Personuppgiftsbiträdesavtal (PBA)

Detta personuppgiftsbiträdesavtal ("PBA") ingås i enlighet med artikel 28 i den allmänna dataskyddsförordningen (EU) 2016/679 ("GDPR") och utgör en del av avtalet för användning av tjänsten Fidoco Align mellan Organisationen ("Personuppgiftsansvarig") och Fidoco AB ("Personuppgiftsbiträde").

Personuppgiftsbiträde: Fidoco AB, org. nr 559387-1980, Johan Tillanders Väg 39, 168 52 Bromma, Sverige.
Kontakt: privacy@fidoco.se

1. Föremål och ändamål

Personuppgiftsbiträdet behandlar personuppgifter på den Personuppgiftsansvariges vägnar för att tillhandahålla AI-assisterad kandidatscreening och CV-analys mot jobbeskrivningar via tjänsten Fidoco Align på align.fidoco.se.

2. Kategorier av personuppgifter

Kategori	Exempel	Lagringstid
Identifikationsuppgifter	Kandidatnamn, e-postadress (om angiven)	Under prenumerationen
Yrkesrelaterade uppgifter	CV-text (arbetshistorik, utbildning, kompetenser)	Under prenumerationen
Bedömningsuppgifter	AI-genererade matchningspoäng, rekommendationer	Under prenumerationen
Motivationsbrev	Valfri text vid självregistrering (max 2 000 tecken)	Under prenumerationen

Känsliga uppgifter (Art. 9) samlas inte in avsiktligt. CV:n kan innehålla sådana uppgifter av misstag — AI-modellen extraherar, poängsätter eller lagrar inte personliga egenskaper.

3. Personuppgiftsbiträdets skyldigheter (Art. 28)

Instruktioner (Art. 28.3a): Behandlar personuppgifter enbart på dokumenterade instruktioner från den Personuppgiftsansvarige.
Konfidentialitet (Art. 28.3b): Säkerställer att all personal som behandlar personuppgifter är bundna av sekretess.
Säkerhet (Art. 28.3c + Art. 32): Implementerar lämpliga tekniska och organisatoriska åtgärder (se punkt 4).
Underbiträden (Art. 28.3d): Anlitar inga nya underbiträden utan skriftligt godkännande (se punkt 5).
Assistans (Art. 28.3e–f): Bistår den Personuppgiftsansvarige vid hantering av de registrerades rättigheter och vid uppfyllande av Art. 32–36.
Radering (Art. 28.3g): Raderar eller återlämnar alla personuppgifter vid avtalstidens slut (se punkt 7).
Revision (Art. 28.3h): Tillhandahåller all information som krävs för att påvisa efterlevnad och tillåter revisioner.

4. Tekniska och organisatoriska åtgärder (TOMs)

Tekniska åtgärder:

All data lagras på europeiska egenhostad servrar — ingen molnbaserad AI-tjänst
HTTPS/TLS-kryptering för all data i transit (Let's Encrypt)
Lösenord krypterade med bcrypt/PBKDF2 via ASP.NET Core Identity
JWT-autentiseringstoken med 2 timmars livslängd och Redis-baserad revokering
Hastighetsbegränsning på API-endpoints (10 req/min autentisering/betalning, 60 req/min uppladdning/publika token-läsningar, 120 req/min Stripe-webhooks/admin-DLQ-skrivningar)
Kontolåsning efter 5 misslyckade inloggningsförsök (15 minuters låsning)
Filvalidering via magic-byte-kontroller (PDF, DOCX, TXT)
AI-inferens körs lokalt på GPU-hårdvara — ingen data skickas till tredjepartsAI
Databasåtkomst begränsad till localhost (Docker-portbindning till 127.0.0.1)
Säkerhetsrubriker: CSP (strikt), X-Frame-Options, HSTS, Referrer-Policy

Organisatoriska åtgärder:

Docker-containrar körs utan rooträttigheter
Produktionshemligheter lagras i skyddade systemd-miljöfiler (aldrig i källkod)
Administratörsåtkomst begränsad till konfigurerade e-postadresser
Revisionsloggning för känsliga operationer (behörighetsjusteringar, dataradering)

5. Underbiträden

Genom att acceptera detta PBA ger den Personuppgiftsansvarige generellt skriftligt godkännande i enlighet med artikel 28.2 GDPR för nedanstående underbiträden. Personuppgiftsbiträdet ska informera den Personuppgiftsansvarige om planerade ändringar (minst 14 dagars betänketid). Om invändning inte kan tillgodoses har vardera part rätt att säga upp avtalet med 30 dagars varsel.

Underbiträde	Ändamål	Plats	Data som behandlas
Stripe, Inc.	Betalningshantering	USA (EU SCC)	Faktureringsdata (ingen kandidatdata)
Resend, Inc.	E-postleverans för kandidatnotifieringar	USA (EU SCC)	Kandidatnamn, e-post, jobbtitel (transient)
Cloudflare, Inc.	Frontend-webbhosting (statiska filer)	Global CDN	Inga personuppgifter (statisk HTML/JS/CSS)

AI-behandling sker lokalt på Personuppgiftsbiträdets egna europeiska servrar. Ingen kandidatdata skickas till tredjepartsAI.

6. Internationell överföring

Personuppgiftsbiträdet överför inte kandidatdata utanför EU/EES för behandling. AI-inferens körs på europeiska servrar. Stripe och Resend är USA-baserade och verkar under EU:s standardavtalsklausuler (SCC). Endast faktureringsdata (Stripe) och transient e-postdata (Resend) lämnar EES — inga kandidat-CV:n eller analysresultat.

7. Radering och återlämnande

Vid prenumerationens upphörande:

Personuppgiftsansvarig kan exportera all kandidatdata via API innan avslut
Personuppgiftsbiträdet raderar all kandidatdata inom 30 dagar efter avslut
Skriftlig bekräftelse på radering lämnas på begäran
Automatisk datarensning: Inaktiva konton i 24+ månader får varningsmail följt av automatisk radering efter 30 dagars frist (GDPR Art. 5.1e)

8. Personuppgiftsincidenter (Art. 33–34)

Personuppgiftsbiträdet ska utan onödigt dröjsmål (senast inom 48 timmar) underrätta Personuppgiftsansvarig om en personuppgiftsincident — med tillräcklig information för att Personuppgiftsansvarig ska kunna uppfylla sina egna anmälningsskyldigheter.

9. Tillämplig lag

Detta PBA regleras av svensk rätt. Tvister avgörs av behörig domstol i Sverige.

Ikraftträdande: Genom att kryssa i "Jag godkänner PBA" vid skapande av organisation godkänner den Personuppgiftsansvarige detta avtal skriftligen i elektroniskt format i enlighet med GDPR Art. 28(9). Tidsstämpel (UTC) och IP-adress lagras som bevis på ingånget avtal. Genom att acceptera ges även generellt skriftligt godkännande för underbiträdena i punkt 5 i enlighet med Art. 28(2).

This Data Processing Agreement ("DPA") is entered into pursuant to Article 28 of the General Data Protection Regulation (EU) 2016/679 ("GDPR") and forms part of the agreement for use of the Fidoco Align service between the Organization ("Data Controller") and Fidoco AB ("Data Processor").

Data Processor: Fidoco AB, org. nr 559387-1980, Johan Tillanders Väg 39, 168 52 Bromma, Sweden.
Contact: privacy@fidoco.se

1. Subject Matter and Purpose

The Processor processes personal data on behalf of the Controller to provide AI-assisted candidate screening and resume analysis against job descriptions via the Fidoco Align service at align.fidoco.se.

2. Categories of Personal Data

Category	Examples	Retention
Identification data	Candidate name, email address (if provided)	Duration of subscription
Professional data	Resume text (work history, education, skills)	Duration of subscription
Assessment data	AI-generated match scores, recommendations	Duration of subscription
Motivation text	Optional cover text on self-submission (max 2,000 chars)	Duration of subscription

Special category data (Art. 9) is not intentionally collected. Resumes may incidentally contain such data — the AI model does not extract, score, or store personal characteristics.

3. Processor Obligations (Art. 28)

Instructions (Art. 28.3a): Processes personal data only on documented instructions from the Controller.
Confidentiality (Art. 28.3b): Ensures all staff authorized to process personal data are bound by confidentiality.
Security (Art. 28.3c + Art. 32): Implements appropriate technical and organizational measures (see section 4).
Sub-processors (Art. 28.3d): Does not engage new sub-processors without written authorization (see section 5).
Assistance (Art. 28.3e–f): Assists the Controller in handling data subject rights and complying with Art. 32–36.
Deletion (Art. 28.3g): Deletes or returns all personal data at the end of the agreement (see section 7).
Audit (Art. 28.3h): Makes available all information necessary to demonstrate compliance and allows for audits.

4. Technical and Organizational Measures (TOMs)

Technical measures:

All data stored on European self-hosted servers — no cloud AI service used
HTTPS/TLS encryption for all data in transit (Let's Encrypt)
Passwords encrypted with bcrypt/PBKDF2 via ASP.NET Core Identity
JWT authentication tokens with 2-hour lifetime and Redis-based revocation
Rate limiting on API endpoints (10 req/min auth/payment, 60 req/min submissions/public-token reads, 120 req/min Stripe webhooks/admin DLQ writes)
Account lockout after 5 failed login attempts (15-minute lockout)
File validation via magic-byte checks (PDF, DOCX, TXT only)
AI inference runs locally on GPU hardware — no data sent to third-party AI providers
Database access restricted to localhost (Docker port binding to 127.0.0.1)
Security headers: CSP (strict), X-Frame-Options, HSTS, Referrer-Policy

Organizational measures:

Docker containers run as non-root user
Production secrets stored in protected systemd environment files (never in source code)
Admin access restricted to configured email addresses
Audit logging on sensitive operations (role changes, data deletions)

5. Sub-processors

By accepting this DPA, the Controller grants general written authorization within the meaning of Article 28(2) GDPR for the sub-processors listed below. The Processor shall notify the Controller of any planned changes (minimum 14-day notice). If the Controller objects and the Processor cannot accommodate the objection, either party may terminate the agreement with 30 days' written notice.

Sub-processor	Purpose	Location	Data processed
Stripe, Inc.	Payment processing	USA (EU SCCs)	Billing data (no candidate data)
Resend, Inc.	Email delivery for candidate notifications	USA (EU SCCs)	Candidate name, email, job title (transient)
Cloudflare, Inc.	Frontend web hosting (static files only)	Global CDN	No personal data (static HTML/JS/CSS)

AI processing runs locally on the Processor's own European servers. No candidate data is sent to third-party AI providers.

6. International Transfers

The Processor does not transfer candidate data outside the EU/EEA for processing. AI inference runs on European servers. Stripe and Resend are US-based and operate under EU Standard Contractual Clauses (SCCs). Only billing data (Stripe) and transient email data (Resend) leave the EEA — no candidate resumes or analysis results.

7. Deletion and Return

Upon termination of the subscription:

The Controller may export all candidate data via the API before termination
The Processor shall delete all candidate data within 30 days of termination
Written confirmation of deletion provided upon request
Automated data purge: Accounts inactive for 24+ months receive a warning email, followed by automatic deletion after a 30-day grace period (GDPR Art. 5.1e)

8. Personal Data Breaches (Art. 33–34)

The Processor shall notify the Controller without undue delay (and no later than 48 hours) after becoming aware of a personal data breach — with sufficient information for the Controller to meet its own notification obligations.

9. Governing Law

This DPA is governed by the laws of Sweden. Disputes shall be resolved by the competent courts of Sweden.

Execution: By checking "I accept the DPA" when creating an organization, the Data Controller accepts this agreement in writing in electronic format pursuant to GDPR Art. 28(9). The acceptance timestamp (UTC) and IP address are stored as evidence of the concluded agreement. Acceptance also constitutes general written authorization for the sub-processors listed in section 5 pursuant to Art. 28(2).

Personuppgiftsbiträdesavtal (PBA) Data Processing Agreement (DPA)