1. Parter, tillämpningsområde och roller
Detta personuppgiftsbiträdesavtal (”DPA”) utgör en del av användarvillkoren mellan Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Danmark, som driver open-banking.io under binamnet OpenBanking IO ApS (”Personuppgiftsbiträdet”, ”vi”, ”oss”), och den företagskund som använder tjänsten (”Personuppgiftsansvarig”, ”du”, ”ni”).
Avtalet gäller enligt artikel 28 i dataskyddsförordningen (GDPR) när ni ansluter bankkonton vars kontoutdrag eller transaktioner innehåller personuppgifter (såsom namn på motparter, IBAN-nummer, löneutbetalningar eller betalningsreferenser). Frågor: privacy@open-banking.io.
2. Behandlingens art, ändamål och varaktighet
Vi behandlar personuppgifter uteslutande för att tillhandahålla tjänsten open-banking.io: att hämta konto- och transaktionsdata via PSD2-API:er under synkroniseringar, kryptera känsliga bankdata under er registrerade publika nyckel, lagra de resulterande posterna och strukturella synkroniseringsmetadata samt leverera dem tillbaka till er via webbapplikationen och API:et.
Behandlingen pågår så länge ert konto är aktivt och upphör när ni tar bort ett enskilt bankkonto eller raderar ert användarkonto.
3. Kategorier av registrerade och personuppgifter
- Registrerade: kontoinnehavare, motparter, kunder, leverantörer och anställda vars uppgifter förekommer på era anslutna bankkonton och kontoutdrag, samt behöriga användare på ert konto.
- Personuppgifter: kontoidentifikatorer (IBAN, BBAN, kontonummer), namn på kontoinnehavare och motparter, transaktionsbelopp, beskrivningar och betalningsreferenser (förseglade under er publika nyckel när den har registrerats), tillsammans med strukturella metadata som krävs för synkronisering, deduplicering och PSD2-efterlevnad (bankidentifikator, valuta, bokförings-/valutadatum, krypterade sessions-/konto-UID, PSU IP-adress och User-Agent vid användarinitierade synkroniseringar samt 90-dagars API- och synkroniseringsloggar).
Bankinloggningsuppgifter samlas aldrig in, ses eller lagras av oss.
4. Dokumenterade instruktioner och klientsideskryptering
Vi behandlar personuppgifter endast enligt era dokumenterade instruktioner — nämligen er konfiguration och användning av tjänsten och API:et — såvida inte annat krävs enligt EU-rätten eller dansk rätt.
När ni har registrerat en publik ECDH P-256-nyckel förseglas känsliga bankdata som hämtas via Enable Banking (namn på kontoinnehavare och motparter, IBAN/BBAN, transaktionsbelopp, betalningsmeddelanden och rå bank-JSON) under er publika nyckel (efemär ECDH P-256 + HKDF-SHA256 + AES-256-GCM), så att vi inte kan dekryptera dessa data i vila om ni inte själva uttryckligen aktiverar tillfällig supportfelsökning under ett begränsat tidsfönster.
5. Konfidentialitet och säkerhetsåtgärder (art. 32 GDPR)
Alla som av oss har behörighet att få åtkomst till infrastrukturen är bundna av tystnadsplikt.
Vi vidtar tekniska och organisatoriska åtgärder som är lämpliga i förhållande till risken:
- Totalsträckskryptering (envelope encryption) under nycklar som genereras och förvaras på era egna enheter eller i era egna system
- TLS 1.2/1.3-kryptering för all data under överföring
- Drift i ISO/IEC 27001:2022-certifierade datacenter inom EU med strikta Kubernetes-nätverkspolicyer och åtkomst enligt principen om minsta privilegium
- Europeiskt DDoS-skydd, Web Application Firewall (WAF) och hastighetsbegränsning vid nätverkets kant
6. Godkända underbiträden
Ni lämnar allmänt skriftligt förhandstillstånd för följande europeiska underbiträden:
- Enable Banking Oy (Esbo, Finland) — PSD2-kontoinformationstjänstleverantör (AISP) under tillsyn av den finska Finansinspektionen (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Tyskland och Finland) — ISO/IEC 27001:2022-certifierad datacenterdrift och lagring.
- Bunny.net (BunnyWay d.o.o., Ljubljana, Slovenien) — DDoS-skydd, WAF, DNS och kantnätverk på europeisk infrastruktur.
- Stripe (Stripe Payments Europe, Ltd., Irland) — betalningshantering och fakturering.
Vi ålägger varje underbiträde dataskyddsskyldigheter som inte är mindre skyddande än detta avtal och ansvarar för deras fullgörande. Vi meddelar er via e-post innan vi lägger till eller byter ut ett underbiträde så att ni kan invända genom att avsluta ert konto innan ändringen träder i kraft.
7. Datalagring inom EU och tredjelandsöverföringar
Alla bank- och kontodata lagras och behandlas uteslutande inom Europeiska unionen och EES (Tyskland, Finland och europeisk kantinfrastruktur). Vi överför inte era bankdata utanför EU/EES.
8. Bistånd, incidentrapportering och granskning
Eftersom era bankdata är direkt tillgängliga för er via appen och API:et kan ni när som helst själva exportera eller radera poster. Med hänsyn till behandlingens art bistår vi er på begäran till privacy@open-banking.io med registrerades rättigheter, säkerhetsbedömningar och DPIA-förfrågningar.
Vi underrättar er utan onödigt dröjsmål — och senast inom 48 timmar efter att vi fått kännedom om det — vid en personuppgiftsincident som berör ert konto, med de uppgifter som krävs enligt artikel 33 i GDPR.
Vi tillhandahåller all information som rimligen krävs för att visa att artikel 28 i GDPR följs och möjliggör granskningar eller inspektioner efter rimligt skriftligt förhandsmeddelande.
9. Radering vid uppsägning och tillämplig lag
Att koppla från en bankanslutning återkallar PSD2-sessionen och stoppar nya synkroniseringar, samtidigt som er importerade historik finns kvar tills ni tar bort kontot. När ni tar bort ett enskilt bankkonto eller raderar ert användarkonto raderas konto- och transaktionsposterna permanent från aktiva databaser och fasas ut ur databassäkerhetskopior inom 30 dagar (endast lagstadgade fakturerings- och bokföringsunderlag enligt den danska bokföringslagen samt kortlivade driftloggar som löper ut inom 90 dagar behålls).
Detta avtal regleras av dansk rätt med danska domstolar som behörigt forum. Kontakt för alla dataskyddsfrågor: privacy@open-banking.io.