Personuppgiftsbiträdesavtal

Detta avtal reglerar hur Wivid Arc behandlar personuppgifter för våra kunders räkning vid användning av Polar och Awrora, i enlighet med artikel 28 i GDPR.

1.1 Kunden ("Personuppgiftsansvarig") bestämmer ändamål och medel för den behandling av personuppgifter som sker via Wivid Arcs digitala produkter Polar och Awrora samt tillhörande funktioner och tjänster ("Tjänsten").

1.2 Wivid Arc ("Personuppgiftsbiträde" eller "Biträdet") behandlar personuppgifter för Kundens räkning och endast enligt Kundens dokumenterade instruktioner, i enlighet med detta avtal och Användarvillkoren ("Villkoren"), om inte annat krävs enligt tillämplig lag.

1.3 Detta avtal omfattar inte behandling där Wivid Arc själv är personuppgiftsansvarig, exempelvis hantering av Kundens konto, fakturering och support. Sådan behandling beskrivs i vår Integritetspolicy.

2.1 Biträdet tillhandahåller Tjänsten, som beroende på produkt och aktiverade funktioner kan omfatta drift och lagring av webbplatser, databaser och autentisering, formulär, bokningar och betalningar, presentkort, kundkonton, nyhetsbrev och transaktionsmejl, medlemsregister, förstapartsstatistik, säkerhets- och missbruksskydd, visning av externt innehåll (t.ex. Google-recensioner och Instagram-flöden), automatisk översättning av innehåll samt AI-assisterade funktioner som kan generera innehåll, analysera information, ge förslag och hjälpa användaren att utföra uppgifter i Tjänsten.

Ändamålet med behandlingen är att tillhandahålla, driva och säkra de funktioner och tjänster som Kunden använder.

2.2 Behandlingen omfattar insamling, lagring, strukturering, användning, bearbetning, överföring till underbiträden, visning, utlämning och radering av personuppgifter, i den utsträckning som krävs för att tillhandahålla de funktioner Kunden använder.

2.3 Kategorier av registrerade:

• Besökare på Kundens webbplats.

• Personer som skickar in formulär eller anmäler intresse.

• Personer som bokar, köper eller deltar i aktiviteter.

• Köpare och mottagare av presentkort.

• Innehavare av kundkonton.

• Nyhetsbrevsprenumeranter.

• Medlemmar och guider i Kundens medlemsregister.

• Personer som förekommer i externt innehåll som visas på webbplatsen, exempelvis recensenter.

• Kundens administratörer och användare av administrationspanelen.

2.4 Kategorier av personuppgifter:

• Kontaktuppgifter, exempelvis namn, e-postadress, telefonnummer och adress.

• Boknings-, köp- och presentkortsuppgifter samt betalningsmetadata. Kortuppgifter hanteras av Stripe.

• Meddelanden och fritext i formulär.

• Kontouppgifter och inloggningsdata, inklusive uppgifter för tvåstegsverifiering.

• Nyhetsbrevsstatus, samtyckesuppgifter och cookieval.

• Tekniska uppgifter och användningsdata, exempelvis IP-adress, enhet, webbläsare, besökta sidor och säkerhetsloggar.

• Aktivitetsloggar över ändringar i administrationspanelen.

• Andra personuppgifter som Kunden väljer att samla in eller publicera via Tjänsten.

2.5 Tjänsten är inte avsedd för behandling av känsliga personuppgifter enligt artikel 9 GDPR. Kunden ansvarar för att sådana uppgifter inte samlas in eller behandlas via Tjänsten utan särskild överenskommelse med Wivid Arc.

2.6 Behandlingen pågår så länge avtalet mellan parterna gäller och därefter enligt avsnitt 10.

3.1 Biträdet behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner, om inte annat krävs enligt tillämplig unionsrätt eller nationell rätt. Om sådan behandling krävs enligt lag ska Biträdet informera Kunden innan behandlingen sker, såvida inte lagen förbjuder sådan information av viktiga skäl som rör allmänintresset. Kundens instruktioner utgörs av detta avtal, Villkoren och de inställningar och funktioner Kunden aktiverar i Tjänsten.

3.2 Biträdet ska utan onödigt dröjsmål informera Kunden om instruktioner som enligt Biträdets bedömning strider mot GDPR eller andra tillämpliga dataskyddsbestämmelser.

3.3 AI-assisterade funktioner och automatisk översättning används endast när Kunden eller en behörig användare har aktiverat respektive funktion. Uppgifter som skickas till AI-leverantörer används för att utföra den efterfrågade uppgiften och inte för att träna leverantörernas AI-modeller.

4.1 Biträdet säkerställer att personer som har behörighet att behandla personuppgifter har åtagit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt, och endast har åtkomst till personuppgifter i den utsträckning som krävs för att utföra sina arbetsuppgifter.

4.2 Biträdet vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32 GDPR. Åtgärderna omfattar bland annat kryptering av data vid överföring och lagring samt kryptering på applikationsnivå av särskilt skyddsvärda personuppgifter, exempelvis namn, kontaktuppgifter, formulärdata och IP-adresser, med separata krypteringsnycklar per kund. Krypteringsnycklarna förvaras i en separat nyckelhanteringstjänst inom EU (Stockholm) och lagras inte i kunddatabasen. Vid permanent radering förstörs kundens krypteringsnyckel, vilket gör uppgifter som är krypterade med nyckeln oläsliga. Därutöver tillämpas rollbaserad åtkomstkontroll, tvåstegsverifiering som erbjuds alla användare och är obligatorisk för Biträdets administratörer, skydd mot bottar och överbelastning, aktivitets- och säkerhetsloggning samt regelbunden utvärdering av säkerheten.

5.1 Kunden ger Biträdet ett allmänt förhandsgodkännande att anlita underbiträden för behandling av personuppgifter inom ramen för Tjänsten. Följande externa leverantörer används, beroende på produkt och aktiverade funktioner:

- Vercel — drift och plattform. Moderbolag i USA, AWS, Stockholm (eu-north-1).

- Supabase — databas, inloggning och filer. Moderbolag i USA, AWS, Stockholm (eu-north-1).

- Amazon Web Services — nyckelhantering (KMS). USA, [eu-north-1].

- Resend — e-post. USA, AWS, [eu-west-1].

- Upstash — begränsning av anrop. USA, AWS, [eu-centeral-1].

- Stripe — betalningar. Stripe Payments Europe, Irland, med behandling även i USA.

- Anthropic — AI-funktioner. USA.

5.2 Biträdet säkerställer att underbiträden genom avtal omfattas av dataskyddsskyldigheter som motsvarar dem i detta avtal. Biträdet ansvarar gentemot Kunden för att underbiträdena fullgör sina skyldigheter avseende behandlingen av personuppgifter.

5.3 Biträdet informerar Kunden via e-post minst 30 dagar i förväg om planerade tillägg eller byten av underbiträden och ger Kunden möjlighet att invända innan ändringen genomförs. Kunden kan invända av berättigade dataskyddsskäl. Om parterna inte når en lösning har Kunden rätt att säga upp de berörda funktionerna eller tjänsterna. Vid brådskande ändringar som krävs av säkerhetsmässiga eller rättsliga skäl kan kortare varsel tillämpas.

5.4 Vid betalningar via Stripe Connect kan Stripe vara självständigt personuppgiftsansvarig för viss behandling av personuppgifter, bland annat för bedrägeriskydd och kundkännedom, enligt Stripes egna villkor.

6.1 Kunddatabaser, filer, säkerhetskopior och applikationsservrar för Polar och Awrora är placerade inom EU, i Stockholm (AWS-region eu-north-1, via Supabase och Vercel). E-postutskick hanteras via Resend med infrastruktur i Irland (AWS-region eu-west-1). Underbiträden kan i begränsad omfattning behandla personuppgifter utanför EU/EES, exempelvis vid support.

6.2 Överföringar av personuppgifter till länder utanför EU/EES sker med stöd av giltiga överföringsmekanismer enligt kapitel V GDPR. Vercel, Resend och Stripe omfattas enligt leverantörernas uppgifter av EU–US Data Privacy Framework och använder även EU-kommissionens standardavtalsklausuler (SCC). Supabase och Anthropic använder standardavtalsklausulerna. Kompletterande skyddsåtgärder tillämpas när det krävs.

7.1 Kunden kan själv lägga till tjänster från tredje part på sin webbplats, exempelvis Google Tag Manager, Google Analytics, annonspixlar (Meta, LinkedIn, TikTok med flera), inbäddade videor (YouTube, Vimeo), externa bokningswidgetar eller egen kod.

7.2 Tredjepartstjänster som Kunden själv anlitar och ansvarar för utgör inte Biträdets underbiträden. Kunden ansvarar för att behandlingen har rättslig grund, att nödvändiga samtycken inhämtas och att erforderliga avtal finns med respektive leverantör. Tjänstens cookiebanner kan användas för att hantera samtycken, men Kunden ansvarar för att inställningarna och de aktiverade tjänsterna uppfyller tillämpliga dataskyddsregler.

8.1 Biträdet ska utan onödigt dröjsmål, och om möjligt inom 48 timmar efter att ha fått kännedom om en personuppgiftsincident, underrätta Kunden så att Kunden kan uppfylla sina skyldigheter enligt artiklarna 33–34 GDPR.

8.2 Underrättelsen ska innehålla den information som rimligen finns tillgänglig, inklusive incidentens art, berörda kategorier och ungefärligt antal registrerade, sannolika konsekvenser samt de åtgärder Biträdet har vidtagit eller föreslår. Information som inte finns tillgänglig vid den första underrättelsen lämnas successivt när den blir tillgänglig.

9.1 Biträdet bistår Kunden, inom skälig omfattning och med hänsyn till behandlingens art och den information Biträdet har tillgång till, med att uppfylla sina skyldigheter enligt GDPR. Detta omfattar bland annat registrerades rättigheter (exempelvis begäran om registerutdrag eller radering), säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar (DPIA) och förhandssamråd.

9.2 Om en registrerad vänder sig direkt till Biträdet med en begäran som rör personuppgifter som behandlas för Kundens räkning, vidarebefordras begäran till Kunden utan onödigt dröjsmål.

10.1 När Tjänsten och den tillhörande behandlingen av personuppgifter avslutas ska Biträdet, enligt Kundens val, radera eller återlämna personuppgifterna, om inte fortsatt lagring krävs enligt tillämplig lag. Kunden kan begära export av sina uppgifter enligt Villkoren.

10.2 När en betald plan i Awrora upphör och Kunden övergår till den kostnadsfria planen fortsätter Tjänsten och den tillhörande personuppgiftsbehandlingen. Uppgifterna raderas därför inte enbart på grund av att den betalda planen har upphört.

10.3 När Kunden begär att kontot ska raderas spärras kontot omedelbart och uppgifterna blir oåtkomliga via Tjänsten. Uppgifterna behålls normalt i 30 dagar för att möjliggöra återställning eller export innan de raderas permanent, inklusive tillhörande filer och kundens krypteringsnyckel. Kunden kan begära att denna period hoppas över och att permanent radering påbörjas omedelbart.

10.4 Vid permanent radering tas uppgifterna och kundens krypteringsnyckel bort från Biträdets aktiva system. Kvarvarande uppgifter i säkerhetskopior gallras automatiskt inom högst 7 dagar. Uppgifter hos underbiträden raderas enligt respektive leverantörs tillämpliga avtal och lagringstider. Undantag gäller för uppgifter som måste bevaras enligt lag.

11.1 Biträdet tillhandahåller den information som behövs för att visa att skyldigheterna enligt artikel 28 GDPR fullgörs och möjliggör samt bidrar till revisioner och inspektioner som genomförs av Kunden eller en oberoende granskare som Kunden anlitar. Revisioner ska genomföras med skälig framförhållning, med hänsyn till Tjänstens säkerhet och utan att andra kunders uppgifter röjs. Granskare ska vara bundna av sekretess.

12.1 Detta personuppgiftsbiträdesavtal gäller så länge Biträdet behandlar personuppgifter för Kundens räkning och ersätter tidigare biträdesavtal avseende Tjänsten, om inte annat uttryckligen har avtalats mellan parterna.

12.2 Biträdet kan uppdatera avtalet, exempelvis vid ändrade funktioner, underbiträden eller lagkrav. Väsentliga ändringar som är till Kundens nackdel meddelas via e-post eller i Tjänsten minst 30 dagar innan de börjar gälla. Ändringar som krävs för att uppfylla lagkrav eller hantera säkerhetsrisker kan behöva genomföras med kortare varsel. Ändringar av underbiträden hanteras enligt avsnitt 5.3.

Har du frågor om detta personuppgiftsbiträdesavtal är du välkommen att kontakta oss.

Wivid Arc

Organisationsnummer: 559526-9928
E-post: info@wividarc.se
Telefon: +46 40 628 91 13