Personuppgiftsbiträdesavtal

1. Parter och bakgrund

Detta avtal gäller mellan den salong som använder Massagetid (personuppgiftsansvarig) och Devox Consulting AB, org.nr 559313-5386, Hälsingbergsvägen 22, 791 44 Falun (personuppgiftsbiträde). Avtalet ingås när du registrerar ett konto och gäller så länge du använder tjänsten.

När dina kunder bokar tider hos dig är det du som bestämmer varför och hur deras uppgifter behandlas. Vi behandlar dem enbart för din räkning, enligt dina instruktioner och detta avtal. Avtalet uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR).

2. Behandlingens föremål och varaktighet

Vi behandlar personuppgifter i syfte att tillhandahålla bokningssystemet: ta emot och visa bokningar, skicka bekräftelser och påminnelser, hantera kundkonton och ge dig statistik och historik. Behandlingen pågår så länge ditt konto finns kvar – se punkt 11 för när det raderas.

Under avtalstiden sparas bokningar, kunder och utskick tills du själv raderar dem; du kan radera en kund med tillhörande uppgifter i adminpanelen när som helst. Det är du som avgör hur länge uppgifterna behövs. Aktivitetsloggen gallras automatiskt efter 12 månader och serverns loggar efter 14 dagar. E-post till vår support kan innehålla uppgifter om dina kunder; den gallras efter 24 månader, även om ditt konto raderats dessförinnan.

3. Kategorier av registrerade och uppgifter

Registrerade	Uppgifter
Dina kunder	Namn, mobilnummer, e-postadress, lösenord (som hashvärde), bokningar med tid och bokad tjänst, avbokningar, eventuella noteringar du själv lägger in, utskickade SMS och e-postmeddelanden, samt IP-adress och tidpunkter i säkerhets- och serverloggar när de loggar in eller använder bokningssidan
Dina medarbetare	Namn, kontaktuppgifter, inloggningsuppgifter, arbetstider, vilka av salongens tjänster de utför, IP-adress och tidpunkter i säkerhetsloggarna, samt – om en kalender kopplats – e-postadressen för det kopplade kalenderkontot och en åtkomstnyckel, som lagras krypterad

Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9 GDPR, till exempel hälsouppgifter. Lägg inte in sådan information i fritextfält som noteringar eller beskrivningar av salongens tjänster. Dina kunder kan inte själva skriva fritext när de bokar. Observera att även namnet på en bokad tjänst kan avslöja något om en persons hälsa, till exempel gravid- eller rehabiliteringsmassage. Förekommer sådana uppgifter ändå ansvarar du som personuppgiftsansvarig för att det finns en rättslig grund och ett undantag enligt artikel 9 för behandlingen.

4. Våra åtaganden

• Vi behandlar personuppgifterna endast enligt dina dokumenterade instruktioner. Detta avtal, tillsammans med den funktionalitet du använder i tjänsten, utgör dina instruktioner. Om vi enligt lag är skyldiga att behandla uppgifterna på annat sätt informerar vi dig om det innan behandlingen sker, om inte lagen förbjuder sådan information.
• Vi använder aldrig dina kunders uppgifter för egna ändamål, som marknadsföring eller vidareförsäljning.
• Alla som får åtkomst till uppgifterna hos oss omfattas av tystnadsplikt.
• Vi vidtar de tekniska och organisatoriska säkerhetsåtgärder som krävs enligt artikel 32 GDPR (se punkt 5).
• Vi meddelar dig om vi anser att en instruktion strider mot dataskyddslagstiftningen.

5. Säkerhetsåtgärder

• All trafik krypteras med TLS (HTTPS).
• Varje salong har en egen databas – uppgifterna blandas aldrig med andra salongers.
• Lösenord lagras som kryptografiska hashvärden, aldrig i klartext.
• Inloggning skyddas mot upprepade försök, och känsliga åtgärder loggas.
• Åtkomst till servern är begränsad till namngivna administratörer.
• Säkerhetskopior tas varje natt, krypteras innan de lämnar servern och lagras dessutom på en server som vi själva äger och driver i Sverige, skild från driftsystemet.

6. Underbiträden

Du godkänner att vi anlitar följande underbiträden. Vi har skriftliga avtal med var och en av dem som ålägger dem minst samma skyldigheter som vi har enligt detta avtal, och vi svarar fullt ut mot dig för att underbiträdena fullgör sina skyldigheter.

Underbiträde	Behandling	Plats och stöd för överföring
DigitalOcean	Drift av servern där tjänsten och databaserna körs	Nederländerna (EU). Moderbolaget finns i USA – EU–US Data Privacy Framework och standardavtalsklausuler
Cellsynt	Utskick av SMS (mobilnummer och meddelandetext)	Sverige
Resend	Utskick av e-post (e-postadress och meddelandetext)	Irland (EU), med överföring till USA – EU–US Data Privacy Framework och standardavtalsklausuler
Cloudflare	Skydd mot automatiserade anrop (Turnstile) i formulär som skickar koder eller återställer lösenord (IP-adress och uppgifter om webbläsaren)	Globalt, med överföring till USA – EU–US Data Privacy Framework och standardavtalsklausuler
Microsoft (Microsoft 365)	Vår e-post – när du eller en av dina kunder skriver till supporten med personuppgifter	EU/EES, med överföring till USA – EU–US Data Privacy Framework och standardavtalsklausuler

Kopplar du tjänsten till din egen kalender hos Google eller Microsoft (kalendersynk) skickas bokningarna – tid, tjänst, kundens namn och telefonnummer eller e-postadress – till det konto du själv valt. Den leverantören är inte vårt underbiträde; behandlingen där sker enligt ditt eget avtal med leverantören. Betalningarna för ditt abonnemang hanteras av Stripe, men Stripe behandlar inga uppgifter om dina kunder och är därför inget underbiträde enligt detta avtal. Detsamma gäller Google Ads: vi mäter våra egna annonser bara på massagetid.se, och bara med besökarens samtycke. Din bokningssida, din hemsida och adminpanelen laddar aldrig Googles tagg, så Google tar inte emot några uppgifter om dina kunder.

Vi meddelar dig via e-post minst 30 dagar innan vi lägger till eller byter underbiträde. Har du sakliga invändningar hör du av dig inom den tiden, och kan vi inte lösa saken har du rätt att säga upp avtalet utan kostnad för återstående period.

7. Överföring till tredjeland

Databasen och säkerhetskopiorna lagras inom EU/EES. Vissa underbiträden kan behandla uppgifter utanför EU/EES, främst i USA; det sker då med stöd av EU–US Data Privacy Framework och EU-kommissionens standardavtalsklausuler enligt tabellen i punkt 6.

8. Hjälp till dig som ansvarig

Vi hjälper dig i rimlig omfattning att uppfylla dina skyldigheter enligt GDPR, bland annat att:

• svara på registrerades begäran om registerutdrag, rättelse, radering eller dataportabilitet – kontaktar en kund oss direkt hänvisar vi till dig,
• göra konsekvensbedömningar och förhandssamråd,
• uppfylla säkerhetskraven i artikel 32.

9. Personuppgiftsincidenter

Upptäcker vi en personuppgiftsincident som rör dina uppgifter meddelar vi dig utan onödigt dröjsmål efter att vi fått kännedom om den, och senast inom 48 timmar, så att du hinner anmäla den inom de 72 timmar som gäller för dig. Vi beskriver vad som hänt, vilka uppgifter som berörs, sannolika konsekvenser och vilka åtgärder vi vidtagit. Anmälan till Integritetsskyddsmyndigheten görs av dig som personuppgiftsansvarig.

10. Granskning

Vi ger dig den information du behöver för att visa att skyldigheterna i artikel 28 uppfylls. Du har rätt att granska vår behandling en gång per år, eller efter en inträffad incident, efter skriftlig begäran minst 30 dagar i förväg. Granskningen ska ske på ett sätt som inte stör driften eller röjer andra kunders uppgifter. Du står för kostnaden för granskningen. Vi medverkar också vid tillsynsmyndighetens granskning.

11. Radering när avtalet upphör

När ditt konto avslutas raderar vi, efter ditt val, personuppgifterna eller återlämnar dem till dig i ett maskinläsbart format. Raderingen sker inom 30 dagar från din begäran. Hör du aldrig av dig raderas kontot med alla uppgifter när det saknat abonnemang och ingen administratör loggat in på 24 månader, efter varning via e-post minst 60 och 14 dagar innan (se villkoren, punkt 12). Säkerhetskopior raderas i takt med att de roteras ut, senast inom 30 dagar. Uppgifter som vi enligt lag måste behålla, exempelvis bokföringsunderlag, sparas så länge lagen kräver.

12. Ansvar

Ansvarsfördelningen gentemot de registrerade följer artikel 82 GDPR. Mellan oss gäller ansvarsbegränsningen i våra villkor, även för regresskrav. Var och en av oss bär själv de administrativa sanktionsavgifter som en tillsynsmyndighet ålägger just den parten. Vid motstridighet mellan detta avtal och villkoren har detta avtal företräde i frågor som rör behandling av personuppgifter.

Kontakt

Devox Consulting AB, org.nr 559313-5386
Hälsingbergsvägen 22, 791 44 Falun
bokningssystem@devox.se