Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal ("PUB-avtalet") har ingåtts mellan:

Happybooking International AB, Org.nr 559021-8185, Nya Tanneforsvägen 37, 582 42 Linköping, Sverige, nedan kallat ”Personuppgiftsbiträdet” eller ”Happybooking”,

och det företag, den organisation eller den fysiska person som använder Happybookings tjänster, nedan kallad ”Personuppgiftsansvarige” eller ”Kunden”.

Happybooking och Kunden benämns gemensamt ”Parterna”.

PUB-avtalet utgör en bilaga till det avtal som reglerar Kundens användning av Happybookings tjänster ("Huvudavtalet").

PUB-avtalet reglerar den behandling av personuppgifter som Happybooking utför för Kundens räkning.

Om en bestämmelse i Huvudavtalet står i konflikt med PUB-avtalet ska PUB-avtalet ha företräde i frågor som rör behandling av personuppgifter.

Kunden är personuppgiftsansvarig för de personuppgifter som Kunden registrerar och behandlar genom Happybookings tjänster, i den utsträckning Kunden bestämmer ändamål och medel för behandlingen.

Happybooking är personuppgiftsbiträde när Happybooking behandlar sådana personuppgifter för Kundens räkning.

Kunden ansvarar för att behandlingen av personuppgifter har laglig grund och sker i enlighet med tillämplig dataskyddslagstiftning.

Happybooking behandlar personuppgifter för att tillhandahålla, administrera, underhålla, säkra och utveckla de tjänster som Kunden använder.

Behandlingen kan bland annat avse:

• registrering och administration av bokningar,
• hantering av gäster och kunder,
• onlinebokning,
• kommunikation med gäster,
• bokningsbekräftelser och andra meddelanden,
• betalningsrelaterade processer,
• rapportering och statistik,
• integration med externa system,
• teknisk support,
• felsökning,
• drift och underhåll,
• säkerhet och loggning,
• automatiserad kommunikation,
• samt andra funktioner som Kunden har aktiverat inom ramen för tjänsten.

Happybooking får endast behandla personuppgifter enligt Kundens dokumenterade instruktioner och i den utsträckning som krävs för att tillhandahålla tjänsten.

Behandlingen pågår under den tid Huvudavtalet gäller och under den period därefter då Happybooking enligt Huvudavtalet eller detta PUB-avtal får behålla uppgifterna.

Happybookings tjänster är primärt hostade i Microsoft Azure Sweden Central, som är belägen i Sverige.

Happybookings primära drift- och lagringsmiljö för Kunddata är därmed lokaliserad i Sverige.

Happybooking strävar efter att Kunddata ska behandlas och lagras inom EU/EES när detta är möjligt och lämpligt utifrån tjänstens tekniska och funktionella krav.

Externa tjänsteleverantörer och underbiträden kan dock behandla vissa personuppgifter i andra jurisdiktioner. Sådan behandling ska ske i enlighet med tillämplig dataskyddslagstiftning och de skyddsåtgärder som krävs enligt GDPR.

Happybooking ska inte medvetet överföra personuppgifter till ett land utanför EU/EES utan att det finns en giltig rättslig grund för överföringen enligt GDPR.

Personuppgifterna kan avse:

• gäster och kunder,
• bokare,
• medföljande gäster,
• kontaktpersoner,
• användare av Happybooking,
• Kundens anställda,
• Kundens uppdragstagare,
• leverantörers och samarbetspartners kontaktpersoner,
• samt andra personer vars uppgifter Kunden väljer att registrera i tjänsten.

Beroende på vilka funktioner Kunden använder kan följande personuppgifter behandlas:

• namn,
• adress,
• telefonnummer,
• e-postadress,
• bokningsuppgifter,
• vistelse- och reservationsuppgifter,
• faktureringsuppgifter,
• betalningsrelaterade uppgifter,
• kommunikation och meddelanden,
• önskemål och preferenser,
• IP-adress,
• användar-ID,
• tekniska loggar,
• tidpunkter för användning,
• information om åtgärder som utförs i systemet.

Personnummer och andra särskilt skyddsvärda uppgifter ska endast behandlas när detta är nödvändigt för den aktuella tjänsten och när Kunden har säkerställt att behandlingen är laglig.

Kunden ansvarar för att inte registrera känsliga personuppgifter i systemet om sådan behandling inte är nödvändig och lagligen tillåten.

Kunden instruerar Happybooking att behandla personuppgifter i enlighet med:

• detta PUB-avtal,
• Huvudavtalet,
• de funktioner Kunden använder,
• Kundens dokumenterade instruktioner.

Om Happybooking bedömer att en instruktion strider mot tillämplig dataskyddslagstiftning ska Happybooking informera Kunden innan behandlingen genomförs, om inte Happybooking enligt lag är skyldig att genomföra behandlingen.

Happybooking ska säkerställa att personer som har behörighet att behandla personuppgifter har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

Sekretessåtagandet gäller även efter att uppdraget eller anställningen hos Happybooking har upphört.

Happybooking ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder med hänsyn till behandlingens art, omfattning och risk.

Åtgärderna kan bland annat omfatta:

• behörighetsstyrning,
• autentisering,
• åtkomstbegränsning,
• loggning,
• säkerhetskopiering,
• återställningsrutiner,
• skydd mot obehörig åtkomst,
• säkerhetsuppdateringar,
• övervakning av driftmiljö,
• skydd av kommunikation,
• rutiner för incidenthantering,
• samt interna regler för informationssäkerhet.

Happybookings primära produktionsmiljö är placerad i Microsoft Azure Sweden Central.

Happybooking ska löpande anpassa säkerhetsåtgärderna efter teknisk utveckling, identifierade risker och tillämpliga krav i dataskyddslagstiftningen.

Kunden lämnar ett generellt skriftligt förhandstillstånd till att Happybooking anlitar underbiträden för behandling av personuppgifter.

Happybookings aktuella underbiträden anges i Bilaga 2.

Happybooking ska informera Kunden om planerade förändringar avseende underbiträden på lämpligt sätt.

Kunden har rätt att invända mot ett nytt underbiträde på sakliga och dataskyddsrelaterade grunder.

Om Kunden invänder ska Parterna i god tro försöka hitta en rimlig lösning.

Happybooking ska genom avtal säkerställa att underbiträdet åläggs dataskyddsskyldigheter som motsvarar de skyldigheter som följer av detta PUB-avtal.

Happybooking ansvarar gentemot Kunden för att dess underbiträden fullgör sina dataskyddsskyldigheter i den utsträckning som följer av GDPR.

Följande underbiträden är godkända vid PUB-avtalets ingående:

Listan kan uppdateras enligt bestämmelserna om underbiträden i detta PUB-avtal.

En extern betalningsleverantör kan, beroende på vilken behandling som utförs, vara självständigt personuppgiftsansvarig i stället för underbiträde. I sådana fall regleras leverantörens behandling av dess egna villkor och integritetsinformation.

Happybooking ska endast överföra personuppgifter till ett land utanför EU/EES när överföringen är tillåten enligt GDPR.

Om behandling innebär överföring till ett land utanför EU/EES ska Happybooking säkerställa att erforderlig rättslig mekanism används, exempelvis:

• beslut om adekvat skyddsnivå,
• EU standardavtalsklausuler (SCC),
• eller annan godkänd överföringsmekanism enligt GDPR.

Happybooking ska, i den utsträckning det är relevant och möjligt, informera Kunden om tillämplig överföringsmekanism och berörda underbiträden.

Om Happybooking upptäcker en personuppgiftsincident som rör personuppgifter som behandlas för Kundens räkning ska Happybooking underrätta Kunden utan onödigt dröjsmål efter att Happybooking fått kännedom om incidenten.

Informationen ska, i den utsträckning den är tillgänglig, innehålla:

• incidentens art,
• berörda kategorier av registrerade,
• berörda kategorier av personuppgifter,
• uppskattat antal registrerade,
• uppskattat antal personuppgifter,
• sannolika konsekvenser,
• vidtagna eller planerade åtgärder för att hantera incidenten.

Happybooking ska löpande komplettera informationen när ytterligare relevanta uppgifter blir tillgängliga.

Kunden ansvarar för att bedöma om incidenten ska anmälas till Integritetsskyddsmyndigheten (IMY) och om registrerade ska informeras.

Happybooking ska bistå Kunden med information och åtgärder som rimligen krävs för att Kunden ska kunna fullgöra sina skyldigheter enligt GDPR.

Med hänsyn till behandlingens art ska Happybooking bistå Kunden med att hantera begäranden från registrerade avseende:

• tillgång,
• rättelse,
• radering,
• begränsning,
• dataportabilitet,
• invändning,
• samt andra rättigheter enligt GDPR.

Om en registrerad kontaktar Happybooking direkt avseende en behandling som Kunden ansvarar för ska Happybooking, när det är lämpligt, hänvisa personen till Kunden.

Happybooking ska, med hänsyn till behandlingens art och den information som finns tillgänglig för Happybooking, bistå Kunden med information som rimligen behövs för att genomföra en konsekvensbedömning avseende dataskydd enligt artikel 35 GDPR.

Happybooking ska även, i den utsträckning som krävs enligt GDPR, bistå Kunden vid förhandssamråd med tillsynsmyndighet enligt artikel 36 GDPR.

Happybooking ska föra sådan dokumentation över personuppgiftsbehandling som krävs enligt GDPR.

Dokumentationen ska på begäran göras tillgänglig för Kunden i den utsträckning som krävs för att visa att skyldigheterna enligt artikel 28 GDPR har fullgjorts.

Kunden har rätt att kontrollera att Happybookings behandling av personuppgifter sker i enlighet med detta PUB-avtal.

Kunden ska i första hand använda tillgänglig dokumentation, säkerhetsinformation, relevanta rapporter och andra underlag som Happybooking tillhandahåller.

Om sådan information inte är tillräcklig får Kunden, efter skälig framförhållning och under normala kontorstider, genomföra en revision.

Revision ska genomföras på ett sätt som inte i onödan stör Happybookings verksamhet eller andra kunders verksamhet.

Kunden och eventuell revisor ska följa Happybookings rimliga säkerhets- och sekretessregler.

Happybooking kan behöva få åtkomst till Kundens uppgifter vid support, felsökning, drift, underhåll eller incidenthantering.

Sådan åtkomst ska begränsas till vad som är nödvändigt för ändamålet.

När det är tekniskt möjligt ska åtkomst ske genom behörighetsstyrning och loggning.

Kunden ansvarar för:

• att behandlingen har en rättslig grund,
• att registrerade får erforderlig information,
• riktigheten i uppgifterna,
• att endast nödvändiga uppgifter behandlas,
• att lämna lagliga och dokumenterade instruktioner till Happybooking,
• användarnas behörigheter,
• samt att tjänsten inte används för behandling som strider mot lag.

Kunden ansvarar även för att inte registrera känsliga personuppgifter eller andra särskilt skyddsvärda uppgifter om detta inte är nödvändigt och lagligen tillåtet.

När Huvudavtalet upphör ska Happybooking, enligt Kundens instruktion och med beaktande av tillämplig lag, antingen:

• radera personuppgifterna, eller
• återlämna personuppgifterna till Kunden.

Kunden ska ges rimlig möjlighet att exportera sina uppgifter innan de raderas.

Om inte annat avtalats kan personuppgifterna raderas senast 45 dagar efter Huvudavtalets upphörande.

Personuppgifter i säkerhetskopior kan behållas under den tid som krävs för teknisk återställning. Sådana uppgifter får inte användas för andra ändamål och ska raderas enligt Happybookings normala säkerhetskopieringscykel.

Skyldigheten att radera eller återlämna uppgifter gäller inte i den utsträckning Happybooking enligt lag är skyldigt att behålla uppgifterna.

Happybooking får uppdatera PUB-avtalet när det krävs på grund av:

• ändrad lagstiftning,
• myndighetskrav,
• teknisk utveckling,
• ändrade tjänster,
• nya säkerhetskrav,
• eller ändringar av underbiträden.

Väsentliga ändringar ska kommuniceras till Kunden på lämpligt sätt.

Parternas ansvar regleras i första hand av Huvudavtalet och i den utsträckning som följer av tvingande bestämmelser i GDPR.

Ingenting i detta PUB-avtal ska begränsa ett ansvar som enligt GDPR eller annan tvingande lag inte får begränsas.

PUB-avtalet gäller så länge Happybooking behandlar personuppgifter för Kundens räkning inom ramen för Huvudavtalet.

När behandlingen upphör gäller de bestämmelser som till sin natur ska fortsätta gälla, exempelvis sekretess samt skyldigheter avseende radering och återlämnande.

PUB-avtalet ska tolkas enligt svensk rätt.

Tvist ska avgöras enligt den bestämmelse om tvist som anges i Huvudavtalet.