Juridik

Databehandlingsavtal

Senast uppdaterad: 2026-09-15

Detta databehandlingsavtal ("DPA") reglerar hur vaschego behandlar personuppgifter för kundens räkning och utgör ett tilläggsavtal till användarvillkoren. Avtalet uppfyller kraven i GDPR artikel 28. Genom att ingå avtal om Tjänsten godkänner kunden detta DPA.

1. Definitioner och roller

Personuppgiftsansvarig (den Ansvarige): Den organisation som tecknar avtal om Tjänsten och bestämmer ändamålen med behandlingen av personuppgifter. Det kan exempelvis vara en bostadsrättsförening, fastighetsägare, samfällighet, företag eller idrottsförening.

Personuppgiftsbiträde (Biträdet): Bernie Solutions AB (org.nr 559172-6285), som driver vaschego och behandlar personuppgifter för den Ansvariges räkning.

Registrerade: De personer vars uppgifter behandlas när de nyttjar bokningsbara resurser — t.ex. boende, hyresgäster, anställda eller medlemmar beroende på den Ansvariges verksamhet.

2. Behandlingens syfte och art

Biträdet behandlar personuppgifter uteslutande för att tillhandahålla den boknings- och resurshanteringstjänst som avtalats. Behandlingen omfattar lagring, visning, avisering och gallring av bokningsdata i enlighet med Tjänstens funktion.

Biträdet får inte behandla personuppgifterna för egna ändamål, överlåta dem till tredje part för marknadsföring eller använda dem på annat sätt än vad som följer av detta DPA och Användarvillkoren.

3. Kategorier av personuppgifter och registrerade

Registrerade: De personer som nyttjar den Ansvariges bokningsbara resurser — t.ex. boende, hyresgäster, anställda eller medlemmar.

Personuppgifter som behandlas: Den identifierare som den Ansvarige konfigurerat för resursen (t.ex. lägenhetsnummer, medlemsnummer eller gatuadress), angiven frivilligt av den registrerade vid bokning, samt tidpunkt och varaktighet för bokning. Om den registrerade själv väljer det behandlas även telefonnummer (för sms-avisering från kön) och e-postadress (för digital nyckelleverans, när den Ansvarige aktiverat låsintegration). När den Ansvarige satt bokningsvillkor, kräver ändamål eller slagit på bokningsnotis för en resurs behandlas även e-postadress och angivet ändamål för bokningen samt den Ansvariges motivering vid avslag; uppgifterna gallras med bokningen respektive 90 dagar efter avslaget. Personnummer eller andra känsliga uppgifter samlas inte in.

Lagringstid: Bokningsuppgifter sparas under avtalstiden och utgör underlag för den Ansvariges statistik, årsrapport och debiteringsunderlag. Telefonnummer för sms-avisering raderas automatiskt när köplatsen avslutas. Vid avtalets upphörande raderas samtliga uppgifter enligt avsnitt 7.

4. Biträdets skyldigheter

Biträdet förbinder sig att:

— Behandla personuppgifter enbart enligt dokumenterade instruktioner från den Ansvarige, vilket innefattar detta DPA och Användarvillkoren.

— Säkerställa att personer med tillgång till uppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lagstadgad tystnadsplikt.

— Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder i enlighet med GDPR artikel 32 (se avsnitt 6 nedan).

— Utan onödigt dröjsmål underrätta den Ansvarige om personuppgiftsincidenter som kan påverka de registrerade.

— Bistå den Ansvarige med att uppfylla de registrerades rättigheter (tillgång, rättelse, radering m.m.) i den mån det är möjligt med hänsyn till behandlingens art.

— På begäran radera eller återlämna alla personuppgifter när avtalet upphör, om inte lagring krävs enligt unionsrätt eller nationell rätt.

— Tillhandahålla den Ansvarige all information som krävs för att visa att skyldigheterna i detta DPA uppfylls, och möjliggöra och bidra till revisioner.

5. Underbiträden

Den Ansvarige ger ett generellt förhandstillstånd till att anlita underbiträden. Biträdet anlitar följande underbiträden för behandling av personuppgifter:

Supabase Inc. — databas och autentisering. Data lagras inom EU/EES (AWS eu-north-1, Stockholm). Supabase är GDPR-kompatibelt och Biträdet har ingått DPA med Supabase.

Vercel Inc. — webbhosting och serverless-funktioner. Vercel är GDPR-kompatibelt.

Resend Inc. — transaktionell e-post (inloggningslänkar till administratörer, bokningsnotiser och avslagsmeddelanden). Vid bokningsnotis och avslag passerar den registrerades e-postadress, identifierare och angivet ändamål Resend.

46elks AB — sms-utskick (avisering från kön). Behandlar telefonnummer som den registrerade frivilligt angett. Svensk leverantör.

Parakey AB — digital nyckelleverans, endast när den Ansvarige aktiverat låsintegration. Behandlar e-postadress och bokningens tidsfönster. Svensk leverantör.

Anthropic Ireland, Limited — AI-tolkning av resurslistor vid import, endast när en administratör hos den Ansvarige själv laddar upp ett underlag. Underlaget (som kan innehålla namn, lägenhetsnummer eller adresser) skickas till Anthropics API och tolkas till resursrader som administratören granskar innan något skapas. Biträdet lagrar inte underlaget. Enligt Anthropics API-villkor används innehållet inte för att träna modeller och raderas hos Anthropic inom 30 dagar. Behandling kan ske i USA; Anthropic är certifierat under EU–USA:s dataskyddsram och Anthropics databehandlingsbilaga innehåller EU:s standardavtalsklausuler. Registrerades bokningar behandlas aldrig av AI. Se även vaschego.se/ai.

Stripe Inc. — betalningshantering. Stripe behandlar faktureringsuppgifter för administratörskonton, inte registrerades uppgifter.

Biträdet informerar den Ansvarige om planerade förändringar av underbiträden och ger möjlighet att invända innan förändringen träder i kraft. Biträdet ansvarar för att underbiträden uppfyller motsvarande skyldigheter som fastställts i detta DPA.

6. Säkerhetsåtgärder

Biträdet upprätthåller följande tekniska och organisatoriska åtgärder:

— Kryptering av data i transit (TLS 1.2+) och i vila.

— Åtkomstkontroll med rollbaserade behörigheter och Row Level Security i databasen.

— Autentisering via engångslänkar (magic links) — inga lösenord lagras.

— Automatisk radering av telefonnummer när köplatsen avslutas; övrig gallring enligt avsnitt 3 och 7.

— Regelbundna säkerhetsgenomgångar av kod och infrastruktur.

7. Avtalstid och upphörande

Detta DPA gäller så länge den Ansvarige har ett aktivt avtal om Tjänsten. Vid avtalets upphörande raderar Biträdet den Ansvariges data inom 90 dagar, om inte längre lagring krävs av tillämplig lag.

8. Tillämplig lag

Detta DPA regleras av svensk rätt och GDPR. Vid konflikt mellan DPA och Användarvillkoren har DPA företräde i frågor som rör behandling av personuppgifter.

Frågor om databehandling?

Kontakta oss på hej@vaschego.se.