QR Code AI:s personuppgiftsbiträdesavtal

PERSONUPPGIFTSBITRÄDESAVTAL (DPA)

Senast uppdaterat den 2 mars 2026

Detta personuppgiftsbiträdesavtal (”DPA”) utgör en del av Användarvillkoren (”Avtalet”) mellan Supernovae, ett företag registrerat i Frankrike på adressen 27 Rue Wurtz, Juvisy-sur-Orge 91260, momsregistreringsnummer FR67948452891 (”Personuppgiftsbiträdet”, ”vi”, ”oss”), och den organisation som godkänner detta DPA (”Den personuppgiftsansvariga”, ”du”), gemensamt kallade ”Parterna”.

Detta DPA gäller när vi behandlar personuppgifter för din räkning i samband med våra QR Code AI-tjänster, inklusive via API:et.

1. DEFINITIONER

• ”Personuppgifter” avser varje upplysning som avser en identifierad eller identifierbar fysisk person enligt artikel 4.1 i GDPR.
• ”Behandling” avser en åtgärd eller kombination av åtgärder som vidtas beträffande Personuppgifter enligt artikel 4.2 i GDPR.
• ”Registrerad” avser den identifierade eller identifierbara fysiska person som Personuppgifterna avser.
• ”Underbiträde” avser en tredje part som Personuppgiftsbiträdet anlitar för att behandla Personuppgifter för Den personuppgiftsansvarigas räkning.
• ”GDPR” avser Europaparlamentets och rådets förordning (EU) 2016/679.
• ”UK GDPR” avser Förenade kungarikets allmänna dataskyddsförordning, såsom den gäller enligt brittisk lag och läst tillsammans med Data Protection Act 2018.
• ”SCC” avser de standardavtalsklausuler som Europeiska kommissionen har godkänt för överföring av Personuppgifter till tredjeland.
• ”Personuppgiftsincident” avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av Personuppgifter, eller obehörigt röjande av eller obehörig åtkomst till Personuppgifter.

2. TILLÄMPNINGSOMRÅDE OCH ROLLER

2.1 Personuppgiftsansvarig och personuppgiftsbiträde

I detta DPA gäller följande:

• Du (Den personuppgiftsansvariga): Du bestämmer ändamålen och medlen för Behandlingen av Personuppgifter när du använder våra Tjänster, särskilt när du använder vårt API för att generera QR-koder åt dina egna kunder eller integrerar våra Tjänster i dina produkter.
• Vi (Personuppgiftsbiträdet): Vi behandlar Personuppgifter för din räkning enligt dina instruktioner, såsom beskrivs i detta DPA och Avtalet.

2.2 När detta DPA gäller

Detta DPA gäller när:

• Du använder QR Code AI:s API för att generera QR-koder som behandlar dina slutanvändares uppgifter (t.ex. webbadresser som innehåller personuppgifter, vCard-uppgifter eller kontaktuppgifter som kodats i QR-koder).
• Du använder QR Code AI:s funktioner för spårning och analys som samlar in skanningsuppgifter från dina slutanvändare.
• Vi i något annat sammanhang behandlar Personuppgifter för din räkning som personuppgiftsbiträde.

När du använder QR Code AI som enskild användare för egna ändamål agerar vi som självständig personuppgiftsansvarig och Behandlingen regleras av vår Integritetspolicy.

3. UPPGIFTER OM BEHANDLINGEN

3.1 Föremål och varaktighet

Vi behandlar Personuppgifter under Avtalets giltighetstid för att tillhandahålla QR Code AI:s tjänster, inklusive generering av QR-koder, spårning, analys och tillhörande funktioner.

3.2 Behandlingens art och ändamål

• Generering av QR-koder utifrån indata från Den personuppgiftsansvariga
• Spårning av QR-kodskanningar och insamling av analysdata
• Lagring av QR-kodinställningar och tillhörande metadata
• Hantering av förfrågningar om AI-genererade konstnärliga QR-koder
• Tillhandahållande av rapporter och analyspaneler

3.3 Typer av Personuppgifter

De Personuppgifter som behandlas kan omfatta:

• Kontaktuppgifter (namn, e-postadresser, telefonnummer) som kodats i QR-koder
• URL:er och webbadresser
• Platsuppgifter från QR-kodskanningar
• Enhetsinformation och IP-adresser från QR-kodskanningar
• Textinstruktioner och bilder som lämnats för AI-generering av QR-koder
• Andra uppgifter som Den personuppgiftsansvariga väljer att koda i QR-koder

3.4 Kategorier av Registrerade

• Slutanvändare som skannar QR-koder skapade av Den personuppgiftsansvariga
• Personer vars kontaktuppgifter kodats i QR-koder
• Användare av Den personuppgiftsansvarigas produkter eller tjänster som interagerar med QR-koder

4. PERSONUPPGIFTSBITRÄDETS SKYLDIGHETER

4.1 Instruktioner för Behandlingen

Vi behandlar Personuppgifter endast enligt dina dokumenterade instruktioner, om inte unionsrätten eller en medlemsstats nationella rätt som vi omfattas av kräver Behandlingen. I sådant fall informerar vi dig om det rättsliga kravet före Behandlingen, om inte den tillämpliga rätten förbjuder sådan information av viktiga skäl av allmänintresse.

Vi informerar dig omedelbart om vi anser att en instruktion strider mot GDPR eller andra tillämpliga dataskyddsbestämmelser i unionsrätten eller en medlemsstats nationella rätt.

4.2 Konfidentialitet

Vi säkerställer att personer som har behörighet att behandla Personuppgifter har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

4.3 Säkerhetsåtgärder

Vi genomför lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inklusive:

• Kryptering av Personuppgifter vid överföring (TLS/HTTPS), med kryptering av känsliga uppgifter vid lagring
• Åtkomstkontroller och rollbaserad autentisering för interna system
• Regelbundna säkerhetsbedömningar och sårbarhetsskanningar
• Infrastruktur hos Scaleway och DigitalOcean, med säkerhets- och efterlevnadsåtgärder som beror på leverantören och hostingtjänsten
• DDoS-skydd och brandvägg för webbapplikationer (Cloudflare)
• Regelbundna säkerhetskopior med krypterad lagring
• Loggning och övervakning av åtkomst till Personuppgifter

4.4 Underbiträden

Vi använder de underbiträden som anges på vår sida Underbiträden. Vi kommer att aktivt underrätta dig skriftligen om varje planerat tillägg eller byte av underbiträde och ge dig 30 dagar från underrättelsen att invända innan ändringen träder i kraft. Du kan invända genom att kontakta oss på [email protected] inom den tiden. Om du invänder och vi inte rimligen kan tillmötesgå din invändning får endera parten säga upp den berörda delen av Tjänsterna.

Vi anlitar ett underbiträde för att behandla Personuppgifter för din räkning endast med stöd av ett skriftligt avtal, inklusive tillämpliga elektroniska villkor, som ålägger underbiträdet de dataskyddsskyldigheter som krävs enligt artikel 28.4 i GDPR. Vi förblir ansvariga för våra underbiträden i den utsträckning som den artikeln föreskriver.

4.5 De Registrerades rättigheter

Vi hjälper dig att besvara begäranden från Registrerade som utövar sina rättigheter enligt tillämplig dataskyddslagstiftning (tillgång, rättelse, radering, begränsning, dataportabilitet och invändning). Om vi får en begäran direkt från en Registrerad hänvisar vi skyndsamt personen till dig, om vi inte har fått andra instruktioner.

4.6 Bistånd för efterlevnad

Vi hjälper dig att fullgöra dina skyldigheter enligt artiklarna 32–36 i GDPR, med hänsyn till Behandlingens art och den information vi har tillgång till.

5. UNDERRÄTTELSE OM PERSONUPPGIFTSINCIDENTER

5.1 Tidsfrist för underrättelse

Vi underrättar dig om en Personuppgiftsincident utan onödigt dröjsmål och under alla omständigheter inom 72 timmar från det att vi fått kännedom om incidenten. Underrättelsen skickas till den e-postadress som är kopplad till ditt konto.

5.2 Underrättelsens innehåll

Underrättelsen innehåller, i den mån informationen finns tillgänglig:

• En beskrivning av Personuppgiftsincidentens art, inklusive kategorier och ungefärligt antal berörda Registrerade och personuppgiftsposter.
• Namn och kontaktuppgifter till vår kontaktperson för dataskydd.
• En beskrivning av Personuppgiftsincidentens sannolika konsekvenser.
• En beskrivning av de åtgärder som vidtagits eller föreslås för att hantera Personuppgiftsincidenten, inklusive åtgärder för att begränsa dess möjliga negativa effekter.

5.3 Fortsatt samarbete

Vi samarbetar med dig och ger skäligt bistånd för att utreda, begränsa och avhjälpa Personuppgiftsincidenter samt för att lämna de underrättelser till tillsynsmyndigheter eller Registrerade som du är skyldig att lämna.

6. INTERNATIONELLA ÖVERFÖRINGAR AV UPPGIFTER

6.1 Plats för uppgifterna

Personuppgifter lagras och behandlas huvudsakligen inom Europeiska unionen:

• Frankrike (EU) via Scaleway
• Nederländerna (EU) via DigitalOcean

6.2 Överföringar utanför EU/EES

Vissa av våra underbiträden finns utanför EU/EES, främst i USA. För dessa överföringar använder vi:

• EU-US Data Privacy Framework: I tillämpliga fall, för överföringar till leverantörer i USA som är certifierade enligt ramverket.
• Standardavtalsklausuler (SCC): Vi inför de standardavtalsklausuler som Europeiska kommissionen godkänt (kommissionens genomförandebeslut (EU) 2021/914) i våra avtal med underbiträden utanför EU/EES när Data Privacy Framework inte är tillämpligt.

6.3 Bedömning av överföringarnas konsekvenser

Vi genomför bedömningar av konsekvenserna av överföringar till tredjeland och vidtar vid behov kompletterande åtgärder för att säkerställa en adekvat dataskyddsnivå.

7. REVISIONER OCH INSPEKTIONER

7.1 Rätt till revision

Du har rätt att granska vår efterlevnad av detta DPA. Vi tillhandahåller all information som behövs för att visa efterlevnad och möjliggör och bidrar till revisioner, inklusive inspektioner, som genomförs av dig eller en revisor som du utser.

7.2 Revisionsprocess

Följande arrangemang gäller för revisioner endast i den utsträckning de inte begränsar rättigheter eller skyldigheter enligt tillämplig dataskyddslagstiftning:

• Du måste lämna skriftligt meddelande minst 30 dagar före en revision.
• Revisioner får genomföras högst en gång per år, om inte en tillsynsmyndighet kräver det eller en Personuppgiftsincident har inträffat.
• Revisioner ska genomföras under normal arbetstid och får inte oskäligt störa vår verksamhet.
• Du ansvarar för kostnaderna för revisionen, om den inte visar ett väsentligt brott mot detta DPA.
• Konfidentiell information om våra andra kunder får inte röjas under revisionen.

8. LAGRING OCH RADERING AV UPPGIFTER

8.1 Under Avtalets giltighetstid

Vi lagrar Personuppgifter under Avtalets giltighetstid i den utsträckning som behövs för att tillhandahålla Tjänsterna.

8.2 När Avtalet upphör

När Avtalet upphör eller på din skriftliga begäran:

• Raderar vi, enligt ditt val, Personuppgifterna eller återlämnar dem till dig och raderar återstående kopior från våra aktiva system inom 30 dagar.
• Raderas Personuppgifter i säkerhetskopior inom 6 månader. Fram till dess förblir de skyddade och används inte för andra ändamål, om inte tillämplig lag kräver något annat.
• Får vi behålla Personuppgifter i den utsträckning som tillämplig lag kräver (t.ex. för skatte- eller bokföringsskyldigheter). I sådant fall avskiljer och skyddar vi uppgifterna och begränsar fortsatt Behandling till vad lagen kräver.

8.3 Bekräftelse

På din begäran lämnar vi en skriftlig bekräftelse på att Personuppgifterna har raderats i enlighet med detta avsnitt.

9. ANSVAR

Respektive parts ansvar enligt detta DPA omfattas av ansvarsbegränsningarna i Avtalet. Inget i detta DPA begränsar någon parts ansvar gentemot Registrerade eller tillsynsmyndigheter enligt tillämplig dataskyddslagstiftning.

10. TILLÄMPLIG LAG

Detta DPA regleras av fransk lag. GDPR och UK GDPR gäller i den utsträckning Behandlingen faller inom deras respektive rättsliga tillämpningsområden. Tvister som uppstår till följd av detta DPA ska lösas enligt Avtalets bestämmelser om tvistlösning.

11. SÅ INGÅR DU DETTA DPA

Detta DPA införlivas i och utgör en del av Användarvillkoren. Genom att använda QR Code AI:s Tjänster godkänner du detta DPA.

Om du behöver en separat undertecknad kopia för din dokumentation kan du kontakta oss på [email protected]. Vi tillhandahåller den inom 10 arbetsdagar.

12. KONTAKT

Vid frågor om detta DPA eller hur vi behandlar uppgifter:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Frankrike [email protected]