Personuppgiftsbiträdesavtal

Hostingsurges registrerade bolagsuppgifter publiceras här inom kort. Fram till dess anger denna sida bara varumärket (Hostingsurge).

Du som kund är personuppgiftsansvarig och vi är ditt personuppgiftsbiträde för de personuppgifter som finns i det du driver på plattformen. Avtalet är en del av användarvillkoren (/legal/terms) och gäller automatiskt när du använder tjänsten för sådana uppgifter, utan underskrift. Vill du ha ett undertecknat exemplar, kontakta oss enligt nedan.

Personuppgifter som vi behandlar för egen räkning, till exempel om ditt konto och dina betalningar, omfattas i stället av integritetspolicyn (/legal/privacy).

Vi lagrar, kör och säkerhetskopierar det du driftsätter, och tillhandahåller de funktioner du använder:

• Drift av sajter, appar, WordPress och databaser, och objektlagring.
• E-post: brevlådor, vidarebefordringar och utskick.
• Bygg-, drifttids- och förfrågningsloggar, besöksstatistik utan cookies och driftlarm.
• Säkerhetskopior och återställning.
• AI-byggaren, när du använder den: dina promptar och projektfiler skickas till modellleverantören (se Underbiträden).
• Support, när du ber om hjälp med ett visst projekt.

Vilka uppgifter som behandlas bestämmer du. Typiskt: besökare på dina sajter (förfrågningar till din sajt; proxyns råa logg med IP-adresser sparas i högst två dygn och statistiken lagrar inga IP-adresser), dina användare och kunder (konton, beställningar, formulär i din app eller databas) och de som skickar och tar emot e-post i dina brevlådor.

Lägg bara känsliga personuppgifter (artikel 9) eller uppgifter om brott (artikel 10) på plattformen om du har stöd för det och har bedömt att skyddsåtgärderna nedan räcker.

• Vi behandlar uppgifterna bara enligt dina dokumenterade instruktioner. Användarvillkoren, det här avtalet och det du gör i kontrollpanelen, API:et, CLI:t eller MCP är dina instruktioner.
• Vi meddelar dig om vi anser att en instruktion strider mot dataskyddsreglerna.
• Behandlar vi uppgifter för att lagen kräver det (till exempel ett myndighetsbeslut), berättar vi det för dig innan, om lagen inte förbjuder det.
• Du ansvarar för att det finns en rättslig grund för behandlingen och för att informera dina egna besökare och användare.

• Sekretess: de som har åtkomst till uppgifterna är bundna av tystnadsplikt, och vi går bara in i ett kundprojekt när det behövs för drift, säkerhet eller ett supportärende.
• Säkerhet enligt artikel 32: se Säkerhetsåtgärder nedan.
• Den registrerades rättigheter: du kan själv exportera, rätta och radera data med verktygen i kontrollpanelen. Behöver du mer hjälp med en begäran från en registrerad, hjälper vi till.
• Vi hjälper dig med säkerhet, konsekvensbedömningar och förhandssamråd (artiklarna 32–36) med den information vi har.
• Vi för ett register över behandlingen som biträde (artikel 30.2).

Vi meddelar dig utan onödigt dröjsmål, och senast inom 48 timmar efter att vi fått kännedom om en personuppgiftsincident som rör dina uppgifter, med den information vi har: vad som hänt, vilka uppgifter och hur många som berörs, troliga följder och vad vi gör. Vi kompletterar när vi vet mer, så att du kan anmäla till tillsynsmyndigheten inom 72 timmar när det krävs.

Du ger ett allmänt godkännande till de underbiträden som listas på /legal/subprocessors. Vi ålägger dem samma dataskyddsskyldigheter som i det här avtalet och ansvarar för dem gentemot dig.

Vi meddelar ändringar genom att uppdatera listan och via e-post till teamets ägare minst 30 dagar innan ett nytt underbiträde börjar behandla dina uppgifter. Har du sakliga skäl att invända kan du säga upp tjänsten innan ändringen gäller.

DeepSeek tar bara emot dina uppgifter när du själv använder AI-byggaren. Använd den inte för personuppgifter som inte får lämna EU.

Servern och de externa säkerhetskopiorna finns inom EU (OVHcloud i Frankrike, Backblaze i Nederländerna). Underbiträden utanför EU och skyddet för varje överföring anges på /legal/subprocessors och i integritetspolicyn. Vi för inte över dina uppgifter till ett land utanför EU/EES utan ett giltigt skydd enligt kapitel V i GDPR.

• Under avtalstiden kan du exportera dina filer och versioner, ladda ner säkerhetskopior av dina databaser och exportera dina miljövariabler när som helst.
• Tar du bort ett projekt sparas en enda säkerhetskopia i 30 dagar, för katastrofåterställning.
• Tar du bort ditt konto raderas teamen där du var ensam medlem efter 30 dagars ångerfrist, utan någon slutkopia.
• Säkerhetskopior av sajtfiler, appdata, WordPress och kunddatabaser skrivs om varje natt utan borttagna projekt. Kopior av e-post, objektlagring och kontrolldatabasen åldras ut enligt schemat (upp till cirka sex månader, plus högst 30 dagar hos lagringsleverantören). De är krypterade och används bara för återställning.
• Vi sparar bara det som lagen kräver att vi sparar.

Vi ger dig den information som behövs för att visa att vi följer artikel 28. Du kan, eller en oberoende granskare du anlitar med tystnadsplikt, granska oss en gång per år med 30 dagars varsel, på din egen bekostnad och utan att störa driften eller röja andra kunders uppgifter. Tätare vid en incident eller om en tillsynsmyndighet kräver det.

• All drift på en dedikerad server hos OVHcloud i Frankrike (EU), med speglade diskar och skydd för containrar, resursgränser per projekt och gränser per IP-adress.
• HTTPS med Let’s Encrypt-certifikat för plattformen och kunddomäner.
• Lösenord lagras bara som hash, tvåstegsverifiering finns för alla konton, och team kan kräva det, använda SSO och begränsa åtkomst till vissa IP-adresser.
• Miljövariabler och andra hemligheter lagras krypterade.
• Databasen skiljer kunder åt med radnivåsäkerhet, och tjänsterna har var sin databasinloggning med minsta möjliga rättigheter.
• Personalens konsol har en egen inloggning med tvåstegsverifiering, och varje åtgärd där loggas.
• Säkerhetskopior varje natt (kontrolldatabasen var 15:e minut, WordPress- och appdatabaser varje timme), krypterade på vår server innan de kopieras till Backblaze i EU, och en återställning testas varje vecka.
• Övervakning av drift, säkerhetskopior och certifikat med larm.

Ansvar regleras i användarvillkoren, utom där GDPR anger annat. Vid motstrid gäller det här avtalet före användarvillkoren i frågor om personuppgifter, och EU:s standardavtalsklausuler, där de gäller, före båda.

Avtalet gäller så länge vi behandlar personuppgifter åt dig. Svensk lag gäller.

Nå operatören på hello@hostingsurge.com.