Personuppgiftsbiträdesavtal

1. Parter och bakgrund

Detta personuppgiftsbiträdesavtal ("Avtalet") ingås mellan säljaren som använder Skillvendo ("Personuppgiftsansvarig") och Skillvendo ("Personuppgiftsbiträdet"). Avtalet gäller den behandling av personuppgifter som Personuppgiftsbiträdet utför för Personuppgiftsansvarigs räkning inom tjänsten Skillvendo, och utgör en del av tjänstens användarvillkor.

Avtalet är upprättat enligt artikel 28 i dataskyddsförordningen (EU) 2016/679 ("GDPR").

2. Behandlingens föremål, art och ändamål

Personuppgiftsbiträdet tillhandahåller en plattform där Personuppgiftsansvarig säljer e-böcker, onlinekurser och prenumerationer. Behandlingen omfattar att ta emot och lagra köparens uppgifter vid köp, ge köparen åtkomst till köpt innehåll, skicka kvitton, åtkomstlänkar och de utskick Personuppgiftsansvarig beställer, samt att föra säljarens kundregister.

Kategorier av registrerade: Personuppgiftsansvarigs köpare och prenumeranter samt Personuppgiftsansvarigs egna användare (ägare och redaktörer).

Kategorier av personuppgifter: e-postadress, namn när det anges, köphistorik (produkt, belopp, tidpunkt), kvittouppgifter, samtycke till utskick, kursframsteg och quizresultat, tekniska uppgifter (IP-adress i form av hash för begränsning av missbruk). Betalkortsuppgifter behandlas av Stripe och når aldrig Personuppgiftsbiträdet.

Behandlingens varaktighet: så länge Personuppgiftsansvarig har ett konto, och därefter enligt punkt 9.

3. Personuppgiftsbiträdets skyldigheter

Personuppgiftsbiträdet behandlar personuppgifter endast enligt dokumenterade instruktioner från Personuppgiftsansvarig. Tjänstens funktioner och inställningar utgör sådana instruktioner. Om Personuppgiftsbiträdet anser att en instruktion strider mot GDPR ska Personuppgiftsansvarig informeras utan dröjsmål.

Personuppgiftsbiträdet säkerställer att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet.

Personuppgiftsbiträdet bistår Personuppgiftsansvarig med att besvara de registrerades begäran om tillgång, rättelse, radering och dataportabilitet. Export och radering av köpares uppgifter finns som självbetjäning i köparpanelen; export och radering av säljarens uppgifter finns under Inställningar → Konto och data.

Personuppgiftsbiträdet bistår vid personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd i den utsträckning som är rimlig med hänsyn till behandlingens art.

4. Säkerhet

Personuppgiftsbiträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, bland annat: kryptering under överföring (TLS), radnivåsäkerhet i databasen så att en säljare bara når sina egna uppgifter, kryptering av säljarens API-nycklar i vila, tidsbegränsade signerade länkar för filer och video, loggning av känsliga händelser, åtkomstbegränsning till produktionsmiljön och regelbunden säkerhetsgenomgång.

5. Personuppgiftsincidenter

Personuppgiftsbiträdet underrättar Personuppgiftsansvarig utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör Personuppgiftsansvarigs uppgifter. Underrättelsen innehåller den information som behövs för att Personuppgiftsansvarig ska kunna uppfylla sin anmälningsskyldighet enligt artikel 33 GDPR.

6. Underbiträden

Personuppgiftsansvarig ger ett allmänt förhandstillstånd till att Personuppgiftsbiträdet anlitar underbiträden. Vid tidpunkten för detta utkast används: Supabase (databas, autentisering och fillagring), Cloudflare (drift, nätverk och videolagring), Stripe (betalningar, fakturering och kvittounderlag), Resend (e-postutskick) och Anthropic (AI-funktioner, där endast innehåll som säljaren skickar in behandlas). För felövervakning används Sentry, som tar emot feldata utan personuppgifter i den mån det är tekniskt möjligt.

Personuppgiftsbiträdet informerar om planerade byten eller tillägg av underbiträden minst 30 dagar i förväg. Personuppgiftsansvarig kan invända; om parterna inte enas kan Personuppgiftsansvarig säga upp tjänsten.

Personuppgiftsbiträdet ålägger varje underbiträde skyldigheter som motsvarar detta Avtal och ansvarar gentemot Personuppgiftsansvarig för underbiträdets behandling.

7. Överföring till tredjeland

Uppgifterna lagras i EU (Supabase-regionen eu-north-1, Stockholm). Vissa underbiträden har sitt säte i USA. Överföringar sker med stöd av EU-kommissionens beslut om adekvat skyddsnivå (EU–US Data Privacy Framework) för certifierade mottagare, annars med EU-kommissionens standardavtalsklausuler och kompletterande skyddsåtgärder.

8. Granskning

Personuppgiftsbiträdet ger Personuppgiftsansvarig tillgång till den information som behövs för att visa att skyldigheterna i artikel 28 GDPR fullgörs, i första hand genom dokumentation och säkerhetsrapporter. Granskning på plats kan ske efter skriftlig begäran, högst en gång per år, på Personuppgiftsansvarigs bekostnad och med rimligt varsel.

9. Radering och återlämnande

När Personuppgiftsansvarig avslutar sitt konto raderas eller anonymiseras personuppgifterna. Uppgifter som utgör bokföringsunderlag (ordrar, kvitton och avgiftsunderlag) bevaras enligt bokföringslagen och raderas därefter. Innan kontot avslutas kan Personuppgiftsansvarig hämta en fullständig export av sina uppgifter.

10. Ansvar och giltighetstid

Ansvar regleras av tjänstens användarvillkor och artikel 82 GDPR. Avtalet gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för Personuppgiftsansvarigs räkning.

Svensk lag gäller för Avtalet.