Databehandlingsavtal

1. Databehandlingsbilaga

GPTBoost värnar om kunduppgifternas integritet och säkerhet och om att behandlingen följer gällande regler. Denna databehandlingsbilaga (“DPA”) anger villkoren för hur vi behandlar, lagrar och skyddar personuppgifter enligt tillämpliga dataskyddslagar. Bilagan kompletterar vårt huvudavtal med kunden och gäller när GPTBoost behandlar personuppgifter för kundens räkning som personuppgiftsbiträde.

Bilagan tydliggör båda parternas ansvar för datahanteringen för att säkerställa att tillämpliga dataskyddslagar följs. Genom att använda GPTBoost bekräftar och godkänner kunden villkoren i bilagan. Om du behöver ett undertecknat exemplar för att dokumentera regelefterlevnad kontaktar du oss på [email protected].

2. Definitioner

Närstående bolag avser varje enhet som direkt eller indirekt kontrollerar, kontrolleras av eller står under gemensam kontroll med en part. “Kontroll” betyder direkt eller indirekt ägande av minst 50 % av rösträtterna, kapitalandelarna eller liknande rättigheter i enheten. Närstående bolag anses bundna av skyldigheterna och ansvaret i detta DPA i den utsträckning de deltar i behandling av personuppgifter.

Auktoriserat underbiträde betyder en tredjepartsleverantör, tjänsteleverantör eller konsult som anlitas av GPTBoost för att behandla kundens personuppgifter strikt för räkning av GPTBoost och enligt dess instruktioner. Alla underbiträden måste följa samma dataskyddsskyldigheter och upprätthålla säkerhet, konfidentialitet och regulatorisk efterlevnad.

Kontodata avser all affärsrelaterad information som samlas in, lagras och behandlas av GPTBoost i relation till dess avtalsförhållande med kunden. Detta omfattar namn, e-postadresser, telefonnummer, betalningsuppgifter och åtkomstuppgifter för personer som kunden har gett behörighet att hantera och driva kontot på plattformen. Kontodata används strikt för administrativa, fakturerings- och supportändamål.

Dataskyddslagar omfattar alla tillämpliga lagar, regler och regelverk för insamling, behandling, lagring, överföring och skydd av personuppgifter — inklusive men inte begränsat till EU:s allmänna dataskyddsförordning (GDPR), Storbritanniens GDPR, California Consumer Privacy Act (CCPA) och andra nationella eller internationella dataskyddslagar som är relevanta för behandlingen enligt detta avtal.

Personuppgifter avser all information som rör en identifierad eller identifierbar fysisk person (“registrerad”). Personuppgifter omfattar inte anonymiserad eller aggregerad data som inte kan användas för att identifiera en individ.

Behandling innebär varje åtgärd eller serie av åtgärder som utförs på personuppgifter, automatiskt eller manuellt — inklusive insamling, registrering, organisering, strukturering, lagring, anpassning, ändring, hämtning, läsning, användning, utlämnande, överföring, begränsning, radering eller förstöring.

Säkerhetsåtgärder avser tekniska och organisatoriska skyddsåtgärder som vidtas för att säkerställa personuppgifternas konfidentialitet, riktighet och tillgänglighet. De omfattar kryptering, åtkomstkontroller, brandväggar, datamaskering, pseudonymisering, regelbundna säkerhetsgranskningar och rutiner för incidentanmälan.

Tillsynsmyndighet avser en oberoende offentlig myndighet som övervakar och säkerställer att dataskyddslagar följs — exempelvis Europeiska dataskyddsstyrelsen (EDPB), Storbritanniens Information Commissioner’s Office (ICO) och California Privacy Protection Agency (CPPA).

Registrerades rättigheter avser rättigheter som individer har enligt tillämpliga dataskyddslagar, inklusive åtkomst, rättelse, radering, begränsning, portabilitet, invändning och rätt att lämna klagomål till en tillsynsmyndighet.

3. Behandling av data

Kunden kan vara antingen personuppgiftsansvarig eller personuppgiftsbiträde, beroende på förhållandet till den registrerade och ändamålen med behandlingen. I samtliga fall är GPTBoost personuppgiftsbiträde och behandlar personuppgifter för kundens räkning och enligt kundens instruktioner.

Kunden ansvarar för att säkerställa att all databehandling som utförs med våra tjänster följer tillämpliga dataskyddslagar. Kunden bekräftar att den har rättslig grund att behandla personuppgifter och håller GPTBoost skadeslöst från krav, ansvar eller skador som följer av bristande efterlevnad av dessa rättsliga krav.

GPTBoost behandlar personuppgifter endast enligt kundens skriftliga instruktioner och enbart i den utsträckning som krävs för att tillhandahålla tjänsterna, om inte lag kräver annat. Vi använder, lämnar ut eller delar inte personuppgifter för något annat syfte än de som kunden godkänt eller som uttryckligen anges i detta avtal.

Vid uppsägning av avtalet eller på kundens begäran kommer GPTBoost, enligt kundens val, antingen (a) säkert radera alla personuppgifter som behandlats enligt detta avtal, utan kvarvarande kopior om inte lag kräver det, eller (b) returnera personuppgifter till kunden i ett strukturerat, allmänt använt och maskinläsbart format före radering.

4. Säkerhet och konfidentialitet

GPTBoost är engagerat i att skydda säkerheten och konfidentialiteten för personuppgifter som behandlas för kundens räkning. Vi implementerar och upprätthåller branschledande säkerhetsåtgärder utformade för att förhindra obehörig åtkomst, utlämnande, ändring eller förstöring av personuppgifter, inklusive:

• Datakryptering. Personuppgifter krypteras under överföring (TLS 1.2+) och i vila (AES-256) med branschstandardprotokoll.
• Åtkomstkontroller. Strikta åtkomsthanteringspolicyer säkerställer att endast behörig personal har åtkomst till personuppgifter enligt principen om lägsta behörighet.
• Nätverks- och systemsäkerhet. Brandväggar, intrångsdetekteringssystem och kontinuerlig övervakning hjälper till att förhindra obehörig åtkomst och cyberhot.
• Anonymisering och pseudonymisering av data. Där tillämpligt anonymiseras eller pseudonymiseras personuppgifter för att minska risker kopplade till dataexponering.
• Regelbundna säkerhetsgranskningar. Periodiska säkerhetsbedömningar, sårbarhetstester och efterlevnadskontroller identifierar och minskar risker.
• Incidenthanteringsplan. Ett strukturerat protokoll säkerställer att säkerhetsincidenter snabbt identifieras, begränsas och rapporteras i enlighet med tillämpliga dataskyddslagar.

Varje person — anställd, konsult eller auktoriserad tjänsteleverantör — som behandlar personuppgifter för vår räkning är bunden av strikta sekretesskyldigheter, inklusive undertecknade sekretessavtal och efterlevnad av interna datahanteringspolicyer.

5. Underbiträden

GPTBoost anlitar underbiträden för att tillhandahålla och underhålla tjänsten. De utför särskilda uppgifter, såsom drift av infrastruktur, betalningshantering, leverans av transaktionsmejl och säkerhet. Genom undertecknade avtal säkerställer vi att samtliga underbiträden följer dataskyddsskyldigheter som motsvarar dem i detta DPA.

En aktuell lista finns tillgänglig på begäran från [email protected]. Nuvarande underbiträden inkluderar men är inte begränsade till:

• Stripe — betalningshantering, fakturering och bedrägerikontroll.
• Mailgun — leverans av transaktions- och aviseringsmejl.
• Cloudflare — CDN, DDoS-skydd och Turnstile-kontroll mot botar.
• Leverantörer av hanterade databaser — krypterad lagring i vila för applikationsdata.

AI-systemens anslutningspunkter

För att mäta hur generativa assistenter beskriver en kunds företag skickar GPTBoost noggrant utformade offentliga frågor till de officiella API-slutpunkterna för ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), DeepSeek och Grok (xAI). Dessa motorer är oberoende tjänsteleverantörer som driver egen infrastruktur under egna villkor.

• Vi skickar endast frågor förberedda för AI Visibility Sprint — inte dina kontodata, inte dina privata filer och inte dina kunders personuppgifter.
• Vi skickar aldrig personuppgifter eller proprietärt innehåll som träningsunderlag. Där leverantören erbjuder en “do not use my data to train models”-inställning aktiverar vi den på våra servicekonton.
• Varje motor behandlar frågor enligt sin egen integritetspolicy och sitt eget lagringsschema. Länkar till dessa policyer finns i bilagan till cookiepolicyn och på begäran.

Kundens rättigheter & invändningar. GPTBoost informerar kunder om nya underbiträden minst 10 dagar i förväg. Kunden får invända skriftligen inom denna period om det finns befogade dataskyddsskäl. Vi för diskussioner i god tro för att hantera invändningarna. Om ingen ömsesidigt godtagbar lösning nås kan kunden ha rätt att säga upp de berörda tjänsterna.

6. Överföring av personuppgifter

GPTBoost kan överföra personuppgifter utanför Europeiska ekonomiska samarbetsområdet (EES), Storbritannien eller Schweiz för att möjliggöra tillhandahållandet av tjänster. När sådana överföringar sker säkerställer vi lämpliga rättsliga skyddsåtgärder, inklusive:

• Standardavtalsklausuler (SCC) som godkänts av Europeiska kommissionen eller andra behöriga myndigheter.
• Kompletterande åtgärder — ytterligare tekniska, organisatoriska och avtalsmässiga skyddsåtgärder.
• Bindande företagsbestämmelser (BCR) när dessa är tillämpliga för närstående bolag.
• Andra godkända överföringsmekanismer som erkänns enligt tillämplig lag.

7. Registrerades rättigheter

GPTBoost erkänner och respekterar registrerades rättigheter enligt tillämpliga dataskyddslagar. Vi hjälper kunden, som personuppgiftsansvarig, att svara på begäranden från individer om deras personuppgifter:

• Rätt till tillgång — bekräftelse på om data behandlas och åtkomst till den.
• Rätt till rättelse — rättelse av felaktiga eller ofullständiga data.
• Rätt till radering (“rätten att bli glömd”) — radering av personuppgifter, med förbehåll för rättsliga och avtalsmässiga skyldigheter.
• Rätt till begränsning av behandling — begränsning av behandling av personuppgifter under vissa villkor.
• Rätt till dataportabilitet — att få och överföra personuppgifter till en annan personuppgiftsansvarig där det är tekniskt möjligt.
• Rätt att invända — mot behandling baserad på berättigat intresse, direktmarknadsföring eller automatiserat beslutsfattande.
• Rätt att återkalla samtycke — när som helst om behandling baseras på samtycke.

8. Meddelande om personuppgiftsincident

GPTBoost implementerar förebyggande åtgärder för att skydda personuppgifter. Vid en bekräftad personuppgiftsincident ska vi:

• Bedöma incidentens påverkan och vidta omedelbara begränsningsåtgärder;
• Meddela kunden utan onödigt dröjsmål, normalt inom 48 timmar efter bekräftelse;
• Lämna uppgifter om incidentens art och omfattning, vilka typer av uppgifter som har påverkats, möjliga konsekvenser och vidtagna åtgärder;
• Hjälpa kunden att fullgöra eventuella lagstadgade skyldigheter att underrätta myndigheter och berörda registrerade;
• Implementera korrigerande åtgärder för att förhindra upprepning.

Kunden ansvarar för att avgöra om tillsynsmyndigheter och registrerade ska underrättas enligt tillämpliga dataskyddslagar.

9. Lagring och radering av data

GPTBoost behåller personuppgifter endast så länge som krävs för att uppfylla sina skyldigheter enligt detta avtal eller enligt tillämplig lag. Vi följer principer om dataminimering: data behålls endast för legitima affärs- och efterlevnadsbehov och raderas eller anonymiseras när den inte längre behövs.

Kunder kan begära radering av personuppgifter när som helst. Vid uppsägning av tjänster kommer GPTBoost att radera eller returnera personuppgifter enligt kundens instruktioner. Om ingen raderingsbegäran görs raderas personuppgifter automatiskt inom rimlig tid om inte rättsliga lagringskrav gäller (skattehandlingar, bedrägeriförebyggande utredningar osv.).

10. Tillämplig lag & tvistlösning

Detta DPA styrs av och tolkas enligt samma lagar och jurisdiktion som definieras i huvudavtalet mellan GPTBoost och kunden. Tvister ska först lösas genom förhandling i god tro; om ingen lösning nås kan tvisten hänskjutas till medling, skiljeförfarande eller behöriga domstolar i tillämplig jurisdiktion. Vid konflikt mellan detta DPA och huvudavtalet har villkoren i DPA företräde i dataskyddsfrågor.

11. Slutbestämmelser

Detta DPA utgör en integrerad del av det övergripande avtalet mellan GPTBoost och kunden. Genom fortsatt användning av tjänsterna bekräftar och accepterar kunden villkoren i detta DPA. Om någon bestämmelse befinns ogiltig eller ogenomförbar fortsätter övriga bestämmelser att gälla fullt ut.

GPTBoost förbehåller sig rätten att ändra eller uppdatera detta DPA för att spegla förändringar i tillämpliga dataskyddslagar, branschpraxis eller operativa behov. Kunder meddelas om väsentliga ändringar; fortsatt användning av tjänsterna innebär godkännande av uppdaterade villkor.

12. Kontakt

För frågor, formella begäranden eller för att få ett undertecknat exemplar av detta DPA, kontakta [email protected]. För allmänna integritetsrelaterade frågor, kontakta [email protected].