Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal ("PBA") utgör en del av användarvillkoren och gäller automatiskt för varje betalande Kund. Det gäller när Jonot Oy (företags-ID 3620928-7, "Jonot", "Personuppgiftsbiträde") behandlar Slutanvändares personuppgifter för Kundens räkning ("Personuppgiftsansvarig"). Rollerna fastställs enligt artikel 28 i GDPR. Ingen separat underskrift krävs.

1. Roller och tillämpningsområde

Personuppgiftsansvarig fastställer ändamål och medel för behandlingen. Jonot behandlar personuppgifter uteslutande som personuppgiftsbiträde för Personuppgiftsansvarigs räkning. Detta PBA gäller i den utsträckning GDPR är tillämplig på behandlingen. Behandling som utförs av Polar (fakturering) sker i egenskap av självständig personuppgiftsansvarig och omfattas inte av detta PBA.

2. Instruktioner för behandlingen

Jonot behandlar personuppgifter endast på Personuppgiftsansvarigs dokumenterade instruktioner — vilket inkluderar dessa villkor, detta PBA och Kundens användning av Tjänsten — om inte lag kräver annat. I så fall informerar Jonot Personuppgiftsansvarig om kravet före behandlingen, om inte lagen förbjuder det. Jonot informerar Personuppgiftsansvarig om en instruktion enligt Jonots uppfattning strider mot dataskyddslagstiftningen.

3. Föremål, varaktighet, art och ändamål

Föremålet och varaktigheten, arten och ändamålet med behandlingen samt kategorierna av personuppgifter och registrerade beskrivs i Bilaga 1. Behandlingen pågår så länge Kunden har en aktiv prenumeration, plus de lagringsperioder som beskrivs i integritetspolicyn.

4. Konfidentialitet

Jonot säkerställer att de personer som är behöriga att behandla personuppgifter är bundna av konfidentialitet eller omfattas av en ändamålsenlig lagstadgad sekretesskyldighet.

5. Säkerhet

Jonot vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR för att säkerställa en säkerhetsnivå som är lämplig med hänsyn till risken. De aktuella åtgärderna beskrivs i Bilaga 2.

6. Underbiträden

Personuppgiftsansvarig ger ett generellt tillstånd att använda underbiträden. De aktuella underbiträdena anges i Bilaga 3. Jonot ålägger varje underbiträde dataskyddsskyldigheter som motsvarar detta PBA och ansvarar för deras utförande. Jonot informerar om avsedda ändringar av underbiträden och ger Personuppgiftsansvarig möjlighet att invända.

7. Begäranden från registrerade

Jonot bistår Personuppgiftsansvarig med lämpliga tekniska och organisatoriska åtgärder för att besvara begäranden från registrerade om tillgång, rättelse, radering, begränsning, portabilitet eller invändning. Om Jonot tar emot en sådan begäran direkt vidarebefordrar Jonot den till Personuppgiftsansvarig och besvarar den inte på egen hand, om inte Personuppgiftsansvarig instruerar annat.

8. Bistånd och personuppgiftsincidenter

Jonot bistår Personuppgiftsansvarig med dess skyldigheter enligt artiklarna 32–36 i GDPR. När Jonot blir medvetet om en personuppgiftsincident som rör Personuppgiftsansvarigs uppgifter underrättar Jonot Personuppgiftsansvarig utan onödigt dröjsmål och tillhandahåller den information som rimligen är tillgänglig.

9. Dataöverföringar

Jonot överför inte personuppgifter utanför EES utan ett adekvansbeslut eller lämpliga skyddsåtgärder, såsom EU:s standardavtalsklausuler. Edge-behandling kan ske globalt via vår infrastrukturleverantör; de skyddsåtgärder som gäller för sådana överföringar beskrivs i Bilaga 3.

10. Återlämnande och radering

Vid avslutning raderar eller återlämnar Jonot personuppgifter enligt vad som beskrivs i användarvillkoren: ett 30-dagars exportfönster, radering av aktiva poster och att säkerhetskopior fasas ut inom 90 dagar, om inte lag kräver lagring.

11. Revisioner

Jonot tillhandahåller den information som krävs för att påvisa efterlevnad av detta PBA och möjliggör och medverkar i revisioner. Jonot kan uppfylla denna skyldighet genom dokumentation eller tredjepartsrapporter. Revisioner på plats kräver skäligt varsel och konfidentialitet och äger rum högst en gång per år om inte ett brott misstänks.

12. Ansvar och ändringar

Ansvar enligt detta PBA är föremål för de ansvarsbegränsningar som anges i användarvillkoren. Jonot kan uppdatera detta PBA för att återspegla rättsliga eller operativa förändringar; väsentliga ändringar meddelas i enlighet med användarvillkoren.

Bilaga 1 — Beskrivning av behandlingen

• Föremål och ändamål: tillhandahållande av virtuell köhantering till Personuppgiftsansvarig.
• Art: lagring, visning och realtidsbehandling av Slutanvändares ködata.
• Kategorier av personuppgifter: Slutanvändares namn, telefonnummer, köhistorik och biljettmetadata; Personalanvändares kontouppgifter.
• Kategorier av registrerade: Slutanvändare som ansluter sig till Kundens köer, samt Kundens Personalanvändare.
• Varaktighet: prenumerationens löptid och de lagringsperioder som anges i integritetspolicyn.

Bilaga 2 — Säkerhetsåtgärder

• Kryptering under överföring (HTTPS vid kanten).
• Åtkomstkontroll och principen om minsta behörighet.
• Hastighetsbegränsning och autentisering vid kanten.
• Säkerhetskopior och utfasning ur bruk.
• Åtkomst- och händelseloggning.

Bilaga 3 — Underbiträden

• Cloudflare: värdtjänst, databas (D1), Durable Objects och kantnätverk.
• E-postleverantör: transaktionella e-postmeddelanden (t.ex. bekräftelser).
• Polar: fakturering; agerar som självständig personuppgiftsansvarig (inte ett underbiträde enligt detta PBA).

Frågor: info@jonot.io.