Personuppgiftsbiträdesavtal

Version: 12 oktober 2026

mellan

kunden som anges i huvudavtalet, som personuppgiftsansvarig

och

Essential Code GmbH, Glücksallee 8/Top 1, 3012 Wolfsgraben, Österrike, företagsnummer FN 605928x, registrerat vid Landesgericht St. Pölten, som personuppgiftsbiträde

1. Förhållande till huvudavtalet

1.1 Detta avtal reglerar biträdets behandling av personuppgifter för den ansvariges räkning i samband med Glasswise. Det kompletterar avtalet om användning av Glasswise och tillämpliga villkor, tillsammans huvudavtalet.

1.2 Avtalet anger skyldigheterna enligt artikel 28 i förordning (EU) 2016/679, GDPR, och den österrikiska dataskyddslagen, DSG. Vid konflikt om personuppgiftsbehandling har detta avtal företräde.

1.3 Kunden är personuppgiftsansvarig och Essential Code personuppgiftsbiträde. När en part behandlar uppgifter för egna ändamål har den parten sin egen dataskyddsroll för behandlingen.

2. Föremål och varaktighet

2.1 Föremålet är programvara för digitala vinetiketter, QR-koder och GS1 Digital Links samt relaterad drift, kontohantering, support, operativa meddelanden, dokumentgenerering, omdirigering och användningsanalys.

2.2 Behandlingen börjar när tjänsten aktiveras och fortsätter tills huvudavtalet upphör. Skyldigheter som till sin natur består, däribland sekretess, återlämning, radering, bevisning och ansvar, fortsätter därefter.

3. Behandlingens art och ändamål

3.1 Biträdet får behandla personuppgifter endast i den mån det behövs för att tillhandahålla, skydda, underhålla och stödja Glasswise. Åtgärder kan omfatta insamling, registrering, organisering, lagring, hämtning, användning, överföring, tillgängliggörande, sammanställning, begränsning och radering.

3.2 Ändamålen omfattar:

• hantering av användarkonton, organisationer, roller och behörigheter
• skapande och leverans av digitala etiketter, QR-destinationer, GS1 Digital Links och datablad
• omdirigering och tekniskt nödvändig åtkomstloggning
• transaktions- och servicemeddelanden
• felanalys, säkerhet, förebyggande av missbruk och support
• delning av publicerade e-labeldata med E-Label Atlas, Essential Codes egen gemensamma databas, när den ansvarige aktiverar funktionen

3.3 Behandling för biträdets egna ändamål ligger utanför avtalet och kräver separat rättslig grund och transparent information.

4. Registrerade och typer av uppgifter

4.1 Registrerade kan vara:

• anställda, företrädare, ombud och andra användare hos den ansvarige
• affärspartner, tappare, producenter, importörer, distributörer och deras kontaktpersoner
• personer som öppnar digitala etiketter eller relaterade länkar
• personer som lämnar supportärenden eller nämns i innehåll från den ansvarige

4.2 Uppgifterna kan omfatta:

• identitets- och kontaktuppgifter som namn, företags-e-post, telefon, företag och roll
• konto, tenant, roll och behörighet
• produkt, vin, årgång, ingrediens, näring, ursprung, aktör och märkning när uppgifterna är personliga
• länk, QR, åtkomst och användning, exempelvis tid, destination, hänvisande sida, land, enhet, webbläsare och nätverksmetadata
• meddelanden, support, fel och loggar
• tekniska identifierare, identifierare i externa tjänster, abonnemang och status
• filer, bilder och datablad som den ansvarige laddar upp

4.3 Särskilda kategorier enligt artikel 9 GDPR och brottsuppgifter enligt artikel 10 är inte avsedda att behandlas. Kunden får inte lämna sådana uppgifter utan föregående skriftligt avtal.

5. Instruktioner och den ansvariges skyldigheter

5.1 Biträdet behandlar uppgifter endast enligt dokumenterade instruktioner, om inte EU-rätt eller österrikisk rätt kräver annat. När lag tillåter informerar biträdet kunden före en lagstadgad behandling.

5.2 Huvudavtalet, användning av avsedda funktioner, supportärenden och skriftliga anvisningar är dokumenterade instruktioner. En väsentlig utökning av tjänst, arbete eller risk kan kräva separat avtal.

5.3 Om biträdet anser att en instruktion strider mot lag informeras kunden utan dröjsmål och instruktionen får stoppas tills frågan är löst.

5.4 Kunden ansvarar för laglighet, transparens, uppgiftsminimering, riktighet, rättsliga grunder, samtycken och svar på registrerades begäranden. Kunden ger åtkomst endast till behöriga personer och använder inte tjänsten för data som utesluts i punkt 4.3.

6. Biträdets skyldigheter och sekretess

6.1 Biträdet säkerställer att behöriga personer omfattas av sekretess eller lämplig lagstadgad tystnadsplikt. Skyldigheten består efter att arbetet upphört.

6.2 Biträdet inför och upprätthåller tekniska och organisatoriska åtgärder enligt artikel 32 GDPR. Bilaga 2 beskriver åtgärder som för närvarande kan verifieras i konfiguration eller kod och begränsar inte den riskbaserade skyldigheten. Åtkomst begränsas till vad drift, säkerhet och support kräver.

6.3 Med hänsyn till behandlingen och tillgänglig information hjälper biträdet kunden med artiklarna 32 till 36 GDPR och tillämpliga DSG-skyldigheter.

6.4 När det är lagligt hänvisas myndighetsbegäranden om kunddata till kunden. Biträdet meddelar kunden före ett tvingande utlämnande när lag tillåter det.

7. Registrerades rättigheter och konsekvensbedömningar

7.1 Biträdet hjälper genom lämpliga åtgärder vid begäran om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning.

7.2 En begäran som biträdet tar emot direkt och som gäller kunddata vidarebefordras utan onödigt dröjsmål. Biträdet svarar inte för kundens räkning utan dokumenterad instruktion.

7.3 På rimlig begäran lämnar biträdet tillgänglig information för konsekvensbedömningar och förhandssamråd. Exceptionellt merarbete kan debiteras efter föregående överenskommelse om det inte orsakats av biträdets avtalsbrott.

8. Personuppgiftsincidenter

8.1 Biträdet meddelar kunden om en incident som påverkar kunddata utan onödigt dröjsmål och senast 48 timmar efter kännedom. En pågående utredning skjuter inte upp det första meddelandet.

8.2 Meddelandet beskriver, i den mån informationen finns, incidenten, berörda uppgifter och personer, sannolika följder, vidtagna eller föreslagna åtgärder och kontaktpunkt. Saknad information följer utan onödigt dröjsmål.

8.3 Biträdet vidtar rimliga åtgärder för begränsning, rättelse och utredning och dokumenterar incidenten. Meddelandet är inte ett erkännande av avtalsbrott eller ansvar.

9. Underbiträden

9.1 Kunden ger allmänt tillstånd till underbiträdena i bilaga 1.

9.2 Biträdet meddelar minst 30 dagar innan ett underbiträde läggs till eller byts ut. Kunden får invända på rimliga dataskyddsgrunder inom 14 dagar från mottagandet.

9.3 Parterna söker en rimlig lösning. Om ingen finns får biträdet hålla inne berörd funktion eller kunden säga upp den berörda tjänstedelen av skäl. Övriga rättigheter påverkas inte.

9.4 Varje underbiträde binds genom avtal eller annan tillåten rättsakt till samma tillämpliga dataskyddsskyldigheter, däribland lämpliga åtgärder enligt artikel 32. Biträdet förblir fullt ansvarigt gentemot kunden enligt artikel 28.4 GDPR.

10. Behandling utanför EES

10.1 Överföring till tredjeland eller internationell organisation kräver dokumenterad instruktion och efterlevnad av kapitel V GDPR. Vid lagstadgad behandling gäller punkt 5.1 och överföringskraven påverkas inte.

10.2 Utan beslut om adekvat skyddsnivå använder biträdet ett tillåtet instrument, särskilt EU-kommissionens standardavtalsklausuler, och kompletterande åtgärder när det behövs.

10.3 Före överföring fastställer parterna rätt modul och avtalsparter utifrån faktiska roller. Biträdet ingår klausulerna direkt som dataexportör när det krävs för överföring från biträde till biträde. Biträdet agerar i kundens namn endast när rätt modul kräver det och kunden separat har dokumenterat tillståndet. På begäran lämnas information om instrumentet med förbehåll för sekretess och säkerhet.

11. Återlämning och radering

11.1 När tjänsten upphör återlämnar biträdet, efter kundens val, kunddata i tillgängligt vanligt format eller raderar dem. Efter återlämning raderas återstående kopior, även hos underbiträden, om inte EU-rätt eller österrikisk rätt kräver lagring.

11.2 Återlämning eller export är tillgänglig under övergångs- och hämtningsperioden. Radering sker först när skyddsåtgärderna för hämtning har uppfyllts, med förbehåll för tvingande lagring och lagliga dokumenterade instruktioner.

11.3 Data som sparas enligt lag och säkerhetskopior som tillfälligt finns kvar till slutet av bekräftad cykel begränsas, skyddas mot återanvändning och behandlas endast för lagrings- eller återställningsändamålet.

12. Bevisning och revision

12.1 Biträdet lämnar information som skäligen behövs för att visa efterlevnad av artikel 28 GDPR.

12.2 Biträdet tillåter och medverkar vid nödvändiga revisioner och inspektioner av kunden eller en oberoende revisor med sekretess. En revision per kalenderår förväntas normalt. Fler är tillåtna vid rimlig misstanke, väsentlig incident, myndighetskrav eller annat behov. Dokumentgranskning och tillgängliga rapporter används först när det är praktiskt möjligt.

12.3 Revision kräver normalt två veckors varsel, sker under arbetstid och får inte oskäligt störa drift eller skada säkerhet, andra kunder eller konfidentiell information. Kunden bär kostnaden om inget väsentligt avtalsbrott hos biträdet konstateras. Villkoren får inte hindra eller oskäligt försena lagstadgad revision eller brådskande myndighetsinspektion.

12.4 Biträdet informerar kunden om det anser att en revision eller instruktion strider mot dataskyddslag.

13. Ansvar och företräde

13.1 Ansvar regleras av artikel 82 GDPR och, där lag tillåter, huvudavtalets ansvarsregler. Registrerades tvingande anspråk och myndighetsbefogenheter påverkas inte.

13.2 Inget begränsar ansvar som enligt tillämplig lag inte får begränsas.

14. Lag, jurisdiktion och slutbestämmelser

14.1 Österrikisk lag gäller, med undantag för lagvalsregler och FN-konventionen om internationella köp.

14.2 I lagligt tillåten omfattning har behörig domstol i St. Pölten exklusiv jurisdiktion.

14.3 Ändringar kräver textform. Ogiltighet av en bestämmelse påverkar inte övriga. Parterna ersätter den med en giltig bestämmelse som så nära som möjligt uppnår dess kommersiella och dataskyddsrättsliga syfte.

Bilaga 1: Godkända underbiträden

Leverantör	Ändamål	Uppgifter	Plats, region och överföringsgrund
Nhost AB, Tallåsstigen 4, 141 71 Segeltorp, Sverige	Autentisering, databas, objektlagring, backend och funktioner	Konto, organisation, roll, produkt, innehåll, fil och logg	Produktionsendpoint i eu-central-1, Frankfurt. Överföring utanför EES kräver föregående skriftligt samtycke och EU:s standardavtalsklausuler om inget annat avtalas
Vercel, Inc.	Drift av administrationsappen och leverans av digitala etiketter	Begärande- och loggdata, tekniska identifierare och levererat innehåll	Beräkningsregion fra1, Frankfurt. Möjlig global support- och säkerhetsbehandling med lämpliga skydd, särskilt standardavtalsklausuler
Dub Technologies, Inc., 2261 Market Street STE 5906, San Francisco, CA 94114, USA	Kortlänkar, omdirigering, geografiska regler och åtkomststatistik	Destination, länk- och tenantidentifierare, land, enhet och begärandemetadata	USA och andra länder där Dub eller underbiträden verkar. EU:s standardavtalsklausuler gäller utan beslut om adekvat skyddsnivå
AC PM LLC, 1 North Dearborn Street, 5th floor, Chicago, IL 60602, USA, tjänsten Postmark	Transaktions- och service-e-post	Mottagarens e-post, namn, innehåll, malldata och eventuella bilagor	Primära data och servrar vid Deft utanför Chicago och AWS. EU-US Data Privacy Framework samt standardavtalsklausuler där det krävs
PostHog Inc., 2261 Market St., #4008, San Francisco, CA 94114, USA	Produktanalys och feldiagnos i appen enligt kundens instruktion. Egna ändamål omfattas inte av tillståndet	Användar- och tenantidentifierare, e-post, namn, sid- och användningshändelser och felkontext	EU-endpoint eu.i.posthog.com. EU-data lagras och behandlas i Tyskland. EU-US Data Privacy Framework och standardavtalsklausuler
Gleap GmbH, Am Dorfplatz 3, 6858 Schwarzach, Österrike	Support, återkoppling och feldiagnos enligt kundens instruktion. Egna ändamål omfattas inte	Användaridentifierare, namn, e-post, supportinnehåll, abonnemang och status	Kundinnehåll i Frankfurt eller NYC3, New York, beroende på region. Annan behandling kan ske utanför vald region
Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA	Turnstile-skydd mot missbruk och robotar vid autentisering	IP-adress, webbläsare, enhet, begäran och utmaningsdata	Uppgifter lagras främst i USA och EES och kan nås globalt. EU-US Data Privacy Framework, standardavtalsklausuler och kompletterande åtgärder om certifieringen upphör
PDFMonkey, 49 rue de Ponthieu, Lot 41, 75008 Paris, Frankrike	Generering av PDF-datablad	Produkt, vin, aktör, bild och dokumentinnehåll när det är personligt	Appservrar, fillagring och dokumentrendering i Paris. Databas i Frankfurt

Bilaga 2: Tekniska och organisatoriska åtgärder

Endast åtgärder som kan verifieras i aktuell konfiguration eller kod anges. Ingen certifiering uppges.

1. Kryptering under överföring: Offentligt konfigurerade app-, API-, lagrings- och webhook-endpoints använder HTTPS.
2. Autentisering: För e-post- och lösenordskonton kräver Nhost verifierad e-post och minst nio tecken i lösenordet. Kortlivade åtkomsttoken och separata uppdateringstoken används.
3. Behörighet och tenantseparering: Databas- och API-behörigheter tar hänsyn till roller, kontomedlemskap och tenant. Privilegierade backendåtgärder använder serverbehörighet.
4. Härdning i produktion: Hasuras utvecklarläge är avstängt och CORS-origin är begränsad till administrationsappen.
5. Skydd mot missbruk: Turnstile och begärandegränser används i autentiseringsflöden.
6. Integritet för externa anrop: Inkommande betalnings- och servicehändelser använder signaturer eller delade hemligheter när integrationen erbjuder det. Indata kontrolleras mot definierade scheman.
7. Regional konfiguration: Produktionsbackend finns i eu-central-1. Konfigurerad beräkningsregion för administration och etiketter är fra1.
8. Sekretess och minsta åtkomst: Punkt 6 kräver avtalssekretess och behovsprincip för administrativ åtkomst.

Åtgärder som inte listas omfattas av den riskbaserade skyldigheten i punkt 6.2 och uppges inte som separat verifierade avtalsfunktioner.