Databehandlingsavtal
Detta databehandlingsavtal (DPA) ingås enligt artikel 28 i dataskyddsförordningen (GDPR) och utgör en del av användarvillkoren. Det reglerar ClientFlows behandling av personuppgifter för våra kunders räkning.
Version 2.2 | Senast uppdaterad: 5 oktober 2026
1. Parter
Personuppgiftsansvarig
Du, kunden (den som bestämmer ändamålen med och medlen för behandlingen)
Personuppgiftsbiträde
ClientFlow (behandlar personuppgifter å dina vägnar)
1.1 Behandlingens omfattning
Detta DPA gäller för behandlingen av personuppgifter där:
- ClientFlow behandlar personuppgifter å den personuppgiftsansvariges vägnar som en del av tillhandahållandet av tjänsten
- Behandlingen avser hantering av den personuppgiftsansvariges kundrelationer
- De registrerade är den personuppgiftsansvariges kunder och affärskontakter
- ClientFlow är programvara för verksamhetshantering, inte ett system för patientjournaler eller ett kliniskt system. Om den personuppgiftsansvarige registrerar hälsouppgifter eller andra särskilda kategorier av uppgifter om sina kunder fastställer den personuppgiftsansvarige den rättsliga grunden och inhämtar eventuellt uttryckligt samtycke som krävs, och ClientFlow behandlar dessa uppgifter endast enligt den personuppgiftsansvariges dokumenterade instruktioner
Behandlingsaktiviteter
- Lagring och organisering av kundkontaktinformation
- Registrering och spårning av betalningstransaktioner
- Skickning av auktoriserade meddelanden (påminnelser, aviseringar)
- Generering av analyser och rapporter baserade på aggregerade data
2. Datakategorier
| Kategori | Exempel | Syfte |
|---|---|---|
| Kontodata | E-post, namn, profilbild | Tjänståtkomst |
| Kunddata | Kundnamn, telefoner, e-post | CRM-funktionalitet |
| Betalningsregister | Belopp, datum, status | Betalningsspårning |
| Användningsdata | Inloggningstider, funktionsanvändning | Säkerhet, förbättring |
3. Biträdets skyldigheter
Vi kommer att:
- Behandla data endast enligt dina dokumenterade instruktioner
- Säkerställa att personal är bundna av sekretess
- Implementera lämpliga säkerhetsåtgärder
- Bistå med begäranden om registrerade
- Meddela dig om dataintrång inom 72 timmar
- Radera data vid uppsägning (efter lagringsperiod)
4. Säkerhetsåtgärder
Tekniska
- TLS (överföring)
- AES-256-GCM i vila (sessionsanteckningar, resultatregister, integrationsuppgifter, betalningstokens, tvåfaktorsnycklar)
- OAuth 2.0-autentisering
- Rollbaserad åtkomstkontroll
- Automatiserad övervakning och larm
Organisatoriska
- Skriftliga säkerhets- och databehandlingsrutiner
- Incidentresponsrutin
- Granskningar av leverantörer och underleverantörer
- Sekretessförpliktelser för alla med åtkomst till data
- Ändringshantering för produktionssystem
5. Underbiträden
Vi använder följande auktoriserade underbiträden:
| Leverantör | Tjänst | Plats | Överföringsmekanism |
|---|---|---|---|
| Hetzner Cloud | Molninfrastruktur och hosting | Germany | Behandlas inom EU/EES |
| Vercel | Hosting och leverans av frontend | Frankfurt, Germany (FRA1) | Standardavtalsklausuler + dataskyddsramverket mellan EU och USA |
| Cloudflare | Innehållsleverans och fillagring | Global edge network (EU primary storage) | Standardavtalsklausuler + dataskyddsramverket mellan EU och USA |
| iyzico | Betalningshantering | Istanbul, Turkey | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| Resend | Leverans av transaktionsmejl | United States | Standardavtalsklausuler |
| Sentry | Felövervakning och diagnostik | United States | Standardavtalsklausuler |
| Google (OAuth, Analytics) | Inloggning och autentisering | United States | Standardavtalsklausuler + dataskyddsramverket mellan EU och USA |
| Firebase Cloud Messaging | Push-aviseringar | United States | Standardavtalsklausuler + dataskyddsramverket mellan EU och USA |
| Expo (push relay, OTA updates) | Push-aviseringar | United States | Standardavtalsklausuler |
| WhatsApp Business API | WhatsApp-meddelanden | Ireland (contracting) + global (Meta infrastructure) | Standardavtalsklausuler |
| Apple (Sign in with Apple) | Inloggning och autentisering | United States | Standardavtalsklausuler |
| Anthropic (Claude) | Behandling i AI-assistent och chatbot | United States | Standardavtalsklausuler + dataskyddsramverket mellan EU och USA |
| OpenAI | Behandling i AI-assistent och chatbot | United States | Standardavtalsklausuler + dataskyddsramverket mellan EU och USA |
| Groq | Behandling i AI-assistent och chatbot | United States | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| Meta (Facebook Login) | Inloggning och autentisering | Ireland (EEA controller) + global (Meta infrastructure) | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| Google (reCAPTCHA) | Skydd mot botar och missbruk | United States | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| Google (Gmail, customer-connected) | Leverans av transaktionsmejl | United States | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| Google (Calendar sync, customer-connected) | Kalendersynkronisering | United States | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| Microsoft (Outlook mail, customer-connected) | Leverans av transaktionsmejl | United States | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| Apple (iCloud Mail, customer-connected) | Leverans av transaktionsmejl | United States | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| Apple (iCloud Calendar, customer-connected) | Kalendersynkronisering | United States | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| Yahoo (Yahoo Mail, customer-connected) | Leverans av transaktionsmejl | United States | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| OpenStreetMap (map tiles, address search) | Kartvisning och adresssökning | United Kingdom and Netherlands (tile requests: global CDN) | Standardavtalsklausuler (har ännu inte trätt i kraft) |
| CARTO (dark-theme map tiles) | Kartvisning och adresssökning | United States | Standardavtalsklausuler (har ännu inte trätt i kraft) |
Ändringsmeddelanden för underbiträden
Vi kommer att meddela dig om eventuella planerade ändringar av underbiträden:
- Minst 14 dagars varsel innan du lägger till eller ersätter underbehandlare
- Meddelande via e-post till din registrerade e-postadress för ditt konto
- Du kan invända mot ändringar inom 14 dagar genom att kontakta oss
- Om din invändning inte kan lösas kan du avsluta de berörda tjänsterna
7. Revisionsrättigheter
Den personuppgiftsansvarige har rätt att verifiera efterlevnaden av detta DPA:
- Begära relevant dokumentation och certifieringar
- Genomföra revisioner med minst 30 dagars skriftligt varsel
- Revisioner ska genomföras under normal arbetstid
- Revisorn måste underteckna ett sekretessavtal
Revisionsomfattning
- Säkerhetsåtgärder och tekniska skyddsåtgärder
- Underbiträdens efterlevnad
- Rutiner för datahantering
- Incidenthanteringskapacitet
Kostnader för revisioner ska bäras av den personuppgiftsansvarige såvida inte revisionen avslöjar väsentlig bristande efterlevnad.
6. Datalagring & radering
Vi bevarar personuppgifter endast så länge det behövs för de beskrivna ändamålen, eller så länge som tillämplig skatte- och handelslagstiftning kräver.
| Tidslinje | Åtgärd |
|---|---|
| Vid begäran om kontoradering | Kunduppgifter raderas permanent tillsammans med ditt konto: senast en dag efter att den 30-dagars respitperiod som följer på en begäran om radering på vår webbplats löpt ut (du kan avbryta begäran fram till dess), eller inom 3 dagar när kontot raderas i iOS-appen. De fakturor, kvitton och offerter du utfärdar till dina egna kunder är dina handlingar — de raderas tillsammans med ditt konto inom samma tidsram. |
| Efter kontoradering | ClientFlows egna bokföringsunderlag för din prenumeration (våra fakturor till dig) bevaras i anonymiserad form (inga personuppgifter) minst så länge skatte- och handelslagstiftning kräver det. |
| Vid uppsägning | När du raderar ditt konto raderas personuppgifter inom 31 dagar (inom 3 dagar i iOS-appen), utom de uppgifter vi måste spara (till exempel granskningsloggar och anonymiserade faktureringsuppgifter); krypterade säkerhetskopior roteras bort inom 90 dagar. Att avsluta en prenumeration raderar inte data |
7. CCPA-bestämmelser
Under CCPA agerar vi som en "tjänsteleverantör" och:
- Behandlar data endast för specificerade affärsändamål
- Säljer inte personlig information
- Bistår med konsumenträttsbegäranden
- Implementerar rimliga säkerhetsåtgärder
8. Meddelande om dataintrång
I händelse av ett personuppgiftsintrång förbinder vi oss till följande:
Meddelandetidslinje
- Meddela dig inom 72 timmar efter att ha blivit medveten om ett intrång
- Tillhandahålla initial bedömning av intrångets omfattning och påverkan
- Leverera detaljerat skriftligt meddelande inom 5 arbetsdagar
Meddelandeinnehåll
- Intrångets art, inklusive kategorier och ungefärligt antal berörda registrerade
- Kontaktuppgifter till integritetskontakten för uppföljande frågor
- Beskrivning av intrångets sannolika konsekvenser
- Vidtagna eller föreslagna åtgärder för att hantera intrånget
- Åtgärder för att mildra eventuella negativa effekter
Vi kommer att samarbeta fullt ut vid din utredning och eventuella förfrågningar från tillsynsmyndigheter, samt bistå vid anmälningar om intrång till tillsynsmyndigheter och berörda personer i enlighet med vad tillämplig lag kräver.
9. Internationella dataöverföringar
När personuppgifter överförs utanför Europeiska ekonomiska samarbetsområdet (EES) förlitar vi oss på den skyddsåtgärd som anges för varje mottagare på vår sida om underbiträden, där det också framgår var en skyddsåtgärd ännu inte gäller:
Överföringsmekanismer
EU:s lämplighetsbeslut
Överföringar till länder som bedömts som lämpliga av Europeiska kommissionen
EU-US Data Privacy Framework
För USA-baserade personuppgiftsbiträden certifierade enligt DPF
Standardavtalsklausuler (SCC)
EU-kommissionens godkända klausuler (version 2021) för andra överföringar
Vi genomför bedömningar av överföringarnas påverkan där det krävs och implementerar kompletterande åtgärder (tekniska, organisatoriska och avtalsmässiga) när det är nödvändigt för att säkerställa en i huvudsak likvärdig skyddsnivå.
Du kan begära kopior av relevanta överföringsmekanismer på begäran.
10. Ansvar och ersättning
Personuppgiftsbiträdets ansvar
ClientFlow ska vara ansvarig för skador orsakade av behandling som inte överensstämmer med detta DPA eller där vi har agerat utanför eller i strid med lagliga instruktioner från den personuppgiftsansvarige.
Personuppgiftsansvariges ansvar
Den personuppgiftsansvarige ska vara ansvarig för skador orsakade av behandling som bryter mot tillämplig dataskyddslagstiftning eller inte överensstämmer med den personuppgiftsansvariges skyldigheter enligt detta DPA.
Begränsningar
- Ingen part ska vara ansvarig för indirekta, tillfälliga eller följdskador
- Det totala sammanlagda ansvaret enligt detta DPA är begränsat till avgifter som betalats under de 12 månaderna före anspråket
- Dessa begränsningar gäller inte för brott mot sekretess, uppsåtligt beteende eller grov vårdslöshet
Varje part samtycker till att ersätta den andra mot tredjepartsanspråk som uppstår från den ersättningsskyldiga partens brott mot detta DPA eller tillämplig dataskyddslagstiftning.
11. Uppsägning och dataretur
Varaktighet
Detta DPA förblir i kraft under tjänsteavtalets varaktighet och så länge vi behandlar personuppgifter å dina vägnar.
Vid uppsägning
- Efter ditt val återlämnar eller raderar vi dina personuppgifter inom 31 dagar, utom de uppgifter vi måste spara (till exempel granskningsloggar och anonymiserade faktureringsuppgifter)
- Du kan begära dataexport i ett vanligt använt maskinläsbart format
- Vi kommer att certifiera radering på begäran
- Data kan lagras där det krävs enligt tillämplig lag
Avsnitt som rör sekretess, ansvar och dataskyddsrättigheter ska överleva uppsägningen av detta DPA.