Databehandlingsavtal (DPA)
1. Parter och roller
Detta databehandlingsavtal ("DPA") ingås mellan Kunden ("Personuppgiftsansvarig") och ListingWIN AB ("Personuppgiftsbiträde"). Kunden är personuppgiftsansvarig för de personuppgifter som behandlas i tjänsten. ListingWIN AB är personuppgiftsbiträde och behandlar uppgifterna uteslutande på Kundens uppdrag och i enlighet med Kundens instruktioner.
ListingWIN AB behandlar två kategorier av personuppgifter i olika roller:
Som personuppgiftsansvarig behandlar ListingWIN AB uppgifter om Kundens egna användare (namn, e-post, roll) i syfte att tillhandahålla autentisering och kommunikation. Dessa uppgifter regleras av ListingWINs integritetspolicy.
Som personuppgiftsbiträde behandlar ListingWIN AB de kontaktuppgifter (namn, e-post, telefon, roll) som Kunden lägger in i kontaktregistret. Kunden är personuppgiftsansvarig för dessa uppgifter och bestämmer vilka uppgifter som ska lagras. Dessa uppgifter regleras av detta databehandlingsavtal.
| Fråga | Kundens egna användare | Kontaktregistret |
|---|---|---|
| Vem bestämmer | ListingWIN AB | Kunden |
| Roll | Personuppgiftsansvarig | Personuppgiftsbiträde |
| Regleras av | Integritetspolicyn | Detta DPA |
| Kunden signerar | Nej | Ja (detta avtal) |
2. Behandlingens syfte och omfattning
ListingWIN behandlar personuppgifter i syfte att tillhandahålla tjänsten ListingWIN, inklusive:
- Lagring av kontaktuppgifter till Kundens affärskontakter.
- Hantering av användarkonton och autentisering.
- Loggning av aktiviteter i tjänsten.
- Teknisk support och felsökning.
3. Säkerhetsåtgärder
ListingWIN vidtar följande tekniska och organisatoriska säkerhetsåtgärder:
- Kryptering av all data i transit via HTTPS/TLS 1.3.
- Kryptering av data i vila via Supabase.
- Row Level Security (RLS) som isolerar varje kunds data.
- Åtkomstkontroll — endast behöriga användare kan se sin organisations data.
- Regelbundna säkerhetsgranskningar.
- Automatisk felrapportering via Sentry.
4. Underbiträden
ListingWIN AB använder de underbiträden som anges i tabellen nedan. Personuppgiftsbiträdet ska informera den Personuppgiftsansvarige skriftligen minst trettio (30) dagar innan ett nytt underbiträde läggs till eller ersätts. Den Personuppgiftsansvarige har rätt att invända mot sådana ändringar inom fjorton (14) dagar från mottagandet av informationen. Om parterna inte kan enas om ändringen har den Personuppgiftsansvarige rätt att säga upp huvudavtalet med omedelbar verkan.
Vid överföring av personuppgifter till tredje land (utanför EU/EES), såsom via Netlify Inc., förbinder sig Personuppgiftsbiträdet att tillse att överföringen vilar på laglig grund, exempelvis genom EU-kommissionens standardavtalsklausuler (SCC) eller EU-US Data Privacy Framework.
| Underbiträde | Tjänst | Region | Mer information |
|---|---|---|---|
| Supabase Inc. | Databas och autentisering | EU (Stockholm) | supabase.com/privacy |
| Netlify Inc. | Hosting och CDN | EU/US (SCC) | netlify.com/privacy |
| Functional Software Inc. (Sentry) | Felrapportering | EU | sentry.io/privacy |
5. Rätt till revision
Den Personuppgiftsansvarige, eller en oberoende revisor utsedd av denne, har rätt att genomföra granskningar och inspektioner för att verifiera att Personuppgiftsbiträdet uppfyller sina skyldigheter enligt detta DPA. Personuppgiftsbiträdet ska tillhandahålla all information som krävs för att visa att skyldigheterna fullgörs samt möjliggöra och bidra till sådana granskningar. Granskningar ska ske under normal arbetstid, aviseras minst fjorton (14) dagar i förväg och får inte onödigtvis störa Personuppgiftsbiträdets normala verksamhet.
6. Personuppgiftsincidenter
ListingWIN förbinder sig att utan onödigt dröjsmål, och senast inom 72 timmar, underrätta Kunden om en personuppgiftsincident som rör Kundens data. Underrättelsen sker via e-post till den registrerade kontaktadressen.
7. Radering av data efter avtalets slut
Vid avtalets upphörande raderas all Kundens personuppgifter inom 30 dagar, om inte Kunden begär export dessförinnan. Kunden bekräftar att export skett och att radering godkänns.
8. Konfidentialitet och biståndsskyldighet
Personuppgiftsbiträdet ska säkerställa att alla personer som är behöriga att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lagstadgad tystnadsplikt.
Personuppgiftsbiträdet ska, med hänsyn till behandlingens art, bistå den Personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder, i den mån det är möjligt, så att den Personuppgiftsansvarige kan fullgöra sin skyldighet att svara på begäranden från registrerade som vill utöva sina rättigheter enligt GDPR kapitel III. Personuppgiftsbiträdet ska även bistå den Personuppgiftsansvarige vid konsekvensbedömningar avseende dataskydd samt vid förhandssamråd med tillsynsmyndigheten.