Personuppgiftsbiträdesavtal
Detta avtal gäller mellan butiken (”den personuppgiftsansvarige”) och Swetual AB, org.nr 559517-6933 (”biträdet”), och ingås automatiskt när butiken godkänner Allmänna villkor för butiker. Avtalet uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR).
1. Behandlingen
| Ändamål | Att driva butikens lojalitetsprogram: medlemskap, registrering av köp, stämplar och poäng, belöningar och rabattkoder, koppling till webbutik, service- och marknadsföringsutskick via SMS och mejl, statistik i kontrollpanelen. |
|---|---|
| Registrerade | Butikens kunder och medlemmar samt butikens anställda som använder tjänsten. |
| Personuppgifter | Förnamn, mobilnummer, e-postadress, medlemskod, köp (datum, belopp, kanal, ordernummer), stämplar, poäng, belöningar, val om marknadsföring, kvittobilder, inloggnings- och loggdata. |
| Känsliga uppgifter | Ska inte behandlas i tjänsten. |
| Varaktighet | Så länge avtalet gäller och därefter enligt punkt 8. |
2. Biträdets skyldigheter
- Behandla uppgifterna endast enligt den personuppgiftsansvariges dokumenterade instruktioner. Dessa villkor, inställningarna i kontrollpanelen och butikens användning av tjänsten utgör instruktionerna. Biträdet ska informera om en instruktion enligt biträdets bedömning strider mot dataskyddsreglerna.
- Se till att personer som behandlar uppgifterna har tystnadsplikt.
- Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32, bland annat kryptering vid överföring, behörighetsstyrning per butik, krypterad förvaring av nycklar, loggning och säkerhetskopiering.
- Hjälpa den personuppgiftsansvarige att besvara de registrerades begäranden och att uppfylla skyldigheter enligt artiklarna 32–36.
- Utan onödigt dröjsmål, och om möjligt inom 48 timmar, meddela den personuppgiftsansvarige efter att ha fått vetskap om en personuppgiftsincident.
- Ge den personuppgiftsansvarige den information som behövs för att visa att skyldigheterna följs, och möjliggöra granskning. Granskning sker i första hand genom skriftlig information. Ska granskning ske på plats sker det med minst 30 dagars varsel och på den personuppgiftsansvariges bekostnad.
3. Den personuppgiftsansvariges skyldigheter
Den personuppgiftsansvarige ansvarar för att det finns rättslig grund för behandlingen, att de registrerade informeras och att marknadsföring sker i enlighet med marknadsföringslagen, samt för att instruktionerna är lagliga.
4. Underbiträden
Den personuppgiftsansvarige ger biträdet ett allmänt förhandstillstånd att anlita underbiträden. Biträdet ska ingå skriftliga avtal med underbiträden med motsvarande skyldigheter och ansvarar för deras behandling. Ändringar meddelas minst 30 dagar i förväg. Den personuppgiftsansvarige kan invända och, om parterna inte kommer överens, säga upp avtalet.
| Underbiträde | Uppgift | Plats |
|---|---|---|
| Supabase Inc. | Databas, inloggning, servrar | EU (Stockholm) |
| Cloudflare Inc. | Webbplats, säkerhet, leverans | Globalt nätverk |
| Resend Inc. | Utskick av mejl | EU (Irland) |
| 46elks AB | Utskick av SMS | Sverige |
5. Överföring till tredje land
Om uppgifter behandlas utanför EU/EES ska överföringen skyddas med EU-kommissionens standardavtalsklausuler, EU–US Data Privacy Framework eller annan giltig skyddsåtgärd enligt kapitel V i GDPR.
6. Biträdets egen behandling
Biträdet är självständigt personuppgiftsansvarigt för kundernas Gilla Lokalt-konton, inloggning, ”Mina kort” och stadsnotiser, enligt integritetspolicyn. Biträdet får därutöver använda sammanställda uppgifter som inte kan kopplas till den personuppgiftsansvarige eller enskilda personer för att förbättra tjänsten.
7. Ansvar
Ansvarsbegränsningen i Allmänna villkor för butiker gäller även detta avtal, i den utsträckning den är förenlig med artikel 82 i GDPR.
8. När avtalet upphör
När avtalet upphör kan den personuppgiftsansvarige under 30 dagar exportera sina uppgifter. Därefter raderar eller avidentifierar biträdet uppgifterna inom 90 dagar, om inte lag kräver att de sparas. Säkerhetskopior skrivs över enligt ordinarie rutin.
9. Tillämplig lag
Svensk lag gäller, och tvister prövas enligt Allmänna villkor för butiker.