Personuppgiftsbiträdesavtal för Snap9

Senast uppdaterat: 2 november 2026

1. Parter och tillämpning

Detta personuppgiftsbiträdesavtal ingås mellan:

• Kunden: den företagskund eller organisation som använder Snap9 för ett event som Kunden anordnar i sin verksamhet (personuppgiftsansvarig), och
• Snap9: Philip Der Nercessian, enskild näringsidkare (firmanamn: Snap9)
  Adress: Patentgatan 8, 722 26 Västerås, Sverige
  E-post: support@snap9.app (personuppgiftsbiträde).

Avtalet är en del av användarvillkoren (punkt 14) och gäller automatiskt när Kunden skapar ett event, beställer ett paket eller på annat sätt godkänner villkoren. Det finns tillgängligt här innan köp och användning. Avtalet gäller när Snap9 lagrar och behandlar eventmaterial för Kundens räkning. Det gäller inte rent privat användning.

Om avtalet och övriga villkor skiljer sig åt i fråga om behandling av personuppgifter gäller detta avtal.

2. Föremål och varaktighet

Föremålet för behandlingen är eventmaterial och tillhörande uppgifter som laddas upp till och lagras i Kundens event i Snap9.

Behandlingen pågår så länge eventet finns i tjänsten, det vill säga under paketets lagringstid (Gratis 14 dagar, Standard 180 dagar, Plus 365 dagar) eller till dess att Kunden raderar materialet eller eventet, och därefter till dess att uppgifterna har raderats enligt punkt 13.

3. Behandlingens art och ändamål

Snap9 behandlar personuppgifterna enbart för att tillhandahålla tjänsten enligt villkoren:

• ta emot uppladdningar från personer som har eventets länk,
• lagra filerna och tillhörande uppgifter,
• visa materialet i galleriet och bildspelet för personer som har länken samt göra det tillgängligt för nedladdning (även som ZIP-fil),
• lagra miniatyrbilder som skapas i uppladdarens webbläsare,
• hantera anmälningar och dölja anmält material,
• radera material när Kunden begär det och när lagringstiden har gått ut.

Snap9 använder inte materialet för egna ändamål, för reklam eller för att träna AI-modeller.

4. Kategorier av personuppgifter

• Bilder och videor, inklusive bilder av personer och eventuell inbäddad metadata (till exempel tidpunkt, kameramodell och plats om enheten sparar den).
• Filnamn och frivilligt angivna namn på den som laddar upp.
• Eventuppgifter: eventnamn, datum och välkomsttext.
• Säkerhetsuppgifter: hashade IP-adresser kopplade till uppladdningar och anmälningar.
• Anmälningar: skäl som anges vid anmälan.

Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9 eller uppgifter om lagöverträdelser enligt artikel 10 GDPR. Kunden ska inte instruera Snap9 att behandla sådana uppgifter utöver vad som kan förekomma i vanliga bilder från ett event. Kunden ansvarar för att det finns stöd för behandlingen om sådant material ändå laddas upp.

5. Kategorier av registrerade

• gäster och deltagare som laddar upp material,
• personer som syns i bilder och videor,
• Kundens värdar och personal som administrerar eventet,
• personer som anmäler material.

6. Instruktioner

Snap9 behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner. Instruktionerna utgörs av detta avtal, villkoren och de val Kunden gör i tjänsten, till exempel att skapa eventet, välja paket, dela länken, ladda ner och radera filer eller radera eventet.

Ytterligare instruktioner lämnas skriftligen till support@snap9.app. Om Snap9 anser att en instruktion strider mot dataskyddsförordningen eller annan dataskyddslag informerar Snap9 Kunden.

Snap9 får behandla uppgifterna utan instruktion om det krävs enligt unionsrätten eller svensk rätt. Snap9 informerar då Kunden om kravet innan behandlingen, om inte lagen förbjuder det.

7. Sekretess

Snap9 säkerställer att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Åtkomst ges bara till dem som behöver den för att driva tjänsten.

8. Säkerhetsåtgärder

Snap9 vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR. Åtgärderna omfattar i dag:

• krypterad trafik (HTTPS) till tjänsten,
• kryptering av lagrade data i databasen och fillagringen hos Cloudflare (AES-256),
• åtkomst till galleriet endast via en slumpmässig, unik länk, och till värdpanelen via en separat hemlig administrationslänk som bara sparas som hash,
• gallerier och värdpaneler är spärrade för sökmotorer,
• IP-adresser sparas i Snap9:s egen applikationsdatabas endast som saltad hash, och e-postadresser för värdlänkar endast som saltad hash,
• kontroll av filtyp och filstorlek vid uppladdning samt begränsning av antalet uppladdningar och skapade event per IP-adress,
• anmälningsfunktion vid varje fil; material döljs automatiskt efter 2 anmälningar och granskas,
• automatisk radering när lagringstiden har gått ut,
• inga analys-, annons- eller spårningstjänster och inga inbäddade tredjepartstjänster.

Snap9 får uppdatera åtgärderna om skyddsnivån inte sänks.

9. Underbiträden

Kunden ger Snap9 ett allmänt förhandstillstånd att anlita underbiträden. I dag anlitas:

• Cloudflare, Inc. (USA): drift av tjänsten (Workers), databas (D1), fillagring (R2) och e-post (Email Routing och Email Service). Databasen och filerna lagras hos Cloudflare inom EU (Cloudflares EU-jurisdiktion för D1 och R2, en bindande begränsning av var uppgifterna lagras). Förfrågningar hanteras i Cloudflares globala nätverk, normalt i datacentret närmast besökaren, så uppgifter kan behandlas tillfälligt utanför EU när de skickas till eller från besökaren. Cloudflare är bundet av Cloudflares personuppgiftsbiträdesavtal (Data Processing Addendum).

Stripe är inte underbiträde. Stripe hanterar betalningar som självständig personuppgiftsansvarig och behandlar inte eventmaterial.

Google (Gmail) är inte underbiträde och används inte för att behandla Kundens eventmaterial. Supportmejl till support@snap9.app och hello@snap9.app vidarebefordras via Cloudflare Email Routing till en Gmail-brevlåda och omfattas inte av detta avtal; de behandlas enligt Snap9:s integritetspolicy. Tjänsten skickar aldrig eventmaterial till supporten med e-post: en anmälan som vidarebefordras till supporten innehåller bara en direktlänk till det anmälda materialet i tjänsten, inte filen, eventets namn eller anmälarens text. Kunden ska inte skicka eventmaterial eller personuppgifter om gäster i supportmejl utan hänvisa till materialet med en länk.

Snap9 informerar om planerade ändringar av underbiträden genom att uppdatera denna sida minst 14 dagar innan ändringen börjar gälla. Kunden kan invända mot ändringen genom att kontakta support@snap9.app; om parterna inte kommer överens kan Kunden radera eventet. Snap9 ålägger underbiträden motsvarande dataskyddsskyldigheter och ansvarar mot Kunden för underbiträdenas fullgörande.

10. Överföringar till tredje land

Cloudflare, Inc. är ett amerikanskt bolag och uppgifter kan behandlas i USA och andra länder. Överföringar sker med stöd av EU-kommissionens beslut om adekvat skyddsnivå för EU–US Data Privacy Framework (Cloudflare är certifierat) och EU-kommissionens standardavtalsklausuler i Cloudflares personuppgiftsbiträdesavtal.

11. Bistånd till Kunden

Snap9 bistår Kunden, med hänsyn till behandlingens art och den information Snap9 har tillgång till, med att:

• besvara begäranden från registrerade. Begäranden som kommer till Snap9 och som gäller Kundens event vidarebefordras till Kunden utan onödigt dröjsmål. Kunden kan själv ladda ner och radera filer och radera eventet i värdpanelen,
• fullgöra skyldigheter om säkerhet, personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd enligt artiklarna 32–36 GDPR.

12. Personuppgiftsincidenter

Snap9 underrättar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör Kundens uppgifter. Underrättelsen innehåller, i den mån uppgifterna är kända, den information som anges i artikel 33.3 GDPR och kan lämnas stegvis.

13. Radering och återlämnande

Under lagringstiden kan Kunden ladda ner allt material, även som en ZIP-fil. Det är det sätt på vilket materialet återlämnas.

När Kunden raderar en fil eller ett event tas materialet bort från aktiv lagring direkt. När lagringstiden har gått ut upphör åtkomsten och materialet raderas vid nästa nattliga rensning, normalt inom ett dygn. Databasens automatiska återställningspunkter skrivs över inom 30 dagar; uppladdade filer har inga säkerhetskopior. Uppgifter som Snap9 behöver spara som personuppgiftsansvarig, till exempel bokföringsuppgifter om köpet, omfattas av integritetspolicyn.

14. Granskning

Snap9 ger Kunden tillgång till den information som behövs för att visa att skyldigheterna i artikel 28 GDPR fullgörs, bland annat detta avtal och integritetspolicyn.

Kunden, eller en oberoende granskare som Kunden utser och som har tystnadsplikt, får genomföra granskningar. Granskningen ska begäras skriftligen minst 30 dagar i förväg, genomföras utan onödig störning för tjänsten och på Kundens bekostnad, och sker högst en gång per år om inte en incident eller en tillsynsmyndighet motiverar något annat. För Cloudflares infrastruktur kan Snap9 hänvisa till Cloudflares egna granskningsrapporter och certifieringar.

15. Ansvar

Ansvar regleras av artikel 82 GDPR och av villkoren punkt 11. Ansvarsbegränsningar gäller inte i den utsträckning de inte får begränsas enligt lag.

16. Giltighet och ändringar

Avtalet gäller så länge Snap9 behandlar personuppgifter för Kundens räkning. Ändringar görs på samma sätt som ändringar av villkoren (punkt 12) och påverkar inte Kundens rättigheter enligt dataskyddsförordningen.