Personuppgiftsbiträdesavtal

Personuppgiftsansvarig är den mäklarfirma vars konto avtalet gäller. Det är du som bestämmer ändamålen med behandlingen av dina kunders uppgifter.

Personuppgiftsbiträde är Viggo Johansson, organisationsnummer 3574116-7, Punavuorenkatu 15, 00150 Helsinki. Frågor om detta avtal går till contact@proviscale.com.

Föremål. Behandling av personuppgifter som är nödvändig för att tillhandahålla Proviscale: att skapa objektsbeskrivningar och inlägg, hantera intag, objekt, kontakter och affärer, transkribera röstanteckningar, skicka meddelanden till dina kunder och driva säljarportalen.

Varaktighet. Avtalet gäller så länge du har ett konto och upphör när kontot avslutas, dock alltid till dess att biträdet har raderat eller återlämnat uppgifterna enligt punkt 9.

Art och ändamål. Insamling, lagring, strukturering, analys med AI-modeller, överföring till de underbiträden som anges i punkt 10, samt radering. Ändamålet är att leverera tjänsten till dig. Biträdet behandlar inte uppgifterna för egna ändamål, säljer dem inte, och använder dem inte för att träna generella AI-modeller.

Behandlingen kan omfatta följande kategorier av registrerade:

• säljare och köpare, samt deras ombud,
• spekulanter och besökare på visningar,
• anställda och medarbetare hos dig,
• motparter som fotografer, styrelseledamöter i föreningar och andra kontakter.

Och följande kategorier av uppgifter:

• namn, e-postadress, telefonnummer och postadress,
• uppgifter om objektet, inklusive adress, som kan höra till en identifierbar person,
• bilder och dokument som du laddar upp,
• röstinspelningar och den text de transkriberas till, vilket kan innehålla vad som helst du säger om ett objekt eller en kund,
• meddelanden mellan dig och dina kunder i tjänsten,
• uppgifter i ett förmedlingsavtal, i den mån du använder den funktionen.

Tjänsten är inte byggd för särskilda kategorier av personuppgifter enligt artikel 9, till exempel uppgifter om hälsa. Du ska inte föra in sådana uppgifter. Kom ihåg att en röstanteckning fångar allt som sägs, även det du inte tänkte spara.

Biträdet behandlar personuppgifter endast enligt dina dokumenterade instruktioner, även vid överföring till tredjeland. Din användning av tjänstens funktioner utgör dina instruktioner: när du genererar en text, skickar ett mejl, transkriberar en anteckning eller kopplar en extern tjänst instruerar du biträdet att göra just det.

Om biträdet enligt unionsrätt eller svensk rätt måste behandla uppgifter utöver dina instruktioner informerar biträdet dig om det rättsliga kravet innan behandlingen, om inte lagen förbjuder sådan information.

Biträdet informerar dig omgående om en instruktion enligt biträdets uppfattning strider mot dataskyddsförordningen.

Biträdet säkerställer att de personer som får behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lagstadgad tystnadsplikt. Åtkomst ges bara till den som behöver den för att leverera eller supporta tjänsten, och den är begränsad i tid och omfattning.

Biträdet vidtar bland annat följande tekniska och organisatoriska åtgärder:

• kryptering av uppgifter under överföring (TLS) och i vila hos databasleverantören,
• åtkomstkontroll på radnivå i databasen, så att en användare bara når sin egen organisations uppgifter,
• separata, privata lagringsutrymmen för bilder, dokument och ljud, utan publik åtkomst,
• kontroll av lösenord mot kända läckta lösenord vid registrering,
• begränsning av antalet inloggnings- och registreringsförsök per IP-adress,
• en säkerhetspolicy för innehåll (Content Security Policy) som begränsar vilka domäner sidan får ladda kod och innehåll från,
• loggning av vad tjänstens assistent gör åt dig, med möjlighet att ångra,
• automatisk radering enligt de lagringstider som anges i integritetspolicyn,
• nattlig säkerhetskopiering av databasen och de lagrade filerna till en separat server inom EU, där varje kopia kontrolleras post för post mot källan innan den sparas, och kopiorna lagras i 14 dagar.

Biträdet underrättar dig utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident, och senast inom 24 timmar. Underrättelsen beskriver incidentens art, vilka kategorier och ungefärligt antal registrerade och uppgifter som berörs, de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslås.

Det är du som personuppgiftsansvarig som anmäler incidenten till Integritetsskyddsmyndigheten. Biträdet bistår dig med den information du behöver för att kunna göra det inom din egen 72-timmarsfrist.

Biträdet bistår dig, med hänsyn till behandlingens art och den information biträdet har:

• med att svara på begäranden från registrerade om registerutdrag, rättelse, radering, begränsning, invändning och dataportabilitet. Tjänsten har inbyggd export och radering av ett helt konto, vilket täcker artiklarna 15, 17 och 20 utan att biträdet behöver kopplas in manuellt,
• med säkerheten i behandlingen enligt artikel 32,
• med anmälan och information om incidenter enligt artiklarna 33 och 34,
• med konsekvensbedömning och förhandssamråd enligt artiklarna 35 och 36, genom att lämna den information om behandlingen som du behöver.

Om en registrerad vänder sig direkt till biträdet vidarebefordrar biträdet begäran till dig och svarar inte i sak, eftersom det är du som avgör frågan.

När tjänsten upphör raderar biträdet samtliga personuppgifter, om du inte dessförinnan har begärt att få dem återlämnade. Du kan när som helst exportera dina uppgifter i maskinläsbart format från kontoinställningarna. Radering av ett konto slår igenom i tjänsten omedelbart och är fullständigt genomförd, inklusive i säkerhetskopior, senast 30 dagar därefter.

Undantag gäller bara i den mån lag kräver fortsatt lagring, till exempel bokföringsunderlag för en betalning. Sådana uppgifter lagras separat och används inte för något annat.

Du ger biträdet ett allmänt förhandsgodkännande att anlita de underbiträden som anges nedan. Biträdet ålägger varje underbiträde samma skyldigheter som följer av detta avtal och ansvarar gentemot dig för underbiträdets behandling.

Vid byte eller tillägg av underbiträde informerar biträdet dig minst 30 dagar i förväg via e-post till kontots adress. Du har rätt att invända under den tiden. Om du invänder och parterna inte hittar en lösning har du rätt att säga upp tjänsten utan kostnad för återstående period.

Listan nedan är den samma som visas i integritetspolicyn, från en och samma källa, så att de två dokumenten inte kan säga olika saker.

• SupabaseSupabase, Inc.

  Används i dag
  Tar emotDatabas, inloggning och fillagring. Här ligger objekt, kontakter, säljaruppgifter, bilder, dokument och ljudfiler.

  VarDatabasen och filerna ligger i EU-regionen eu-north-1 (Stockholm).

  ÖverföringUppgifterna lagras inom EU. Supabase är ett amerikanskt bolag och kan nå uppgifterna vid support, vilket sker med EU-kommissionens standardavtalsklausuler enligt deras personuppgiftsbiträdesavtal.

  Kontrollerat2026-08-01
• HetznerHetzner Online GmbH

  Används i dag
  Tar emotSäkerhetskopiering. Tar emot en nattlig, komplett kopia av databasen och de lagrade filerna, så att uppgifterna kan återställas om databasen går förlorad.

  VarSäkerhetskopiorna ligger på en server i Helsingfors, Finland.

  ÖverföringIngen överföring utanför EU eller EES sker. Hetzner är ett tyskt bolag och servern står i Finland.

  Kontrollerat2026-08-21
• VercelVercel, Inc.

  Används i dag
  Tar emotDrift av tjänsten. All trafik passerar Vercel, inklusive den funktion som läser dina uppladdade dokument.

  VarTjänsten körs i Vercels europeiska region, med global routing av trafiken.

  ÖverföringVercel är certifierat under EU-US Data Privacy Framework och tillämpar dessutom standardavtalsklausuler.

  Kontrollerat2026-08-01
• Google (Gemini)Google LLC

  Används i dag
  Tar emotGenererar objektsbeskrivningar och inlägg, och transkriberar inspelade röstanteckningar. Tar emot de objektsfakta, bilder och skrivexempel som texten byggs av, och ljudet i en inspelad röstanteckning.

  VarBehandlingen sker hos Google, som kan behandla uppgifterna i USA.

  ÖverföringGoogle LLC är certifierat under EU-US Data Privacy Framework, inklusive tillägget för Storbritannien och Schweiz.

  Kontrollerat2026-08-01
• Google (inloggning)Google LLC

  Används i dag
  Tar emotInloggning med Google-konto. Tar emot din e-postadress och ditt namn när du väljer att logga in den vägen.

  VarBehandlingen sker hos Google, som kan behandla uppgifterna i USA.

  ÖverföringSe ovan: Google LLC är certifierat under EU-US Data Privacy Framework.

  Kontrollerat2026-08-01
• Google (Gmail)Google LLC

  Bara om du kopplar tjänsten själv
  Tar emotSkickar mejl från din egen Gmail-adress, om du väljer att koppla den. Tar emot mejlets innehåll och mottagare, vilket kan vara en säljare eller spekulant.

  VarBehandlingen sker hos Google, som kan behandla uppgifterna i USA.

  ÖverföringSe ovan: Google LLC är certifierat under EU-US Data Privacy Framework.

  Kontrollerat2026-08-01
• SpeechmaticsSpeechmatics Ltd

  Används i dag
  Tar emotTalar om vad du sa. Tar emot ljudet från din mikrofon när du dikterar en anteckning eller spelar in ett intag.

  VarLjudet strömmas från din webbläsare direkt till Speechmatics EU-slutpunkt (eu.rt.speechmatics.com) och behandlas där.

  ÖverföringSpeechmatics är brittiskt och Storbritannien omfattas av EU-kommissionens beslut om adekvat skyddsnivå. Deras eget biträdesavtal tillämpar standardavtalsklausuler för överföringar därutöver.

  Kontrollerat2026-08-01

  Detta är den känsligaste uppgiften i tjänsten. Vid direktsänd diktering går ljudet till EU-slutpunkten och inte till en amerikansk. Se avsnittet om lagringstid: själva ljudfilen raderas efter 30 dagar, texten behålls.

• StripeStripe, Inc.

  Används i dag
  Tar emotBetalning och abonnemang. Tar emot din e-postadress och dina betaluppgifter. Vi ser aldrig ditt kortnummer.

  VarBehandlingen sker hos Stripe, som behandlar uppgifterna i USA och inom EU.

  ÖverföringStripe, Inc. är certifierat under EU-US Data Privacy Framework.

  Kontrollerat2026-08-01
• ResendResend, Inc.

  Används i dag
  Tar emotSkickar tjänstens mejl: bekräftelser, påminnelser, portalmeddelanden. Tar emot mottagarens adress och mejlets innehåll, vilket kan vara en säljare.

  VarBehandlingen sker hos Resend, som behandlar uppgifterna i USA.

  ÖverföringResend är certifierat under EU-US Data Privacy Framework, inklusive tillägget för Storbritannien.

  Kontrollerat2026-08-01
• MicrosoftMicrosoft Corporation

  Bara om du kopplar tjänsten själv
  Tar emotInloggning med Microsoft-konto och synkning av din kalender, om du väljer att koppla den. Tar emot din identitet och dina kalenderhändelser.

  VarBehandlingen sker hos Microsoft, som kan behandla uppgifterna utanför EU/EES.

  ÖverföringMicrosoft Corporation är certifierat under EU-US Data Privacy Framework och tillämpar dessutom standardavtalsklausuler.

  Kontrollerat2026-08-01
• CalendlyCalendly, LLC

  Bara om du kopplar tjänsten själv
  Tar emotBokning av visningar och möten, om du väljer att koppla ditt konto. Tar emot namn och e-postadress på den som bokar.

  VarBehandlingen sker hos Calendly i USA. Calendly erbjuder ingen lagring inom EU.

  ÖverföringCalendly, LLC är certifierat under EU-US Data Privacy Framework och tillämpar dessutom standardavtalsklausuler.

  Kontrollerat2026-08-01
• MetaMeta Platforms Ireland Ltd och Meta Platforms, Inc.

  Bara om du kopplar tjänsten själv
  Tar emotPublicerar inlägg på din egen Facebook- eller Instagram-sida, om du väljer att koppla den. Tar emot inläggets text och bilder.

  VarBehandlingen sker hos Meta, som kan behandla uppgifterna utanför EU/EES.

  ÖverföringMeta Platforms, Inc. är certifierat under EU-US Data Privacy Framework.

  Kontrollerat2026-08-01
• LinkedInLinkedIn Ireland Unlimited Company och LinkedIn Corporation

  Bara om du kopplar tjänsten själv
  Tar emotPublicerar inlägg på din egen LinkedIn-sida, om du väljer att koppla den. Tar emot inläggets text och bilder.

  VarBehandlingen sker hos LinkedIn, som kan behandla uppgifterna utanför EU/EES.

  ÖverföringLinkedIn Corporation omfattas av Microsofts certifiering under EU-US Data Privacy Framework.

  Kontrollerat2026-08-01
• TikTokTikTok Technology Limited

  Bara om du kopplar tjänsten själv
  Tar emotFörbereder utkast till inlägg på ditt eget TikTok-konto, om du väljer att koppla det. Tjänsten publicerar inte automatiskt till TikTok.

  VarBehandlingen sker hos TikTok, som lagrar europeiska uppgifter i Europa men kan behandla dem utanför EU/EES.

  ÖverföringTikTok är inte certifierat under EU-US Data Privacy Framework och stödjer sig på egna standardavtalsklausuler.

  Kontrollerat2026-08-01

  Sägs rakt ut: irländska Data Protection Commission beslutade 2025 att TikToks överföringar av europeiska uppgifter till Kina bröt mot artikel 46, och beslutet stod fast i irländsk domstol i juni 2026. Kopplingen är därför frivillig, den görs bara av dig och bara till ditt eget konto, och tjänsten skickar inga säljaruppgifter dit.

• DocusignDocusign, Inc.

  Förberedd i koden, används inte
  Tar emotSkulle ta emot förmedlingsavtalet för e-signering, inklusive säljarens namn och e-postadress.

  VarDocusign erbjuder lagring inom EU för avtalsdata.

  ÖverföringIngen överföring sker i dag eftersom integrationen inte är aktiverad. Innan den aktiveras tecknas biträdesavtal och EU-lagring bekräftas.

  Kontrollerat2026-08-01

  MÄTT 2026-08-01: inga Docusign-nycklar finns i produktionsmiljön, så e-signering är avstängd och inga uppgifter har skickats dit. Posten står kvar här för att den är förberedd i koden, inte för att den används.

Uppgifterna lagras i första hand inom EU. Där ett underbiträde behandlar uppgifter utanför EU eller EES sker överföringen med ett av följande skydd, angivet per underbiträde i listan ovan: EU-kommissionens beslut om adekvat skyddsnivå (inklusive EU-US Data Privacy Framework för certifierade amerikanska bolag), eller EU-kommissionens standardavtalsklausuler.

Två saker sägs rakt ut i stället för att gömmas i listan. Ljud behandlas på två olika sätt: direktsänd diktering strömmas till en EU-slutpunkt och inte till en amerikansk, medan en inspelad röstanteckning transkriberas av Google Gemini, som kan behandla ljudet i USA under EU-US Data Privacy Framework. Och TikTok är inte certifierat under EU-US Data Privacy Framework, varför den kopplingen är helt frivillig, görs bara av dig, bara till ditt eget konto, och aldrig tar emot säljaruppgifter.

Biträdet gör den information tillgänglig som behövs för att visa att skyldigheterna i artikel 28 fullgörs, och möjliggör och bidrar till granskningar och inspektioner som utförs av dig eller av en revisor du utser.

En granskning aviseras skriftligen minst 30 dagar i förväg, sker under normal arbetstid, högst en gång per år om inte en incident eller ett myndighetskrav föranleder fler, och får inte omfatta uppgifter som tillhör andra kunder. Biträdet får först besvara begäran med befintlig dokumentation, och om den inte räcker genomförs granskningen.

Utöver underbiträdena hämtar tjänsten uppgifter från öppna register och karttjänster. De är inte underbiträden, eftersom de inte behandlar uppgifter för din räkning, men ett uppslag kan innehålla en adress. Här är vad som frågas och vad frågan innehåller:

• Lantmäteriet: Fastighetsuppgifter för ett objekt. Uppslaget innehåller objektets adress eller koordinater, vilket kan höra till en identifierbar person.
• Maanmittauslaitos: Motsvarande fastighetsuppgifter i Finland. Uppslaget innehåller objektets adress eller koordinater, vilket kan höra till en identifierbar person.
• OpenStreetMap, Overpass och Photon: Slår upp en adress mot koordinater och hämtar närservice. Uppslaget innehåller objektets adress eller koordinater, vilket kan höra till en identifierbar person.
• SCB, Kolada och Statistikcentralen: Områdesstatistik för ett postnummer eller en kommun. Uppslaget innehåller bara område eller kommun, inga personuppgifter.
• Trafiklab och Digitransit: Kollektivtrafik nära objektet. Uppslaget innehåller bara område eller kommun, inga personuppgifter.
• Polisen: Publik områdesinformation. Uppslaget innehåller bara område eller kommun, inga personuppgifter.
• Bolagsverket, YTJ och PRH: Kontroll av företagsuppgifter. Uppslaget innehåller bara område eller kommun, inga personuppgifter.

De lagringstider som gäller för behandlingen finns i integritetspolicyn och utgör en del av detta avtal. Den viktigaste, eftersom den oftast är den som efterfrågas: en ljudinspelning raderas efter 30 dagar medan den transkriberade texten behålls.

Detta avtal har version 2026-08-21. Vid en väsentlig ändring informeras du i tjänsten och via e-post, och du får godkänna den nya versionen. Vilken version du har godkänt, och när, registreras och kan visas upp.

Vid konflikt mellan detta avtal och användarvillkoren gäller detta avtal i frågor om behandling av personuppgifter.