Personuppgiftsbiträdesavtal

Om denna översättning och den engelska versionen skiljer sig åt har den engelska versionen företräde. Detta personuppgiftsbiträdesavtal (”Biträdesavtalet”) ingås mellan Propelos Technology S.L., ett spanskt bolag med begränsat ansvar med säte på The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, Spanien (”Propelos”, ”vi”), och det företag som har godkänt våra användarvillkor eller undertecknat ett avtal med Propelos om Tjänsterna (”Kunden”).

Det gäller när Propelos behandlar personuppgifter för Kundens räkning vid tillhandahållandet av AI-bostadssök och tillhörande tjänster (”Tjänsterna”): chatt- och sökwidgetarna på Kundens webbplats, den hostade söksidan samt insamlingen av förfrågningar och överföringen av dem till Kunden. Det ingår i användarvillkoren och anger de villkor som krävs enligt artikel 28 GDPR och artikel 33 LOPDGDD. Om Kunden har undertecknat ett separat personuppgiftsbiträdesavtal med Propelos har det avtalet företräde.

”GDPR” avser förordning (EU) 2016/679. ”LOPDGDD” avser den spanska organiska lagen 3/2018 av den 5 december om skydd av personuppgifter och garantier för digitala rättigheter. ”Personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”personuppgifter”, ”behandling”, ”registrerad” och ”personuppgiftsincident” har den betydelse som anges i GDPR. En ”Köpare” är en person som använder Bostadssök på Kundens webbplats eller hostade söksida.

För de personuppgifter som beskrivs i Biträdesavtalet är Kunden personuppgiftsansvarig och Propelos personuppgiftsbiträde. Propelos är självständigt personuppgiftsansvarig endast för Kundens kontouppgifter, exempelvis inloggningsuppgifter för Kundens personal och faktureringsinformation, vilka omfattas av vår integritetspolicy.

Föremålet är behandling av Köpares personuppgifter så att Propelos kan tillhandahålla Tjänsterna till Kunden. Behandlingen pågår så länge Kunden använder Tjänsterna, samt under den period efter Tjänsternas upphörande som beskrivs i avsnitt 15, tills uppgifterna raderas.

Propelos behandlar personuppgifterna endast för att:

• förstå vad Köpare söker efter och besvara dem med objekt ur Kundens utbud med hjälp av AI-modeller;
• transkribera en Köpares röstinmatning när Kunden har aktiverat röstsökning;
• samla in förfrågningar via förfrågningsformuläret i Bostadssök, tillsammans med eventuella samtycken som Köparen lämnar;
• överföra förfrågningar till Kunden via e-post och, om Kunden konfigurerar detta, till Kundens CRM, webhooks eller API;
• spara förfrågningar och konversationer åt Kunden och ta fram användningsstatistik åt Kunden;
• hålla Tjänsterna säkra, förebygga missbruk och åtgärda fel.

Registrerade: Köpare (potentiella bostadsköpare och hyresgäster som använder Bostadssök), personer som skickar en förfrågan via det samt Kundens personal vars uppgifter Kunden lägger till i Tjänsterna (exempelvis mäklaren som tar emot förfrågningar).

Personuppgifter:

• identitets- och kontaktuppgifter: namn, e-postadress och telefonnummer;
• meddelanden: det som Köpare skriver eller säger till Bostadssök och sammanfattningen av konversationen som bifogas en förfrågan;
• sökbeteende: sökningar, bostäder som visas och klickas på, budget, önskade områden och andra preferenser;
• samtyckesuppgifter: om Köparen har samtyckt till marknadsföring och Kundens integritetspolicy samt adressen till policyn som visades;
• tekniska uppgifter: en sessionsidentifierare, land som härleds från IP-adressen, enhets- och webbläsartyp, hänvisande sida, landningssida och kampanjparametrar.

Tjänsterna är inte utformade för att samla in särskilda kategorier av personuppgifter. En Köpare kan ändå frivilligt lämna sådana uppgifter i ett meddelande. Propelos behandlar dem då endast som en del av det meddelandet.

• Kunden ansvarar för att ha en rättslig grund för behandlingen och för att informera Köpare om den, särskilt i sin egen integritetspolicy. Bostadssök kan länka till Kundens integritetspolicy och begära samtycke i förfrågningsformuläret. Kunden ansvarar för att konfigurera detta.
• Kundens instruktioner måste följa dataskyddslagstiftningen.
• Kunden ansvarar för de system som Kunden ber Propelos att skicka förfrågningar till, exempelvis sitt CRM, e-postadresser och webhook-slutpunkter.

Propelos behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner. Användarvillkoren, Biträdesavtalet och Kundens inställningar i Tjänsterna utgör dessa instruktioner. Om EU-rätten eller en medlemsstats lagstiftning kräver att Propelos behandlar uppgifterna på annat sätt informerar Propelos Kunden innan detta sker, om inte den lagstiftningen förbjuder det. Propelos informerar Kunden om Propelos anser att en instruktion strider mot dataskyddslagstiftningen.

Propelos säkerställer att alla som ges behörighet att behandla personuppgifterna omfattas av sekretess enligt avtal eller lag och endast får åtkomst till det som deras arbete kräver.

Propelos vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, inklusive:

• kryptering vid överföring: Tjänsterna tillhandahålls via HTTPS och anslutningar till vår databas krypteras med TLS;
• CRM-inloggningsuppgifter och hemligheter för signering av webhooks krypteras vid lagring med AES-256-GCM, med en nyckel som förvaras separat från databasen;
• lösenord lagras endast som bcrypt-hashar och inloggningssessioner endast som hashar av sessionstoken. Sessioner upphör efter 24 timmar;
• åtkomstkontroll: varje kunds användare kan endast nå den kundens uppgifter eftersom kontot hämtas från inloggningssessionen på vår server och aldrig från anropet. Administrativ åtkomst är begränsad till behörig personal hos Propelos;
• widgetens åtkomsttoken signeras, knyts till Kundens webbadress och upphör efter 24 timmar;
• anropsbegränsningar för offentliga slutpunkter och inloggning;
• felrapporter filtreras för att ta bort kontaktuppgifter och meddelandeinnehåll innan de lämnar våra servrar.

Propelos får uppdatera dessa åtgärder så länge den samlade säkerhetsnivån inte minskar.

Kunden ger Propelos ett allmänt tillstånd att anlita underbiträden. Propelos använder följande underbiträden för Tjänsterna:

• Replit (USA): hostar applikationen på Google Cloud och vidarebefordrar våra anrop till OpenAI och OpenRouter
• Neon (USA): driver vår databas, som tillhandahålls via Replit på Amazon Web Services (us-east-1)
• OpenAI (USA): AI-modeller som förstår sökningar, skriver svar och sammanfattningar av förfrågningar, transkriberar röstinmatning och söker upp platser som en köpare nämner; används också för rapporter om AI-synlighet
• OpenRouter (USA): dirigerar vissa AI-anrop till Googles Gemini-modeller och till Jev-modellen från TypeSafe AI
• Google (USA): Gemini-AI-modeller som nås via OpenRouter (och direkt för rapporter om AI-synlighet), samt Google Maps Platform, som endast tar emot namnet på en plats som en köpare nämner
• TypeSafe AI (USA): AI-modellen Jev, som nås via OpenRouter och rangordnar och klassificerar sökresultat
• Resend (USA): skickar våra e-postmeddelanden, inklusive kontomeddelanden och aviseringar om förfrågningar till mäklarbyråer
• Sentry (Tyskland, EU): felövervakning; kontaktuppgifter och meddelandeinnehåll filtreras bort innan en felrapport skickas

Propelos meddelar Kunden via e-post minst 30 dagar innan ett underbiträde läggs till eller ersätts. Kunden får invända på rimliga dataskyddsgrunder inom denna period. Om vi inte kan lösa invändningen får Kunden säga upp sitt abonnemang innan ändringen börjar gälla. Propelos ålägger genom skriftligt avtal varje underbiträde samma dataskyddsskyldigheter som i Biträdesavtalet och förblir ansvarigt gentemot Kunden för att de fullgörs.

Vissa underbiträden behandlar personuppgifter utanför Europeiska ekonomiska samarbetsområdet, främst i USA. Propelos genomför dessa överföringar endast med en skyddsåtgärd som erkänns enligt GDPR: de standardavtalsklausuler som Europeiska kommissionen har antagit (beslut (EU) 2021/914) eller, när mottagaren är certifierad, EU-US Data Privacy Framework. Kunden godkänner dessa överföringar.

• Med hänsyn till behandlingens art hjälper Propelos Kunden att besvara begäranden från Köpare som utövar sina rättigheter (tillgång, rättelse, radering, begränsning, dataportabilitet och invändning). Om en Köpare kontaktar Propelos direkt vidarebefordrar vi begäran till Kunden utan onödigt dröjsmål och besvarar den inte själva, om inte Kunden ber oss göra det.
• Propelos hjälper Kunden att fullgöra sina skyldigheter avseende säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheten, med hänsyn till den information som Propelos har tillgång till.

Propelos underrättar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör Kundens uppgifter och strävar efter att göra det inom 72 timmar. Underrättelsen beskriver, så långt det då är känt: incidentens art, kategorierna av och det ungefärliga antalet berörda registrerade och personuppgiftsposter, de sannolika konsekvenserna, vidtagna eller föreslagna åtgärder samt en kontaktpunkt. Propelos kompletterar med information allteftersom den blir tillgänglig.

När Kundens abonnemang upphör sparar Propelos personuppgifterna i 90 dagar så att Kunden kan återuppta Tjänsterna eller begära en kopia. Därefter raderas de, om inte EU-rätten eller spansk lag kräver att Propelos behåller dem. Under dessa 90 dagar får Kunden begära att vi återlämnar förfrågningarna i ett vanligt format (CSV) eller raderar uppgifterna tidigare. Kopior i våra leverantörers säkerhetskopieringssystem raderas när dessa säkerhetskopiors lagringstid löper ut.

Propelos tillhandahåller Kunden den information som behövs för att visa efterlevnad av artikel 28 GDPR och möjliggör revisioner, inklusive inspektioner, som utförs av Kunden eller en revisor som Kunden utser. Kunden lämnar skriftligt meddelande minst 30 dagar i förväg. Revisioner genomförs under kontorstid, högst en gång om året (om inte en tillsynsmyndighet kräver det eller en personuppgiftsincident har inträffat), under sekretess och på Kundens bekostnad. Propelos får först svara genom att tillhandahålla dokumentation när det räcker för att visa efterlevnad.

Vardera partens ansvar enligt Biträdesavtalet omfattas av begränsningarna i användarvillkoren, utom när lagen inte tillåter att ansvaret begränsas. Om Biträdesavtalet och användarvillkoren står i strid med varandra beträffande behandling av personuppgifter har Biträdesavtalet företräde.

Biträdesavtalet regleras av spansk lag. Tvister som uppstår till följd av eller i samband med det ska omfattas av exklusiv behörighet för domstolarna i Málaga, Spanien.

Vid frågor om Biträdesavtalet eller för att utöva Kundens rättigheter enligt det: privacy@propelos.com

Adress: Propelos Technology S.L., The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, Spanien

Skatteregistreringsnummer (NIF): B27624980

Registrerat i handelsregistret i Málaga, registerblad MA-197845 (elektronisk volym och folio), IRUS 1000471597682