Personuppgiftsbiträdesavtal (PUB-avtal)

1. Bakgrund och syfte

Leverantören tillhandahåller en digital tjänst som gör det möjligt för Kunden att skicka förfrågningar om Google-recensioner till sina kunder via SMS och/eller e-post. I samband med detta behandlar Leverantören personuppgifter för Kundens räkning och agerar därmed personuppgiftsbiträde enligt Europaparlamentets och rådets förordning (EU) 2016/679 ("GDPR").

2. Instruktioner

Leverantören behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner, vilka består av:

• detta avtal
• användning av tjänstens funktioner

Leverantören får inte behandla personuppgifter för egna ändamål.

3. Typer av personuppgifter och registrerade

3.1 Registrerade

Kundens kunder (slutkunder)

3.2 Personuppgifter

• Namn
• Telefonnummer
• E-postadress
• Tidpunkt för skickad förfrågan
• Klickdata kopplat till recensionslänk

Inga känsliga personuppgifter behandlas.

4. Ändamål och behandling

Behandlingen sker uteslutande för följande ändamål:

• Skicka recensionsförfrågningar via SMS och/eller e-post
• Visa historik och statistik för Kunden i tjänsten

5. Säkerhet

Leverantören vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter, inklusive men inte begränsat till:

• autentisering och åtkomstkontroll
• kryptering av data under överföring
• rollbaserad åtkomst till systemet

Endast behörig personal har tillgång till personuppgifter.

6. Underbiträden

Leverantören har rätt att anlita underbiträden för att fullgöra sina åtaganden, inklusive leverantörer av:

• molninfrastruktur
• e-postutskick
• SMS-utskick
• betalningslösningar

Leverantören ansvarar för att sådana underbiträden uppfyller GDPR:s krav. Aktuella underbiträden inkluderar (exempel):

• Supabase (databas & autentisering)
• Stripe (betalning)
• Resend (e-post)
• 46elks (SMS)

7. Överföring till tredje land

Om personuppgifter behandlas utanför EU/EES säkerställer Leverantören att överföringen sker i enlighet med GDPR, exempelvis genom:

• EU:s standardavtalsklausuler (SCC)
• adekvansbeslut från EU-kommissionen

8. Lagring och radering

Personuppgifter lagras endast så länge det är nödvändigt för ändamålet. Leverantören raderar eller anonymiserar personuppgifter:

• när Kunden begär det, eller
• senast inom rimlig tid efter att Kundens konto avslutats

9. Rättigheter för registrerade

Leverantören ska, i den mån det är möjligt, bistå Kunden vid:

• begäran om registerutdrag
• rättelse eller radering
• begränsning av behandling

10. Incidenter

Vid personuppgiftsincident ska Leverantören utan onödigt dröjsmål informera Kunden och tillhandahålla relevant information.

11. Avtalstid och upphörande

Detta avtal gäller så länge Leverantören behandlar personuppgifter för Kundens räkning. Vid avtalets upphörande ska personuppgifter raderas eller återlämnas enligt Kundens instruktioner, om inte lag kräver fortsatt lagring.

12. Tillämplig lag

Avtalet ska tolkas och tillämpas enligt svensk lag.

13. Godkännande

Genom att använda tjänsten Recensera Mera och acceptera detta avtal bekräftar Kunden att denne har läst och godkänt villkoren i detta personuppgiftsbiträdesavtal.