Topicos · Bilaga till personuppgiftsbiträdesavtal
Kolumnen Läsbart anger om underbiträdet kan läsa uppgifterna i klartext, eller bara får dem i krypterad form. "Behandling" i lagens mening omfattar även lagring och transport av krypterade uppgifter, men för riskbedömningen är det avgörande vad underbiträdet faktiskt kan se. För organisationer som slagit på end-to-end-kryptering (Organisationsnyckeln) blir innehållet oläsligt för samtliga underbiträden; det anges som "nej (E2EE)".
Kolumnen Överföring anger den rättsliga grunden för överföring utanför EU/EES: standardavtalsklausuler (SCC) enligt kommissionens beslut 2021/914 i underbiträdets biträdesavtal, och i förekommande fall EU–USA Data Privacy Framework (DPF).
| Underbiträde | Tjänst | Uppgifter | Läsbart | Plats | Överföring | Avtal |
|---|---|---|---|---|---|---|
| Google Cloud EMEA Ltd (Irland), avtalspart för EMEA enligt Googles förteckning över avtalsparter | Cloud Firestore (databas) | Meddelanden, dokument, uppgifter, kalender, tidrapporter, medlemskap, notiser, samtalshistorik | Ja; nej (E2EE) för innehåll | EU, multiregion eur3 (Belgien, Nederländerna) | Ingen överföring | Cloud Data Processing Addendum, del av Google Cloud-villkoren, och Firebase Data Processing and Security Terms. Gäller automatiskt för projektet |
| Google Cloud EMEA Ltd | Cloud Functions (serverkod) | Samma som ovan vid behandling | Ja; nej (E2EE) | EU, europe-west1 (Belgien) | Ingen överföring | Samma |
| Google Cloud EMEA Ltd | Cloud Storage | Profilbilder, bilder till länkförhandsvisningar | Ja | EU, europe-west1 | Ingen överföring | Samma |
| Google Cloud EMEA Ltd | Secret Manager, Cloud Logging | Driftloggar med identifierare (inga namn, nummer eller innehåll) samt Data Access-loggar för databasläsningar med anroparens inloggningstoken (telefonnummer), 30 dagar | Ja | EU, europe-west1 (egen loggbucket sedan 2026-09-15; Admin Activity-loggar utan personuppgifter ligger kvar globalt) | Ingen överföring | Samma |
| Google Cloud EMEA Ltd (Irland); behandlingen utförs av Google LLC (USA). Tjänsten lyder under Google Cloud-villkoren | Firebase Authentication | Telefonnummer, inloggningssession, SMS-utskick av engångskod | Ja | USA. Google uppger att tjänsten körs enbart i amerikanska datacenter | SCC i Cloud Data Processing Addendum; Google LLC är DPF-certifierat | Samma |
| Google LLC (USA) eller Google Ireland Ltd enligt Firebase Data Processing and Security Terms | Firebase Cloud Messaging | Push-token; notisinnehåll krypterat till enheten | Token ja; innehåll nej | Globalt | SCC; Google LLC är DPF-certifierat | Samma |
| Google LLC (USA) eller Google Ireland Ltd enligt Firebase Data Processing and Security Terms | Firebase Crashlytics | Kraschrapporter: felinformation, enhetsmodell, operativsystem, konto-id | Ja | Globalt | SCC; Google LLC är DPF-certifierat | Samma |
| Google Cloud EMEA Ltd (Irland); behandlingen utförs av Google LLC (USA). Tjänsten lyder under Google Cloud-villkoren | Firebase App Check, reCAPTCHA | Tekniska signaler om enhet eller webbläsare | Ja | Globalt | SCC i Cloud Data Processing Addendum; Google LLC är DPF-certifierat | Samma |
| Apple Inc. (USA) enligt utvecklaravtalet. App Store-distributionen i EU sker genom Apple Distribution International Ltd (Irland) som ombud, och samma bolag är ansvarigt för personuppgifter om användare i EES enligt Apples integritetspolicy | Apple Push Notification service, PushKit | Push-token; notisinnehåll krypterat till enheten; samtalssignalering (uppringarens id, krypterat namn) | Token ja; innehåll nej | Globalt (USA) | Apple åberopar Global CBPR, inte DPF, och erbjuder inga SCC för push. Överföringen begränsas till push-token, tidpunkt och krypterat innehåll | Apple Developer Program License Agreement. Innehåller inget biträdesavtal enligt artikel 28; Apple ser bara token, tidpunkt och chiffer |
| Cloudflare, Inc. (USA), 101 Townsend St, San Francisco, enligt Self-Serve Subscription Agreement | R2 (fillagring) | Bilagor: bilder, video, ljud, dokument, uppgiftsbilagor | Ja; nej (E2EE) | EU-jurisdiktion (bucketen kan inte lämna EU) | Ingen överföring av data (EU-jurisdiktion). Avtalspart utanför EU: SCC i DPA; Cloudflare, Inc. är DPF-certifierat | Cloudflare Data Processing Addendum, införlivat i Self-Serve Subscription Agreement. Gäller automatiskt |
| LiveKit Incorporated (USA), 369 Sutter St, San Francisco | LiveKit Cloud (röstsamtal) | Ljud i realtid (lagras aldrig), deltagar-id och visningsnamn i anslutningstoken, samtalsmetadata | Ljud ja utan E2EE; nej (E2EE). Id och namn ja | Närmaste mediaserver per samtal, inte låst till region. För samtal från Sverige: Tyskland (EU) | LiveKit är DPF-certifierat; SCC i DPA | LiveKit Data Processing Addendum (senast uppdaterat 2026-09-04), del av Terms of Service. Gäller automatiskt. Underbiträden: livekit.com/legal/sub-processors |
| 650 Industries, Inc. (Expo, USA) | EAS Update (appuppdateringar), Expo Push (äldre appversioner) | Enhetsuppgifter vid uppdateringskontroll; för äldre appversioner push-token och notistext (förhandsvisning; i E2EE-organisationer bara organisations- och avsändarnamn) | Ja | USA | 650 Industries är DPF-självcertifierat; SCC enligt integritetspolicyn | Terms of Service och integritetspolicy. Expo tillhandahåller DPA på begäran (expo.dev/contact); begärs och bifogas i samband med första avtalet med offentlig sektor |
| Stripe Payments Europe, Ltd. (Irland) för konton utanför Amerika enligt Stripe DPA | Betalningar och fakturering | Organisationsnamn, administratörens telefonnummer, faktura-e-post, företagsnamn, organisationsnummer, fakturor, abonnemangsstatus. Kortuppgifter enbart hos Stripe | Ja | EU/USA | SCC i Stripe DPA; Stripe, LLC (USA) är DPF-certifierat | Stripe Data Processing Agreement, del av Stripe Services Agreement. Gäller automatiskt |
| Tjänsteleverantör | Tjänst | Vad den gör | Plats |
|---|---|---|---|
| Google LLC | Firebase Hosting | Levererar webbappens programfiler (app.topicos.app). IP-adress förekommer i tjänsteleverantörens åtkomstloggar. Inga personuppgifter lagras av tjänsten | Globalt CDN |
| GitHub, Inc. (USA) | GitHub Pages, git-lagring | Webbplatsen topicos.app (statisk, utan cookies eller spårning) och källkoden. Inga personuppgifter från tjänsten | USA |
| Apple Inc., Google LLC | App Store, Google Play | Distribution av apparna. Butikernas egen behandling regleras av deras användarvillkor gentemot användaren | Globalt |
Biträdet meddelar den personuppgiftsansvarige skriftligen 30 dagar innan ett nytt underbiträde tas i bruk eller ett befintligt byts, med uppgift om underbiträde, tjänst, uppgifter och plats. Den personuppgiftsansvarige kan invända inom varseltiden. Aktuell förteckning publiceras på topicos.app/privacy.html, avsnitt 6.
| Version | Datum | Ändring |
|---|---|---|
| 0.1 | 2026-09-10 | Första utkast. Speglar läget efter flytten till EU (augusti 2026) och end-to-end-krypteringen (september 2026). |
| 0.2 | 2026-09-14 | Partsbeteckningen "Biträdet" införd; externa leverantörer kallas genomgående underbiträden. |
| 0.3 | 2026-09-15 | Cloud Logging: plats ändrad till EU (europe-west1) och Data Access-loggar tillagda i uppgiftskolumnen. |
| 0.4 | 2026-09-15 | Varseltid 30 dagar beslutad; markör borttagen. |
| 0.5 | 2026-09-15 | Avtalsparter, DPF-status och avtalsgrund kontrollerade mot leverantörernas villkor; LiveKits DPA gäller automatiskt, Expos lämnas ut på begäran; Apple-raden omskriven. Kvar: fakturakontroll av Googles avtalspart. |
| 0.6 | 2026-09-16 | Googles avtalspart bekräftad mot cloud.google.com/terms/google-entity (EMEA utom Frankrike, Italien, Polen). Inga luckor kvar; lucklistan borttagen. |