Allmänna villkor för QRGeno av Paperphyte AB
Senast uppdaterad: 2026-10-22
Definitioner
I dessa Villkor ska följande begrepp ha nedan angiven innebörd: "Avtalet" avser dessa Villkor inklusive samtliga bilagor samt Bolagets vid var tid gällande integritetspolicy och cookiepolicy, vilka utgör en integrerad del av Avtalet. "Tjänsterna" avser de digitala tjänster som tillhandahålls av Bolaget, inklusive dynamiska QR-koder (typerna länk, Wi-Fi, värdekod och kontakt), QR-byggaren, scananalys ("impressions-tjänster"), bulkhantering av QR-koder, valfri beställning av trycksaker för Kundens räkning, samt tillhörande API:er. "Kunden" avser juridisk person som ingår avtal med Bolaget. "Kundens Data" avser all data, inklusive personuppgifter, som Kunden eller dess slutanvändare tillför Tjänsterna. "Personuppgifter" avser uppgifter enligt definitionen i Europaparlamentets och rådets förordning (EU) 2016/679 ("GDPR"). "Personuppgiftsansvarig" och "Personuppgiftsbiträde" ska ha den innebörd som följer av GDPR. "QRGeno API" avser Bolagets programmeringsgränssnitt, tillgängligt på Enterprise-planen. "SLA" avser servicenivååtaganden enligt dessa Villkor.
Tillgång till Tjänsterna
Bolaget upplåter till Kunden en icke-exklusiv, icke-överlåtbar och tidsbegränsad rätt att använda Tjänsterna i enlighet med Avtalet. Bolaget äger rätt att när som helst göra ändringar i Tjänsterna, förutsatt att sådana ändringar inte väsentligen försämrar funktionaliteten.
Registrera ett Företag
För att använda Tjänsterna ska Kunden registrera ett konto. Kunden ska vara en juridisk person (företag) med ett giltigt momsregistreringsnummer (VAT-nummer). Bolaget accepterar inte privatpersoner som kunder. Kunden ansvarar för att lämnade uppgifter, inklusive VAT-nummer, är korrekta, fullständiga och uppdaterade. Kunden ansvarar även för att skydda sina inloggningsuppgifter.
Betalning av Kundens Prenumeration
Avgifter ska erläggas i förskott via Mollie enligt gällande prislista. Angivna priser är exklusive moms. För svenska kunder läggs 25 % svensk moms till vid betalning. För övriga EU-kunder med ett momsregistreringsnummer som Bolaget har kunnat verifiera mot VIES-registret tillämpas omvänd skattskyldighet i enlighet med tillämplig momslagstiftning; om numret inte kan verifieras blockeras betalningen tills verifiering lyckas. Vid dröjsmål äger Bolaget rätt att debitera dröjsmålsränta enligt räntelagen.
Prenumeration och betalning
Prenumerationen löper månadsvis eller årsvis (beroende på plan) med automatisk förnyelse vid slutet av varje faktureringsperiod. Kunden kan säga upp prenumerationen när som helst från instrumentpanelen; uppsägningen träder i kraft vid slutet av innevarande faktureringsperiod och tillgången till Tjänsterna kvarstår fram tills dess. Efter uppsägning behålls Kundens QR-koder, designer och scanhistorik, men scans av Kundens QR-koder visar en 'prenumeration krävs'-sida tills Kunden återaktiverar.
Beställning av trycksaker för Kundens räkning
Bolaget tillhandahåller, på Kundens uttryckliga uppdrag, tjänster avseende beställning och förmedling av trycksaker. All sådan beställning sker uteslutande för Kundens räkning och i enlighet med av Kunden lämnade instruktioner. Kunden bär det fulla ansvaret för att lämnade specifikationer, inklusive men ej begränsat till material, format, upplaga och leveransadress, är korrekta och fullständiga vid tidpunkten för beställningen. Bolaget frånsäger sig allt ansvar för fel eller brister som kan hänföras till ofullständiga eller felaktiga instruktioner från Kunden. Samtliga priser för trycksaker angivna av Bolaget är exklusive mervärdesskatt (moms). Tillämplig moms tillkommer och debiteras i enlighet med vid var tid gällande skattelagstiftning.
Användning av Tjänsterna
Kunden får inte: • bryta mot tillämplig lag • försöka kringgå säkerhetsmekanismer • använda Tjänsterna på ett sätt som orsakar överbelastning
Kundens datormiljö
Kunden ansvarar för kompatibilitet, säkerhet och funktion i egen IT-miljö.
Särskilt gällande QRGeno API
API-åtkomst ingår i Enterprise-planen och tillgängliggörs som del av ett enterprise-upplägg. Bolaget äger rätt att införa rate limits och andra tekniska begränsningar för att skydda Tjänsten. Missbruk kan leda till omedelbar avstängning.
SLA och tillgänglighet
Bolaget eftersträvar hög tillgänglighet men garanterar inte oavbruten drift. Planerat underhåll ska i möjligaste mån aviseras.
Support
Support tillhandahålls enligt vid var tid publicerad beskrivning.
Begränsning av åtkomst till Tjänsterna
Bolaget får begränsa åtkomst vid brott mot Avtalet eller säkerhetsrisk.
Ansvarsbegränsning
Bolaget ansvarar endast för direkt skada. Bolaget ansvarar inte för: • indirekt skada • förlust av data • utebliven vinst Maximalt ansvar är begränsat till 12 månaders avgifter.
Friskrivning för fel
Tjänsterna tillhandahålls "i befintligt skick" utan garantier.
Force Majeure
Part ansvarar inte för händelser utanför dess kontroll.
Immateriella rättigheter
Samtliga rättigheter tillhör Bolaget.
Överlåtelse
Kunden får inte överlåta Avtalet utan skriftligt godkännande.
Ändringar
Bolaget får när som helst ändra Villkoren, dess Bilagor, Integritetspolicyn och Cookiepolicyn. Den aktuella versionen av varje dokument, med datum för senaste uppdatering, publiceras på qrgeno.com och gäller från publiceringsdagen. Väsentliga ändringar som påverkar Kundens rättigheter eller skyldigheter, inklusive ändringar av priser, Personuppgiftsbiträdesavtalet eller förteckningen över underbiträden, meddelas via e-post till Kundens registrerade adress eller i instrumentpanelen minst trettio (30) dagar innan de träder i kraft, om inte kortare tid krävs enligt lag, av tillsynsmyndighet eller för att hantera en säkerhetsrisk. Fortsatt användning av Tjänsterna efter att en ändring trätt i kraft innebär att de ändrade Villkoren accepteras. En Kund som inte accepterar en väsentlig ändring får säga upp Avtalet innan ändringen träder i kraft.
Meddelanden
Ska ske skriftligen via e-post.
Ogiltighet
Ogiltig bestämmelse påverkar inte övriga.
Behandling av personuppgifter
Behandling sker enligt GDPR, integritetspolicy och cookiepolicy.
Kundens Data
Kunden ansvarar för laglighet och riktighet. Detta omfattar Kundens val att slå på lagring av besökarnas IP-adresser för en QR-kod, vilket är av som standard; Kunden ska ha en rättslig grund för den behandlingen innan inställningen aktiveras.
Lagring av kundens Data
Sker enligt integritetspolicyn och Bilaga 1 (radering och återlämning av Kundens Data när Tjänsterna upphör).
Sekretess
Parterna ska iaktta sekretess.
Avtalsperiod och uppsägning
Kunden kan när som helst säga upp prenumerationen från instrumentpanelen. Uppsägningen träder i kraft vid slutet av innevarande faktureringsperiod; ingen ytterligare debitering sker. Bolaget får säga upp Avtalet med trettio (30) dagars skriftligt varsel, utom vid väsentligt avtalsbrott där omedelbar uppsägning kan tillämpas. Kundens administratör kan dessutom när som helst permanent ta bort kontot från instrumentpanelen (Profil → Konto → "Ta bort konto"). Kontoborttagning avslutar eventuell aktiv prenumeration, anonymiserar kontoinformationen, mjukraderar de QR-koder som kontot äger och tar bort Auth0-identiteten. Bokföringsuppgifter som Bolaget enligt lag är skyldigt att bevara (t.ex. enligt Bokföringslagen) sparas under den lagstadgade tiden.
Tvistlösning och tillämplig lag
Tvist avgörs slutligt av Stockholms Handelskammares Skiljedomsinstitut (SCC). Svensk lag gäller.
Personuppgiftsbiträdesavtal
Bolaget agerar som personuppgiftsbiträde. (Se bilagor nedan)
Bilagor
Bilaga 1 – Databehandlingsinstruktioner (harmoniserad med integritetspolicyn) Bilaga 2 – Säkerhetsåtgärder (ISO/IEC 27001-anpassad) Bilaga 3 – Underbiträden: • Amazon Web Services • Auth0 • Mollie • CloudPrinter • Sanity.io • Mailgun • Vercel • InnoCraft (Matomo Cloud) • MapTiler (kartrutor) • OpenStreetMap Foundation (kartrutor samt geokodning av geofence-adresser) Bilaga 4 – Tredjelandsöverföringar: EU-residens som standard; SCC + TIA tillämpas där USA-registrerade leverantörer förekommer (Vercel dessutom enligt EU-U.S. Data Privacy Framework); Nya Zeeland (InnoCraft), Schweiz (MapTiler) och Storbritannien (OpenStreetMap Foundation) omfattas av adekvansbeslut; trycksaker som levereras utanför EU/EES produceras av en tryckpartner i mottagarlandet.
Rangordning mellan dokument
Vid konflikt mellan dokument ska följande rangordning gälla: 1. Personuppgiftsbiträdesavtal 2. Dessa Villkor 3. Integritetspolicy 4. Cookiepolicy Detta Avtal är upprättat i enlighet med svensk rätt och praxis.
Bilaga 1 – Databehandlingsinstruktioner
1. Ändamål med behandlingen Bolaget ska behandla personuppgifter för att tillhandahålla Tjänsterna, inklusive: • Drift av dynamiska QR-koder • Insamling och hantering av impressions-data (scananalys) • Analys och statistik • Utställande av värdecheckar samt e-postutskick av värdecheckar till mottagare som Kunden anger • Valfri API-funktionalitet (QRGeno API, Enterprise-planen) • Valfri beställning av trycksaker för Kundens räkning 2. Kategorier av registrerade • Kundens användare (administratörer) • Slutanvändare som interagerar med QR-koder • Mottagare av värdecheckar (t.ex. Kundens kunder eller anställda) vars uppgifter Kunden tillhandahåller • Mottagare av trycksaker (där Kunden tillhandahållit leveransuppgifter) 3. Kategorier av personuppgifter • Pseudonymiserad besökaridentifierare (nyckelbaserad hash av slutanvändarens IP-adress och Kundens konto), som registreras vid varje skanning och inlämning via spärr • IP-adress — endast för QR-koder där Kunden har slagit på lagring av besökarnas IP-adresser; i övrigt behandlas den tillfälligt under skanningen och lagras inte • Teknisk information: user-agent-strängen så som webbläsaren skickar den (vilken avslöjar webbläsare, operativsystem och enhetstyp), den enhetskategori som härleds ur den, webbläsarens språkinställning samt hänvisare • Geografisk information härledd från IP-adressen (land, stad och region; stad och region visas för Kunden endast på betalplaner) • Kontoinformation för Kundens administratörer (namn, e-post, företag, VAT) • Mottagaruppgifter för värdecheckar (namn, e-postadress) som Kunden tillhandahåller • Leveransuppgifter för trycksaker (där Kunden tillhandahållit sådana) • Uppgifter som Kunden själv tillför 4. Behandlingens art • Insamling • Registrering • Strukturering • Lagring • Pseudonymisering • Analys • Radering 5. Behandlingens varaktighet Behandling sker under avtalstiden samt enligt integritetspolicyn och tillämplig lag. Uppsägning av en prenumeration avslutar inte Avtalet: kontot och dess Kundens Data finns kvar för återaktivering tills Kunden tar bort kontot eller Avtalet annars upphör. 6. Instruktioner Behandling sker endast enligt: • Dessa instruktioner • Kundens dokumenterade instruktioner • Tillämplig lag Inställningen "Spara besökarnas IP-adresser" per QR-kod utgör en dokumenterad instruktion från Kunden. Att stänga av den instruerar Bolaget att radera de IP-adresser som lagrats för den QR-koden, vilket utförs när inställningen sparas. 7. Underbiträden Bolaget får anlita underbiträden i enlighet med artikel 28 GDPR. Aktuell förteckning framgår av Bilaga 3. 8. Radering och återlämning av Kundens Data när Tjänsterna upphör När Avtalet upphör ska Bolaget, enligt Kundens val, återlämna Kundens Data till Kunden och/eller radera dem. Kunden kan exportera sina QR-koder och värdecheckmottagare från instrumentpanelen, samt inlämningsuppgifter på Enterprise-planen; övriga Kundens Data återlämnar Bolaget i maskinläsbart format på begäran. Om Kunden inte instruerar tidigare radering sparas Kundens Data i upp till tolv (12) månader efter att Avtalet upphört, så att Kunden kan återaktivera eller begära återlämning, och raderas därefter. Att ta bort kontot från instrumentpanelen räknas som Kundens instruktion att radera: kontoinformationen anonymiseras och mottagaruppgifter för värdecheckar raderas omedelbart, och återstående Kundens Data (scandata och inlämningsuppgifter) raderas inom samma tolv (12) månader. Uppgifter som Bolaget enligt lag är skyldigt att bevara, såsom bokföringsunderlag, sparas under den lagstadgade tiden och för inget annat ändamål. Bolaget säkerställer att dess underbiträden raderar uppgifterna på motsvarande sätt.
Bilaga 2 – Säkerhetsåtgärder
1. Åtkomstkontroll • Least privilege • Säker autentisering (MFA) 2. Kryptering • TLS (data i transit) • Kryptering i vila där tillämpligt 3. Loggning och övervakning • Loggning av systemåtkomst • Övervakning av säkerhetshändelser 4. Sårbarhetshantering • Regelbundna säkerhetsgranskningar • Patchning och scanning 5. Backup och återställning • Regelbunden backup • Disaster recovery-processer 6. Incidenthantering • Incidentdetektion • Rapportering utan onödigt dröjsmål 7. Organisationsåtgärder • Interna säkerhetspolicys • Personalutbildning • Sekretessåtaganden 8. Pseudonymisering och uppgiftsminimering • Slutanvändares IP-adresser ersätts som standard av en nyckelbaserad pseudonymiserad identifierare; råa adresser lagras endast på Kundens instruktion per QR-kod • Lagrade adresser raderas när Kunden återkallar den instruktionen Åtgärderna anpassas löpande enligt risk och standarder såsom ISO/IEC 27001.
Bilaga 3 – Underbiträden
Leverantörer • Amazon Web Services EMEA SARL (AWS) – Infrastruktur, applikationsdrift, databas och fillagring. Region: eu-north-1 (Stockholm); säkerhetskopior och serverloggar stannar i regionen. AWS CloudFront terminerar API- och QR-skanningstrafik vid edge-noder i Europa, Nordamerika och Israel utan att spara åtkomstloggar. • Auth0, Inc. (Okta-koncernen) – Autentisering och identitet. EU-region (Tyskland, med reservdrift i Irland). • Mollie B.V. – Betalningshantering. Huvudkontor i Nederländerna (EU). • Cloudprinter.com B.V. – Tryckproduktion och leverans av trycksaker som beställts via Tjänsterna. Registrerat i Barendrecht, Nederländerna (EU), nr 63851636. Varje beställning skickas till en tryckpartner i eller nära leveranslandet, som får leveransnamn, leveransadress och tryckfilen. • Sanity.io – Content delivery för marknadsförings- och juridiska sidor samt produktkatalog. EU-region (Belgien). • Mailgun (Sinch Email) – Transaktionell e-post för kontomeddelanden, kontaktformuläret samt värdecheckar som skickas till mottagare som Kunden anger. EU-region (Mailgun EU API). Personuppgifter som behandlas: mottagarens namn och e-postadress. • Vercel Inc. – Hosting och global edge-leverans av den publika webbplatsen och webbappen. Huvudkontor i USA; sidorna levereras från regionala edge-noder inklusive EU, och förfrågningsloggar behandlas i USA. Omfattas av Vercels Data Processing Addendum (2021 års SCC) och Vercels certifiering enligt EU-U.S. Data Privacy Framework. Ingen Kundens Data lagras hos Vercel. • InnoCraft Ltd (Matomo Cloud) – Integritetsvänlig webbanalys för den publika webbplatsen, driftad på servrar i Tyskland (EU). Registrerat i Nya Zeeland, som omfattas av ett adekvansbeslut från Europeiska kommissionen. Laddas endast med besökarens samtycke och aldrig på QR-kodsidor (impressions). Personuppgifter som behandlas: anonymiserad IP-adress, besökta sidor, hänvisare, enhets-/webbläsartyp. • MapTiler AG – Kartrutor för landningssidan för plats-QR-koder (geo) och QR-byggarens kartväljare. Registrerat i Schweiz (adekvansbeslut); personuppgifter behandlas i Frankrike och Irland, kartrutor levereras via ett globalt CDN. Personuppgifter som behandlas: besökarens IP-adress och User-Agent vid hämtning av kartrutor. • OpenStreetMap Foundation – Kartrutor för samma sidor, hämtade av besökarens webbläsare (kartservrar i Storbritannien och EU), samt geokodningstjänsten Nominatim, som omvandlar den adress Kunden anger i en geofence-regel till koordinater (skickas från Bolagets server). Registrerad i Storbritannien, som omfattas av ett adekvansbeslut från Europeiska kommissionen. Personuppgifter som behandlas: besökarens IP-adress och User-Agent vid hämtning av kartrutor; adresstexten i en geofence-regel. Villkor • Samtliga underbiträden omfattas av databehandlingsavtal enligt artikel 28 GDPR. • Bolaget ansvarar för efterlevnad. Ändringar Bolaget får uppdatera listan och informerar Kunden vid väsentliga förändringar.
Bilaga 4 – Överföring till tredje land (EU – USA)
1. Rättslig grund • Standard Contractual Clauses (SCC) där tillämpligt • Adekvansbeslut där tillämpligt 2. Standardplacering Bolaget konfigurerar samtliga underbiträden att använda EU-regioner där sådana erbjuds (AWS eu-north-1, Auth0 EU-region, Mollie NL, CloudPrinter EU, Sanity EU/Belgien, Mailgun EU, Matomo Cloud på servrar i Tyskland). Kundens Data lagras och behandlas inom EU/EES vid normal drift; säkerhetskopior och serverloggar stannar i samma region. Två undantag följer av hur Tjänsterna levereras: (a) API- och QR-skanningstrafik från besökare utanför Europa termineras vid AWS CloudFronts edge-noder i Nordamerika eller Israel innan den når Stockholm, utan att några uppgifter sparas där; och (b) trycksaker som levereras utanför EU/EES produceras av en CloudPrinter-tryckpartner i eller nära mottagarlandet, som får leveransuppgifterna för den beställningen. Den publika webbplatsen levereras via Vercels globala edge-nätverk; besökare betjänas från närmaste edge-nod och Vercel behandlar förfrågningsloggar i USA (se avsnitt 4). 3. Skyddsåtgärder • Kryptering i vila och i transit • Begränsad åtkomst (least privilege) • Tekniska och organisatoriska kontroller 4. Underbiträden med USA-närvaro I de fall ett underbiträdes moderbolag är registrerat i USA (t.ex. AWS, Auth0/Okta, Vercel Inc.) krävs EU-residens enligt avtal där sådan erbjuds och SCC samt en Transfer Impact Assessment (TIA) tillämpas. Vercel Inc. levererar den publika webbplatsen från regionala edge-noder och behandlar förfrågningsmetadata (IP-adress, begärd URL, webbläsartyp) i USA enligt sitt Data Processing Addendum, som inkorporerar 2021 års SCC, samt sin certifiering enligt EU-U.S. Data Privacy Framework; användarinnehåll (konto, QR-koder, skanningsloggar) lagras inte hos Vercel. Typsnitt levereras från Bolagets egen domän; inga personuppgifter överförs till Google LLC. 5. Underbiträden i adekvansländer InnoCraft Ltd (Matomo Cloud) är registrerat i Nya Zeeland, MapTiler AG i Schweiz och OpenStreetMap Foundation i Storbritannien; alla tre länderna omfattas av ett adekvansbeslut från Europeiska kommissionen enligt artikel 45 GDPR, så överföringar kräver inte SCC. Matomo Cloud-data driftas under alla omständigheter i Tyskland, och Matomo laddas endast med besökarens samtycke. MapTiler behandlar personuppgifter i Frankrike och Irland. OpenStreetMap Foundation tar emot besökarens IP-adress när kartrutor laddas och adresstexten i en geofence-regel när den geokodas. 6. Skydd av registrerade Bolaget säkerställer att registrerades rättigheter enligt GDPR upprätthålls. Slutbestämmelse Dessa bilagor utgör en integrerad del av Personuppgiftsbiträdesavtalet och därmed av de Allmänna villkoren för Paperphyte AB.