Personuppgiftsbiträdesavtal (DPA)

1. Inledning

Detta personuppgiftsbiträdesavtal ("DPA") reglerar behandlingen av personuppgifter som utförs av PriceLotterys underbiträden (sub-processorer) i enlighet med artikel 28 i EU:s dataskyddsförordning (GDPR). Avtalet kompletterar vår integritetspolicy och beskriver hur vi säkerställer att alla tredjeparter som behandlar personuppgifter för vår räkning uppfyller GDPR:s krav.

Personuppgiftsansvarig: PriceLottery, Dyviksvägen 78, 184 91 Åkersberga, Sverige.

Kontakt: privacy@pricelottery.se

2. Förteckning över underbiträden (sub-processorer)

Följande tjänsteleverantörer behandlar personuppgifter som underbiträden åt PriceLottery. Vi har säkerställt att varje leverantör uppfyller GDPR:s krav genom avtal, tekniska åtgärder och lämpliga skyddsmekanismer för eventuella tredjelandsöverföringar.

2.1 Stripe (Betalningshantering)

2.2 Resend (E-postleverans)

2.3 SendGrid (Alternativ e-postleverans)

2.4 Vercel (Hosting och CDN)

2.5 PostgreSQL-hosting (Databas)

2.6 Redis-hosting (Cache och köer)

2.7 OpenSearch (Sökmotor)

3. Mekanismer för dataöverföring till tredjeland

När personuppgifter överförs till länder utanför EU/EES säkerställer vi att en av följande skyddsmekanismer finns på plats:

• Beslut om adekvat skyddsnivå — EU-kommissionen har bedömt att mottagarlandet säkerställer en adekvat skyddsnivå (t.ex. EU-US Data Privacy Framework för certifierade amerikanska företag).
• Standardavtalsklausuler (SCC) — Avtal godkända av EU-kommissionen som säkerställer tillräckligt dataskydd (Art. 46.2.c GDPR).
• Kompletterande åtgärder — Där det behövs tillämpar vi tekniska åtgärder såsom kryptering och pseudonymisering i enlighet med EDPB:s riktlinjer.

4. Säkerhetsåtgärder (Art. 32 GDPR)

PriceLottery och alla underbiträden vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter:

• Kryptering vid transport — All kommunikation sker över TLS 1.2+.
• Kryptering i vila — Databaser krypteras med AES-256.
• Hashning av IP-adresser — Råa IP-adresser hashas med SHA-256 och hemligt salt innan lagring.
• Åtkomstkontroll — Rollbaserad åtkomstkontroll (RBAC) för alla system.
• Loggning och övervakning — Alla åtkomster till personuppgifter loggas.
• Säkerhetskopiering — Dagliga krypterade säkerhetskopior med testade återställningsrutiner.
• Incidenthantering — Dokumenterad process för hantering av personuppgiftsincidenter.

5. Personuppgiftsincidenter (Art. 33–34 GDPR)

Vid en personuppgiftsincident följer PriceLottery följande process:

• Inom 24 timmar: Intern utredning påbörjas. Alla berörda underbiträden kontaktas.
• Inom 72 timmar: Om incidenten innebär en risk för fysiska personers rättigheter och friheter anmäls den till Integritetsskyddsmyndigheten (IMY) i enlighet med Art. 33 GDPR.
• Utan onödigt dröjsmål: Om incidenten sannolikt medför en hög risk för de registrerades rättigheter informeras berörda individer direkt (Art. 34 GDPR).
• Dokumentation: Alla incidenter dokumenteras med beskrivning, påverkade uppgifter, vidtagna åtgärder och lärdomar.

Alla underbiträden är avtalsenligt skyldiga att underrätta PriceLottery om eventuella personuppgiftsincidenter utan onödigt dröjsmål.

6. Revisionsrättigheter

PriceLottery förbehåller sig rätten att, direkt eller genom en oberoende tredjepartsrevisor:

• Granska underbiträdens dataskyddsåtgärder och efterlevnad av GDPR.
• Begära dokumentation över tekniska och organisatoriska åtgärder.
• Utföra revisioner med rimligt varsel (normalt 30 dagars förvarning).

Underbiträden som inte kan uppvisa tillräckliga skyddsåtgärder ersätts inom skälig tid.

7. Ändringar av underbiträden

Om PriceLottery avser att lägga till eller byta underbiträde uppdateras denna sida. För användare med konto skickas ett meddelande om väsentliga ändringar. Du har rätt att invända mot en ny underprocessor genom att kontakta privacy@pricelottery.se.

8. Kontakt

Frågor om detta personuppgiftsbiträdesavtal riktas till:

PriceLottery
Dyviksvägen 78, 184 91 Åkersberga, Sverige
E-post: privacy@pricelottery.se