarar, av oaktsamhet behandlar Kundens Personuppgifter i strid med detta Personuppgiftsbiträdesavtal eller i strid med Kundens lagliga instruktioner, ska TalentRiver AB ersätta Kunden för den skada som uppstår till följd därav.

12.2 Kunden ska ersätta TalentRiver AB med ett rimligt belopp för skador som uppstår som en konsekvens av att Kunden, eller någon för vilken Kunden ansvarar, inte fullgör sina skyldigheter under detta Personuppgiftsbiträdesavtal.

12.3 En Part ska inte hållas ansvarig för den andra Partens uteblivna intäkter, förlorade affärsmöjligheter, förlust av goodwill eller andra indirekta skador.

12.4 En Parts skyldighet att betala skadestånd enligt denna punkt 12 gäller endast om den icke-avtalsbrytande Parten utan dröjsmål skriftligen meddelar kravet och grunderna för detta.

12.5 Den allmänna ansvarsbegränsningen i Avtalet gäller även för detta Personuppgiftsbiträdesavtal, med undantag för att den inte begränsar någondera Parts ansvar för sanktionsavgifter som påförts den andra Parten som en direkt följd av den första Partens brott mot detta Personuppgiftsbiträdesavtal, i den utsträckning lagen tillåter sådan fördelning.

13. Ändringar i detta Personuppgiftsbiträdesavtal

13.1 Om Tillämplig Dataskyddslagstiftning ändras, eller om en tillsynsmyndighet eller domstol utfärdar vägledning eller ett beslut som kräver att detta Personuppgiftsbiträdesavtal ändras, ska TalentRiver AB genomföra de nödvändiga ändringarna och underrätta Kunden. Sådana ändringar träder i kraft 30 dagar efter meddelandet.

13.2 Övriga ändringar, till exempel avseende nya funktioner, meddelas Kundens administratör via e-post tillsammans med en ändringslogg minst 30 dagar innan de träder i kraft. Om Kunden invänder skriftligen inom denna period gäller ändringen inte för Kunden och vardera Part får säga upp den berörda tjänsten utan sanktioner.

14. AI-funktioner

14.1 Tjänsten omfattar funktioner som använder artificiell intelligens för att söka, sortera och sammanfatta stora volymer kandidatprofiler mot kriterier som fastställts av Kunden, under rekryteringens urvalsfas ("AI-funktioner"). AI-funktionerna hjälper Kundens rekryterare att hitta och prioritera kandidater för granskning. De fattar inga beslut om kandidater och används inte för att avvisa någon.

14.2 TalentRiver AB ska, i egenskap av tillhandahållare av AI-funktionerna: (i) upprätthålla teknisk dokumentation som beskriver det avsedda ändamålet, data som används, kända begränsningar och tester av AI-funktionerna; (ii) utforma AI-funktionerna så att användare kan se, förstå och åsidosätta deras resultat; (iii) föra loggar över användningen av AI-funktionerna som är tillräckliga för att spåra vilka rekommendationer som togs fram för vilken tjänst; (iv) utvärdera AI-funktionerna avseende partiskhet kopplad till skyddade egenskaper före lansering och efter väsentliga ändringar, samt på begäran tillhandahålla en sammanfattning av den senaste utvärderingen till Kunden; och (v) inte använda Kundens Personuppgifter för att träna eller förbättra modeller, i enlighet med vad som anges i punkt 4.4.

14.3 Kunden ska, i egenskap av användare och driftsättare av AI-funktionerna: (i) säkerställa att en fysisk person med kompetens och befogenhet att åsidosätta resultatet granskar varje kandidat innan ett beslut om att inte gå vidare med kandidaten fattas eller kommuniceras; (ii) inte konfigurera eller använda AI-funktionerna för att avvisa kandidater automatiskt; (iii) informera kandidater om att AI-assisterat urval används, i Kundens integritetsmeddelande för kandidater; (iv) fastställa kriterier som beskriver kompetenser och erfarenhet och som inte fungerar som proxys för skyddade egenskaper; samt (v) svara kandidater som ber om en förklaring av ett beslut.

14.4 Skyldigheterna gällande AI-system med hög risk som används för att filtrera eller utvärdera arbetssökande enligt bilaga III till AI-förordningen blir tillämpliga från och med den 2 december 2027 till följd av Digital Omnibus. Parterna ska samarbeta för att uppfylla dessa från och med det datumet samt eventuella ytterligare skyldigheter som gäller från tid till annan.

15. Giltighetstid och upphörande

15.1 Detta Personuppgiftsbiträdesavtal gäller från dess undertecknande och så länge TalentRiver AB behandlar Kundens Personuppgifter.

15.2 Vid Avtalets upphörande får Kunden exportera Kundens Personuppgifter via tjänsten under 30 dagar. Efter den perioden, eller tidigare efter Kundens skriftliga instruktion, ska TalentRiver AB radera samtliga Kundens Personuppgifter, inklusive kopior hos Underbiträden, såvida inte lagring krävs enligt unionsrätten eller medlemsstaternas nationella rätt. Data i säkerhetskopior raderas eller skrivs över inom 7 dagar. TalentRiver AB ska på begäran skriftligen bekräfta raderingen.

Bilaga 1: Specifikation

Denna bilaga utgör en integrerad del av Personuppgiftsbiträdesavtalet mellan TalentRiver AB och Kunden.

1. Ändamål

1.1 Denna bilaga fastställer detaljerna för den behandling av Kundens Personuppgifter som TalentRiver AB utför för Kundens räkning, så som krävs enligt artikel 28.3 i GDPR.

2. Kontaktinformation

2.1 Kunden (personuppgiftsansvarig): den Kund som identifieras i Avtalet. Kundens administratör är kontaktperson för meddelanden under detta Personuppgiftsbiträdesavtal, såvida inte Kunden registrerar en annan kontaktperson.

2.2 TalentRiver AB (personuppgiftsbiträde): TalentRiver AB, org.nr 559455-0005, C/O SSE Business Lab, Box 6501, 113 83 Stockholm, Sverige. Telefon +46 73 359 2902. Integritetskontakt: Tim Tellqvist, VD, hello@talentriver.ai.

3. Behandling av personuppgifter

3.1 Kategorier av personuppgifter

Tjänsten kräver inte särskilda kategorier av personuppgifter (art. 9) eller uppgifter om fällande domar i brottmål (art. 10), och Kunden får inte instruera TalentRiver AB att behandla sådana uppgifter.

3.2 Kategorier av behandling: insamling, registrering, organisering, strukturering, lagring, säkerhetskopiering, hämtning, läsning, justering eller ändring, samkörning eller sammanslagning, analys genom AI-funktioner, begränsning, radering eller förstöring.

3.3 Kategorier av registrerade

• Kandidater som ansöker till Kundens lediga tjänster

• Kandidater som sourcats av Kunden och som inte har ansökt

• Referenspersoner och andra personer som uppgivits av kandidater

• Anställda, tidigare anställda, konsulter och andra personer som arbetar eller har arbetat för Kunden, inklusive Kundens användare av tjänsten

• Personer som skickar eller tar emot meddelanden som behandlas via de e-post- och meddelandeintegrationer som anslutits av Kundens användare

3.4 Ändamål med behandlingen: att tillhandahålla tjänsterna till Kunden i enlighet med vad som anges i, och under löptiden för, Avtalet, inklusive att publicera lediga tjänster, ta emot och hantera ansökningar, sourcing, urval och rangordning med AI-funktionerna, kandidatkommunikation och schemaläggning, samarbete mellan Kundens användare samt rapportering.

3.5 Behandlingens varaktighet: under Avtalets löptid och under 30 dagar efter upphörandet för att möjliggöra export, varefter Kundens Personuppgifter raderas i enlighet med punkt 15.2. Under löptiden styr Kunden lagringen genom lagringsinställningarna i tjänsten.

4. Säkerhetsåtgärder

4.1 De tekniska och organisatoriska säkerhetsåtgärderna framgår av Bilaga 2.

5. Underbiträden

Den aktuella listan publiceras på talentriver.ai/subprocessors, vilket är den officiella listan. Vid tidpunkten för detta Personuppgiftsbiträdesavtal:

Kundanvändarnas egen e-postleverantör (Google eller Microsoft), som ansluts via e-postintegrationen, är Kundens egen tjänsteleverantör och inte ett Underbiträde.

Bilaga 2: Säkerhetsåtgärder

TalentRiver AB tillämpar tekniska och organisatoriska åtgärder anpassade efter risken, i enlighet med vad som krävs enligt artikel 32 i GDPR, inklusive: lagring av samtliga Kundens Personuppgifter på Microsoft Azure i Tyskland; kryptering av data under överföring (TLS 1.2 eller högre) och i vila; rollbaserad åtkomstkontroll med enkel inloggning (SSO) och multifaktorautentisering; åtkomst till produktionsdata begränsad till namngiven personal bunden av tystnadsplikt; loggning av åtkomst; krypterade dagliga säkerhetskopior lagrade inom EU; samt ett dokumenterat incidenthanteringsförfarande med underrättelse vid personuppgiftsincidenter i enlighet med vad som anges i punkt 5.3.

Den fullständiga beskrivningen av TalentRiver AB:s tekniska och organisatoriska åtgärder (Dokumentet för Säkerhetsåtgärder) tillhandahålls Kunden på begäran och utgör en del av detta Personuppgiftsbiträdesavtal. TalentRiver AB får uppdatera Dokumentet för Säkerhetsåtgärder under förutsättning att den generella säkerhetsnivån inte försämras.

Ändringar från version 1.1

Publiceras tillsammans med biträdesavtalet så att kunder kan se vad som ändrats. Varje förändring innebär antingen en förstärkning av Kundens ställning eller formaliserar en skyldighet som TalentRiver AB redan efterlever i praktiken.