Personuppgiftsbiträdesavtal (PUB-avtal) för Vopty Go

Bilaga 1 till Allmänna villkor för Vopty Go. Version 1.1, 22 oktober 2026.

Detta personuppgiftsbiträdesavtal (”PUB-avtalet”) gäller när Vopty AB behandlar personuppgifter för kundens räkning i Vopty Go.

PUB-avtalet kompletterar de Allmänna villkoren för Vopty Go eller ett annat huvudavtal mellan parterna (”Huvudavtalet”). Kunden godkänner PUB-avtalet i samma steg som Huvudavtalet, med samma kryssruta. Vopty sparar vilken version som godkändes, när och av vem, och skickar PUB-avtalet som PDF i mejlet om att kontot är aktiverat. Vid motstridighet har PUB-avtalet företräde i frågor om personuppgifter.

1. Parter och roller

Personuppgiftsansvarig: den kund som anges i Huvudavtalet (”Kunden”).

Personuppgiftsbiträde: Vopty AB, organisationsnummer 559413-9924, Skeppsbron 2, 211 20 Malmö (”Vopty”).

2. Syfte och omfattning

Vopty får behandla personuppgifter bara i den utsträckning som behövs för att tillhandahålla, driva, säkra och supportera Vopty Go enligt Kundens instruktioner. Detaljerna finns i Bilaga A.

3. Dokumenterade instruktioner

Vopty får bara behandla personuppgifter enligt PUB-avtalet, Huvudavtalet, Bilaga A och andra dokumenterade instruktioner från Kunden, om inte unionsrätten eller nationell rätt kräver något annat. Vopty informerar då Kunden om kravet innan behandlingen börjar, om det inte är förbjudet enligt lag.

Om Vopty anser att en instruktion strider mot dataskyddslagstiftningen informerar Vopty Kunden omedelbart.

Kunden instruerar Vopty att ta fram sammanställd statistik ur Kundens uppgifter, till exempel tid per stopp, körtider och träffsäkerhet i planeringen, som inte kan kopplas till Kunden, en förare eller en mottagare. Vopty får använda statistiken enbart för att förbättra Voptys egna tjänster. Inga enskilda positioner eller rutter används utanför Kundens konto, och inget delas med eller säljs till andra (Allmänna villkor punkt 8).

4. Kundens ansvar

Kunden ansvarar för att det finns rättslig grund för behandlingen, för information till de registrerade, till exempel förare och mottagare, för att instruktionerna är lagliga och för att bara personuppgifter som får behandlas lämnas till Vopty.

Kunden är personuppgiftsansvarig för positionsdatan (Bilaga A, A8) och ansvarar för konsekvensbedömningen, för att informera förarna och för eventuell förhandling enligt medbestämmandelagen. Vopty bistår enligt artikel 28.3 f GDPR och punkt 8.

5. Sekretess och behörighet

Vopty ser till att bara personer som behöver det har åtkomst till personuppgifterna, och att de har förbundit sig till sekretess eller omfattas av lagstadgad tystnadsplikt.

6. Säkerhet

Vopty vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR. De omfattar i dag:

• kryptering av personuppgifterna vid överföring och i lagring
• inloggning via Auth0 och rollbaserad åtkomst i tjänsten
• säkerhetskopiering
• åtkomst till produktionsmiljön bara för behörig personal
• besked till Kunden vid personuppgiftsincident inom 48 timmar (punkt 9)

Tvåfaktorsinloggning planeras för roller med högre behörighet i tjänsten men är inte påslagen i dag. Något penetrationstest har ännu inte gjorts. Vopty informerar Kunden när åtgärderna utökas.

7. De registrerades rättigheter

Vopty hjälper Kunden, med lämpliga tekniska och organisatoriska åtgärder och i den mån det är möjligt, att besvara begäranden från registrerade.

Om Vopty får en begäran direkt från en registrerad skickar Vopty den vidare till Kunden utan onödigt dröjsmål och besvarar den inte själv, om inte Kunden har instruerat annat.

8. Bistånd till Kunden

Vopty hjälper Kunden att fullgöra skyldigheterna i artiklarna 32–36 GDPR (säkerhet, personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd), med hänsyn till behandlingens art och den information Vopty har.

Vopty tillhandahåller bland annat underlag för Kundens konsekvensbedömning av positionsdatan och en informationstext till förarna.

9. Personuppgiftsincidenter

Vopty underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som berör Kundens personuppgifter.

Underrättelsen innehåller, i den mån informationen finns, incidentens art, berörda kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser och vidtagna eller planerade åtgärder.

10. Underbiträden

Kunden ger Vopty ett allmänt förhandstillstånd att anlita de underbiträden som behövs för tjänsten, inom och utanför EU/EES, med de skydd som anges i punkt 11. De anges i Bilaga B, som hålls uppdaterad och också publiceras på vopty.io/legal.

Vopty ålägger varje underbiträde samma skyldigheter om dataskydd genom skriftligt avtal, och ansvarar fullt ut mot Kunden för underbiträdets fullgörande.

Vopty meddelar Kunden via e-post minst 30 dagar innan ett nytt underbiträde anlitas. Kunden kan invända på saklig dataskyddsgrund inom den tiden. Kan parterna inte enas får Kunden säga upp avtalet till den dag ändringen gäller.

11. Överföring utanför EU/EES

Tjänsten drivs i Microsoft Azure, region West Europe. Vissa underbiträden kan behandla personuppgifter utanför EU/EES, enligt Bilaga B. Vopty får bara överföra personuppgifter till ett land utanför EU/EES när det är tillåtet enligt dataskyddslagstiftningen och lämpliga skyddsåtgärder används: EU–US Data Privacy Framework för mottagare som är certifierade enligt det, och EU:s standardavtalsklausuler.

12. Granskning

Vopty lämnar på skälig begäran den information som behövs för att visa att artikel 28 GDPR följs, och möjliggör granskningar som Kunden eller en granskare som Kunden utsett genomför.

Granskning sker med skäligt förhandsbesked, i första hand genom dokumentation, och så att Voptys verksamhet och andra kunders säkerhet inte oskäligt störs.

Kunden står för kostnaden för granskningar som går utöver att Vopty lämnar dokumentation, om inte granskningen visar att Vopty brutit mot PUB-avtalet.

13. Radering och återlämning

När Vopty slutar behandla personuppgifter för Kundens räkning raderar eller återlämnar Vopty dem enligt Kundens val, om inte lag kräver fortsatt lagring.

Kunden instruerar Vopty att spara Kundens personuppgifter i 12 månader efter att Kundens konto låsts eller Huvudavtalet upphört, så att Kunden kan fortsätta där den slutade. Kunden kan när som helst ändra instruktionen och i stället välja att uppgifterna raderas eller återlämnas. Vopty meddelar Kunden 14 dagar innan uppgifterna raderas. Därefter raderas de.

Kunden kan under de 12 månaderna begära en export. Uppgifterna raderas ur säkerhetskopior när de skrivs över. Vopty bekräftar raderingen skriftligen på begäran.

14. Avtalstid

PUB-avtalet gäller från att Vopty börjar behandla personuppgifter för Kundens räkning och så länge behandlingen pågår.

15. Ansvar

Parternas ansvar enligt dataskyddslagstiftningen gentemot de registrerade och tillsynsmyndigheten påverkas inte av PUB-avtalet. Mellan parterna gäller ansvarsbegränsningen i Huvudavtalet (Allmänna villkor punkt 14) även för brott mot PUB-avtalet: Vopty ansvarar bara för direkt skada, högst för det belopp som fakturerats Kunden de senaste 12 månaderna, och inte alls under den kostnadsfria perioden. Begränsningen gäller inte vid uppsåt eller grov vårdslöshet.

16. Ändringar

Ändringar som krävs till följd av lag, myndighetsbeslut eller tekniska förändringar får göras efter information till Kunden, när det är tillåtet.

17. Lagval och tvist

Svensk lag gäller. Tvister hanteras enligt Huvudavtalets bestämmelse om tvistlösning.

Bilaga A – Behandlingsinstruktion

A1. Föremål

Tillhandahållande av Vopty Go: rutter, skanning, ruttsekvensering, navigation, leveransstatus, leveransbevis, positionering under rutten, kundvy och notifieringar till mottagare.

A2. Varaktighet

Under den kostnadsfria perioden och Kundens abonnemang, och därefter i 12 månader efter att kontot låsts eller avtalet upphört, plus den tid som krävs för radering och säkerhetskopior enligt punkt 13.

A3. Art

Insamling, registrering, strukturering, lagring, läsning, överföring, uppdatering, visning, ruttsekvensering och radering.

A4. Ändamål

Att tillhandahålla Vopty Go enligt Huvudavtalet och Kundens dokumenterade instruktioner.

A5. Kategorier av registrerade

• Kundens förare
• Kundens användare och administratörer
• mottagare av leveranser och deras kontaktpersoner

A6. Typer av personuppgifter

• namn, roll och profilbild för användare och förare
• kontaktuppgifter, till exempel e-postadress och telefonnummer för notifieringar
• användar- och kontoidentifierare
• leveransadress och leveransinstruktioner
• order- och paketreferenser
• rutt- och leveransstatus med tidsstämplar
• positionsdata för fordonet under en rutt (A8)
• leveransbevis (kvittens): foto och signatur, när kunden använder de aktiviteterna. Mottagarens namn sparas inte i kvittensen

A7. Särskilda kategorier

Tjänsten är inte avsedd för särskilda kategorier av personuppgifter enligt artikel 9 GDPR.

A8. Positionsdata

Vopty Driver finns i App Store och Google Play och körs på förarens mobil. Positionen samlas in bara när förarens användare har godkänt platsdelning i sin mobil och själv har startat spårningen. Spårningen avslutas när rutten är slut.

Positionen (latitud, longitud, noggrannhet, hastighet, riktning och tidpunkt) kopplas tekniskt till fordonet och inte direkt till en person. Den skickas i omgångar till Vopty och matchas mot vägnätet i Voptys egen ruttmotor. Den används för att visa var fordonet är, uppdatera beräknad ankomsttid, spela upp rutten och beräkna körsträcka. Kundens användare och mottagarens kundvy kan se positionen under en pågående rutt. Rutten sparas efteråt, så att kundens planerare kan se var turerna har gått.

Positionsdatan har ingen fast lagringstid. Kunden kan stänga av loggningen men inte själv radera lagrad data. Vopty raderar den när Kunden begär det.

Positionen kan vara en personuppgift om fordonet går att knyta till en förare. Kunden ansvarar då för konsekvensbedömningen, informationen till förarna och eventuell förhandling enligt medbestämmandelagen, och Vopty bistår enligt punkt 4 och 8.

A9. Lagringstider

Under abonnemanget: positionsdata har ingen fast lagringstid och raderas på Kundens begäran (A8). Övriga uppgifter sparas så länge abonnemanget löper. Efter att kontot låsts eller avtalet upphört sparas uppgifterna i 12 månader enligt punkt 13.

Bilaga B – Underbiträden

Platsen anges i tre nivåer:

• Inom EU/EES
• Kan vara utanför EU/EES, med skydd: EU:s standardavtalsklausuler eller EU–US Data Privacy Framework
• Utanför EU/EES

Kartor, adressökning (geokodning) och ruttberäkning bygger på OpenStreetMap och körs i Voptys egen miljö. De är inga underbiträden.

Bilaga C – Kontakt

Frågor om dataskydd: hello@vopty.io, Vopty AB, Skeppsbron 2, 211 20 Malmö.