Personuppgiftsbiträdesavtal

1. Parter och bakgrund

Detta avtal ingås mellan Butiken (personuppgiftsansvarig) och Bublo AB, org.nr 559593-4570 (personuppgiftsbiträde) som en del av butiksvillkoren, i enlighet med artikel 28 i dataskyddsförordningen (GDPR). Det reglerar Bublos behandling av personuppgifter för Butikens räkning.

2. Behandlingens omfattning

Ändamål: tillhandahålla presentkorts- och bonustjänsten — utgivning, saldohantering, inlösen och statistik.

Kategorier av registrerade: Butikens kunder som använder Bublo, samt Butikens personal med konto i butiksportalen.

Typer av uppgifter: namn, e-postadress, presentkorts- och bonussaldon, transaktionshistorik (belopp, tidpunkt) samt tekniska loggar. Inga känsliga personuppgifter enligt GDPR art. 9 behandlas.

Varaktighet: så länge butiksvillkoren gäller.

3. Bublos åtaganden

• behandlar personuppgifter endast enligt Butikens dokumenterade instruktioner och för ändamålen ovan
• säkerställer att personer med åtkomst omfattas av sekretess
• vidtar tekniska och organisatoriska säkerhetsåtgärder enligt GDPR art. 32, bl.a. kryptering i vila och under överföring, åtkomstkontroll på radnivå och loggning
• bistår Butiken vid registrerades begäran om t.ex. registerutdrag eller radering
• bistår Butiken vid konsekvensbedömningar och kontakter med tillsynsmyndighet
• underrättar Butiken utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident
• meddelar Butiken om en instruktion enligt Bublos bedömning strider mot GDPR

4. Underbiträden

Butiken lämnar ett allmänt förhandsgodkännande till att Bublo anlitar underbiträden. Vid byte eller tillägg informeras Butiken minst 30 dagar i förväg med möjlighet att invända. Aktuella underbiträden:

• Supabase — databas och autentisering. Datan lagras inom EU (AWS, Stockholm, eu-north-1).
• Vercel — webbhosting och drift av applikationen.
• Resend — utskick av transaktionsmejl (t.ex. kvitton och notiser).

Bublo ålägger varje underbiträde samma dataskyddsskyldigheter som i detta avtal och ansvarar fullt ut för underbiträdenas behandling.

5. Tredjelandsöverföring

Personuppgifterna lagras inom EU/EES. Om en underleverantör överför uppgifter till tredjeland sker det endast med giltig överföringsmekanism enligt GDPR kap. V (t.ex. EU-kommissionens standardavtalsklausuler eller beslut om adekvat skyddsnivå).

6. Granskning

Butiken har rätt att få den information som krävs för att visa att skyldigheterna i detta avtal följs. Granskning sker i första hand genom skriftlig dokumentation; revision på plats får ske efter skälig föranmälan, på Butikens bekostnad och utan att andra butikers data röjs.

7. Vid avtalets upphörande

När butiksvillkoren upphör raderar eller återlämnar Bublo, enligt Butikens val, de personuppgifter som behandlats för Butikens räkning, om inte lagring krävs enligt lag. Uppgifter som även behandlas i Bublos egenskap av personuppgiftsansvarig (t.ex. användarens eget Bublo-konto och kort hos andra butiker) berörs inte av raderingen.

8. Ansvar och tvist

Ansvarsbegränsningen i butiksvillkoren gäller även för detta avtal, med de undantag som följer av tvingande rätt. Svensk lag gäller; tvist prövas enligt butiksvillkoren.

9. Kontakt

Frågor om dataskydd: support@bublo.se. Se även vår integritetspolicy.