Detta personuppgiftsbiträdesavtal ("DPA") ingår som en del av användarvillkoren mellan dig ("Personuppgiftsansvarig") och Bolio AB ("Personuppgiftsbiträde") och reglerar vår behandling av personuppgifter för din räkning enligt artikel 28 GDPR.
1. Föremål för behandlingen
Vi behandlar personuppgifter om dina kunder, kontaktpersoner, anställda och andra slutanvändare som du lägger in i Tjänsten — namn, kontaktuppgifter, adresser, jobbhistorik, offert- och fakturadata.
2. Behandlingens varaktighet
Behandlingen pågår så länge ditt avtal med Bolio är aktivt.
3. Våra skyldigheter
- Behandla uppgifter endast enligt dina dokumenterade instruktioner.
- Säkerställa att personal med dataaccess har tystnadsplikt.
- Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder (Art. 32 GDPR).
- Bistå dig vid begäranden från registrerade.
- Underrätta dig utan oskäligt dröjsmål vid personuppgiftsincident.
- Radera eller återlämna data vid avtalets slut (efter 30 dagars graceperiod).
4. Säkerhetsåtgärder
- Kryptering i transit (TLS 1.2+) och i vila (AES-256).
- Rollbaserad åtkomstkontroll och Row Level Security i databasen.
- 2FA för all personal med produktionsaccess.
- Backup dagligen med 30 dagars retention.
- Loggning av administrativ access.
5. Underbiträden
Vi anlitar underbiträden enligt vår aktuella underbiträdeslista:
- Lovable Cloud / Supabase — databas, autentisering och fillagring (EU-region).
- Cloudflare, Inc. — hosting, CDN och DDoS-skydd.
- Stripe Payments Europe Ltd. — betalningsbehandling.
- 46elks AB — SMS-utskick (Sverige).
- Fortnox AB — bokföringsintegration (vid aktivering).
- BankID-leverantör via OIDC — elektronisk identifiering och signering (vid aktivering).
- Google Ireland Ltd. — kartor och ruttberäkning (vid aktivering).
- AI-leverantörer via Lovable AI Gateway — AI-funktioner som kvittotolkning och assistent (vid användning).
Vi meddelar dig minst 30 dagar i förväg innan vi lägger till eller byter underbiträde. Du har rätt att invända.
6. Överföring till tredje land
Primär lagring sker inom EU/EES. Eventuella överföringar till tredje land sker med stöd av EU-kommissionens standardklausuler (SCC 2021/914) och kompletterande skyddsåtgärder.
7. Granskning och inspektion
Du har rätt att en gång per år granska att vi följer detta avtal. Granskning sker via skriftligt frågeformulär eller, vid behov, fysisk inspektion mot rimlig kostnadsersättning.
8. Personuppgiftsincident
Vi rapporterar incidenter till dig inom 72 timmar från upptäckt via mejl till kontoinnehavarens registrerade e-postadress.
9. Kontakt
Dataskyddsombud: hej@bolio.se