Databehandlaravtal (DPA)

1. Parter

Detta databehandlaravtal ("DPA") ingås mellan:

Avtalet tillämpas på all behandling av personuppgifter som Invox AB utför för dig som ett led i tillhandahållandet av Kvota.

2. Föremål och varaktighet

Föremålet för behandlingen är leverans av Kvotas offertgenerator och tillhörande funktioner. Avtalet löper under hela den tid du har ett aktivt konto i tjänsten.

Vid avtalets upphörande raderas eller anonymiseras alla personuppgifter inom 90 dagar — se sektion 9.

3. Behandlingens art och ändamål

Invox AB behandlar personuppgifter för följande ändamål:

• Lagra dina kunders kontaktuppgifter och offertdata.
• Generera offerter med AI baserat på dina prompter.
• Skicka offerter och uppföljningar via e-post för din räkning.
• Tillhandahålla support, drift, säkerhet och backup.

4. Kategorier av personuppgifter och registrerade

4.1 Kategorier av registrerade

• Slutkunder (privatpersoner och företag som du skickar offerter till).
• Anställda eller medarbetare hos slutkund som anges som kontaktperson.

4.2 Kategorier av uppgifter

• Namn, adress, e-post, telefon.
• Fastighetsbeteckning och projektadress.
• Personnummer (när det krävs för ROT-avdrag).
• Offertdata (beskrivning av arbete, priser, materialposter).
• Kommunikation kopplad till offerten (mejl, statushändelser).

Inga särskilda kategorier av personuppgifter (t.ex. hälsouppgifter) ska behandlas i Kvota. Lägger du in sådan information ansvarar du för att rättslig grund finns.

5. Den ansvariges (din) skyldigheter och instruktioner

Du ansvarar för att det finns rättslig grund för all personuppgiftsbehandling som du utför via Kvota — inklusive att informera dina slutkunder, hantera deras rättigheter och säkerställa att uppgifter du laddar upp inte gör intrång i tredje parts rättigheter.

Dina dokumenterade instruktioner till Invox AB består av (a) dessa villkor, (b) konfiguration i appen, (c) skriftliga instruktioner via hej@kvota.se. Invox AB behandlar uppgifterna endast enligt dessa instruktioner och tillämplig lag.

6. Underbiträden

Du ger Invox AB en generell skriftlig auktorisation att anlita underbiträden enligt listan nedan. Vid byte eller tillägg av underbiträden meddelar Invox AB dig minst 30 dagar i förväg via e-post. Under den perioden har du rätt att invända, och om vi inte når en lösning har du rätt att säga upp avtalet utan kostnad.

Invox AB ingår skriftligt avtal med varje underbiträde med minst samma skyddsnivå som detta DPA, och svarar gentemot dig för underbiträdets fullgörande.

7. Tekniska och organisatoriska säkerhetsåtgärder

Invox AB vidtar lämpliga åtgärder enligt GDPR artikel 32. Bland annat:

• TLS 1.2+ för all trafik mellan klient och server.
• Kryptering av data i vila (AES-256) hos våra biträden.
• Lösenord lagras hashat med moderna algoritmer.
• Rollbaserad åtkomstkontroll och loggning av administrativ åtkomst.
• Regelbundna säkerhetsuppdateringar och beroendegenomgångar.
• Backup med georedundans hos databasleverantören.
• Incidenthanteringsprocess och utbildning av personal.

En mer utförlig beskrivning finns på sidan om säkerhet.

8. Personuppgiftsincident

Vid en personuppgiftsincident som påverkar dina uppgifter meddelar Invox AB dig utan onödigt dröjsmål och senast 48 timmar efter att vi blivit medvetna om incidenten. Anmälan sker via e-post till den kontaktadress som finns registrerad på ditt konto.

Vår anmälan innehåller minst:

• Beskrivning av incidentens art och orsak.
• Kategorier och ungefärligt antal registrerade som berörs.
• Sannolika konsekvenser.
• Åtgärder som vidtagits eller planeras för att begränsa skadan.
• Kontaktperson hos Invox AB.

Du ansvarar själv för att vid behov anmäla incidenten till IMY inom 72 timmar samt informera berörda registrerade.

9. Radering vid avtalets upphörande

Vid avtalets upphörande, eller på din skriftliga begäran, raderar eller anonymiserar Invox AB alla personuppgifter inom 90 dagar. Du har möjlighet att exportera dina uppgifter i ett strukturerat, maskinläsbart format innan radering.

Backuper raderas inom det rullande backupfönstret (frekvens TBD — fylls i av Invox AB innan deploy). Under den perioden behandlas backuper bara för återställning vid incident och inte för andra ändamål.

10. Bistånd vid registrerades rättigheter

Invox AB bistår dig med tekniska och organisatoriska åtgärder som behövs för att du ska kunna besvara förfrågningar från registrerade om åtkomst, rättelse, radering, dataportabilitet och invändning. Bistånd ingår inom skäliga gränser i abonnemanget. För omfattande arbete kan timtaxa tillämpas, vilket meddelas i förväg.

11. Granskningsrätt

Du har rätt att en gång per år, eller när rimliga skäl föreligger (t.ex. efter en incident), granska att Invox AB efterlever detta avtal. Granskningen utförs på distans och ska föranmälas senast 30 dagar i förväg. Invox AB har rätt att i första hand tillhandahålla relevanta tredjeparts certifieringsrapporter och interna dokument.

Egna kostnader för granskningen står vardera part själv för. Om granskningen påvisar att Invox AB inte efterlever avtalet åtgärdar vi bristerna utan kostnad.

12. Tredjelandsöverföring

För överföring av personuppgifter till länder utanför EU/EES tillämpas EU-kommissionens standardavtalsklausuler (SCC, beslut 2021/914) som överföringsmekanism. Aktuella SCC kan begäras ut från Invox AB.

13. Tillämplig lag

Detta DPA regleras av svensk lag och utgör en integrerad del av användarvillkoren. Tvister hanteras enligt sektion 13 i användarvillkoren.

14. Ändringar i DPA

Invox AB kan uppdatera detta DPA om regelverket eller tjänsten ändras. Vid väsentliga ändringar meddelas du via e-post minst 30 dagar innan de träder i kraft. Vill du inte acceptera den nya versionen har du rätt att säga upp avtalet utan kostnad.