Personuppgiftsbiträdesavtal
Senast uppdaterad 27 augusti 2026
Här beskrivs hur Ordena behandlar personuppgifter för en kunds räkning. Det utgör en del av avtalet mellan oss och är skrivet för att läsas innan man har ett konto.
Roller
Kunden är personuppgiftsansvarig och Ordena är personuppgiftsbiträde, för alla personuppgifter som förs in i eller skapas av tjänsten.
Föremål och varaktighet
Behandlingen omfattar anställdas identitet och kontaktuppgifter, tillgänglighet, scheman, registrerad arbetstid och lönesatser, så länge kundens konto är öppet, plus återlämnandeperioden nedan.
Instruktioner
Ordena behandlar personuppgifter endast enligt kundens dokumenterade instruktioner, vilket användningen av tjänsten utgör. Vi behandlar dem inte för egna ändamål, vi säljer dem inte, och vi använder dem inte som träningsdata.
Sekretess
Alla med åtkomst omfattas av sekretess. Åtkomsten är begränsad till vad rollen kräver, upprätthållen i datalagret snarare än i gränssnittet, och åtkomst över organisationsgränsen är omöjlig för varje kundroll.
Säkerhet
Uppgifter krypteras under överföring och i vila. Isolering mellan kunder upprätthålls i varje fråga mot databasen, inte i gränssnittet. Varje ändring av registrerad tid eller pengar skrivs till en spårlogg som bara går att lägga till i, med vem, när och vad som ersattes.
Underbiträden
Clerk för inloggning, som tar emot namn och e-postadress. MongoDB Atlas för databasdrift, som tar emot alla operativa uppgifter. Vercel för applikationsdrift, som tar emot alla operativa uppgifter under överföring. Resend för e-post, som tar emot adress och innehåll. Firebase Cloud Messaging för notiser, som tar emot en enhetsnyckel. Sentry för felrapporter, som tar emot tekniska felrapporter rensade från användaruppgifter, förfrågningsinnehåll och cookies. Vi meddelar minst 30 dagar innan vi lägger till eller byter ett underbiträde, och kunden kan invända.
Stöd till den ansvarige
Tjänsten tar fram en fullständig maskinläsbar export för en enskild person, och en radering som anonymiserar identiteten men bevarar löneunderlaget, båda utan att vi behöver blandas in. Krävs mer än så bistår vi.
Personuppgiftsincidenter
Vid en personuppgiftsincident underrättar vi kunden utan onödigt dröjsmål och senast 48 timmar efter att vi har fått kännedom om den, med vad som har hänt, vilka uppgifter som berörs och vad som görs, och vi bistår kunden med anmälan till Integritetsskyddsmyndigheten och till de registrerade.
Återlämnande och radering
Vid uppsägning kan kunden exportera alla uppgifter. Kunden väljer om uppgifterna ska återlämnas eller raderas, och vi påminner skriftligen senast tio dagar innan valet behöver vara gjort; har kunden inte valt inom trettio dagar raderas de och vi intygar det, utom där lag som gäller kunden kräver att de sparas. Uppgifter i säkerhetskopior raderas när säkerhetskopian skrivs över, inom den tid som anges i avtalet, och återställs aldrig till tjänsten under tiden.
Granskning
Kunden kan begära den information som behövs för att visa att avtalet följs, och får granska behandlingen själv eller genom en oberoende revisor, med rimliga intervall och med rimligt varsel.
Frågor om avtalet, eller en begäran enligt det, når oss på adressen i ert avtal.