Personuppgiftsbiträdesavtal

Parter och omfattning

Detta avtal (artikel 28 GDPR) ingås mellan dig, serveringen, som personuppgiftsansvarig och Ospitera som personuppgiftsbiträde. Det är en del av villkoren för tjänsten och gäller så länge vi behandlar personuppgifter åt dig. Version 2026-11-05.

Vad vi behandlar

Föremål och ändamål: ta emot, visa, skriva ut och leverera dina gästers beställningar, skicka de sms du aktiverar och tillhörande support.

Registrerade: dina gäster och din personal som använder administrationen och personalskärmen.

Personuppgifter: gästernas namn, telefon, leveransadress, anteckningar och beställningens innehåll; personalens användarnamn; tekniska uppgifter såsom IP-adresser (sparas bara som nyckelbaserade hashvärden).

Varaktighet: Leveransadress och anteckningar raderas 24 timmar efter att beställningen avslutats, telefonnummer och efternamn efter 72 timmar, och beställningar som inte avslutats förlorar dem efter 7 dagar. Beställningarnas innehåll och belopp finns kvar för serveringens bokföring tills serveringen eller tjänsten upphör.

Våra skyldigheter

Dokumenterade instruktioner: vi behandlar dina personuppgifter endast för de ändamål och enligt de instruktioner som följer av detta avtal, de inställningar du väljer i administrationen och senare instruktioner från dina behöriga kontaktpersoner, inklusive i fråga om överföring till utlandet. Kräver unionsrätten eller en medlemsstats rätt en annan behandling informerar vi dig i förväg, om inte den rätten förbjuder det. Anser vi att en instruktion strider mot dataskyddsreglerna meddelar vi dig omedelbart och avvaktar med instruktionen tills vi är överens om nästa steg.

Alla hos Ospitera som har åtkomst omfattas av tystnadsplikt.

Vi vidtar lämpliga säkerhetsåtgärder, bland annat: kryptering vid överföring, kryptering av gästernas kontaktuppgifter och betalningsuppgifter i vila, hashade lösenord och pinkoder, åtkomst begränsad till serveringen, begränsning av förfrågningar, loggning av känsliga åtgärder, automatisk radering enligt ovan och säkerhetskopior av databasen.

Bistånd: med hänsyn till behandlingen och tillgänglig information hjälper vi dig med gästers begäranden om att utöva sina rättigheter, med säkerhet, bedömning och anmälan av incidenter, med konsekvensbedömningar och samråd med myndigheter. Din administration innehåller ett verktyg för att exportera eller radera en enskild gästs uppgifter; kontakta support för resten. Vi vidarebefordrar utan dröjsmål begäranden som rör din behandling och besvarar dem inte själva, om inte lagen kräver det, och vi ger dig den information vi rimligen har i tid för dina frister.

Vi underrättar dig om en personuppgiftsincident som rör dina uppgifter utan onödigt dröjsmål och inom 48 timmar från att vi fått kännedom om den, med den information du behöver för dina egna skyldigheter.

Tjänstens upphörande: nya beställningar upphör på upphörandedagen. Under 30 dagar därefter kan du fortfarande logga in och exportera (villkor 9.4); dag 30 raderar vi de personuppgifter vi sparar åt dig (beställningar, gästuppgifter, personal- och ägarkonton, menyn och kontaktuppgifterna i inställningarna), om du inte ber oss radera tidigare. Databasens säkerhetskopior löper ut enligt vår databasleverantörs återställningsschema och används aldrig i den löpande driften; återställs en säkerhetskopia någon gång genomförs raderingarna på nytt. Vi sparar bara det som lagen kräver av oss: våra fakturor till dig och registreringen av godkännandet av villkoren.

Efterlevnad och granskning: vi tillhandahåller den information som rimligen behövs för att visa att detta avtal efterlevs och möjliggör granskningar, inklusive inspektioner, som utförs av dig eller av en oberoende granskare som du utser, med rimligt varsel och med iakttagande av sekretess, och vi medverkar i dem. Rutinmässiga granskningar kan samordnas för att undvika dubbelarbete; ytterligare granskningar är alltid möjliga efter en betydande incident, en betydande ändring av behandlingen, grundad misstanke om bristande efterlevnad eller på begäran av en tillsynsmyndighet.

Skilda roller: vi är ditt personuppgiftsbiträde för dina gästers beställningar och för de personalkonton du hanterar. För vår affärsrelation med dig, fakturering, vår plattforms säkerhet och rättsliga anspråk är vi självständigt personuppgiftsansvariga, så som integritetspolicyn beskriver (/legal/privacy). Ingen av rollerna tillåter oss att använda gästuppgifter för reklam, ovidkommande profilering eller träning av AI-modeller.

Underbiträden

Du godkänner de underbiträden som anges på /legal/subprocessors. Vi ålägger dem samma dataskyddsskyldigheter och ansvarar för dem.

Nya underbiträden aviserar vi i administrationen minst 30 dagar i förväg. Du kan invända av rimliga skäl; går det inte att lösa kan du säga upp tjänsten före ändringen.

Överföring till utlandet

Förteckningen över underbiträden anger var varje leverantör behandlar uppgifterna. Lämnar uppgifterna Europeiska ekonomiska samarbetsområdet grundar sig överföringen på ett beslut om adekvat skyddsnivå eller, om inget sådant gäller, på Europeiska kommissionens standardavtalsklausuler (modul 3, biträde till biträde) som avtalats med den leverantören, med kompletterande åtgärder där det behövs. Våra leverantörers vidareöverföringar bedöms separat. Ingen överföring påbörjas utan en giltig mekanism. På begäran ger vi dig en kopia av skyddsåtgärderna, maskerad bara där det är affärsmässigt nödvändigt.

Landsbilagor

Förenade kungariket: personuppgifter från Förenade kungariket kan föras över till EES enligt de brittiska reglerna om adekvat skyddsnivå för EES. Sträcker sig en begränsad överföring utanför EES gäller UK International Data Transfer Addendum till de klausuler vi har med den leverantören.

Schweiz: överföringar till EES grundar sig på förbundsrådets erkännande av en adekvat skyddsnivå; överföringar till andra länder använder de standardavtalsklausuler som den schweiziska federala dataskydds- och informationskommissionären har erkänt för det mottagarlandet.

Brasilien: överföringar till Belgien och resten av EU grundar sig på den brasilianska dataskyddsmyndighetens (ANPD) beslut om adekvat skyddsnivå i Europeiska unionen, i den mån det omfattar dem. Andra mottagarländer och vidareöverföringar använder den mekanism som anges för dem; är det ANPD:s standardavtalsklausuler (resolution CD/ANPD 19/2024) bifogar vi deras fullständiga text och de ifyllda bilagorna utan ändringar.

Turkiet: är skyddsåtgärden Personuppgiftsmyndighetens standardavtal fyller vi i och undertecknar rätt turkisk modul med dig innan överföringen börjar, och det undertecknade avtalet anmäls till Myndigheten inom fem arbetsdagar efter undertecknandet av den part som Myndigheten anger. Dessförinnan börjar vi inte behandla uppgifter för en servering i Turkiet.

Québec: innan personlig information lämnar Québec ger vi dig den information och de skriftliga garantier du behöver för din egen bedömning enligt lagen om skydd av personlig information i den privata sektorn; bedömningen förblir din.

Andra länder med egna regler för överföring av personuppgifter till utlandet (till exempel Argentina, Colombia och Peru): vi ger dig den information du behöver om vår behandling och inför, innan överföringen börjar, de klausuler som den rätten kräver.

Företrädesordning

De tvingande bestämmelserna i det angivna överföringsinstrumentet har företräde framför detta avtal och villkoren för tjänsten. Med detta förbehåll har en landsbilaga företräde framför resten av detta avtal, och detta avtal har företräde framför villkoren för tjänsten i frågor om personuppgifter.

Kontakt

Frågor om integritet och anmälan av incidenter: support@ospitera.com.