QR Code AI databehandlingsavtal

DATABEHANDLINGSAVTAL (DPA)

Senast uppdaterad 2 mars 2026

Detta databehandlingsavtal ("DPA") utgör en del av Användarvillkoren ("Avtalet") mellan Supernovae, ett bolag registrerat i Frankrike på 27 Rue Wurtz, Juvisy-sur-Orge 91260, momsnummer FR67948452891 ("Personuppgiftsbiträde", "vi", "oss"), och den enhet som accepterar detta DPA ("Personuppgiftsansvarig", "du"), gemensamt kallade "Parterna".

Detta DPA gäller när vi behandlar personuppgifter för din räkning i samband med våra QR Code AI-tjänster, inklusive via API.

1. DEFINITIONER

• "Personuppgifter" avser all information som rör en identifierad eller identifierbar fysisk person, enligt definitionen i artikel 4.1 i GDPR.
• "Behandling" avser varje åtgärd eller serie av åtgärder som utförs på Personuppgifter, enligt definitionen i artikel 4.2 i GDPR.
• "Registrerad" avser den identifierade eller identifierbara fysiska person som Personuppgifter avser.
• "Underbiträde" avser tredje part som anlitas av Personuppgiftsbiträdet för att behandla Personuppgifter för Personuppgiftsansvarigs räkning.
• "GDPR" avser Europaparlamentets och rådets förordning (EU) 2016/679.
• "UK GDPR" avser GDPR i den form den införlivats i brittisk rätt genom Data Protection Act 2018.
• "SCC" avser standardavtalsklausuler (Standard Contractual Clauses) som godkänts av Europeiska kommissionen för överföring av Personuppgifter till tredjeländer.
• "Personuppgiftsincident" avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till Personuppgifter.

2. OMFATTNING OCH ROLLER

2.1 Personuppgiftsansvarig och personuppgiftsbiträde

I detta DPA gäller följande:

• Du (Personuppgiftsansvarig): Du bestämmer ändamålen med och medlen för behandlingen av Personuppgifter när du använder våra Tjänster, särskilt när du använder vårt API för att skapa QR-koder för dina egna kunder eller integrerar våra Tjänster i dina produkter.
• Vi (Personuppgiftsbiträde): Vi behandlar Personuppgifter för din räkning enligt dina instruktioner, såsom beskrivs i detta DPA och Avtalet.

2.2 När detta DPA gäller

Detta DPA gäller när:

• Du använder QR Code AI:s API för att skapa QR-koder som behandlar dina slutanvändares data (t.ex. URL:er som innehåller personuppgifter, vCard-data, kontaktuppgifter kodade i QR-koder).
• Du använder QR Code AI:s spårnings- och analysfunktioner som samlar in skanningsdata från dina slutanvändare.
• I andra situationer där vi behandlar Personuppgifter för din räkning som personuppgiftsbiträde.

När du använder QR Code AI som privatperson för egna ändamål agerar vi som självständig personuppgiftsansvarig och vår Integritetspolicy reglerar behandlingen.

3. DETALJER OM BEHANDLINGEN

3.1 Föremål och varaktighet

Vi behandlar Personuppgifter under Avtalets giltighetstid för att tillhandahålla QR Code AI-tjänsterna, inklusive skapande av QR-koder, spårning, analys och relaterad funktionalitet.

3.2 Behandlingens art och syfte

• Skapa QR-koder baserat på indata som tillhandahålls av Personuppgiftsansvarig
• Spåra QR-kodskanningar och samla in analysdata
• Lagra QR-kodkonfigurationer och tillhörande metadata
• Behandla förfrågningar om AI-genererad QR-kodkonst
• Tillhandahålla rapporter och analysdashboards

3.3 Typer av personuppgifter

De typer av Personuppgifter som kan behandlas inkluderar:

• Kontaktuppgifter (namn, e-postadresser, telefonnummer) kodade i QR-koder
• URL:er och webbadresser
• Platsdata från QR-kodskanningar
• Enhetsinformation och IP-adresser från QR-kodskanningar
• Textprompter och bilder som tillhandahålls för AI-QR-kodgenerering
• Annan data som Personuppgiftsansvarig väljer att koda i QR-koder

3.4 Kategorier av registrerade

• Slutanvändare som skannar QR-koder skapade av Personuppgiftsansvarig
• Personer vars kontaktuppgifter är kodade i QR-koder
• Användare av Personuppgiftsansvarigs produkter eller tjänster som interagerar med QR-koder

4. PERSONUPPGIFTSBITRÄDETS SKYLDIGHETER

4.1 Instruktioner för behandling

Vi behandlar Personuppgifter endast enligt dina dokumenterade instruktioner, om vi inte är skyldiga att göra det enligt EU-rätt eller medlemsstatsrätt som vi omfattas av. I så fall informerar vi dig om det rättsliga kravet innan behandlingen, om inte lagen förbjuder sådan information av viktiga skäl som rör allmänintresset.

4.2 Sekretess

Vi säkerställer att personer som är behöriga att behandla Personuppgifter har åtagit sig sekretess eller omfattas av en lämplig lagstadgad sekretessförpliktelse.

4.3 Säkerhetsåtgärder

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inklusive:

• Kryptering av Personuppgifter under överföring (TLS/HTTPS) och i vila
• Åtkomstkontroller och rollbaserad autentisering för interna system
• Regelbundna säkerhetsbedömningar och sårbarhetsskanning
• Infrastruktur hos leverantörer certifierade enligt ISO 27001
• DDoS-skydd och brandvägg för webbapplikationer (Cloudflare)
• Regelbundna säkerhetskopior med krypterad lagring
• Loggning och övervakning av åtkomst till Personuppgifter

4.4 Underbiträden

Vi använder de underbiträden som listas på vår sida för underbiträden. Vi meddelar dig om avsedda ändringar av underbiträden genom att uppdatera den sidan. Du kan invända mot ett nytt underbiträde genom att kontakta oss på [email protected] inom 30 dagar från uppdateringen. Om du invänder och vi inte skäligen kan tillmötesgå invändningen kan endera parten säga upp den berörda delen av Tjänsterna.

Vi ingår skriftliga avtal med alla underbiträden som ålägger dataskyddsskyldigheter som inte är mindre skyddande än de i detta DPA.

4.5 Registrerades rättigheter

Vi hjälper dig att besvara begäranden från Registrerade som utövar sina rättigheter enligt tillämplig dataskyddslag (tillgång, rättelse, radering, begränsning, dataportabilitet, invändning). Om vi får en begäran direkt från en Registrerad vidarebefordrar vi den skyndsamt till dig, om inte annat instrueras.

4.6 Hjälp med efterlevnad

Vi hjälper dig att säkerställa efterlevnad av dina skyldigheter enligt artiklarna 32 till 36 i GDPR, med beaktande av behandlingens art och den information som står till vårt förfogande.

5. ANMÄLAN AV PERSONUPPGIFTSINCIDENT

5.1 Tidslinje för anmälan

Vi meddelar dig om en Personuppgiftsincident utan onödigt dröjsmål och i alla händelser inom 72 timmar från det att vi blivit medvetna om incidenten. Meddelandet skickas till den e-postadress som är kopplad till ditt konto.

5.2 Innehåll i anmälan

Meddelandet kommer, i den mån informationen finns tillgänglig, att innehålla:

• En beskrivning av Personuppgiftsincidentens art, inklusive kategorier och ungefärligt antal Registrerade och berörda poster.
• Namn och kontaktuppgifter till vår kontaktpunkt för dataskydd.
• En beskrivning av de sannolika konsekvenserna av Personuppgiftsincidenten.
• En beskrivning av de åtgärder som vidtagits eller föreslås för att hantera Personuppgiftsincidenten, inklusive åtgärder för att begränsa eventuella negativa effekter.

5.3 Löpande samarbete

Vi samarbetar med dig och ger skälig hjälp vid utredning, begränsning och åtgärdande av en Personuppgiftsincident, samt vid eventuella anmälningar till tillsynsmyndigheter eller Registrerade som du är skyldig att göra.

6. INTERNATIONELLA DATAÖVERFÖRINGAR

6.1 Datalagringsplats

Personuppgifter lagras och behandlas i första hand inom Europeiska unionen:

• Frankrike (EU) via Scaleway
• Nederländerna (EU) via DigitalOcean

6.2 Överföringar utanför EU/EES

Vissa av våra underbiträden finns utanför EU/EES, främst i USA. För dessa överföringar förlitar vi oss på:

• EU-US Data Privacy Framework: När tillämpligt, för överföringar till USA-baserade leverantörer som är certifierade enligt ramverket.
• Standardavtalsklausuler (SCC): Vi införlivar de SCC som godkänts av Europeiska kommissionen (Kommissionens genomförandebeslut (EU) 2021/914) i våra avtal med underbiträden utanför EU/EES när Data Privacy Framework inte är tillämpligt.

6.3 Bedömning av överföringens påverkan

Vi genomför bedömningar av överföringens påverkan vid överföringar till tredjeländer och inför kompletterande åtgärder där det behövs för att säkerställa en adekvat nivå av dataskydd.

7. REVISIONER OCH INSPEKTIONER

7.1 Rätt till revision

Du har rätt att granska vår efterlevnad av detta DPA. Vi gör all information som krävs tillgänglig för att visa efterlevnad och möjliggör samt bidrar till revisioner, inklusive inspektioner, som genomförs av dig eller en revisor som du utser.

7.2 Revisionsprocess

Revisioner omfattas av följande villkor:

• Du måste lämna minst 30 dagars skriftligt varsel före en revision.
• Revisioner får genomföras högst en gång per år, om inte en tillsynsmyndighet kräver det eller efter en Personuppgiftsincident.
• Revisioner ska genomföras under ordinarie kontorstid och får inte oskäligt störa vår verksamhet.
• Du ansvarar för kostnaderna för revisionen, om inte revisionen visar på ett väsentligt brott mot detta DPA.
• Konfidentiell information om våra andra kunder får inte exponeras under revisionen.

8. LAGRING OCH RADERING AV DATA

8.1 Under avtalstiden

Vi behåller Personuppgifter under Avtalets giltighetstid i den utsträckning som krävs för att tillhandahålla Tjänsterna.

8.2 Vid upphörande

När Avtalet upphör eller på din skriftliga begäran:

• Raderar vi Personuppgifter från våra aktiva system inom 30 dagar.
• Personuppgifter i säkerhetskopior rensas inom 6 månader.
• Vi kan behålla Personuppgifter i den utsträckning som krävs enligt tillämplig lag (t.ex. skatte- och redovisningsskyldigheter). I så fall isolerar och skyddar vi sådan data och begränsar fortsatt behandling till vad som krävs enligt lag.

8.3 Bekräftelse

På din begäran tillhandahåller vi en skriftlig bekräftelse på att Personuppgifter har raderats i enlighet med detta avsnitt.

9. ANSVAR

Vardera partens ansvar enligt detta DPA omfattas av de ansvarsbegränsningar som anges i Avtalet. Ingenting i detta DPA begränsar någon parts ansvar gentemot Registrerade eller tillsynsmyndigheter enligt tillämplig dataskyddslag.

10. TILLÄMPLIG LAG

Detta DPA regleras av fransk lag. För Registrerade i EU gäller GDPR. För Registrerade i Storbritannien gäller UK GDPR. Tvister som uppstår med anledning av detta DPA ska lösas i enlighet med Avtalets bestämmelser om tvistlösning.

11. HUR DU ACCEPTERAR DETTA DPA

Detta DPA införlivas i och utgör en del av Användarvillkoren. Genom att använda QR Code AI-tjänsterna godkänner du detta DPA.

Om du behöver en separat signerad kopia av detta DPA för dina arkiv, kontakta oss på [email protected] så tillhandahåller vi en inom 10 arbetsdagar.

12. KONTAKT

För frågor om detta DPA eller våra rutiner för databehandling:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]