Personuppgiftsbiträdesavtal (DPA)

1. Parter och roller

Personuppgiftsbiträdet är Ideonum AB, Sverige, som driver tjänsten Trygge (https://trygge.app). Kunden är personuppgiftsansvarig för uppgifter om besökare i sin butik. Ideonum AB är personuppgiftsbiträde och behandlar uppgifterna endast enligt kundens dokumenterade instruktioner, vilka utgörs av detta avtal och tjänstens funktioner.

2. Behandlingens omfattning

• Ändamål: mäta AI-agenttrafik, koppla order till besök och göra produktdata läsbar för agenter.
• Kategorier av registrerade: besökare och kunder i kundens butik.
• Kategorier av uppgifter: sidadress, händelsetyp, tidpunkt, värdnamnet för hänvisande sida (aldrig hela adressen), kampanjfälten utm_source och utm_medium, agentidentitet samt orderbelopp och ordernummer. I standardläget lagras ingenting i besökarens enhet och ingen identifierare skapas; ett tillfälligt sessions-id används bara om kunden själv slår på tillvalet köpmätning.
• Inga särskilda kategorier av personuppgifter behandlas.
• Varaktighet: under avtalstiden, därefter radering inom 90 dagar.

3. Säkerhet

Trygge tillämpar kryptering i transit och vila, åtkomstkontroll med minsta behörighet, radnivåskydd per konto, signaturverifierade orderanrop och loggning av åtkomst.

4. Underbiträden

Kunden godkänner följande underbiträden:

• Supabase — databas och autentisering, EU.
• Cloudflare — serverdrift och leverans av tjänsten, EU-region med global edge. Används även för frivillig robotmätning när kunden själv kopplar den.
• Stripe — betalning och fakturering (endast kontoinnehavarens uppgifter, inte besöksdata).
• Google — inloggning med Google-konto samt, om kunden själv kopplar den, Merchant Center för produktlistan. Inga besöksuppgifter delas.
• OpenAI, Anthropic, Perplexity och Google Gemini — används för synlighetsmätning och textförslag. Endast uppgifter från kundens publika sidor skickas, aldrig uppgifter om besökare.

Nya underbiträden meddelas minst 30 dagar i förväg och kunden kan invända.

5. Överföring till tredje land

Behandling sker inom EU/EES. Om en överföring ändå blir nödvändig sker den med EU-kommissionens standardavtalsklausuler och kompletterande skyddsåtgärder.

6. Bistånd och incidenter

Trygge bistår kunden med registrerades rättigheter, konsekvensbedömningar och säkerhet, samt anmäler personuppgiftsincidenter till kunden utan onödigt dröjsmål, senast inom 48 timmar från upptäckt.

7. Radering och granskning

Vid avtalets slut raderas eller återlämnas uppgifterna efter kundens val. Kunden har rätt till granskning en gång per år, eller genom att ta del av Trygges säkerhetsdokumentation.