Personuppgiftsbiträdesavtal

Gäller från: 20 juni 2026 — Sparkle5, LLC — Version 1.0

Personuppgiftsbiträdesavtal (PUBA)

Detta Personuppgiftsbiträdesavtal (”PUBA”) utgör en del av Användarvillkoren mellan Sparkle5, LLC (”Luvu” eller ”vi”) och dig (”Kunden” eller ”du”) och tillämpas närhelst Sparkle5, LLC behandlar Personuppgifter för din räkning i samband med Luvu-tjänsten. Det är utformat för att efterleva art. 28 GDPR, Storbritanniens Data Protection Act 2018 och motsvarande lagstiftning.

1. Definitioner

  • Personuppgifter, Behandling, Personuppgifts­ansvarig, Personuppgiftsbiträde, Registrerad — enligt definitioner i GDPR.
  • Underbiträde — varje tredje part som anlitats av Luvu för att behandla Personuppgifter för vår räkning i samband med tjänsten.
  • EU:s standardavtalsklausuler (SCC) — EU-kommissionens Modul 2 (Personuppgifts­ansvarig → Personuppgifts­biträde) och Modul 3 (Biträde → Underbiträde) (beslut (EU) 2021/914).

2. Roller och omfattning

För Personuppgifter som avser Luvus slutanvändare (datingapp-produkten) är Sparkle5, LLC Personuppgifts­ansvarig. För alla Personuppgifter som du (Kunden) instruerar oss att behandla för din räkning utanför vår standardprodukt (t.ex. enterprise-integrationsavtal, white-label-driftssättningar) agerar Sparkle5, LLC som Personuppgiftsbiträde, och detta PUBA reglerar sinån Behandling.

3. Föremål, varaktighet, art och syfte

  • Föremål: tillhandahållande av Luvu-tjänsten — matchningssystem, meddelanden, identitetsverifiering, fakturering och stödjande infrastruktur.
  • Varaktighet: Behandlingen fortsätter under Användarvillkorens löptid och bevaras enligt bevarandeschemat i § 7 i Integritetspolicyn efter upphörande.
  • Art och syfte: lagring, strukturering, hämtning, överföring och radering av Personuppgifter i den omfattning som krävs för att tillhandahålla, driva, säkerställa och förbättra tjänsten.
  • Typer av Personuppgifter: identifierings-, kontakt-, profildata, särskilda kategorier enligt art. 9 (sexuell läggning och preferenser, med uttryckligt samtycke enligt § 1 i Integritetspolicyn), platsdata, enhetsidentifierare, betalningsmetadata, innehåll (meddelanden, foton, röstljud), användnings- och loggdata.
  • Kategorier av Registrerade: registrerade Luvu-användare.

4. Biträdets skyldigheter

I rollen som Biträde åtar vi oss att:

  • Behandla Personuppgifter endast enligt dokumenterade instruktioner från den Personuppgifts­ansvariga, om inte annat krävs enligt unionsrätt eller medlemsstats rätt.
  • Säkerställa att personer som behöriga att behandla Personuppgifter omfattas av tystnadsplikt.
  • Genomföra de tekniska och organisatoriska åtgärder som beskrivs i Bilaga II.
  • Anlita Underbiträden endast efter föregående allmän skriftlig godkännande och under back-to-back-avtal som inte ger lägre skydd än detta PUBA — se § 5 och Bilaga I.
  • Med hänsyn till Behandlingens art bistå den Personuppgifts­ansvariga med lämpliga tekniska och organisatoriska åtgärder, i den utsträckning det är möjligt, för att uppfylla skyldigheten att svara på Registrerades förfrågningar (Kapitel III GDPR).
  • Bistå med skyldigheter avseende säkerhet, anmälan av personuppgifts­incidenter, DPIA och föregående samråd enligt art. 32–36 GDPR.
  • Vid upphörande radera eller återlämna alla Personuppgifter — du kan också när som helst själv exportera dina data från Inställningar → Integritet → Exportera data.
  • Tillhandahålla all information som behövs för att visa efterlevnad och möjliggöra och bidra till revisioner, inklusive inspektioner, som utförs av den Personuppgifts­ansvariga eller en annan revisor som denna utsett. Revisioner är begränsade till en gång per 12-månadersperiod, förutom efter en säkerhets­incident.

5. Underbiträden

Du ger härmed ett generellt skriftligt godkännande till att Luvu anlitar de Underbiträden som anges i Bilaga I. Vi kommer att informera dig om varje avsedd tilläggning eller ersättning av Underbiträden via en in-app-banner och e-post till den registrerade adressen och ge dig en rimlig tid (minst 30 dagar) att invända på rimliga grunder innan det nya Underbiträdet börjar Behandla. Listan i Bilaga I speglar alltid tabellen över underbiträden i § 5 i Integritetspolicyn.

6. Internationella dataöverföringar

Där ett Underbiträde är etablerat utanför EU/EES, omfattas överföringen antingen av (i) ett beslut om adäkvat skyddsnivå av EU-kommissionen, eller (ii) standardavtals­klausulerna i Modul 3, kompletterade vid behov med ytterligare skyddsåtgärder (konsekvens­bedömning av överföring, teknisk kryptering, avtalsmässiga begränsningar för utlämnande till myndigheter). Den aktuella listan över gränsöverskridande överföringar och den skyddsåtgärd som tillämpas finns i Bilaga I.

7. Säkerhet — sammanfattning av Bilaga II

Vi genomför följande tekniska och organisatoriska åtgärder (TOM):

  • Kryptering i transit: TLS 1.3 med starka chiffer; HSTS preload.
  • Kryptering vid vila: AES-256 för databaser, objektlagring och säkerhetskopior.
  • Åtkomstkontroll: rollbaserad åtkomst enligt principen om lägsta behörighet, tidsbegränsade administratörs­sessioner, obligatorisk MFA för alla roller med produktionsåtkomst.
  • Nätverksisolering: produktions­värdar bakom WireGuard-VPN; endast TLS-ändpunkter exponeras offentligt.
  • Loggning och övervakning: centraliserade strukturerade loggar, felspårning, anomali­larmar; rå IP-adresser hashas med SHA-256 innan lagring när de används för analys eller rate-limiting.
  • Säkerhetskopior: krypterade nättliga databas-backuper bevarade 30 dagar offsite (EU).
  • Sårbarhets­hantering: beroenden skannas vid varje CI-bygge; secret-scanning blockerar commits som innehåller autentiseringsuppgifter.
  • Foto-/röstinnehåll: privata S3-ACL:er med kortlivade signerade URL:er (TTL 2 h); inga råa offentliga URL:er.
  • Garantier vid kontoradering: soft-delete med 30 dagars respit, därefter oåterkallelig hard-delete; ekonomiska underlag bevaras där lagen kräver det (10 år).

8. Anmälan av personuppgifts­incidenter

Efter en faktisk eller rimligen misstänkt personuppgiftsincident som påverkar dina data, informerar vi dig utan otillbörligt dröjsmål och under alla omständigheter inom 48 timmar, med den information som krävs enligt art. 33.3 GDPR i den utsträckning den finns tillgänglig, och samarbetar i god tro med dig om incident­hantering och nedströms anmälningar.

9. Ansvar och löptid

Varje parts ansvar enligt detta PUBA omfattas av de begränsningar och undantag som anges i de underliggande Användarvillkoren. Detta PUBA träder i kraft vid det ikraftträdande­datum som anges ovan och upphör med de underliggande Användar­villkoren.

Bilaga I — Godkända underbiträden

Denna lista är identisk med tabellen över underbiträden i § 5 i Integritetspolicyn och uppdateras varje gång ett Underbiträde läggs till, tas bort eller ändras. Den aktuella ögonblicksbilden per ikraftträdandet ovan återges nedan. Den gällande levande listan är alltid den version som visas på /pages/privacy.

Gränsöverskridande överföringar till USA och Israel omfattas av Modul 3 SCC såvida inte ett adäkvat skydds­beslut gäller; EU-baserade biträden kräver inte SCC.

  • Google LLC — Sign-In & Identity (SSO) — USA — SCC.
  • Google LLC — Firebase Cloud Messaging (push-notiser) — USA — SCC.
  • Google LLC — Google Play Billing & Developer API (validering av Android-köp) — USA — SCC.
  • Google LLC — Maps Static API & Geocoder (platsmeddelanden) — USA — SCC.
  • Apple Inc. — SSO, In-App Purchase, APNs — USA — SCC.
  • Stripe, Inc. — webbetalningar — USA — SCC.
  • Singular Labs, Inc. — attribution av installationer och in-app-händelser — USA / Israel — SCC.
  • Hetzner Online GmbH — objektlagring (foton, ljud, chattbilder) — Tyskland (EU) — SCC krävs ej.
  • Mailgun Technologies (Sinch) — transaktions-e-post — EU-servrar — SCC krävs ej.
  • SMTP2GO Pty Ltd — transaktions-e-post (sekundär) — EU-servrar — SCC krävs ej.
  • Giphy Inc. — GIF-sökning i meddelanden — USA — SCC.

Bilaga II — Tekniska och organisatoriska åtgärder

Se § 7 ovan för sammanfattningen. Fullständig TOM-dokumentation är tillgänglig för enterprise-kunder på begäran under NDA via privacy@luvu.plus.

Kontakt

Sparkle5, LLC — Datas­kyddskontakt: privacy@luvu.plus.