Personuppgiftsbiträdesavtal

1. Behandlingens föremål och varaktighet

Biträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning i syfte att tillhandahålla tjänsten: drift av den Personuppgiftsansvariges webbplats med bokningsförfrågningar, beställningar, kontakt- och intresseförfrågningar samt tillhörande e-postbekräftelser.

Kategorier av registrerade: den Personuppgiftsansvariges gäster, slutkunder och kontaktpersoner.

Kategorier av personuppgifter: namn, e-postadress, telefonnummer, bokningsuppgifter (datum, tid, antal personer), beställningsinnehåll samt fritextmeddelanden som den registrerade själv lämnar (till exempel önskemål eller allergier).

Fritextfält kan innebära att registrerade självmant lämnar känsliga uppgifter (till exempel hälsorelaterad information om allergier). Parterna tillämpar uppgiftsminimering; den Personuppgiftsansvarige ansvarar för att inte efterfråga fler uppgifter än nödvändigt.

Behandlingen pågår under Avtalets löptid och därefter under den avvecklingsperiod som anges i punkt 10.

2. Instruktioner

Biträdet behandlar personuppgifter endast enligt dokumenterade instruktioner från den Personuppgiftsansvarige, om inte annan behandling krävs enligt unionsrätten eller svensk rätt — i sådant fall informerar Biträdet den Personuppgiftsansvarige innan behandlingen, om inte sådan information är förbjuden i lag.

Avtalet, detta Biträdesavtal och den Personuppgiftsansvariges konfiguration av tjänsten i administrationspanelen utgör den Personuppgiftsansvariges fullständiga instruktioner. Biträdet informerar omedelbart den Personuppgiftsansvarige om Biträdet anser att en instruktion strider mot GDPR eller annan dataskyddsreglering.

3. Konfidentialitet

Biträdet säkerställer att personer med behörighet att behandla personuppgifterna har åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt, och att åtkomst begränsas till vad som krävs för att tillhandahålla tjänsten.

4. Säkerhetsåtgärder

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, med beaktande av den senaste utvecklingen, genomförandekostnader samt behandlingens art, omfattning, sammanhang och ändamål. Åtgärderna beskrivs i Bilaga 2 och omfattar bland annat:

• lagring av data inom EU/EES hos leverantörer med EU-regioner,
• logisk åtskillnad av kunddata per verksamhet med radnivåbehörighet (row level security) i databasen,
• kryptering av data under överföring (TLS),
• behörighetsstyrd åtkomst till administrationsgränssnitt och begränsad, tidsbegränsad åtkomst vid uppladdning av media,
• säkerhetskopiering via underliggande databasleverantör.

5. Underbiträden

Den Personuppgiftsansvarige lämnar ett allmänt förhandstillstånd till att Biträdet anlitar underbiträden. Vid Biträdesavtalets ingående anlitas de underbiträden som anges i Bilaga 1.

Biträdet informerar den Personuppgiftsansvarige minst trettio (30) dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Den Personuppgiftsansvarige får invända på sakliga grunder; om parterna inte finner en lösning får den Personuppgiftsansvarige säga upp Avtalet till dagen då ändringen träder i kraft.

Biträdet ålägger varje underbiträde samma dataskyddsförpliktelser som i detta Biträdesavtal och ansvarar fullt ut gentemot den Personuppgiftsansvarige för underbiträdenas fullgörande.

6. Bistånd till den Personuppgiftsansvarige

Biträdet bistår, med beaktande av behandlingens art och den information som är tillgänglig för Biträdet, den Personuppgiftsansvarige med att fullgöra dennes skyldigheter avseende: de registrerades rättigheter (artiklarna 12–23 GDPR), säkerhet (artikel 32), anmälan av personuppgiftsincidenter (artiklarna 33–34) samt konsekvensbedömningar och förhandssamråd (artiklarna 35–36).

Om en registrerad vänder sig direkt till Biträdet med en begäran hänvisar Biträdet den registrerade till den Personuppgiftsansvarige utan oskäligt dröjsmål.

Biträdet får ta ut skälig ersättning för bistånd som går utöver vad som ingår i tjänsten, förutsatt att den Personuppgiftsansvarige informerats i förväg.

7. Personuppgiftsincidenter

Biträdet underrättar den Personuppgiftsansvarige utan oskäligt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör personuppgifter som behandlas enligt detta Biträdesavtal. Underrättelsen ska, i den mån informationen är tillgänglig, innehålla de uppgifter som anges i artikel 33.3 GDPR så att den Personuppgiftsansvarige kan fullgöra sin eventuella anmälningsskyldighet till Integritetsskyddsmyndigheten inom 72 timmar.

Det är den Personuppgiftsansvarige som ansvarar för anmälan till tillsynsmyndighet och information till registrerade.

8. Tredjelandsöverföringar

Personuppgifterna lagras inom EU/EES. Om en överföring till tredjeland ändå skulle bli aktuell — till exempel genom att ett underbiträde ingår i en global koncern — säkerställer Biträdet att överföringen sker med stöd av en giltig överföringsmekanism enligt kapitel V GDPR, såsom kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå (till exempel EU-U.S. Data Privacy Framework).

9. Granskning

Biträdet ger den Personuppgiftsansvarige tillgång till den information som skäligen krävs för att visa att skyldigheterna i artikel 28 GDPR fullgörs, i första hand genom skriftlig dokumentation och svar på skriftliga frågor.

Den Personuppgiftsansvarige har rätt att, högst en gång per tolvmånadersperiod och med minst trettio (30) dagars varsel, genomföra en granskning på egen bekostnad. Granskningen ska genomföras så att den inte äventyrar säkerheten eller sekretessen för andra kunders data.

10. Radering och återlämnande

Vid Avtalets upphörande ska Biträdet, enligt den Personuppgiftsansvariges val, radera eller återlämna samtliga personuppgifter som behandlats för dennes räkning samt radera befintliga kopior, senast nittio (90) dagar efter upphörandet — om inte lagring krävs enligt unionsrätten eller svensk rätt. Begäran om återlämnande görs inom trettio (30) dagar från upphörandet; data lämnas ut i allmänt läsbart format.

11. Ansvar och avtalstid

Ansvarsbegränsningen i de allmänna villkoren gäller även för detta Biträdesavtal, i den utsträckning inte annat följer av tvingande reglering i GDPR (bland annat artikel 82).

Biträdesavtalet gäller så länge Biträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning.

Bilaga 1 — Underbiträden

Vid detta Biträdesavtals ingående anlitas följande underbiträden:

• Supabase, Inc. — databas, autentisering och e-postutlösande funktioner; EU-region.
• Cloudflare, Inc. — webbdrift, innehållsdistribution, DNS och medialagring (R2, EU-jurisdiktion).
• Resend (Plus Five Five, Inc.) — transaktionell e-post (bokningsbekräftelser m.m.); EU-region (eu-west-1).
• Simply.com A/S — domänregistrering och e-postlåda för plattformens egen domän.

Bilaga 2 — Tekniska och organisatoriska säkerhetsåtgärder

• Datalagring inom EU/EES (databas och medialagring i EU-regioner).
• Logisk åtskillnad av varje kunds data genom radnivåbehörighet (row level security) i databasen; varje datarad är knuten till en specifik verksamhet.
• Kryptering av data under överföring (TLS/HTTPS på samtliga publika och administrativa gränssnitt).
• Rollbaserad åtkomst: administrationsfunktioner kräver inloggning; plattformsövergripande funktioner är begränsade till plattformsadministratörer.
• Medieuppladdningar sker via kortlivade, signerade adresser; lagringsnycklar exponeras aldrig för webbläsaren.
• Hemligheter (API-nycklar m.m.) lagras krypterat i driftmiljön och ingår inte i klientkoden.
• Säkerhetskopiering och återställningsmöjligheter via underliggande databasleverantör.
• Personuppgiftsincidenter hanteras enligt punkt 7; incidenter dokumenteras internt.