Databehandling och DPA
Så hanterar vi era uppgifter.
När ni använder UdstillerGuide för att driva er mässajt behandlar vi uppgifter om era utställare, deras anställda och era mässbesökare. Rollerna är tydliga: ni är personuppgiftsansvariga – det är era uppgifter och era beslut. Vi är personuppgiftsbiträde – vi lagrar, behandlar och lämnar ut uppgifter bara enligt era instruktioner. Den här sidan är en öppen sammanfattning av hur vi tar oss an den rollen.
Vem bestämmer vad – rollerna
GDPR arbetar med två roller, och det är värt att reda ut dem direkt: en personuppgiftsansvarig som bestämmer ändamål och medel, och ett personuppgiftsbiträde som utför behandlingen enligt instruktioner.
Ni – personuppgiftsansvariga
Ni bestämmer vad som ska samlas in om era utställare och besökare, vilken information som visas offentligt och hur länge uppgifterna ska sparas, och ni ansvarar för er egen integritetspolicy gentemot de registrerade.
Vi – personuppgiftsbiträde
Vi utför behandlingen enligt era instruktioner: hosting, lagring, visning, export, radering. Vi använder inte era uppgifter till något annat än den avtalade tjänsten, och vi lämnar inte ut dem till tredje part utan ert godkännande.
Personuppgiftsbiträdesavtalet (DPA)
Vi har ett standardavtal för personuppgiftsbiträden som skrivs under som en del av avtalspaketet. Det behöver varken bli en strid eller en övning i finstilt. Innehållet är det som ett rimligt DPA ska innehålla.
Hostingregion
EU. Huvudinfrastruktur i Tyskland och Danmark – inga överföringar till länder utan adekvat skyddsnivå utan uttryckligt avtal.
Lista över underleverantörer
Fullständig lista som bilaga. Uppdateras med 30 dagars varsel vid ändringar, så att ni kan invända.
Raderingsrutin
Tydlig tidslinje för export, radering och bekräftelse när avtalet upphör. Beskrivs i detalj längre ner.
Säkerhetsåtgärder
Tekniska och organisatoriska åtgärder – TLS, behörighetsstyrning, övervakning, rotation av säkerhetskopior. Beskrivs i en bilaga.
Rutin vid personuppgiftsincident
Vi meddelar er så snart som möjligt och senast inom 48 timmar vid en konstaterad incident, så att ni kan uppfylla er egen anmälningsplikt inom 72 timmar enligt GDPR art. 33.
Rätt till granskning
Ni har rätt att granska att vi följer DPA:t, antingen själva eller genom en oberoende tredje part, med rimligt varsel.
Vill ni se DPA:t före avtal? Skriv till [email protected] – vi skickar det utan förbehåll. Det får gärna läsas, kommenteras och förhandlas före underskrift.
Var era uppgifter fysiskt finns
Vi vill kunna peka på ett serverrum och säga "där är det". Här är den faktiska placeringen för de olika typerna av data.
Primär infrastruktur
Hetzner i Tyskland – produktion och en separat stagingmiljö. Båda inom EU.
Mediefiler
Hetzner Object Storage inom EU. Varje kund har en egen bucket – era bilder och videor delar inte lagring med andra kunders.
Mejl / transaktionsmejl
Vår egen mejlinfrastruktur, driven i Danmark, med EU-baserat relä för utskick. Ingen amerikansk SaaS i mejlflödet.
Statistik (om ni väljer det)
En stack per kund för besöksstatistik på samma EU-infrastruktur. Ingen Google Analytics, inga spårare från tredje part.
Säkerhetskopior
Krypterade säkerhetskopior inom EU. Roteras bort efter 90 dagar.
CDN & perimeter
Cloudflare som CDN och DDoS-skydd – levererar innehåll nära besökaren, men lagrar inte er databas.
Våra underleverantörer
Underleverantörer är de tredje parter som nödvändigtvis behandlar era uppgifter, eftersom vi använder deras infrastruktur. Listan är kort med avsikt – vi lägger bara ut det som verkligen behöver läggas ut.
| Leverantör | Roll | Region |
|---|---|---|
| Hetzner | Hosting (servrar, object storage, säkerhetskopior) | Tyskland (EU) |
| Cloudflare | CDN, DDoS-skydd, Turnstile (bottfilter) | Globalt edge-nätverk; biträdesavtal med EU:s standardavtalsklausuler |
| Mejlrelä | Utgående transaktionsmejl (kvitton, aviseringar) | EU |
| Leverantörer av AI-modeller | Bara med AI-paket. Konkreta leverantörer listas i underleverantörsbilagan till DPA:t. | Se DPA-bilagan |
Vid ändringar: Vi meddelar er 30 dagar innan vi lägger till eller byter en underleverantör, så att ni har tid att invända om ändringen inte passar in i er egen compliance-ram.
AI-behandling
Om ni har valt ett paket med AI-funktioner – till exempel utkast till utställarprofiler eller samtalsbutlern – skickar vi data till en eller flera leverantörer av AI-modeller som en del av tjänsten. Det är det område där folk med rätta är mest skeptiska, och där vi är allra tydligast.
Anonymisering
Där det är tekniskt möjligt anonymiserar vi promptar, så att modelleverantören inte ser personnamn eller direkta identifierare, bara det innehåll som ska bearbetas.
Ingen träning på era data
Våra modelleverantörer är avtalsmässigt förpliktade att inte träna på indata eller utdata från vår trafik. Det är ingen vänlig avsikt – det står i våra avtal med dem.
Konkret leverantörslista
Vilka AI-leverantörer vi använder framgår av underleverantörsbilagan till DPA:t. Listan kan ändras – därav varslet på 30 dagar.
Våra principer
Vi har skrivit om hur vi tänker kring AI mer generellt – den principiella hållningen finns här: Från Google till AI.
Radering när avtalet upphör
Vad händer när ni säger upp avtalet? Det ska vara förutsägbart, och det ska gå att dokumentera. Tidslinjen är tydlig.
-
Inom 14 dagar
Export
Ni får era data exporterade som JSON och/eller CSV – utställare, profiler, mediefiler, hallplan, innehållsfiler. Format och leveranssätt kommer vi överens om med er.
-
Inom 30 dagar
Radering
Alla aktiva data raderas från produktion: databas, mediefiler, statistik, AI-genererade artefakter. Raderingen omfattar även stagingmiljön.
-
Skriftlig bekräftelse
Dokumentation
Ni får ett skriftligt raderingsintyg som bekräftar att uppgifterna är borttagna och vilka system det gäller. Det kan ni använda i er egen compliance-dokumentation.
-
Inom 90 dagar
Rotation av säkerhetskopior
Krypterade säkerhetskopior roteras bort automatiskt inom 90 dagar. Vi kan inte selektivt radera enskilda poster ur säkerhetskopiorna, men de går ut av sig själva inom det fönstret.
Säkerhetsåtgärder
De konkreta tekniska och organisatoriska åtgärder vi har vidtagit. Listan är inte uttömmande, men täcker det ni oftast frågar om.
TLS överallt
All trafik mellan besökare och sajten, och mellan våra interna tjänster, är TLS-krypterad. Cloudflares origin-certifikat säkrar kedjan hela vägen in till ursprungsservern.
Ingen publik SSH
Servrarna är inte åtkomliga via publik SSH. Åtkomst sker bara via Tailscales overlay-nätverk med nyckelbaserad autentisering.
Skydd mot bottar och DDoS
Cloudflares DDoS-skydd framför sajten. Turnstile på känsliga formulär för att filtrera bort bottspam utan att visa besökarna ett pussel.
Övervakning
Beszel för systemmätvärden, Uptime Kuma för extern drifttidsövervakning. Larm går direkt till den som har jouren.
Aktiv jour under mässdygnen
Under era mässdygn skärper vi beredskapen – övervakningen kontrolleras oftare, och den som har jouren har kort svarstid.
Behörighetsstyrning
Principen om minsta behörighet internt. Åtkomst till produktionsdata är begränsad till de personer som behöver den för drift och support.
Rutin vid personuppgiftsincident
Om det otänkbara händer gäller följande. Det är avtalat i DPA:t och inte förhandlingsbart i stunden – vi har övat igenom det.
-
Så snart som möjligt – senast 48 timmar
Meddelande till er
Vi meddelar er så snart som möjligt och senast inom 48 timmar vid en konstaterad incident, så att ni kan uppfylla er egen anmälningsplikt inom 72 timmar enligt GDPR art. 33. Meddelandet innehåller vad vi vet, vad vi ännu inte vet och vilka steg vi tar.
-
Löpande
Uppdateringar
Ni får löpande uppdateringar medan vi begränsar och åtgärdar. Ingen tystnad i kommunikationen.
-
Inom 14 dagar
Efteranalys
En skriftlig redogörelse för vad som hände, varför det hände, vilka uppgifter som berördes och vilka konkreta ändringar vi inför för att det inte ska hända igen.
Saknar ni ett svar här?
Frågor om DPA kan vara konkreta och tekniska. Skriv till oss, så får ni ett konkret svar.