Personuppgiftsbiträdesavtal (DPA)

Detta underlag för biträdesavtal (”DPA”) avser kunden (”Personuppgiftsansvarig”) och Aurora Media AB (”Personuppgiftsbiträde”) och behandling av personuppgifter för kundens räkning enligt art. 28 GDPR. Underlaget kompletterar användarvillkoren.

Detta är ett avtalsunderlag. Att läsa sidan innebär inte att parterna har ingått eller accepterat ett avtal. Kundens behandling, godkända underbiträden, överföringsskydd och säkerhetsåtgärder behöver dokumenteras i det avtal som faktiskt ingås. Kraven nedan är avtalskrav, inte en verifiering av att varje organisatorisk åtgärd redan är genomförd.

1. Föremål och varaktighet

StayBoost behandlar personuppgifter i syfte att leverera tjänsten under abonnemangets tid och i 30 dagar därefter för export eller radering.

2. Kategorier av registrerade och uppgifter

• Registrerade: gäster hos kunden, kundens personal, kontaktpersoner.
• Uppgifter: namn, e-post, telefonnummer, bokningsdata, meddelanden, tillvalsköp, incheckningstider. Vi behandlar normalt inga känsliga personuppgifter (art. 9); kunden ska undvika att lägga in sådana.

3. Instruktioner

StayBoost behandlar uppgifter enbart enligt dokumenterade instruktioner från kunden. Villkoren, konfiguration i tjänsten och skriftliga tilläggsinstruktioner utgör instruktioner. Vid krav enligt EU-rätt eller svensk lag informerar vi kunden innan behandling, såvida inte lag förbjuder det.

4. Sekretess

Personal med tillgång till personuppgifter är bundna av sekretess eller lagstadgad tystnadsplikt.

5. Säkerhetsåtgärder att dokumentera (art. 32)

• TLS-kryptering i transit; kryptering i vila för databaser.
• Rollbaserad åtkomst, MFA för administratörer.
• Loggning, övervakning och regelbunden granskning.
• Kontinuerlig backup och testad återställning.
• Incidenthantering och rutin för anmälan enligt art. 33 GDPR inom 72 timmar.

6. Underbiträden

Följande tjänster kan ingå i behandlingen. Den aktuella konfigurationen och kundens godkännande ska dokumenteras i avtalet:

• Supabase — databas, autentisering och lagring. Den anslutna databasens projektregion är Frankfurt; övrig leverantörsbehandling behöver bedömas separat.
• Cloudflare, Inc. — hosting och globalt edge-nätverk.
• Resend eller Brevo (Sendinblue SAS) — e-postutskick, enligt det aktuella flödet.
• 46elks AB — SMS-leverans.
• Stripe — betalningsbehandling.
• Lovable AI och dess modellleverantör — AI-funktioner när de används; tillåtna uppgifter och ändamål ska dokumenteras.

Vi meddelar minst 30 dagar innan nya eller utbytta underbiträden tas i drift. Kunden kan invända och, om invändningen inte kan lösas, säga upp avtalet.

7. Överföring till tredje land

Överföring till tredje land kräver dokumenterat giltigt stöd, exempelvis ett tillämpligt beslut om adekvat skyddsnivå eller korrekt ingångna standardavtalsklausuler, och vid behov kompletterande skyddsåtgärder. Leverantör, mottagare, stöd och bedömning ska verifieras för den aktuella behandlingen innan överföringen sker.

8. Bistånd till kunden

Vi bistår kunden med lämpliga tekniska och organisatoriska åtgärder för att uppfylla skyldigheter gentemot registrerade (art. 12–22), säkerhet (art. 32), incidenthantering (art. 33–34) samt konsekvensbedömningar (art. 35–36).

9. Radering och återlämnande

Efter avtalets upphörande raderas eller återlämnas personuppgifter enligt kundens val, senast 30 dagar efter avtalets slut, om inte EU-rätt eller svensk lag kräver fortsatt lagring.

10. Revision

Kunden har rätt till revision högst en gång per 12 månader. Vi kan uppfylla kravet genom aktuell tredjepartsrapport (t.ex. underleverantörers ISO 27001/SOC 2). Extra revisioner bekostas av kunden.

11. Ansvar

Ansvarsbegränsningen i användarvillkoren gäller även för denna DPA.

12. Ändringar

Vid ändringar i tillämplig dataskyddslag har parterna rätt att begära omförhandling av detta DPA.

13. Kontakt

Dataskyddsfrågor: info@auroramedia.se