Senast uppdaterad: 10 maj 2026. Denna version återspeglar den nuvarande uppsättningen av underbiträden, inklusive OpenAI för textinbäddningar och kontextuella AI-svar. För framtida ändringar av nödvändiga underbiträden gäller reglerna om underrättelse och invändning i avsnitt 7.3.

Den tyska versionen av detta personuppgiftsbiträdesavtal är juridiskt bindande. Översättningar tillhandahålls för bekvämlighets skull; vid konflikt har den tyska versionen företräde.

1. Inledning och tillämpningsområde

Detta personuppgiftsbiträdesavtal (DPA) reglerar behandlingen av personuppgifter i enlighet med GDPR Art. 28 mellan:

  • Personuppgiftsansvarig: PlotonIQ:s kund (nedan "Personuppgiftsansvarig")
  • Personuppgiftsbiträde: K-Werbetechnik, innehavare: Ralph Kowalski, Banatstraße 31, 66424 Homburg, Tyskland, representerad genom PlotonIQ-plattformen (nedan "Personuppgiftsbiträde")

Detta DPA utgör en integrerad del av användarvillkoren och reglerar behandlingen av personuppgifter på uppdrag av den Personuppgiftsansvarige inom ramen för PlotonIQ-tjänsterna.

2. Föremål och varaktighet för behandlingen

Personuppgiftsbiträdet behandlar personuppgifter uteslutande på uppdrag av och enligt dokumenterade instruktioner från den Personuppgiftsansvarige.

2.1 Föremål för behandlingen

Databehandlingen omfattar följande kategorier:

  • Kunduppgifter: Namn, adresser, e-post, telefon, företagsnamn för den Personuppgiftsansvariges kunder
  • Orderuppgifter: Projektbeskrivningar, tidsplaner, krav, ändringar
  • Prestationsuppgifter: Kalkyler, materialspecifikationer, mått, ytor
  • Kommunikationsuppgifter: E-post, chattmeddelanden, anteckningar och ljudinspelningar i affärsverksamheten
  • Teamuppgifter: Medarbetaruppgifter, platsdata (om geofencing är aktiverat), behörigheter
  • Finansiella uppgifter: Fakturainformation, betaluppgifter (tokeniserade), kreditkortsuppgifter (endast Stripe)
  • Visuella uppgifter: Foton för AI-baserad uppmätningsigenkänning, skärmdumpar, designförslag

2.2 Varaktighet av behandlingen

Databehandlingen sker under hela avtalsperioden och därutöver enligt avsnitt 8 (Radering och lagring av uppgifter).

3. Behandlingens art och syfte

Personuppgiftsbiträdet behandlar uppgifter för följande syften:

  • Tillhandahållande och hantering av PlotonIQ-tjänster (offertkalkyler, uppmätningsigenkänning, jobbhantering, CRM, tidsregistrering)
  • AI-drivna kalkyler och analyser med Anthropic Claude API
  • Textinbäddningar med OpenAI text-embedding-3-large (1536 dimensioner) för semantisk sökning och kontextuella AI-svar (RAG)
  • Automatisk uppmätningsigenkänning från foton med Computer Vision (SAM/DINO)
  • Kommunikation med användare (transaktionsmejl, aviseringar)
  • Betalningshantering och fakturering
  • Implementering av säkerhets- och autentiseringsåtgärder
  • Loggning och systemövervakning för säkerhet och felsökning
  • Geofencing och teamhantering (valfritt, endast om aktiverat)

4. Kategorier av registrerade

Personuppgiftsbiträdet behandlar uppgifter om följande personer:

  • Den Personuppgiftsansvariges kunder (slutkunder för skylttjänster)
  • Den Personuppgiftsansvariges anställda (plattformsanvändare)
  • Underleverantörer och partners till den Personuppgiftsansvarige
  • Kontaktpersoner och företrädare

5. Kategorier av personuppgifter

Personuppgiftsbiträdet behandlar följande kategorier:

  • Grunduppgifter: Namn, titel, adress, telefon, e-postadress, företagsnamn
  • Identifieringsuppgifter: Användar-ID, JWT-tokens, sessionscookies, webbläsarfingeravtryck (hashade)
  • Platsdata: IP-adress, GPS-koordinater (endast om geofencing är aktiverat)
  • Affärsuppgifter: Projektbeskrivningar, kalkyler, offerter, order, fakturor
  • Kommunikationsuppgifter: Meddelanden, ljudtranskriptioner, e-post
  • Tekniska uppgifter: Loggfiler, serverloggar, systemåtkomst, felprotokoll
  • Särskilda kategorier: Inga (utöver frivilligt lämnad identifierande information)

6. Personuppgiftsbiträdets skyldigheter — Tekniska och organisatoriska åtgärder

6.1 Tekniska säkerhetsåtgärder

  • Datakryptering:
    • AES-256-kryptering för känsliga uppgifter i databasen
    • TLS 1.2+ för överföring (HTTPS)
    • JWT-autentisering med httpOnly-cookies (inte tillgängliga via JavaScript)
  • Databasskydd:
    • PostgreSQL-databas med stark autentisering
    • Krypterade anslutningar mellan applikation och databas
    • Regelbundna automatiserade säkerhetskopior med kryptering
    • Redundant lagring och katastrofåterställning
  • Åtkomstkontroll:
    • Rollbaserad åtkomstkontroll (RBAC)
    • Multi-tenant-arkitektur med strikt tenant-isolering
    • Revisionsloggar för all administrativ åtkomst
    • Principen om minsta möjliga behörighet: inga onödiga rättigheter
  • Nätverkssäkerhet:
    • DDoS-skydd via Cloudflare
    • Brandväggsregler och intrångsdetektering
    • Regelbundna säkerhetsuppdateringar och patchar
  • API-säkerhet:
    • JWT-baserad API-autentisering
    • Rate limiting för att förhindra brute force-attacker
    • Inga känsliga uppgifter i URL:er eller frågeparametrar

6.2 Organisatoriska säkerhetsåtgärder

  • Personal och utbildning:
    • Begränsat antal anställda med åtkomst till kunddata
    • Sekretessavtal (NDA) med samtliga anställda
    • Dataskyddsutbildning för relevant personal
  • Dataskyddsstyrning:
    • Integritetspolicy och detta DPA
    • Dataskyddsombud (där det krävs)
    • Riktlinjer för skydd och användning av personuppgifter
  • Incidenthantering:
    • Rutiner för upptäckt och rapportering av personuppgiftsincidenter
    • Underrättelse till den Personuppgiftsansvarige inom 24 timmar efter att en säkerhetsincident upptäckts
    • Samverkan vid anmälningsskyldigheter gentemot myndigheter och berörda personer
  • Dokumentation och övervakning:
    • Register över behandlingsverksamhet enligt GDPR Art. 30
    • Regelbundna säkerhetsrevisioner
    • Loggning av all dataåtkomst (där det är tekniskt möjligt)
  • Fysisk säkerhet:
    • Hosting hos Hetzner Online GmbH (Falkenstein, Tyskland) med ISO-27001-certifiering
    • Kontroll av fysisk åtkomst till datacentret
    • Övervakning och säkerhetsåtgärder hos hostingleverantören

7. Underbiträden och tredje parter

Personuppgiftsbiträdet anlitar följande underbiträden och tjänsteleverantörer för att tillhandahålla tjänsterna:

7.1 Nödvändiga underbiträden

Tjänst Leverantör Plats Syfte Dataöverföring
Serverhosting Hetzner Online GmbH Falkenstein, Tyskland Databas, applikationsserver Inom EU (DE)
CDN / DDoS-skydd Cloudflare, Inc. San Francisco, USA Webbplatsprestanda, säkerhet USA (EU-US DPF, SCC)
Transaktionsmejl Brevo SAS Paris, Frankrike Bekräftelse- och aviseringsmejl Inom EU (FR)
Betalningshantering Stripe, Inc. San Francisco, USA Kortbetalningar, abonnemangshantering USA (SCC) — tokeniserat
AI API (kalkyler) Anthropic, PBC San Francisco, USA AI-kalkyler, textgenerering USA (SCC) — Zero Data Retention
AI API (valfri ljudtranskription, primär) Groq, Inc. Mountain View, USA Primär STT-transkription för ljudanteckningar med whisper-large-v3 när den valfria ljudtranskriptionsfunktionen används av den Personuppgiftsansvarige USA (SCC) — behandling enligt GroqCloud DPA för att tillhandahålla STT-funktionen
AI API (textinbäddningar och kontextuell assistans) OpenAI, L.L.C. San Francisco, USA Textinbäddningar med text-embedding-3-large (1536 dimensioner) för semantisk sökning och kontextuella AI-svar (RAG); utvalda text- och assistentfunktioner där dessa är aktiva USA (EU-US DPF, SCC) — API-data används som standard inte för träning; loggar för missbruksövervakning lagras i upp till 30 dagar
AI API (valfri ljudtranskription) OpenAI, L.L.C. San Francisco, USA OpenAI gpt-4o-transcribe endast som reservväg för STT om Groq STT inte är tillgängligt och ljudtranskription används av den Personuppgiftsansvarige och konfigurerats därefter USA (EU-US DPF, SCC) — valfri väg, separat från embeddings/RAG

7.2 Överföringar till tredjeländer

För dataöverföringar till USA gäller följande mekanismer:

  • EU-US Data Privacy Framework (DPF): Cloudflare och OpenAI uppges av leverantörerna vara certifierade enligt EU-US Data Privacy Framework
  • Standardavtalsklausuler (SCC): För Anthropic, Groq, OpenAI och Stripe där överföring till tredjeland är aktuell

Den Personuppgiftsansvarige samtycker till dessa överföringar genom att godkänna användarvillkoren.

7.3 Ändringar av underbiträden

Personuppgiftsbiträdet kommer att informera den Personuppgiftsansvarige innan nya nödvändiga underbiträden anlitas eller befintliga nödvändiga underbiträden ändras väsentligt. Den Personuppgiftsansvarige har rätt att invända mot användning av nya eller väsentligt ändrade nödvändiga underbiträden genom skriftligt meddelande inom 30 dagar från underrättelsen. Om ingen invändning görs i tid anses användningen av framtida ändringar accepterad efter att underrättelseperioden löpt ut. I sådana fall kan endera parten säga upp avtalsförhållandet.

8. Radering och lagring av uppgifter

8.1 Raderingsfrister efter avtalets upphörande

  • Kund- och projektuppgifter: Raderas på begäran av den Personuppgiftsansvarige, senast 30 dagar efter avtalets upphörande
  • Säkerhetskopior: Raderas automatiskt enligt Hetzners lagringspolicy efter cirka 30–90 dagar
  • Loggfiler och systemdata: Anonymiseras eller raderas automatiskt efter 90 dagar
  • Bokföringsunderlag och fakturor: Lagras enligt tysk skattelagstiftning (§14 StGB, §239 HGB) i 6–10 år

8.2 Rätt till radering under användning

Den Personuppgiftsansvarige kan när som helst begära radering av enskilda poster, om inte lag hindrar detta. Raderade uppgifter kan inte återställas.

8.3 Dataexport

Den Personuppgiftsansvarige kan begära dataexport i ett strukturerat, vanligt format (t.ex. CSV, JSON) för att möjliggöra dataportabilitet.

9. Den Personuppgiftsansvariges rättigheter och skyldigheter

9.1 Instruktioner från den Personuppgiftsansvarige

Den Personuppgiftsansvarige kan utfärda instruktioner för behandling av personuppgifter genom:

  • Konfiguration av plattformsinställningar
  • Uttrycklig skriftlig instruktion via e-post till [email protected]
  • Användning av API-endpoints med lämpliga parametrar

9.2 Den Personuppgiftsansvariges medverkan

Den Personuppgiftsansvarige ansvarar för:

  • Säkring av inloggningsuppgifter och åtkomstkoder
  • Efterlevnad av tillämplig lagstiftning vid insamling av kunddata
  • Riktigheten och lagligheten av behandlade uppgifter
  • Dokumentation av rättslig grund för databehandlingen
  • Underrättelse av berörda personer enligt GDPR (där det krävs)

9.3 Den Personuppgiftsansvariges integritetspolicy

Den Personuppgiftsansvarige ansvarar för att tillhandahålla sin egen integritetspolicy till slutkunder och informera om att uppgifter överförs till PlotonIQ / Personuppgiftsbiträdet.

10. Registrerades rättigheter och skyldigheter

Personuppgiftsbiträdet bistår den Personuppgiftsansvarige med att tillgodose registrerades rättigheter:

  • Rätt till tillgång (GDPR Art. 15): Den Personuppgiftsansvarige kan begära tillgång; Personuppgiftsbiträdet svarar inom 14 dagar
  • Rätt till rättelse (GDPR Art. 16): Registrerade kan korrigera eller begära rättelse av felaktiga uppgifter
  • Rätt till radering (GDPR Art. 17): Begäran om radering behandlas inom 14 dagar (med undantag för lagstadgade lagringsskyldigheter)
  • Rätt till begränsning av behandling (GDPR Art. 18): Tillgängligt via plattformsinställningar
  • Rätt till dataportabilitet (GDPR Art. 20): Den Personuppgiftsansvarige kan exportera uppgifter i standardformat
  • Rätt att göra invändningar (GDPR Art. 21): Gäller behandling som grundas på berättigat intresse

11. Personuppgiftsincidenter och anmälningsskyldigheter

11.1 Anmälan av personuppgiftsincident

Vid en personuppgiftsincident underrättar Personuppgiftsbiträdet den Personuppgiftsansvarige omedelbart, dock senast inom 24 timmar, skriftligen. Underrättelsen omfattar:

  • Incidentens art och omfattning
  • Kategorier och ungefärligt antal berörda personer
  • Sannolika konsekvenser av incidenten
  • Vidtagna och planerade åtgärder för att avhjälpa och begränsa skadan
  • Namn och kontaktuppgifter till dataskyddsombud eller kontaktperson

11.2 Samarbete med myndigheter

Personuppgiftsbiträdet samarbetar med den Personuppgiftsansvarige och behöriga dataskyddsmyndigheter och bistår den Personuppgiftsansvarige med:

  • Underrättelse av berörda personer
  • Anmälan till behörig tillsynsmyndighet
  • Utredningar och revisioner

12. Den Personuppgiftsansvariges granskningsrätt

12.1 Inspektionsrätt

Den Personuppgiftsansvarige har rätt att på begäran granska hur Personuppgiftsbiträdet behandlar personuppgifter:

  • Tillgång till register över behandlingsverksamhet
  • Granskning av säkerhetsåtgärder
  • Revisioner med förvarning

Revisioner ska genomföras under normal kontorstid och får inte väsentligt störa verksamheten.

12.2 Certifikat och revisioner

Personuppgiftsbiträdet tillhandahåller följande underlag:

  • Hetzner ISO-27001-certifikat (hostingleverantör)
  • SOC-2-rapport (om tillgänglig)
  • Säkerhetspolicyer och åtgärdskatalog

13. Privacy by Design och Privacy by Default

Personuppgiftsbiträdet implementerar inbyggt dataskydd enligt GDPR Art. 25:

  • Minimal datainsamling: endast nödvändiga uppgifter samlas in
  • Pseudonymisering: webbläsarfingeravtryck hashas
  • Kryptering: AES-256 för känsliga uppgifter
  • Åtkomstkontroll: rollbaserade behörigheter
  • Regelbunden granskning: revisioner och penetrationstester

14. AI-behandling och automatiserat beslutsfattande

14.1 AI-behandlingens art

PlotonIQ använder AI för:

  • Offertkalkyler (Anthropic Claude API)
  • Textinbäddningar med OpenAI text-embedding-3-large (1536 dimensioner) för semantisk sökning och kontextuella AI-svar (RAG)
  • Igenkänning av ytor och mått från foton (SAM/DINO — lokalt på Hetzner)
  • Transkription av ljudanteckningar (valfri STT-funktion; primärt Groq whisper-large-v3, OpenAI gpt-4o-transcribe endast som reservväg när den används och konfigurerats)
  • Generering av affärsinsikter och rekommendationer

För OpenAI-inbäddningar och RAG överförs endast ändamålsbundna textutdrag, särskilt utdrag ur order-, anteckningstexter och affärsmöjlighetstexter. Beroende på användarinnehåll kan kundnamn, kontaktuppgifter, adresser samt mått-, projekt- eller anteckningsdata ingå.

Inte överförda till OpenAI för embeddings/RAG är Stripes betaluppgifter, inloggningsuppgifter eller lösenordshashar, råa backend-databasdumpar eller dataexporter, SAM/DINO-bilddata för bildsegmentering, eller avsiktligt särskilda kategorier av personuppgifter enligt GDPR Art. 9.

14.2 Inget rent automatiserat beslutsfattande

Enligt GDPR Art. 22 förekommer INGET rent automatiserat beslutsfattande med rättsverkan. Detta innebär:

  • AI-kalkyler är FÖRSLAG, inte bindande
  • Användare beslutar alltid manuellt
  • Inget automatiserat avslag av order eller kunder

14.3 Transparens i AI-användning

Användare informeras tydligt när AI är involverad i en process genom:

  • Märkta områden i användargränssnittet (t.ex. "AI-förslag")
  • Förklaring av AI-tillvägagångssättet i hjälptexter
  • Denna integritetspolicy och detta DPA

15. EU AI Act — efterlevnad

AI-system som används i PlotonIQ klassificeras enligt EU AI Act:

  • Textgenerering (Claude API): Begränsad risk — transparenskrav uppfyllda
  • Semantisk sökning och RAG (OpenAI text-embedding-3-large, 1536 dimensioner): Begränsad risk — assistent- och kontextfunktion, inget automatiserat beslut
  • Uppmätningsigenkänning (SAM/DINO): Begränsad risk — körs lokalt, ingen tredjelandsöverföring
  • Ljudtranskription (Groq whisper-large-v3, OpenAI gpt-4o-transcribe som reservväg): Begränsad risk — användarens opt-in krävs

Det finns INGA högrisk-AI-tillämpningar enligt AI Act.

16. Avgifter och kostnader

Detta personuppgiftsbiträdesavtal ingår som en del av abonnemangsavtalet. Det utgår INGA ytterligare avgifter för efterlevnad av detta DPA.

17. Rättslig grund och tillämpningsområde

  • Primär rättslig grund: EU GDPR (2016/679), GDPR, ePrivacy-direktivet (Tyskland)
  • Tillämpningsområde: Alla användare med säte i Tyskland eller EU
  • Gäller från: 1 april 2026
  • Språk: Tyska; vid avvikelser gäller den tyska versionen

18. Löptid och uppsägning

18.1 Avtalsbunden löptid

Detta DPA löper parallellt med abonnemangsavtalet. Vid uppsägning av abonnemanget upphör även detta DPA.

18.2 Uppsägning

Uppsägning av detta DPA kan endast ske gemensamt med uppsägning av abonnemangsavtalet.

18.3 Effekter av uppsägning

Efter uppsägning raderas kunduppgifter enligt avsnitt 8 eller bevaras om så krävs enligt lag.

19. Ändringar av detta DPA

Personuppgiftsbiträdet kan ändra detta DPA med 30 dagars varsel om:

  • Lagliga eller regulatoriska krav kräver det
  • Ändringen förbättrar skyddet av personuppgifter
  • Den Personuppgiftsansvarige inte invänder skriftligen inom 30 dagar

Den Personuppgiftsansvarige informeras om ändringar i förväg skriftligen.

20. Kontakt och klagomål

20.1 Personuppgiftsbiträdets kontaktadress

K-Werbetechnik / PlotonIQ
Banatstraße 31
66424 Homburg
Tyskland
E-post: [email protected]
Telefon: +49 (0)6821-6797414

20.2 Dataskyddsmyndighet

Klagomål om databehandling kan lämnas in till behörig dataskyddsmyndighet. Kontaktuppgifterna för Tyskland (Saarland) är:

Independent Data Protection Center Saarland
Fritz-Dobisch-Straße 12
66111 Saarbrücken, Tyskland
E-post: [email protected]
Webbplats: www.datenschutz.saarland.de

21. Giltighet och salvatorisk klausul

Skulle någon bestämmelse i detta DPA vara ogiltig påverkar detta inte avtalets giltighet i övrigt. Parterna ska enas om en giltig ersättningsbestämmelse som motsvarar det ursprungliga avtalets ekonomiska syfte.

22. Slutbestämmelser

Detta personuppgiftsbiträdesavtal träder i kraft den 1 april 2026 och är bindande för alla PlotonIQ-kunder som ingår avtal från och med detta datum eller förnyar befintliga avtal.

Version: 1.1

Gäller sedan: 1 april 2026

Senast uppdaterad: 10 maj 2026