Personuppgiftsbiträdesavtal (DPA)

Version 3, gällande från 2026-10-12.

1. Parter

Personuppgiftsansvarig ("Kunden"): Den näringsidkare som anges med namn och organisationsnummer vid registreringen och som tecknat konto eller abonnemang på Paidin Analytics enligt Allmänna villkor (LEGAL-ANALYTICS-001).

Personuppgiftsbiträde ("Leverantören"): DBO AB, org.nr 559397-3075, med säte i Järfälla kommun, Stockholms län, Sverige.

2. Bakgrund och syfte

Kunden använder Paidin Analytics ("Tjänsten") för webbanalys och marknadsföringsinsikter. Inom ramen för Tjänsten behandlar Leverantören personuppgifter på uppdrag av Kunden. Detta avtal reglerar den behandlingen och uppfyller kraven i artikel 28 i EU:s dataskyddsförordning (GDPR).

Avtalet har företräde framför eventuella motstridiga villkor i övriga dokument mellan parterna vad gäller behandling av personuppgifter.

3. Kundens roll och ansvar

Kunden är personuppgiftsansvarig för alla personuppgifter som behandlas i Tjänsten och ansvarar för:

• Att ha laglig grund för behandlingen (GDPR art. 6 och i förekommande fall art. 9)
• Att informera de registrerade (t.ex. besökare på Kundens webbplats) enligt GDPR art. 13
• Att inhämta samtycke när sådant krävs
• Att hantera förfrågningar från registrerade om deras rättigheter
• Att Kundens eget integritetsskyddsarbete (DPIA, registerförteckning) täcker behandlingen i Tjänsten

4. Leverantörens roll och ansvar

Leverantören är personuppgiftsbiträde och behandlar personuppgifter:

• Endast enligt Kundens dokumenterade instruktioner, även i fråga om överföring till tredje land, om inte behandling krävs enligt unionsrätten eller svensk rätt. I så fall informerar Leverantören Kunden om det rättsliga kravet innan behandlingen, om inte sådan information är förbjuden
• Instruktionerna utgörs av detta avtal, Villkoren, Tjänstens konfigurationsalternativ och Kundens konkreta val i Portalen
• Endast för de ändamål som krävs för att leverera Tjänsten
• Aldrig för egna ändamål, marknadsföring eller vidareförsäljning

Om Leverantören anser att en instruktion bryter mot GDPR eller annan tillämplig dataskyddslagstiftning, informerar Leverantören Kunden utan onödigt dröjsmål.

5. Behandlingens art och omfattning

5.1 Föremål för behandlingen

Leverantören behandlar personuppgifter som samlas in via Tracking-script, Integrationer och serveranrop om AI-crawlers, personuppgifter som Kunden hämtar in via Custom API Connector eller importerar som fil, samt personuppgifter som Kunden själv lägger in i Portalen.

5.2 Behandlingens varaktighet

Behandlingen pågår under avtalstiden enligt LEGAL-ANALYTICS-001 och upphör enligt punkt 11 nedan.

5.3 Art av behandling

Insamling, lagring, strukturering, aggregering, visning i rapporter, framställning av text med generativ AI ur aggregerad data (insikter, veckorapporter, budgetförslag, utkast till inlägg och tonläge i AI-svar), överföring av Kundens egna frågetexter till AI-leverantörer inom tilläggstjänsten AI-svar, utskick av e-post till Kundens användare, samt radering.

5.4 Ändamål

Leverera webbanalys, visa rapporter, generera fynd och insikter, mäta hur Kundens varumärke omnämns i AI-assistenternas svar, redovisa AI-crawlers hämtningar av Kundens webbplats, skicka veckorapporter och aviseringar, verkställa ändringar i Kundens annonskonton som Kunden godkänt, och möjliggöra programmatisk åtkomst via API och MCP.

5.5 Kategorier av registrerade

5.6 Kategorier av personuppgifter

Pseudonymiserade besöksdata från Tracking-script. Tracking-scriptet sparar ingenting i besökarens webbläsare. Varje händelse lagras i en rad med följande fält:

Uppgifterna är pseudonymiserade, inte anonyma: den som har den hemliga nyckeln och känner en besökares IP-adress och user agent kan räkna fram samma id för samma dygn, och klick-id från en annonsplattform kan knytas till en person hos plattformen. De behandlas därför som personuppgifter.

Övriga kategorier.

Känsliga personuppgifter enligt art. 9 GDPR behandlas inte inom ramen för Tjänsten.

Kundens ansvar för det Kunden själv bestämmer över. Frågetexterna i AI-svar, innehållet från Custom API Connector, importerade filer och egenskaperna i egna händelser bestäms helt av Kunden. Kunden ska inte lägga in personuppgifter i frågetexter, eftersom dessa skickas vidare till AI-leverantörerna enligt punkt 8, och ska inte skicka namn, e-postadress, personnummer eller liknande i egna händelser, sökvägar eller kampanjparametrar. Kunden ansvarar också för att ha laglig grund för de personuppgifter som Kundens eget API exponerar, och för att begränsa API:et till de fält som behövs för Tjänsten.

Vad som skickas till AI-leverantörerna. För insikter, veckorapporter, budgetförslag och utkast till inlägg skickar Tjänsten aggregerade siffror, rubriker och sökvägar, söktermer från Kundens annonskonton och Search Console, samt text ur Kundens loggbok och innehållsprofil. Besökar-id, sessions-id, IP-adresser och klick-id skickas aldrig.

6. Säkerhetsåtgärder

Leverantören vidtar tekniska och organisatoriska säkerhetsåtgärder enligt GDPR art. 32:

6.1 Tekniska åtgärder

• TLS 1.2+ för all kommunikation
• AES-256-kryptering av OAuth-tokens och API-nycklar i vila
• Besökar-id som byts varje dygn och beräknas med hemlig nyckel; IP-adressen lagras aldrig i besöksdata
• BCrypt (workFactor 12) för lösenordshashar
• Tvåfaktorsautentisering, obligatorisk för Leverantörens administratörer
• Rate limiting och CORS-whitelist per Site
• Hosting i EU (Microsoft Azure, Nordeuropa/Irland)
• Utvecklingsmiljön är åtskild från produktionsmiljön
• Krypterade backups
• Regelbundna säkerhetsuppdateringar och beroendegranskning

6.2 Organisatoriska åtgärder

• Åtkomst till produktionsmiljön enbart för ett begränsat antal personer som Leverantören utsett
• Loggning av administrativa åtgärder i produktion
• Underrättelse till Kund vid incident enligt punkt 12
• Avtal om dataskydd med samtliga underbiträden

7. Konfidentialitet

Leverantören säkerställer att personer som behandlar personuppgifter i Tjänsten är bundna av sekretessförpliktelser eller har lämplig lagstadgad tystnadsplikt.

8. Underbiträden

8.1 Nuvarande underbiträden

Kunden ger härmed generellt förhandsgodkännande till följande underbiträden:

Underbiträden enbart för tilläggstjänsten AI-svar. Följande anlitas endast om Kunden har tillägget AI-svar aktiverat, och tar då emot de frågetexter Kunden själv konfigurerat. De tar aldrig emot besöksdata från Tracking-script, data från Integrationer eller Kundens affärsdata.

Varje yta aktiveras separat och anropas först när Leverantören har en API-nyckel för den i drift. Ytor utan nyckel är avstängda. Vilka ytor som är aktiva framgår i Portalen och redovisas per svar, så att Kunden kan se vilken leverantör som gett vilket resultat.

Mottagare som Kunden själv konfigurerar är inte Leverantörens underbiträden. Det gäller annonsplattformar, Google Analytics, Search Console och andra Integrationer, webhooks till exempelvis Slack eller Teams, och de adresser Kunden väljer att skicka rapporter till. Överföringen dit sker på Kundens instruktion och ansvar.

8.2 Nya underbiträden

Leverantören informerar Kunden minst 30 dagar i förväg om avsikten att anlita nya underbiträden eller ersätta befintliga. Information sker via e-post till Kundens registrerade kontaktadress och publicering i Portalen.

Kunden kan under denna tid invända skriftligt mot det föreslagna underbiträdet. Om en invändning inte kan lösas i dialog har Kunden rätt att säga upp avtalet med verkan från den dag då det nya underbiträdet börjar anlitas.

8.3 Ansvar för underbiträden

Leverantören ålägger varje underbiträde samma dataskyddsförpliktelser som följer av detta avtal genom skriftligt avtal. Leverantören ansvarar för underbiträdets fullgörande gentemot Kunden enligt GDPR art. 28.4.

9. Överföring till tredje land

Överföring av personuppgifter till land utanför EU/EES sker endast när:

• Mottagaren omfattas av ett beslut om adekvat skyddsnivå från EU-kommissionen, för USA beslutet om EU-US Data Privacy Framework när mottagaren är certifierad enligt det, eller
• Lämpliga skyddsåtgärder finns på plats enligt GDPR art. 46

Eftersom Leverantören är personuppgiftsbiträde sker överföring till underbiträden utanför EU/EES, när den inte stöds av ett adekvansbeslut, med EU-kommissionens standardavtalsklausuler enligt beslut (EU) 2021/914, modul 3 (biträde till biträde), och där det behövs kompletterande tekniska åtgärder enligt EDPB:s rekommendationer.

10. Bistånd till Kunden

Leverantören biträder Kunden, med hänsyn till behandlingens art, med lämpliga tekniska och organisatoriska åtgärder för att Kunden ska kunna:

• Besvara förfrågningar från registrerade om deras rättigheter (art. 15 till 22 GDPR)
• Uppfylla sina skyldigheter enligt art. 32 till 36 GDPR (säkerhet, incidentanmälan, DPIA)

Bistånd sker via:

• Export av Kunddata i maskinläsbart format (dataportabilitet), som Leverantören tar fram på Kundens begäran
• Radering av specifik Site eller registrerads uppgifter, som Leverantören genomför på Kundens begäran
• Anpassade rapporter vid förfrågningar om registerutdrag
• Dokumentation om säkerhetsåtgärder vid DPIA

Begäran skickas till support@paidin.se. Leverantören besvarar den utan onödigt dröjsmål och senast inom 30 dagar, vilket ger Kunden marginal att i sin tur svara den registrerade inom den frist som följer av GDPR art. 12.3.

Kunden kan dessutom när som helst hämta aggregerad data själv via Tjänstens rapporterings-API, som ingår i samtliga Planer. Det API:t täcker rapportvyerna men inte allt underlag, och ersätter därför inte en fullständig export enligt ovan.

Bistånd ingår i abonnemangsavgiften upp till skälig omfattning. Omfattande eller återkommande bistånd kan debiteras enligt offert som Kunden godkänt i förväg. Export i samband med byte av leverantör sker enligt Villkoren punkt 6.4.

11. Radering och återlämnande

Under avtalstiden gäller följande:

• IP-adress i AI-crawler-loggen: nollas automatiskt 90 dagar efter träffen av ett schemalagt jobb. Övriga uppgifter om träffen behålls, eftersom de inte pekar ut någon person.
• Råa besöksdata: får gallras när de är äldre än Planens lagringstid enligt prislistan plus 30 dagars marginal. Gallringen är byggd men i dag inte påslagen: ingen besöksdata raderas automatiskt. Leverantören meddelar Kunden i Portalen minst 30 dagar innan gallringen slås på.
• Bortkopplad Integration: tokens raderas omedelbart, medan data som redan hämtats behålls tills Kunden begär radering.
• När Kontot går över till Free-planen raderas ingen data och inga tokens.

När avtalet upphör, det vill säga när Kunden begär att kontot avslutas eller avtalet sägs upp, raderar Leverantören utan onödigt dröjsmål och senast inom 30 dagar (eller efter övergångsperioden enligt Villkoren punkt 6.4):

• OAuth-tokens och API-nycklar, som först återkallas
• Kundens Sites med råa besöksdata, rapporter, fynd, frågor och svar i AI-svar, data från Integrationer och Kundens affärsdata
• Användarkontona, som anonymiseras så att namn och e-postadress inte längre finns kvar

Kunden kan före raderingen begära en fullständig export enligt punkt 10.

Säkerhetskopior av databasen raderas enligt Microsoft Azures lagringstid för säkerhetskopior och kan under den tiden innehålla raderade uppgifter. De används bara för återställning efter fel.

Undantag gäller för uppgifter som Leverantören enligt lag är skyldig att bevara (t.ex. bokföringsunderlag i 7 år enligt bokföringslagen). Sådana uppgifter hålls skrivskyddade och behandlas inte för andra ändamål.

12. Personuppgiftsincident

Vid personuppgiftsincident som påverkar Kundens data:

• Leverantören underrättar Kunden utan onödigt dröjsmål och senast 72 timmar efter att incidenten upptäcktes
• Underrättelsen innehåller beskrivning av incidenten, kategorier och ungefärligt antal berörda registrerade, sannolika konsekvenser och vidtagna åtgärder
• Leverantören bistår Kunden med den ytterligare information som Kunden behöver för att uppfylla sin anmälningsskyldighet till Integritetsskyddsmyndigheten och eventuellt till de registrerade

13. Revision

Kunden har rätt att en gång per år, eller i anslutning till en bekräftad incident, granska Leverantörens efterlevnad av detta avtal. Revision sker:

• Genom Leverantörens interna dokumentation som tillhandahålls på begäran
• Alternativt via oberoende tredjepartsrevisor på Kundens bekostnad, med minst 30 dagars varsel och under skälig sekretessförpliktelse

Revision får inte genomföras på sätt som stör Leverantörens verksamhet eller riskerar säkerheten för andra kunders data.

14. Ansvar

Parternas ansvar regleras av Allmänna villkor (LEGAL-ANALYTICS-001) punkt 12 (Ansvarsbegränsning: 0,5 prisbasbelopp). Eventuella administrativa sanktionsavgifter som åläggs parten enligt GDPR bärs av den part som orsakat överträdelsen.

15. Ändringar

Leverantören kan uppdatera detta avtal när tjänsten utvecklas eller när regelverk förändras. Ändringar aviseras med minst 30 dagars varsel via e-post till Kundens registrerade kontaktadress. Om Kunden inte godkänner ändringarna har Kunden rätt att säga upp abonnemanget med verkan från den dag ändringarna träder i kraft.

16. Tillämplig lag

Svensk rätt är tillämplig på detta avtal. Tvist avgörs enligt LEGAL-ANALYTICS-001 punkt 17.

17. Kontaktuppgifter

DBO AB (Personuppgiftsbiträde) Org.nr: 559397-3075 E-post: support@paidin.se

Ändringslogg

Senaste version överst. Versionen i dokumentets huvud är den som loggas när en kund godkänner avtalet.