Personuppgiftsbiträdesavtal (DPA)

Detta personuppgiftsbiträdesavtal ("Avtalet") gäller när Sourcely AB (under bildning) ("Biträdet") behandlar personuppgifter för kundens räkning ("Personuppgiftsansvarig") i Sourcely ("Tjänsten"). Avtalet uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR), är en del av Sourcelys Användarvillkor och blir bindande när kunden skapar och använder ett konto. Till dess att bolaget är registrerat ingås Avtalet av grundarna för bolagets räkning, enligt punkt 1 i Användarvillkoren.

1. Roller och omfattning

Avtalet gäller personuppgifter som Personuppgiftsansvarig själv för in i Tjänsten om andra personer, till exempel kontaktpersoner hos egna leverantörer och kunder. Det gäller inte uppgifter som Sourcely behandlar som personuppgiftsansvarig, till exempel kontouppgifter, uppgifter på marknadsplatsen och sammanställd statistik. De beskrivs i Integritetspolicyn.

2. Behandlingen

Ändamål: att tillhandahålla Tjänsten, till exempel leverantörsregister, offertförfrågningar, meddelanden, utskick och support.
Åtgärder: lagring, visning, sökning, sammanställning, överföring till mottagare som Personuppgiftsansvarig väljer, och radering.
Kategorier av registrerade: kontaktpersoner hos Personuppgiftsansvarigs leverantörer, kunder och övriga affärskontakter, samt Personuppgiftsansvarigs egna användare.
Typer av uppgifter: namn, e-postadress, telefonnummer, titel och roll, företagstillhörighet samt innehåll i meddelanden och filer.
Känsliga uppgifter: särskilda kategorier av personuppgifter (artikel 9) och uppgifter om lagöverträdelser får inte föras in i Tjänsten.
Varaktighet: så länge kunden har ett konto, och därefter enligt punkt 9.

3. Instruktioner

Biträdet behandlar personuppgifterna enbart enligt Personuppgiftsansvarigs dokumenterade instruktioner. Avtalet och de val Personuppgiftsansvarig gör i Tjänsten utgör de fullständiga instruktionerna. Biträdet meddelar Personuppgiftsansvarig om en instruktion enligt Biträdets bedömning strider mot dataskyddsreglerna. Personuppgiftsansvarig ansvarar för att det finns rättslig grund för behandlingen och att de registrerade har fått information.

4. Sekretess

Biträdet säkerställer att personer som har åtkomst till personuppgifterna omfattas av tystnadsplikt och bara får åtkomst när det behövs för drift, support eller felsökning.

5. Säkerhet

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32, bland annat:

krypterad överföring (TLS) och kryptering av lagrade data hos driftleverantören,
behörighetsstyrning på databasnivå så att varje företag bara kommer åt sina egna uppgifter,
begränsad och personlig åtkomst för personal, och loggning av administrativa åtgärder,
säkerhetskopiering hos driftleverantören.

6. Underbiträden

Personuppgiftsansvarig ger ett allmänt förhandstillstånd till att Biträdet anlitar underbiträden. Nuvarande underbiträden:

Lovable – utveckling och drift av Tjänsten
Supabase – databas, inloggning och fillagring (EU, Irland)
Cloudflare – drift och skydd av webbapplikationen
Microsoft (Microsoft 365) – utskick av e-post
Stripe – betalningar
Lovable AI med OpenAI och Anthropic – AI-stöd i onboardingen. Bara det egna företagets svar och registeruppgifter skickas, och behandlingen kan ske i USA.

Biträdet informerar om planerade nya eller ersatta underbiträden via e-post eller Tjänsten minst 30 dagar i förväg. Personuppgiftsansvarig kan invända på sakliga grunder inom den tiden. Om parterna inte kommer överens kan Personuppgiftsansvarig säga upp avtalet och få tillbaka förskottsbetalning för tid efter uppsägningen. Biträdet ålägger varje underbiträde motsvarande dataskyddsskyldigheter genom avtal och ansvarar för underbiträdets fullgörande.

7. Överföring utanför EU/EES

Personuppgifter överförs utanför EU/EES bara om det finns stöd i kapitel V i GDPR, till exempel EU-kommissionens beslut om EU–US Data Privacy Framework eller standardavtalsklausuler.

8. Stöd till Personuppgiftsansvarig

Biträdet hjälper Personuppgiftsansvarig, i skälig omfattning och med hänsyn till behandlingens art, att:

besvara begäranden från registrerade. Begäranden som kommer direkt till Biträdet vidarebefordras utan onödigt dröjsmål,
uppfylla kraven på säkerhet, incidentanmälan, konsekvensbedömningar och förhandssamråd (artiklarna 32–36).

Stöd som går utöver vad som ingår i Tjänsten kan debiteras enligt överenskommelse.

9. Personuppgiftsincidenter

Biträdet underrättar Personuppgiftsansvarig utan onödigt dröjsmål, och om möjligt inom 48 timmar, efter att ha upptäckt en personuppgiftsincident som rör Personuppgiftsansvarigs uppgifter. Underrättelsen innehåller den information som finns tillgänglig enligt artikel 33.3 och kompletteras löpande.

10. Radering och återlämning

När avtalet upphör raderar Biträdet personuppgifterna inom 90 dagar, om inte lagring krävs enligt lag. Personuppgiftsansvarig kan före dess begära en export av sina uppgifter genom att mejla info@sourcely.se. Uppgifter i säkerhetskopior skrivs över enligt driftleverantörens ordinarie rutiner.

11. Granskning

Biträdet lämnar på begäran den information som behövs för att visa att Avtalet följs. Granskning på plats kan ske efter överenskommelse, med minst 30 dagars varsel, under sekretess, högst en gång per år om inte en incident motiverar annat, och på Personuppgiftsansvarigs bekostnad.

12. Ansvar

Parternas ansvar gentemot de registrerade följer av artikel 82 i GDPR. Mellan parterna gäller ansvarsbegränsningen i Användarvillkoren, även för detta Avtal, utom när annat följer av tvingande lag. Sanktionsavgifter bärs av den part som myndigheten ålagt dem.

13. Giltighet, ändringar och tvist

Avtalet gäller så länge Biträdet behandlar personuppgifter för Personuppgiftsansvarigs räkning. Ändringar meddelas på samma sätt som ändringar av Användarvillkoren. Vid motstridigheter har detta Avtal företräde framför Användarvillkoren i frågor om personuppgifter. Svensk lag gäller, och tvister avgörs enligt Användarvillkoren.

Frågor om detta avtal: info@sourcely.se.