Bilaga 1: Bilaga om behandling av personuppgifter (DPA)

1. Roller och instruktioner

Kunden är personuppgiftsansvarig och Webicularis personuppgiftsbiträde. Webicularis behandlar personuppgifter endast i enlighet med avtalet, denna bilaga och kundens dokumenterade lagenliga instruktioner, om inte unionsrätten eller en medlemsstats nationella rätt kräver annat. Om en instruktion enligt Webicularis uppfattning är lagstridig meddelar Webicularis kunden detta och kan avbryta verkställandet av instruktionen.

• Webicularis användarvillkor

2. Föremål för och varaktighet av behandlingen

Behandlingen avser hosting, underhåll och säkerhetskopiering av webbplatsen, kontaktformulär och andra beställda funktioner. Uppgifter som lämnas via kontaktformulär lagras i en Supabase-databas. Behandlingen pågår under avtalstiden och den avtalade raderingstiden efter att avtalet upphört.

Registrerade kan vara webbplatsens besökare, kunder, potentiella kunder, arbetssökande och kundens personal. Kategorier av uppgifter kan vara kontakt-, meddelande-, tekniska logg- och användningshändelseuppgifter samt andra uppgifter som kunden lagrar i tjänsten. Kunden får inte lagra särskilda kategorier av personuppgifter utan ett separat skriftligt avtal.

3. Tystnadsplikt och säkerhet

Webicularis säkerställer att de personer som behandlar personuppgifter har förbundit sig till tystnadsplikt. Webicularis vidtar tekniska och organisatoriska åtgärder som är lämpliga i förhållande till risken, såsom hantering av åtkomsträttigheter, kryptering i tillämpliga delar, säkerhetskopiering, loggning, sårbarhetshantering och återställningsförmåga.

4. Underbiträden

Kunden ger ett allmänt skriftligt förhandstillstånd att anlita underbiträden för att tillhandahålla tjänsten (artikel 28.2 i GDPR).

Nuvarande underbiträden (namn – ändamål – behandlingsområde): Cloudflare, Inc. – hosting, innehållsleverans och säkerhet – globalt nätverk; Lovable – applikationsplattform, driftmiljö och databastjänst (med Supabase i bakgrunden) – område verifieras; Supabase, Inc. – databas och fillagring – EU-område verifieras; e-postutskickstjänst – förmedling av meddelanden från kundwebbplatsens formulär – område verifieras; Stripe Payments Europe Ltd – betalningar (gäller endast webbutik) – EU/EES och USA. Förteckningen hålls uppdaterad på denna sida.

Webicularis meddelar kunden per e-post om nya och byten av underbiträden minst 30 dagar i förväg. Kunden kan framföra en motiverad invändning grundad på dataskydd inom meddelandetiden. Parterna utreder invändningen och strävar efter en skälig lösning, såsom ett alternativt genomförande. Om ingen lösning nås kan kunden avsluta tjänsten i fråga innan ändringen träder i kraft utan vite.

Webicularis ingår med varje underbiträde ett avtal som ålägger dataskyddsförpliktelser enligt artikel 28 i GDPR motsvarande denna bilaga och ansvarar gentemot kunden för att underbiträdet fullgör sina förpliktelser.

5. Överföringar utanför EES

Personuppgifter får överföras utanför EES endast om det finns en grund enligt kapitel V i GDPR, såsom ett beslut om adekvat skyddsnivå från Europeiska kommissionen (t.ex. EU–US Data Privacy Framework för en certifierad mottagare) eller kommissionens standardavtalsklausuler med kompletterande skyddsåtgärder. Överföringsgrunden för varje underbiträde uppges på begäran.

6. Skyldighet att bistå

Webicularis bistår, med beaktande av tillgänglig information och behandlingens art, kunden i skälig utsträckning med att hantera de registrerades begäranden, konsekvensbedömningar, förhandssamråd och säkerhetsförpliktelser. Arbete som överstiger den sedvanliga tjänsten kan faktureras enligt avtalad prislista, om behovet inte beror på Webicularis avtalsbrott.

7. Personuppgiftsincidenter

Webicularis underrättar kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som gäller kundens personuppgifter. Underrättelsen beskriver i den mån uppgifterna finns tillgängliga händelsens art, konsekvenser, åtgärder och kontaktpunkt. Webicularis kompletterar uppgifterna när de preciseras.

8. Granskningar

Webicularis ger kunden all information som behövs för att visa att förpliktelserna enligt artikel 28 i GDPR fullgörs och möjliggör och bidrar till granskningar som utförs av kunden eller en granskare som kunden utsett. Granskningen avtalas med skäligt förhandsbesked och genomförs så att andra kunders uppgifter eller tjänstens säkerhet inte äventyras. Dessa praktiska arrangemang begränsar inte kundens eller tillsynsmyndighetens granskningsrätt enligt tvingande lag.

9. Återlämnande och radering av uppgifter

När den betalda tjänsteperioden upphör tas webbplatsen ur offentlig användning och en överförings- och raderingsperiod på 30 dagar börjar. Under perioden kan kunden begära de uppgifter som behandlats för kundens räkning i ett allmänt använt, maskinläsbart format.

Efter perioden raderar Webicularis på ett kontrollerat sätt de personuppgifter som behandlats för kundens räkning från aktiva system: ett raderingsärende och förfallodag registreras, uppgifterna som ska raderas förhandsgranskas och en behörig administratör hos Webicularis godkänner raderingen före varje oåterkallelig åtgärd. Raderingen görs stegvis, loggas och kunden kan få ett kvitto. Om förfallodagen riskerar att överskridas eskaleras ärendet och en eventuell försening och dess orsak registreras.

Bokförings- och avtalshandlingar som krävs enligt lag bevaras åtskilt under den lagstadgade tiden. Uppgifter i säkerhetskopior raderas i takt med säkerhetskopiornas normala rotation och används inte aktivt dessförinnan; separat radering ur enskilda säkerhetskopior utlovas inte. Uppgifter i externa tjänster (t.ex. betaltjänst, domänregister) hanteras tjänstespecifikt; äganderätten till domännamnet eller rätten att överföra det raderas inte.