Personuppgiftsbiträdesavtal

Version 2026-11-05

1. Parter

Personuppgiftsbiträde: CS Kommunikationsbyrå AB, org.nr 559261-2120, Rördromsvägen 3, 591 74 Borensberg ("Biträdet").

Personuppgiftsansvarig: det företag som har avtal med Biträdet om bokningssystemet YourCoBooking och som godkänner detta avtal i systemet ("Kunden").

2. Bakgrund och syfte

Kunden använder YourCoBooking för att ta emot och hantera bokningar. Biträdet behandlar då personuppgifter för Kundens räkning. Detta avtal reglerar den behandlingen enligt artikel 28 i dataskyddsförordningen (GDPR) och gäller som en del av avtalet om tjänsten ("Huvudavtalet"). Vid motstridighet gäller detta avtal i frågor om personuppgifter.

3. Behandlingens föremål, art och ändamål

Biträdet lagrar, organiserar, visar, skickar och raderar personuppgifter i den utsträckning som behövs för att leverera YourCoBooking: bokningssida, administration av bokningar, kundregister, mejlutskick, utvärderingar, statistik och därtill hörande support. Behandlingen pågår så länge Huvudavtalet gäller.

4. Kategorier av registrerade och personuppgifter

• Kundens gäster och kontaktpersoner hos företagskunder: namn, e-post, telefon, adress, organisationsnummer, bokningar, antal personer, betalsätt och betalstatus, meddelanden, utvärderingssvar och anteckningar.
• Uppgifter om specialkost och allergier som gästen själv lämnar. Sådana uppgifter kan vara hälsouppgifter enligt artikel 9 i GDPR.
• Kundens användare: namn, e-post, roll och inloggningshistorik.
• Personer på väntelista och den som skickar förfrågningar: namn, e-post, telefon och önskemål.

Kunden ansvarar för att inte föra in andra känsliga personuppgifter i systemet, till exempel i fritextfält, än vad som behövs för bokningen.

5. Kundens ansvar

Kunden är personuppgiftsansvarig och ansvarar för att det finns rättslig grund för behandlingen, att de registrerade får information (bland annat genom Kundens egen integritetspolicy, som kan läggas upp i systemet) och att instruktionerna till Biträdet är lagliga.

6. Biträdets åtaganden

• Biträdet behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner. Detta avtal, Huvudavtalet och Kundens inställningar och val i systemet utgör instruktionerna.
• Biträdet informerar Kunden om en instruktion enligt Biträdets bedömning strider mot dataskyddsreglerna.
• Biträdet behandlar inte uppgifterna för egna ändamål, och säljer eller lämnar inte ut dem till någon annan än godkända underbiträden eller när lag kräver det.

7. Sekretess

Biträdet ser till att de personer som har tillgång till personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Biträdet har bara tillgång till Kundens uppgifter när det behövs för drift, felsökning eller support.

8. Säkerhet

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR, bland annat:

• kryptering av all trafik och av lagrade uppgifter hos databasleverantören,
• att varje kunds uppgifter skiljs från andra kunders med behörighetsregler i databasen,
• rollbaserad behörighet inom varje kund,
• lösenord som bara sparas i krypterad form,
• att administrativ åtkomst begränsas till de personer hos Biträdet som behöver den.

9. Underbiträden

Kunden lämnar ett allmänt förhandstillstånd till att Biträdet anlitar underbiträden. Vid avtalets början anlitas:

• Supabase Inc. – databas, inloggning och fillagring, med lagring i Irland (EU).
• Vercel Inc. – drift av webbplatsen, med serverfunktioner i Dublin (EU).
• Resend Inc. – e-postutskick, när mejlfunktionen är aktiverad.

Biträdet ingår avtal med varje underbiträde som ger motsvarande skydd som detta avtal. Biträdet meddelar Kunden minst 30 dagar innan ett nytt underbiträde anlitas. Kunden kan invända av sakliga skäl. Kan parterna inte enas har Kunden rätt att säga upp tjänsten till den dag ändringen träder i kraft.

10. Överföring till tredje land

Personuppgifterna lagras inom EU. Om uppgifter överförs till land utanför EU/EES, till exempel genom ett amerikanskt underbiträde, sker det bara med stöd av ett beslut om adekvat skyddsnivå, såsom EU:s ramverk för dataskydd mellan EU och USA (Data Privacy Framework), eller EU-kommissionens standardavtalsklausuler.

11. Bistånd till Kunden

• Systemet låter Kunden själv söka fram, rätta, exportera och radera uppgifter om en registrerad. Biträdet hjälper därutöver Kunden att besvara begäranden från registrerade.
• Får Biträdet en begäran direkt från en registrerad hänvisas den till Kunden.
• Biträdet hjälper Kunden att fullgöra skyldigheterna i artiklarna 32–36 i GDPR, med hänsyn till behandlingens art och den information Biträdet har.

12. Personuppgiftsincidenter

Biträdet underrättar Kunden utan onödigt dröjsmål, och senast inom 36 timmar efter att Biträdet fått kännedom om en personuppgiftsincident som berör Kundens uppgifter. Underrättelsen innehåller den information som Kunden behöver för att kunna anmäla incidenten till Integritetsskyddsmyndigheten och informera de registrerade.

13. Granskning

Biträdet ger Kunden den information som behövs för att visa att avtalet följs. Kunden har rätt att, efter skriftligt meddelande minst 30 dagar i förväg, granska behandlingen själv eller genom en oberoende granskare som omfattas av tystnadsplikt. Kunden står för sina egna kostnader för granskningen.

14. Avtalets upphörande, återlämning och radering

När Huvudavtalet upphör kan Kunden exportera sina uppgifter från systemet. Biträdet raderar därefter Kundens personuppgifter senast 90 dagar efter avtalets slut, om inte lag kräver att de sparas. Uppgifter i säkerhetskopior skrivs över enligt leverantörens rutiner.

15. Ansvar

Varje part ansvarar för skada som parten orsakat i strid med detta avtal eller dataskyddsreglerna, enligt artikel 82 i GDPR. I övrigt gäller ansvarsbegränsningarna i Huvudavtalet.

16. Ändringar

Biträdet kan uppdatera avtalet, till exempel om lagen ändras eller nya underbiträden anlitas. Kunden meddelas om väsentliga ändringar minst 30 dagar i förväg och ombeds godkänna den nya versionen i systemet.

17. Giltighet, tillämplig lag och tvister

Avtalet gäller från att Kunden godkänner det i systemet och så länge Biträdet behandlar personuppgifter för Kundens räkning. Ett elektroniskt godkännande av en behörig företrädare för Kunden gäller som skriftligt avtal. Svensk lag gäller. Tvister avgörs av allmän domstol i Sverige.