Personuppgifts­biträdesavtal

1.1 Avtalet gäller mellan företaget som använder Tidbok, som är personuppgiftsansvarigt ("kunden"), och Adluelno AB, org.nr 559238-4340, som är personuppgiftsbiträde ("biträdet").

1.2 När kunden använder Tidbok behandlar biträdet personuppgifter för kundens räkning. Avtalet uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR) och är en del av villkoren för Tidbok. Kunden godkänner det när kontot skapas.

2.1 Ändamålet är att leverera Tidbok: att lagra och visa bokningar, låta kundens kunder boka, boka om och avboka, skicka bekräftelser, påminnelser och aviseringar via e-post och ta fram statistik åt kunden.

2.2 De registrerade är kundens kunder, kundens personal och de personer som loggar in på kundens konto.

2.3 Personuppgifterna är namn, e-postadress, telefonnummer, adress där en tjänst ska utföras, meddelanden som skrivs i samband med en bokning, bokningshistorik, personalens namn och arbetstider samt de mejl tjänsten skickar.

2.4 Tidbok är inte byggt för känsliga personuppgifter enligt artikel 9, till exempel uppgifter om hälsa. Kunden ska inte be sina kunder om sådana uppgifter i tjänstens fritextfält.

2.5 Behandlingen pågår så länge kunden har ett konto och därefter enligt avsnitt 8.

3.1 Biträdet behandlar personuppgifterna bara enligt kundens dokumenterade instruktioner. Instruktionerna är det här avtalet och de val kunden gör i Tidbok, till exempel vilka tjänster som går att boka och vart aviseringar ska skickas.

3.2 Anser biträdet att en instruktion strider mot dataskyddsreglerna säger biträdet till utan dröjsmål.

3.3 Biträdet använder inte uppgifterna för egna syften och lämnar inte ut dem, om inte lag kräver det.

4.1 Bara de personer hos biträdet som behöver det för att driva och felsöka tjänsten har åtkomst till uppgifterna, och de har tystnadsplikt.

4.2 Biträdet skyddar uppgifterna enligt artikel 32. All trafik krypteras med HTTPS, lösenord lagras som hashvärden, varje kund kommer bara åt sina egna uppgifter, upprepade inloggnings- och bokningsförsök stoppas, och databasleverantören tar säkerhetskopior.

5.1 Kunden ger biträdet ett allmänt förhandstillstånd att anlita underbiträden. Biträdet ser till att varje underbiträde har skyldigheter som motsvarar det här avtalet.

5.2 Underbiträden i dag:

• Vercel driver webbplatsen. Servrarna som tar emot och visar bokningar står i Dublin, Irland.
• Turso driver databasen där konton och bokningar lagras, i Amazons datacenter i Irland (eu-west-1).
• Resend skickar bekräftelser, påminnelser och andra mejl, från servrar i Irland.

5.3 Biträdet meddelar kunden via e-post minst 30 dagar innan ett underbiträde läggs till eller byts ut. Kunden kan invända och har då rätt att säga upp avtalet innan ändringen gäller.

6.1 Personuppgifterna lagras inom EU. Underbiträdena är amerikanska företag och kan komma åt uppgifter från USA, till exempel vid support och felsökning. Sådan överföring sker med stöd av EU-kommissionens standardavtalsklausuler eller EU–USA Data Privacy Framework.

7.1 Kunden kan själv se, rätta, exportera och radera bokningar och kunduppgifter i adminpanelen. Behöver kunden mer hjälp för att svara på en begäran från en registrerad hjälper biträdet till.

7.2 Får biträdet en sådan begäran direkt skickar biträdet den vidare till kunden.

7.3 Biträdet hjälper kunden med konsekvensbedömningar och förhandssamråd när det behövs, med den information biträdet har.

7.4 Upptäcker biträdet en personuppgiftsincident som rör kundens uppgifter meddelar biträdet kunden utan onödigt dröjsmål och lämnar den information kunden behöver för att anmäla incidenten till Integritetsskyddsmyndigheten.

7.5 Kunden har rätt att få den information som behövs för att visa att avtalet följs. Begäran görs skriftligen, och biträdet svarar inom 30 dagar. En granskning på plats bekostas av kunden och görs efter överenskommelse.

8.1 Två år efter bokningsdagen tas namn, kontaktuppgifter, adress och meddelande bort från bokningen. Bokningen finns kvar utan personuppgifter, så att kundens statistik stämmer.

8.2 Kopior av mejl som tjänsten har skickat sparas i 90 dagar.

8.3 Uppgifterna finns kvar tills kunden raderar kontot under Inställningar eller ber biträdet göra det. Då tas de bort ur databasen direkt. De kan finnas kvar i databasleverantörens säkerhetskopior tills kopiorna skrivs över. Vill kunden behålla uppgifterna exporterar kunden dem innan kontot raderas.

9.1 Ansvar för skada fördelas enligt artikel 82 i dataskyddsförordningen. I övrigt gäller ansvarsbegränsningen i villkoren.

9.2 Avtalet gäller så länge biträdet behandlar personuppgifter för kundens räkning. Svensk lag gäller, och tvister avgörs enligt villkoren.