Personuppgiftsbiträdesavtal

1. Parter

Personuppgiftsansvarig ("den Ansvarige"): den salong eller behandlare som har ett konto på bokamej.nu. Firma och organisationsnummer är de uppgifter du angett under Inställningar.

Personuppgiftsbiträde ("Biträdet"): Retro 87 AB, org.nr 559395-8407, besöksadress Svärdvägen 21, 182 33 Danderyd, postadress c/o Retro 87, Mailbox 327, 111 73 Stockholm, som driver plattformen bokamej.nu.

2. Bakgrund och syfte

Biträdet tillhandahåller den Ansvarige en plattform för bokning, betalning och kassaregister. Inom ramen för tjänsten behandlar Biträdet personuppgifter om den Ansvariges kunder för den Ansvariges räkning. Detta avtal reglerar den behandlingen.

3. Behandlingens art och ändamål

Biträdet behandlar personuppgifter för att:

• ta emot och hantera bokningar,
• genomföra och referera betalningar. Betalkortsuppgifter hanteras av Stripe och behandlas aldrig av Biträdet,
• skicka bekräftelser, påminnelser och kvittolänkar via SMS,
• upprätta digitala kvitton och kassajournal,
• föra den Ansvariges kundregister med bokningshistorik, den Ansvariges egna arbetsanteckningar om kunden samt, med kundens uttryckliga samtycke, uppgift om utfört allergitest,
• gallra kundregistret automatiskt efter den tid den Ansvarige valt (12, 24 eller 36 månader utan bokning), varvid kunduppgifterna anonymiseras medan kvitton och kassajournal bevaras enligt bokföringslagen.

Behandlingen sker under hela avtalstiden.

4. Registrerade och personuppgifter

Registrerade: den Ansvariges kunder.

• namn
• mobilnummer
• e-postadress
• bokningshistorik (tjänst, datum, tid)
• köphistorik i kassan (tjänster och varor, belopp, rabatter och dricks), när ett köp registrerats med kundens namn eller mobilnummer
• betalningsreferenser, till exempel betalnings-id hos Stripe
• den Ansvariges arbetsanteckningar om kunden, till exempel färgrecept och önskemål
• uppgift om utfört allergitest (datum och produkt), som är en hälsouppgift enligt artikel 9 GDPR

Uppgift om allergitest behandlas endast med den registrerades uttryckliga samtycke (artikel 9.2 a), som den Ansvarige inhämtar i salongen och som registreras med tidpunkt i tjänsten. Den Ansvarige ansvarar för att samtycket är frivilligt, informerat och kan återkallas; tjänsten tillhandahåller funktionen att ta bort uppgiften. Inga andra känsliga personuppgifter enligt artikel 9 är avsedda att behandlas, och arbetsanteckningarna ska inte innehålla hälsouppgifter; tjänsten upplyser den Ansvarige om detta vid varje anteckning. Ska andra känsliga uppgifter behandlas krävs en skriftlig komplettering av detta avtal.

Registrerade i personalliggaren är de som är verksamma i näringsverksamheten: anställda, inhyrda arbetstagare, praktikanter, obetalt arbetande familjemedlemmar och ägaren själv. De behandlade personuppgifterna omfattar namn, personnummer eller samordningsnummer, eller för personer utan svenskt nummer ett utländskt identitetsnummer med land, tidpunkt för varje in- och utcheckning, vilken lokal det gäller, samt för inhyrd personal arbetsgivarens namn och organisationsnummer. Ändamålet med behandlingen är att uppfylla rättsliga förpliktelser enligt 39 kap. 11 och 12 §§ skatteförfarandelagen och 9 kap. 5 § skatteförfarandeförordningen. Den rättsliga grunden är artikel 6.1 c GDPR, nämligen en rättslig förpliktelse. Personnumret visas maskerat i den dagliga vyn och i sin helhet endast i vyn som visas för Skatteverket vid ett kontrollbesök och i exporten. Uppgifterna bevaras i tre år, därefter raderas namn och identitetsnummer automatiskt.

5. Instruktioner och sekretess

Biträdet behandlar personuppgifter endast enligt den Ansvariges dokumenterade instruktioner. Detta avtal, tillsammans med plattformens funktioner så som de görs tillgängliga, utgör den fullständiga instruktionen. Biträdet underrättar omedelbart den Ansvarige om Biträdet anser att en instruktion strider mot dataskyddslagstiftning.

Biträdet säkerställer att personer med behörighet att behandla uppgifterna har åtagit sig sekretess eller omfattas av lagstadgad tystnadsplikt.

6. Säkerhetsåtgärder

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, bland annat:

• kryptering vid överföring (TLS) och vid lagring,
• behörighetsstyrning per salong: varje konto når endast den egna verksamhetens uppgifter,
• all åtkomst sker via autentiserade tjänster; direkt klientåtkomst till databasen är avstängd som standard,
• spårbarhet i kassajournalen genom en manipulationsskyddad hashkedja,
• säkerhetskopiering och skydd mot obehörig ändring, inklusive manipulationsskyddad kassajournal.

7. Underbiträden

Den Ansvarige lämnar genom detta avtal ett allmänt förhandstillstånd till följande underbiträden:

Kvittots kontrolldata, som enligt kassaregisterlagen skickas till ett certifierat kontrollsystem, består av belopp, moms och kvittonummer och innehåller inga personuppgifter. Kontrollsystemets leverantör behandlar därför inga personuppgifter för den Ansvariges räkning och är inte ett underbiträde enligt detta avtal.

Biträdet informerar den Ansvarige innan ett underbiträde byts ut eller läggs till, så att den Ansvarige har möjlighet att invända. Biträdet ansvarar fullt ut för underbiträdenas behandling. Uppgifterna lagras inom EU. Om ett underbiträde överför uppgifter utanför EU eller EES ska en giltig överföringsmekanism enligt kapitel V GDPR finnas.

8. Bistånd och incidenter

Biträdet bistår den Ansvarige med att besvara begäranden från registrerade om tillgång, rättelse, radering och övriga rättigheter enligt kapitel III GDPR, samt med skyldigheterna enligt artiklarna 32 till 36 GDPR.

Vid en personuppgiftsincident som rör den Ansvariges uppgifter underrättar Biträdet den Ansvarige utan onödigt dröjsmål, med den information som behövs för anmälan till Integritetsskyddsmyndigheten.

9. Kundregistret och radering

Kundregistret tillhör den Ansvarige. Den Ansvarige kan när som helst begära ut det, och Biträdet lämnar då ut uppgifterna i maskinläsbart format utan kostnad.

När tjänsten upphör raderar eller återlämnar Biträdet samtliga personuppgifter enligt den Ansvariges val och raderar befintliga kopior. Undantag gäller uppgifter som Biträdet enligt lag är skyldigt att bevara, till exempel kvitton och kassajournal enligt bokföringslagen i sju år. Sådana uppgifter raderas när den lagstadgade lagringstiden löpt ut.

10. Överlåtelse av biträdesrollen

Biträdet kan överlåta detta avtal till ett annat bolag, till exempel om verksamheten bokamej.nu flyttas till ett eget bolag. Den Ansvarige underrättas minst 30 dagar i förväg, med uppgift om det övertagande bolagets firma och organisationsnummer. Det övertagande bolaget blir personuppgiftsbiträde på oförändrade villkor och med samma underbiträden. Godtar den Ansvarige inte bytet av biträde kan tjänsten sägas upp innan överlåtelsen träder i kraft, och personuppgifterna raderas eller lämnas ut enligt punkt 9.

11. Granskning, avtalstid och ändringar

Biträdet ger den Ansvarige tillgång till den information som krävs för att visa att skyldigheterna i artikel 28 GDPR fullgörs, och möjliggör granskningar. Granskning aviseras i rimlig tid och genomförs så att den inte äventyrar säkerheten för andra kunders uppgifter.

Avtalet gäller så länge Biträdet behandlar personuppgifter för den Ansvariges räkning. Ändringar meddelas skriftligen i förväg. Vid konflikt med salongsavtalet har detta avtal företräde i frågor som rör personuppgiftsbehandling.