Personuppgiftsbiträdesavtal (DPA)

§1 Parter och roller

Detta personuppgiftsbiträdesavtal ("DPA") ingås mellan:

• Kunden (personuppgiftsansvarig)
• Source Solutions AB ("Bolaget", personuppgiftsbiträde)

Bolaget behandlar personuppgifter endast för Kundens räkning i samband med tillhandahållandet av Tjänsten.

Bolaget agerar dock som självständig personuppgiftsansvarig för:

• säkerhetsloggar
• autentisering
• fakturering
• intern analys

§2 Föremål och varaktighet

Detta DPA gäller så länge Bolaget behandlar personuppgifter för Kundens räkning.

Behandling får inte påbörjas innan detta DPA är ingånget.

Detta DPA upphör att gälla när behandlingen av Kundens personuppgifter avslutas i samband med att Tjänsten upphör enligt ToS.

§3 Behandlingens natur och syfte

Behandling sker för att:

• tillhandahålla kundportal, webbplats och tjänstefunktioner
• hantera kommunikation och meddelanden
• analysera användning och förbättra tjänsten
• möjliggöra marknadsföring och annonsering (om aktiverat av Kunden)

§4 Kategorier av personuppgifter

Innefattar normalt:

• namn, e-post, kontaktuppgifter
• IP-adress och enhetsdata
• användarbeteende (pageviews, interaktioner)
• meddelandeinnehåll
• kundspecifik data som Kunden själv tillför inom ramen för Tjänsten

Behandling av känsliga personuppgifter enligt GDPR artikel 9 kräver separat skriftlig överenskommelse och särskilda skyddsåtgärder.

§5 Registrerade

• Kundens anställda, administratörer och kontaktpersoner
• Kundens kunder/slutanvändare
• webbplatsbesökare
• användare av Kundens tjänster

§6 Instruktioner

Bolaget behandlar endast personuppgifter:

• enligt detta avtal
• enligt Kundens dokumenterade instruktioner

Kunden ansvarar för att instruktionerna är lagliga.

Om Bolaget anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning ska Bolaget utan dröjsmål underrätta Kunden.

Om Bolaget är skyldigt enligt unionsrätt eller nationell rätt att behandla personuppgifter utan Kundens instruktion ska Kunden informeras om detta innan behandlingen sker, om inte sådan information är förbjuden enligt lag.

§7 Säkerhet (Art. 32 GDPR)

Bolaget implementerar lämpliga tekniska och organisatoriska åtgärder, inklusive:

• åtkomstkontroller
• kryptering av personuppgifter där det är tekniskt och organisatoriskt lämpligt
• loggning

Bolaget säkerställer:

• pseudonymisering där lämpligt

§8 Underbiträden (Sub-processors)

Bolaget använder följande underbiträden:

• Google — drift, fillagring, loggning och hantering av hemligheter (Google Cloud, med Tjänstens servrar i EU, region europe-north1), platsuppslag (Google Places) och e-postutskick (Gmail)
• MongoDB — databas för Tjänstens data
• Auth0 — inloggning och autentisering
• Stripe — betalningar, utbetalningar och kontoverifiering
• Mailchimp Transactional — utskick av e-post, bland annat bekräftelser och fakturor
• Brevo — utskick av e-post från Bolagets administration
• OpenAI — AI-funktioner i Tjänsten, bland annat insikter, AI-support samt text- och bildgenerering
• Anthropic — AI-baserad sökning och leadgenerering
• Fortnox — bokföringsintegration, när Kunden kopplat sitt Fortnox-konto
• PostNord — frakt och fraktetiketter
• allabolag.se — företagsuppslag vid sökning
• ipapi.co — geografisk uppslagning av IP-adress vid inloggning och besöksanalys
• GitHub — hämtning av källkod från Kundens repository när Kunden kopplar GitHub i onboardingen

Bolaget säkerställer att samtliga underbiträden är bundna av dataskyddsförpliktelser som motsvarar de dataskyddsförpliktelser som framgår av detta DPA, i enlighet med GDPR artikel 28(4).

Ändringar:

• Kunden informeras minst 14 dagar i förväg
• Kunden har rätt att invända
• Vid invändning har Kunden rätt att säga upp avtalet

§9 Överföringar till tredje land

Överföringar sker endast via:

• EU Standard Contractual Clauses (SCC)
• EU-US Data Privacy Framework (DPF)

Information om skyddsåtgärder tillhandahålls på begäran.

§10 Bistånd till Kunden (Art. 28(3)(e) & (f))

Bolaget bistår Kunden med:

• hantering av registrerades rättigheter (Art. 12–22)
• konsekvensbedömningar (DPIA)
• konsultation med tillsynsmyndighet
• säkerhetsincidenter (Art. 34)

§11 Personuppgiftsincidenter (Art. 33)

Bolaget ska utan onödigt dröjsmål och senast inom 48 timmar från det att Bolaget fått kännedom om incidenten meddela Kunden.

Meddelandet ska innehålla:

• incidentens art
• kategorier av uppgifter
• antal registrerade (om möjligt)
• konsekvenser
• vidtagna åtgärder

Bolaget ska tillhandahålla uppdaterad information allteftersom undersökningen fortskrider.

Föranmälan kan ske utan fullständig information om sådan information inte är tillgänglig inom 48 timmar. Saknad information ska tillhandahållas utan ytterligare onödigt dröjsmål.

§12 Audit (Art. 28(3)(h))

Kunden har rätt att granska Bolagets efterlevnad enligt följande:

• 30 dagars varsel
• max 1 gång per år
• max 2 arbetsdagar

Revision:

• omfattas av sekretess
• får inte inkludera andra kunders data

Bolaget kan i stället för revision på plats tillhandahålla skriftlig dokumentation om sina säkerhetsåtgärder.

Kunden ska säkerställa att revisorer eller representanter som genomför revision är bundna av sekretess och inte lämnar ut information om Bolagets system, processer eller teknik till tredje part.

Kostnad:

• Standard GDPR-skyldigheter är kostnadsfria
• Extra revision utanför normal omfattning kräver förhandsgodkännande och kommunicerad kostnad

Utökad revision tillåts vid:

• myndighetskrav
• legitima compliance-behov

§13 Radering och återlämning

Efter avtalets upphörande:

På Kundens begäran ska Bolaget, i stället för radering, återlämna samtliga personuppgifter i ett maskinläsbart format (t.ex. CSV, JSON eller motsvarande).

Export enligt ovan tillhandahålls inom 30 dagar från Kundens begäran.

I annat fall raderas data inom 30–90 dagar efter avtalets upphörande.

Kunden kan begära bekräftelse på radering.

Uppgifter i säkerhetskopior raderas i takt med att säkerhetskopiorna ersätts enligt Bolagets rutin för säkerhetskopiering.

Radering sker med undantag för personuppgifter som Bolaget är skyldigt att behålla enligt lag. I sådana fall ska Kunden informeras om vilka uppgifter som bevaras, på vilken rättslig grund och under vilken tidsperiod.

§14 Sekretess

Bolaget säkerställer att personal som behandlar personuppgifter:

• är bundna av sekretess
• endast har tillgång vid behov

Sekretess gäller även efter avtalets upphörande.

Bolaget säkerställer att även underbiträden och deras personal omfattas av motsvarande sekretesskrav.

§15 Ansvar

Detta DPA kompletterar ToS. Ansvar regleras enligt ToS, inklusive:

• ansvarsbegränsning
• indemnification

Regulatoriska böter omfattas inte av avtalsmässiga ansvarsbegränsningar.

Detta påverkar inte ansvar enligt GDPR artikel 82.

Om Bolaget hålls ansvarigt för skada enligt GDPR artikel 82(4) som helt eller delvis beror på Kundens agerande eller underlåtenhet, har Bolaget rätt att kräva ersättning av Kunden i motsvarande mån.

§16 Prioritet

Vid konflikt mellan detta DPA och ToS gäller detta DPA för personuppgiftsfrågor.

§17 Gällande lag

Detta DPA regleras av svensk lag i enlighet med ToS, med beaktande av GDPR.

§18 Processor Warranties

Bolaget garanterar att:

• behandling sker i enlighet med detta DPA och GDPR
• lämpliga säkerhetsåtgärder upprätthålls
• Bolaget informerar Kunden utan onödigt dröjsmål om väsentliga förändringar som påverkar efterlevnaden av detta DPA eller GDPR

§19 Art. 30 Records

Bolaget ska föra register över behandlingsaktiviteter i enlighet med GDPR artikel 30(2), inklusive kategorier av behandling, mottagare samt, i tillämpliga fall, överföringar till tredje land, säkerhetsåtgärder och tillhandahålla dessa på begäran.

§20 Ikraftträdande

Detta DPA anses ingånget när Kunden accepterar Tjänstens allmänna villkor, förutsatt att Kunden haft möjlighet att ta del av detta DPA, varvid detta DPA utgör en bindande del av avtalet mellan parterna i enlighet med GDPR artikel 28(9).