Personuppgiftsbiträdesavtal (DPA)

Det här är en bekvämlighetsöversättning. Den engelska versionen är den bindande.

Det här avtalet beskriver hur Aphroa hanterar personuppgifter för din räkning. Det gäller Fair Lead Hub och varje tjänst där vi kan se personuppgifter på din webbplats eller i dina system. Du är personuppgiftsansvarig och Aphroa är ditt personuppgiftsbiträde enligt artikel 28 i GDPR. Det ingår i våra allmänna villkor och träder i kraft när du beställer eller startar en provperiod.

1. Parter och omfattning

• Personuppgiftsansvarig: det företag som beställer eller startar en provperiod (”du”).
• Personuppgiftsbiträde: Sedeus, ett enskilt företag, med varumärket Aphroa (”vi”). Företagsinnehavare: Sercan Uslu. Adress och kontaktuppgifter finns i den juridiska informationen.
• Omfattade tjänster: Fair Lead Hub, samt Website Fix & Speed, New Website, SEO & AI Visibility, Integrations & Automation och For Agencies när du ger oss åtkomst till system som innehåller personuppgifter.
• Personuppgifter som du skickar till oss i ett förfrågnings- eller beställningsformulär behandlar vi som personuppgiftsansvariga. Det beskrivs i vår integritetspolicy, inte här.

2. Föremål och varaktighet

Föremålet är den behandling som beskrivs i avsnitt 3. Avtalet gäller så länge vi tillhandahåller en tjänst som omfattas av det, plus den tid vi behöver för att lämna tillbaka eller radera uppgifter enligt avsnitt 10.

3. Behandlingens art och ändamål

• Fair Lead Hub: vi tillhandahåller webbappen där du skannar visitkort, läser av uppgifterna på dem, sparar och exporterar kontakterna samt förbereder och skickar välkomst- och uppföljningsmejl från din egen adress och din egen SMTP. Uppföljningsmejlen personaliseras med automatiska verktyg.
• Arbete på din webbplats eller i dina system: vi använder den åtkomst du ger oss för att utföra det avtalade arbetet. Vi kan se personuppgifter som lagras där, till exempel formulärinlägg, beställningar eller användarkonton. Vi använder dem endast för att utföra arbetet.
• Vi behandlar uppgifter endast för dessa ändamål och inte för egen del. Vi säljer dem inte.

4. Typer av uppgifter och berörda personer

• Fair Lead Hub: personer vars visitkort du skannar eller vars uppgifter du anger; din egen personal som använder appen. Uppgifter: namn, titel, företag, e-postadress, telefonnummer, webbplats, innehållet i de uppföljningsmejl som förbereds åt dem samt dina användares kontouppgifter.
• Arbete i dina system: dina kunder, webbplatsbesökare, användare och personal, i den mån deras uppgifter finns i de system vi kan nå. Uppgifter: kontaktuppgifter, kontouppgifter, order- och formulärdata, tekniska data.
• Ge oss inte särskilda kategorier av personuppgifter (art. 9 GDPR) eller uppgifter om fällande domar i brottmål. Om dina system innehåller sådana uppgifter, berätta det för oss innan du ger oss åtkomst.

5. Dina skyldigheter

• Du ansvarar för att behandlingen är laglig, inklusive en rättslig grund, information till de berörda personerna och, vid behov, deras samtycke till e-postmeddelanden.
• Du ger oss instruktioner skriftligen (e-post räknas). Våra villkor, offerten och din användning av tjänsten är dina fullständiga instruktioner från början.
• Du meddelar oss utan dröjsmål om en instruktion inte kan följas på ett lagligt sätt eller om uppgifterna är felaktiga.

6. Våra skyldigheter

• Vi behandlar personuppgifter endast enligt dina dokumenterade instruktioner, även vid överföringar till andra länder, om inte lagen kräver något annat. Vi meddelar dig om vi anser att en instruktion strider mot dataskyddslagstiftningen.
• Alla som har åtkomst till uppgifterna för vår räkning är bundna av sekretess.
• Vi vidtar de åtgärder som anges i avsnitt 7.
• Vi använder underbiträden endast enligt avsnitt 8.
• Vi hjälper dig, så långt det är möjligt, att besvara begäranden från de berörda personerna (tillgång, rättelse, radering, begränsning, dataportabilitet, invändning). Om en sådan person skriver direkt till oss vidarebefordrar vi begäran till dig.
• Vi hjälper dig med dina skyldigheter enligt artiklarna 32–36 i GDPR (säkerhet, anmälan av incidenter, konsekvensbedömning, förhandssamråd), med hänsyn till vad vi känner till.
• Vi meddelar dig utan onödigt dröjsmål, och senast inom 24 timmar, efter att vi har fått kännedom om en personuppgiftsincident som påverkar dina uppgifter, och vi ger dig den information vi har så att du kan göra en anmälan.
• Vi ger dig den information som behövs för att visa att vi uppfyller detta avtal (avsnitt 11).

7. Tekniska och organisatoriska åtgärder

Dessa åtgärder gäller för vår webbplats, våra formulär och våra e-postsystem.

• Krypterade anslutningar: vår webbplats och våra formulär fungerar endast över HTTPS. E-post skickas från vår egen e-postserver över krypterade anslutningar.
• Begränsad åtkomst: åtkomsten till dina uppgifter är begränsad till de personer som behöver den för ditt uppdrag. Vi ber dig ge åtkomst via ett tillfälligt konto som skapats för uppdraget. Vi använder åtkomsten endast för uppdraget och ber dig stänga den när uppdraget är slut.
• Dataminimering: vi lagrar inga IP-adresser i våra lead- och samtyckesregister; vi lagrar en hash som ändras varje dag. Vi ber bara om de uppgifter ett uppdrag behöver.
• Kort lagringstid: poster raderas automatiskt efter sin lagringstid: leads efter 24 månader, köade e-postmeddelanden efter 30 dagar, loggen i vårt utskickstillägg efter 14 dagar, serverloggar efter 7 dagar.
• Härdning av vår webbplats: filredigering i administrationsområdet är avstängd, XML-RPC-gränssnittet är avstängt, listor över användarnamn exponeras inte och databasåtkomst använder förberedda frågor.
• Skydd mot missbruk: formulär har ett dolt fält, en signerad tidstoken, Cloudflare Turnstile och en gräns för antal försök.
• Egen e-postserver: vi skickar inte våra e-postmeddelanden via en e-posttjänst från tredje part.

8. Underbiträden

Du ger oss ett allmänt tillstånd att använda underbiträdena i tabellen. Vi meddelar dig med e-post eller på den här sidan innan vi lägger till eller byter ut ett. Du får invända av goda dataskyddsskäl inom 30 dagar. Om vi inte kan komma överens får någon av oss avsluta den berörda tjänsten.

9. Överföringar till andra länder

Cloudflare, Inc. har sin hemvist i USA. För den här överföringen förlitar vi oss på EU–US Data Privacy Framework där leverantören är certifierad, och på standardavtalsklausuler.

Anthropic har sin hemvist i USA. Data från Fair Lead Hub som går till Anthropic för avläsning av kort och personalisering av e-post överförs endast med lämpliga skyddsåtgärder.

Vi har vår hemvist i Türkiye, för vilket det inte finns något beslut om adekvat skyddsnivå från EU, och vi öppnar uppgifter därifrån. Om överföringsreglerna kräver skyddsåtgärder för dina uppgifter kommer vi överens med dig om lämpliga sådana, till exempel Europeiska kommissionens standardavtalsklausuler. Skriv till legal@aphroa.com så ordnar vi det.

10. Radering och återlämnande

När tjänsten upphör raderar vi dina personuppgifter eller lämnar tillbaka dem till dig, efter ditt val, inom 30 dagar. Vi lämnar tillbaka Fair Lead Hub-kontakter som en CSV-fil. Åtkomst som du har gett oss används inte längre. Vi behåller uppgifter endast om lagen kräver det, och då endast för det ändamålet.

11. Information och granskningar

På begäran ger vi dig den information som behövs för att visa att vi följer det här avtalet. Om det inte räcker får du granska vår behandling, efter rimlig förvarning, under arbetstid och utan att störa våra andra kunder. Vardera parten står för sina egna kostnader. Granskningar omfattar endast behandlingen av dina uppgifter.

12. Ansvar och övriga villkor

Ansvarsvillkoren i våra allmänna villkor gäller för det här avtalet. Om det här avtalet och villkoren skiljer sig åt i fråga om personuppgifter gäller det här avtalet.

13. Tillämplig lag och domstol

Det här avtalet lyder under Republiken Türkiyes lagar. Domstolarna och utsökningskontoren i Eskişehir har behörighet, om inte tvingande lag föreskriver något annat.

14. Kontakt

Frågor om det här avtalet: legal@aphroa.com.