Personuppgifts­biträdesavtal

1.1 Personuppgiftsansvarig är kunden, det vill säga företaget eller föreningen som har ett avtal med Qonnecta (”du”).

1.2 Personuppgiftsbiträde är Albin Lindén, enskild näringsidkare, som driver Qonnecta (”Qonnecta”, ”vi”).

1.3 Ord som ”personuppgifter”, ”behandling”, ”personuppgiftsincident” och ”registrerad” har samma betydelse som i dataskyddsförordningen (EU) 2016/679 (”GDPR”).

1.4 Avtalet gäller de personuppgifter vi behandlar för din räkning när vi levererar Qonnecta. Det gäller inte uppgifter som vi själva är ansvariga för, till exempel uppgifter om dina anställda som användare i Qonnecta Admin för vår egen fakturering och support. De beskrivs i vår integritetspolicy.

Ändamål, typ av uppgifter, kategorier av registrerade och behandlingens art står i bilaga 1. Behandlingen pågår så länge kundavtalet gäller och därefter tills uppgifterna är raderade eller återlämnade enligt punkt 11.

3.1 Vi behandlar personuppgifterna bara enligt dina dokumenterade instruktioner. Instruktionerna är det här avtalet, kundvillkoren och de inställningar och val du gör i Qonnecta Admin (till exempel vilka uppgifter bokningssidan ska fråga efter, vilka meddelanden som ska skickas, om AI-assistenten, e-signering, lås eller automatisk anonymisering ska användas). Till instruktionerna hör också att vi får skicka servicemeddelanden i Qonnectas namn till dina kunder om driftstörningar, fel, säkerhetsfrågor och ändringar som rör deras bokningar. Meddelandena är sakliga, aldrig marknadsföring, och går bara till kontaktuppgifterna på bokningen. Vi berättar för dig när vi har skickat ett sådant meddelande.

3.2 Om vi enligt lag måste behandla uppgifterna på annat sätt informerar vi dig innan, om lagen inte förbjuder det.

3.3 Om vi anser att en instruktion strider mot GDPR eller annan dataskyddslag säger vi till direkt. Vi behöver inte följa instruktionen förrän du har bekräftat eller ändrat den.

3.4 Du ansvarar för att det finns en rättslig grund för behandlingen, att dina kunder får information enligt artikel 13 och 14, och att dina instruktioner följer lag.

Alla som arbetar för oss och har tillgång till personuppgifterna har tystnadsplikt, genom avtal eller lag, och får bara behandla uppgifterna för att leverera tjänsten. Vi ger åtkomst bara till de personer som behöver den.

Vi vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32. Åtgärderna står i bilaga 2. Vi får förbättra dem, men inte sänka den samlade skyddsnivån.

6.1 Du ger oss ett allmänt skriftligt förhandstillstånd att anlita underbiträden. Underbiträdena vid avtalets början står i bilaga 3.

6.2 Innan vi lägger till eller byter ett underbiträde meddelar vi dig via e-post minst 30 dagar i förväg. Om du har en saklig grund att invända, till exempel att underbiträdet inte ger tillräckliga garantier, ska du säga det inom den tiden. Kan vi inte lösa det tillsammans får du säga upp de delar av tjänsten som berörs, eller hela avtalet, utan kostnad.

6.3 Vi ingår skriftliga avtal med varje underbiträde med samma dataskyddsskyldigheter som i det här avtalet. Vi ansvarar mot dig för att underbiträdena uppfyller sina skyldigheter.

Vi överför personuppgifter till ett land utanför EU/EES bara om det finns stöd i GDPR kapitel V, till exempel ett beslut om adekvat skyddsnivå (som EU–US Data Privacy Framework för certifierade mottagare) eller EU-kommissionens standardavtalsklausuler, med kompletterande skyddsåtgärder där det behövs. Bilaga 3 visar var varje underbiträde behandlar uppgifterna och vilken grund som används.

8.1 Qonnecta Admin har funktioner som hjälper dig att svara på begäranden från dina kunder: du kan se, rätta och anonymisera kunduppgifter och ställa in automatisk anonymisering av inaktiva konton, och dina kunder kan själva radera sitt konto.

8.2 Dina kunder får kontakta oss om tekniska problem med bokningssidan, betalningen, låsen och appen, och vi svarar dem. Frågor om själva uthyrningen, till exempel pris, skador, villkor och beslut om återbetalning, hänvisar vi till dig. Vi berättar för dig när vi har haft kontakt med dina kunder.

8.3 Om en registrerad begär att få ut, rätta eller radera uppgifter som du ansvarar för skickar vi vidare begäran till dig utan onödigt dröjsmål och svarar inte själva i sak, om du inte ber oss. Behöver du mer hjälp, till exempel en export av en kunds uppgifter, hjälper vi dig.

9.1 Vi meddelar dig utan onödigt dröjsmål, och senast inom 36 timmar, efter att vi har fått kännedom om en personuppgiftsincident som rör dina uppgifter, så att du hinner anmäla den till IMY inom 72 timmar enligt artikel 33.

9.2 Meddelandet innehåller så långt det är möjligt: vad som har hänt, vilka typer och ungefär hur många registrerade och poster som berörs, sannolika konsekvenser, vad vi har gjort och föreslår, och en kontaktperson. Information som vi inte har direkt lämnar vi så snart vi har den.

9.3 Du ansvarar för att anmäla incidenten till IMY och informera de registrerade när det krävs. Vi hjälper dig med det underlag vi har.

Vi hjälper dig, med hänsyn till behandlingens art och den information vi har, att uppfylla dina skyldigheter enligt artikel 32–36: säkerhet, incidenter, konsekvensbedömningar och förhandssamråd med IMY. Omfattande hjälp som går utöver det vanliga får vi debitera enligt överenskommelse.

11.1 När kundavtalet upphör kan du inom 30 dagar begära att få ut dina uppgifter, se kundvillkoren punkt 11.

11.2 Därefter raderar vi personuppgifterna inom 90 dagar, om inte lag kräver att vi sparar dem. Uppgifter i säkerhetskopior raderas när kopiorna skrivs över enligt vårt vanliga schema (bilaga 2). Fram till dess skyddas de enligt det här avtalet och används inte.

11.3 På begäran bekräftar vi skriftligt att uppgifterna är raderade.

12.1 Vi ger dig den information som behövs för att visa att vi följer artikel 28 och det här avtalet, i första hand genom skriftliga svar och dokumentation.

12.2 Räcker inte det får du, eller en oberoende granskare med tystnadsplikt som du utser, göra en granskning en gång per år, med minst 30 dagars varsel, under kontorstid och utan att störa driften eller andra kunders säkerhet. Du står för dina egna kostnader. Granskning hos underbiträden sker genom deras egna rapporter och certifieringar.

12.3 Vid en personuppgiftsincident eller om en tillsynsmyndighet kräver det får granskning göras med kortare varsel.

13.1 För skadestånd till registrerade gäller artikel 82 GDPR.

13.2 I övrigt gäller ansvarsbegränsningen i kundvillkoren (punkt 13) även för det här avtalet. Den gäller inte om en part har brutit mot avtalet genom uppsåt eller grov vårdslöshet.

13.3 Sanktionsavgifter som en tillsynsmyndighet beslutar om betalas av den part som avgiften gäller.

14.1 Avtalet gäller så länge vi behandlar personuppgifter för din räkning.

14.2 Om avtalet och kundvillkoren säger olika saker om personuppgifter gäller det här avtalet.

14.3 Ändringar görs på samma sätt som ändringar av kundvillkoren (punkt 14). Ändringar som krävs enligt lag eller myndighetsbeslut får göras direkt.

14.4 Svensk lag gäller. Tvister avgörs enligt kundvillkoren.

• Kryptering: all trafik krypteras med HTTPS/TLS. Lösenord lagras hashade. Engångskoder till igloohome-lås lagras krypterade. IP-adresser i ändringsloggen lagras som hashvärden.
• Åtkomst: inloggning med individuella konton och roller. Dina kunder ser bara sina egna uppgifter. Åtkomst till servrar och databas är begränsad till de personer som driver tjänsten.
• Spårbarhet: ändringslogg över vem som ändrade vad och när.
• Drift: servrar och databas hos DigitalOcean. Databasen säkerhetskopieras dagligen och kan återställas till en viss tidpunkt. Driftstatus övervakas och publiceras på qonnecta.betteruptime.com. Tekniska felrapporter skickas utan IP-adress.
• Utveckling: ändringar testas innan de släpps. Personuppgifter från produktion används inte för test; testmiljön har påhittade uppgifter.
• AI-assistenten: ändringar i Qonnecta Admin görs först när du har godkänt dem, eller enligt regler du själv har satt för automatiskt godkännande. Assistenten gör aldrig återbetalningar eller kortdragningar.
• Dataminimering: automatisk anonymisering av inaktiva kundkonton (om du slår på den) och automatisk radering av AI-konversationer efter inställd tid.

AI-leverantören får inte använda uppgifterna för att träna sina modeller.

Tjänster som du anlitar själv. Stripe (kort, Apple Pay, Google Pay och Klarna) och Swish är kopplade till ditt eget konto och ditt eget avtal med Stripe respektive din bank. Stripe och bankerna är i regel själva personuppgiftsansvariga för betalningsuppgifterna, och de är inte våra underbiträden. Vi skickar betalningsuppdragen åt dig och sparar referenser och belopp, aldrig kortuppgifter. Detsamma gäller kopplingen till ChatGPT eller Claude: det assistenten läser där skickas till OpenAI eller Anthropic under ditt eget konto hos dem.