Personuppgiftsbiträdesavtal (artikel 28 GDPR)

1. Parter och avtalets föremål

1.1 Personuppgiftsansvarig är användaren (nedan ”uppdragsgivaren”), personuppgiftsbiträde är iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Tyskland (nedan ”iBeekeeper”).

1.2 iBeekeeper behandlar personuppgifter för uppdragsgivarens räkning i den mån denne sparar dem i tjänsten inom ramen för användaravtalet (de allmänna villkoren). Varaktighet: användaravtalets löptid med tillägg av fristerna enligt punkt 9.

2. Art, ändamål och omfattning

3. Instruktioner

iBeekeeper behandlar uppgifterna endast enligt dokumenterade instruktioner från uppdragsgivaren. Instruktionerna fastställs uttömmande i användaravtalet och i de inställningar och funktioner i tjänsten som uppdragsgivaren använder. Ytterligare instruktioner lämnar uppdragsgivaren i textform till service@ibeekeeper.de. Om iBeekeeper anser att en instruktion är olaglig underrättar iBeekeeper uppdragsgivaren om detta utan dröjsmål (art. 28.3 andra stycket GDPR).

4. Konfidentialitet

iBeekeeper anlitar endast personer som har förbundit sig att iaktta konfidentialitet eller omfattas av en lagstadgad tystnadsplikt.

5. Tekniska och organisatoriska åtgärder

iBeekeeper vidtar de åtgärder enligt art. 32 GDPR som beskrivs i bilaga 1 och anpassar dem till den tekniska utvecklingen utan att sänka skyddsnivån.

6. Underbiträden

6.1 Uppdragsgivaren godkänner de underbiträden som anges i bilaga 2.

6.2 iBeekeeper informerar uppdragsgivaren i textform minst 30 dagar i förväg om varje planerat anlitande eller utbyte. Uppdragsgivaren kan inom denna frist invända av viktiga dataskyddsrättsliga skäl. Om parterna inte kan enas kan uppdragsgivaren säga upp användaravtalet till tidpunkten för ändringen.

6.3 iBeekeeper ålägger genom avtal varje underbiträde samma dataskyddsskyldigheter.

7. Stöd till uppdragsgivaren

iBeekeeper stöder uppdragsgivaren med lämpliga åtgärder vid besvarandet av begäranden från registrerade (art. 12–22 GDPR), särskilt genom tjänstens export-, ändrings- och raderingsfunktioner, samt vid skyldigheterna enligt art. 32–36 GDPR. Om en registrerad vänder sig direkt till iBeekeeper vidarebefordrar iBeekeeper begäran till uppdragsgivaren.

8. Personuppgiftsincidenter

iBeekeeper anmäler en personuppgiftsincident som rör uppdragsuppgifterna till uppdragsgivaren utan dröjsmål, om möjligt inom 48 timmar efter att ha fått kännedom om den, med de uppgifter som avses i art. 33.3 GDPR, i den mån de är kända.

9. Radering och återlämnande

Uppdragsgivaren kan när som helst själv exportera och radera uppgifterna. Efter att användaravtalet har upphört respektive kontot har raderats raderar iBeekeeper uppdragsuppgifterna enligt fristerna i de allmänna villkoren (punkt 9.7), såvida det inte finns någon lagstadgad skyldighet att spara dem. Dagliga säkerhetskopior raderas efter 30 dagar, en version per kalendermånad efter 12 månader. Säkerhetskopior är krypterade och används endast för återställning; efter en återställning raderas uppgifter som har raderats under tiden på nytt.

10. Bevis och kontroller

iBeekeeper ställer på begäran den information till uppdragsgivarens förfogande som behövs för att visa att dessa skyldigheter efterlevs, och möjliggör granskningar som utförs av uppdragsgivaren eller av en granskare som denne har utsett och som är förbunden till tystnadsplikt, efter anmälan med skälig frist under kontorstid. I första hand sker bevisningen genom handlingar och upplysningar.

11. Ansvar och slutbestämmelser

För ansvaret gäller art. 82 GDPR; i övrigt gäller de allmänna villkoren. Vid motstridigheter har detta avtal företräde framför de allmänna villkoren i frågor som rör skyddet av personuppgifter.

Bilaga 1: Tekniska och organisatoriska åtgärder

• Tillträde och fysisk säkerhet: servrar uteslutande i OVHclouds datacenter, avtalspart OVH GmbH, Köln; tillträdeskontroll av OVHcloud enligt dess personuppgiftsbiträdesavtal (version av den 17 oktober 2025).
• Åtkomst till system: inloggning med lösenord, lösenord sparas endast som hash; administratörsåtkomst till servrarna endast med SSH-nyckel.
• Åtkomst till uppgifter: behörigheter i tjänsten per konto, delningar endast av användaren; administrativa åtkomster loggas (Admin-appen, logg över kundåtgärder).
• Överföring: transportkryptering TLS för alla anslutningar; foton utan metadata.
• Inmatningskontroll: ändringslogg för kassabok och utgående fakturor, oföränderlig lagring med kontrollsumma.
• Tillgänglighet: daglig säkerhetskopiering av databasen och medierna till separat lagring (OVHclouds objektlagring i Tyskland); dagliga säkerhetskopior raderas efter 30 dagar, en version per kalendermånad efter 12 månader; säkerhetskopiorna är krypterade och används endast för återställning; återställningen provas minst en gång per år och resultatet dokumenteras.
• Separering: datalagring med stöd för flera klienter, frågor per konto.
• Granskning: säkerhetsuppdateringar av servrarna och beroendena, granskning av åtgärderna årligen.

Bilaga 2: Underbiträden

OVH GmbH anlitar i sin tur bolag inom OVHcloud-koncernen, för support och underhåll även OVH Hébergement Inc. (Kanada) och OVH Limited (Förenade kungariket); den aktuella förteckningen finns på https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Inte underbiträden: Mollie, Apple och Google (betalning respektive leverans i eget förhållande till användaren, inga uppdragsuppgifter).