1. Bakgrund
Parterna har ingått ett avtal om tillhandahållande av digital signeringstjänst ("Huvudavtalet"). Inom ramen för Huvudavtalet behandlar Biträdet personuppgifter för den Personuppgiftsansvariges räkning. Detta DPA reglerar villkoren för sådan behandling enligt GDPR Art. 28.
2. Föremål och varaktighet
Behandlingen omfattar lagring och hantering av dokument samt kontakt- och signeringsuppgifter för signatärer. Behandlingen pågår så länge Huvudavtalet är i kraft.
3. Typ av personuppgifter och kategorier av registrerade
- Personuppgifter: namn, e-postadress, IP-adress, tidsstämplar för signering, innehåll i de dokument den Personuppgiftsansvarige laddar upp.
- Kategorier av registrerade: anställda, kunder, leverantörer eller andra motparter som den Personuppgiftsansvarige skickar dokument till.
4. Biträdets skyldigheter
- Behandla personuppgifter endast enligt dokumenterade instruktioner.
- Säkerställa konfidentialitet hos personer med åtkomst.
- Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder (Art. 32).
- Bistå vid registrerades rättigheter (Art. 12–22).
- Anmäla personuppgiftsincidenter utan onödigt dröjsmål.
- Återlämna eller radera personuppgifter vid avtalets slut.
5. Underbiträden
Den Personuppgiftsansvarige ger Biträdet generellt tillstånd att anlita följande underbiträden:
- Supabase (databas/lagring, EU – Frankfurt).
- Cloudflare (CDN och edge-runtime, EU).
- Stripe Payments Europe Ltd (betalningsbehandling, Irland).
- Lovable / e-postleverantör för transaktionella mail (EU).
Biträdet informerar om planerade ändringar av underbiträden minst 30 dagar i förväg och Personuppgiftsansvarig har rätt att invända.
6. Tredjelandsöverföring
All behandling sker inom EU/EES. Om överföring till tredje land ändå skulle ske tillämpas EU-kommissionens standardavtalsklausuler (SCC).
7. Säkerhetsåtgärder
TLS 1.3 i transit, AES-256 i vila, åtkomststyrning, loggning, regelbundna säkerhets uppdateringar. Se säkerhetspolicyn för fullständig beskrivning.
8. Granskning
Personuppgiftsansvarig har rätt att en gång per år, eller efter incident, granska Biträdets efterlevnad. Granskning kan ske genom skriftligt frågeformulär eller tredjepartsrapport.
9. Ansvar
Ansvar enligt detta DPA följer ansvarsbegränsningen i Huvudavtalet såvida inte tvingande lag säger annat.
10. Tvist och tillämplig lag
Svensk lag. Stockholms tingsrätt är första instans.
11. Kontaktuppgifter dataskyddsombud
QwalySign AB · dpo@qwalysign.se