Personuppgifts­biträdesavtal

Företaget är personuppgiftsansvarigt för sina kunders uppgifter när det tar emot bokningar och gör utskick. BIX (enligt aktuell organisationsform) är personuppgiftsbiträde åt företaget. Avtalet gäller så länge företaget använder BIX och upphör när kontot avslutas.

Ta emot och administrera bokningar, skicka bokningsbekräftelser och påminnelser, föra kundregistret, sammanställa kundlistan för företagets egna utskick, och skicka företagets erbjudanden i BIX-appen till kunder som sagt ja (bara kunder med samtycke eller med företagets intyg). Behandlingen sker i BIX-tjänsten.

Registrerade: företagets kunder. Uppgifter: namn, telefonnummer, e-post, bokningar, bokningspass med det kunden valt att dela, hälsouppgifter bara när kunden aktivt delat dem. Kunder som företaget lagt till (namn, telefon, e-post och företagets intyg). Samtyckesbevis (tid, bokning, version och exakt text, kanaler). Avregistreringar, gjorda av företaget eller av kunden. En logg över utlämnade kundlistor utan personuppgifter.

BIX behandlar uppgifterna bara enligt företagets dokumenterade instruktioner, som är detta avtal och de val företaget gör i BIX. Det gäller också överföring till land utanför EU/EES, som bara sker till de underbiträden som anges i BIX integritetspolicy och med giltig skyddsgrund (EU-kommissionens standardavtalsklausuler eller beslut om adekvat skyddsnivå). Kräver lag att BIX behandlar uppgifterna på annat sätt, meddelar BIX företaget först, om lagen tillåter det. BIX meddelar företaget direkt om BIX anser att en instruktion strider mot dataskyddsreglerna.

4 b. Överföring som företaget själv bestämmer. Kopplar företaget en egen mottagare, till exempel en webhook till Zapier, skickar BIX bokningsuppgifter dit på företagets instruktion. Mottagaren är företagets eget val och inte ett underbiträde till BIX.

De som hanterar uppgifterna hos BIX har åtagit sig tystnadsplikt.

BIX har tekniska och organisatoriska skyddsåtgärder: behörighet per företag (bara företagets ägare når kundlistan), kryptering i överföring, pseudonymisering av samtyckesbevis och spärrar efter kontoradering, och loggning av utlämnade listor.

Företaget ger ett allmänt godkännande till de underbiträden som anges i BIX integritetspolicy (bland annat drift, databas, sms och mejl). BIX meddelar företaget innan ett underbiträde läggs till eller byts ut, och företaget kan invända. BIX ålägger varje underbiträde samma skyldigheter som i detta avtal och ansvarar fullt ut mot företaget för underbiträdets fullgörande.

BIX hjälper företaget att svara på kunders begäran om tillgång, rättelse, radering, begränsning och invändning, bland annat genom att kunden själv kan säga nej i appen.

BIX hjälper företaget med säkerhet, meddelar företaget utan onödigt dröjsmål efter att BIX upptäckt en personuppgiftsincident, och bidrar med den information företaget behöver för en konsekvensbedömning eller ett förhandssamråd.

När företaget avslutar sitt konto raderar BIX kundlistan, de tillagda kunderna, samtyckesbevisen, spärrarna och loggarna för företaget. Vill företaget i stället få ut sina uppgifter före radering skriver det till support@bixbooking.com innan kontot avslutas. Uppgifter som lag kräver att BIX sparar (till exempel bokföring) sparas så länge lagen kräver.

BIX lämnar den information företaget behöver för att visa att avtalet följs, och möjliggör och bidrar till granskning som företaget eller en granskare som företaget utsett gör.

Avtalet ingås elektroniskt som en del av villkoren för företag och godkänns uttryckligen med det tryck som första gången lämnar ut kundlistan. BIX sparar vem som godkände, när och vilken version.