Personuppgiftsbiträdesavtal (DPA)

Mellan målerifirman (personuppgiftsansvarig) och Paintmemo (personuppgiftsbiträde). Version 2026-09-02 (pilotversion). Godkänns vid registrering av firmakonto.

1. Roller och föremål

Firman är personuppgiftsansvarig för de uppgifter om sina kunder som förs in i Paintmemo. Paintmemo behandlar uppgifterna endast som biträde, för att tillhandahålla kulörregistertjänsten, och endast enligt firmans dokumenterade instruktioner (= tjänstens funktioner).

2. Behandlingens art och kategorier

Lagring, visning och delning av projektdokumentation: kunders namn, kontaktuppgifter, fastighetsadresser, foton av färgburkar samt uppgifter om utförda måleriarbeten. Registrerade är firmans kunder och firmans personal. Inga känsliga personuppgifter är avsedda att behandlas i tjänsten.

3. Underbiträden

Paintmemo använder följande underbiträden: driftleverantör för servrar och databas, Anthropic för AI-avläsning av etikettfoton (fotona används inte för modellträning), samt Google (Irland/USA) och Microsoft (USA) för användnings- och interaktionsanalys av tjänsten (endast efter samtycke i appen; skärmtext maskeras i Microsoft Claritys inspelningar). Firman godkänner dessa och informeras om byten i förväg med rätt att invända.

4. Säkerhet

Åtkomst kräver inloggning; lösenord lagras hashade (argon2) och delningslänkar lagras hashade med utgångsdatum och återkallelse. Trafik krypteras (TLS i produktionsmiljö). Åtgärder loggas i en append-only audit-logg. Foton rensas från positionsmetadata vid infångst.

5. Incidenter

Paintmemo underrättar firman utan onödigt dröjsmål, senast inom 48 timmar, efter upptäckt personuppgiftsincident, med den information firman behöver för sin anmälningsskyldighet.

6. Bistånd och registrerades rättigheter

Paintmemo bistår firman med registerutdrag, rättelse och radering i den mån firman inte själv kan göra det i tjänsten.

7. Radering och återlämning

Vid avtalets upphörande raderas firmans uppgifter inom 90 dagar, eller lämnas ut i maskinläsbart format på begäran dessförinnan. Backuper roteras inom 14 dagar.

8. Plats för behandling

Behandlingen sker inom EU/EES eller hos leverantörer med giltiga överföringsmekanismer enligt kap. V GDPR.

9. Revision

Firman har rätt till den information som krävs för att visa att skyldigheterna i art. 28 GDPR efterlevs.

Pilotversion — juridisk granskning slutförs före bredare lansering. Vid konflikt gäller tvingande bestämmelser i GDPR.