Personuppgiftsbiträdesavtal (DPA)

Detta biträdesavtal (”DPA”) ingås mellan kunden (”Personuppgiftsansvarig”) och Aurora Media AB (”Personuppgiftsbiträde”) och gäller när StayBoost behandlar personuppgifter för kundens räkning enligt art. 28 GDPR. Avtalet utgör en del av användarvillkoren.

1. Föremål och varaktighet

StayBoost behandlar personuppgifter i syfte att leverera tjänsten under abonnemangets tid och i 30 dagar därefter för export eller radering.

2. Kategorier av registrerade och uppgifter

• Registrerade: gäster hos kunden, kundens personal, kontaktpersoner.
• Uppgifter: namn, e-post, telefonnummer, bokningsdata, meddelanden, tillvalsköp, incheckningstider. Vi behandlar normalt inga känsliga personuppgifter (art. 9); kunden ska undvika att lägga in sådana.

3. Instruktioner

StayBoost behandlar uppgifter enbart enligt dokumenterade instruktioner från kunden. Villkoren, konfiguration i tjänsten och skriftliga tilläggsinstruktioner utgör instruktioner. Vid krav enligt EU-rätt eller svensk lag informerar vi kunden innan behandling, såvida inte lag förbjuder det.

4. Sekretess

Personal med tillgång till personuppgifter är bundna av sekretess eller lagstadgad tystnadsplikt.

5. Säkerhetsåtgärder (art. 32)

• TLS-kryptering i transit; kryptering i vila för databaser.
• Rollbaserad åtkomst, MFA för administratörer.
• Loggning, övervakning och regelbunden granskning.
• Kontinuerlig backup och testad återställning.
• Incidenthantering och rutin för anmälan enligt art. 33 GDPR inom 72 timmar.

6. Underbiträden

Kunden godkänner följande underbiträden:

• Supabase (via Lovable Cloud) — databas, autentisering, storage. EU (Frankfurt / Irland).
• Cloudflare, Inc. — hosting, edge-nätverk. EU + globalt CDN (SCC).
• Brevo (Sendinblue SAS) — e-postutskick. Frankrike/EU.
• 46elks AB — sms-utskick. Sverige.
• Plausible Insights OÜ — cookiefri besöksstatistik. Estland/EU.

Vi meddelar minst 30 dagar innan nya eller utbytta underbiträden tas i drift. Kunden kan invända och, om invändningen inte kan lösas, säga upp avtalet.

7. Överföring till tredje land

Personuppgifter behandlas som huvudregel inom EU/EES. Sker överföring till tredje land används EU-kommissionens standardavtalsklausuler (SCC 2021/914) samt vid behov kompletterande skyddsåtgärder.

8. Bistånd till kunden

Vi bistår kunden med lämpliga tekniska och organisatoriska åtgärder för att uppfylla skyldigheter gentemot registrerade (art. 12–22), säkerhet (art. 32), incidenthantering (art. 33–34) samt konsekvensbedömningar (art. 35–36).

9. Radering och återlämnande

Efter avtalets upphörande raderas eller återlämnas personuppgifter enligt kundens val, senast 30 dagar efter avtalets slut, om inte EU-rätt eller svensk lag kräver fortsatt lagring.

10. Revision

Kunden har rätt till revision högst en gång per 12 månader. Vi kan uppfylla kravet genom aktuell tredjepartsrapport (t.ex. underleverantörers ISO 27001/SOC 2). Extra revisioner bekostas av kunden.

11. Ansvar

Ansvarsbegränsningen i användarvillkoren gäller även för denna DPA.

12. Ändringar

Vid ändringar i tillämplig dataskyddslag har parterna rätt att begära omförhandling av detta DPA.

13. Kontakt

Dataskyddsfrågor: info@auroramedia.se