Databehandleraftale

Denne databehandleraftale (»aftalen«) fastlægger, hvordan TicketPa behandler personoplysninger for de virksomheder, der bruger det, sådan som artikel 28 i databeskyttelsesforordningen (GDPR) kræver. Den er en del af vores servicevilkår, og du accepterer den, når du accepterer vilkårene.

Hvem aftalen er indgået mellem

• Dig, den virksomhed, der bruger TicketPa, som dataansvarlig.
• TicketPa som databehandler. TicketPa drives af: indehaver af attest for selvstændig virksomhed nr. 777726, Vilnius, Litauen.

Aftalen dækker de personoplysninger om dine gæster og andre personer, som vi behandler for dig, mens vi leverer TicketPa (»gæsteoplysninger«). Bilag 1 beskriver disse oplysninger, og hvad vi gør med dem. Personoplysninger om dig og dine teammedlemmer er i stedet omfattet af vores privatlivspolitik, fordi vi er dataansvarlige for de oplysninger.

Hvis denne aftale og vilkårene ikke stemmer overens om personoplysninger, gælder denne aftale.

Hvad vi gør med gæsteoplysninger

Vi behandler kun gæsteoplysninger for at levere TicketPa til dig og kun efter dine dokumenterede instrukser. Dine instrukser er vilkårene og denne aftale samt den måde, du sætter TicketPa op og bruger det på: dine indstillinger, det, du og dit team gør i appen, og det, du beder os om skriftligt.

Hvis vi mener, at en instruks er i strid med databeskyttelseslovgivningen, siger vi det til dig. Hvis EU-retten eller litauisk ret kræver, at vi behandler gæsteoplysninger på en anden måde, fortæller vi dig det først, medmindre den lovgivning forbyder det.

Fortrolighed

Alle hos os, der har adgang til gæsteoplysninger, har pligt til at holde dem fortrolige og må kun bruge dem, sådan som denne aftale tillader.

Sikkerhed

Vi beskytter gæsteoplysninger med de tekniske og organisatoriske foranstaltninger i bilag 2, og vi holder dem på niveau med risiciene, efterhånden som TicketPa ændrer sig. Vi må opdatere foranstaltningerne, så længe de ikke bliver mindre beskyttende.

Underdatabehandlere

Du giver os lov til at bruge underdatabehandlere, de tjenesteudbydere, der står i bilag 3, til at hjælpe med at levere TicketPa. Vi pålægger hver af dem ved kontrakt databeskyttelsesforpligtelser, der er mindst lige så strenge som vores i denne aftale, og vi er fortsat ansvarlige over for dig for deres arbejde.

Mindst 30 dage før vi tilføjer eller udskifter en underdatabehandler, sender vi en e-mail til ejerne af din virksomhed og opdaterer bilag 3. Hvis du har rimelige databeskyttelsesmæssige grunde til at gøre indsigelse, så sig det til os inden for den frist. Hvis vi ikke kan løse din indsigelse, kan du lukke din konto før ændringen, og vi refunderer de gebyrer, du har betalt forud for tiden efter lukningen.

Hjælp til dig

Vi hjælper dig, så vidt vi med rimelighed kan og under hensyn til, hvad TicketPa gør:

• med anmodninger fra dine gæster om at bruge deres rettigheder efter databeskyttelsesforordningen. Hvis en gæst skriver til os, sender vi anmodningen videre til dig og besvarer den ikke selv, medmindre du beder os om det. Mange anmodninger kan du selv håndtere i TicketPa; for resten, for eksempel sletning af en gæsts oplysninger, skriver du til os, så gør vi det for dig.
• med dine andre forpligtelser efter artikel 32 til 36 i databeskyttelsesforordningen, såsom sikkerhed, konsekvensanalyser vedrørende databeskyttelse og høring af en databeskyttelsesmyndighed.

Brud på persondatasikkerheden

Hvis vi bliver opmærksomme på et sikkerhedsbrud, der berører gæsteoplysninger, underretter vi dig uden unødig forsinkelse og senest inden for 48 timer. Vi fortæller dig, hvad vi ved om det: hvad der er sket, hvilke typer oplysninger og omtrent hvor mange personer der er berørt, de sandsynlige konsekvenser, og hvad vi gør ved det, og vi holder dig opdateret, efterhånden som vi ved mere. Vi tager rimelige skridt til at begrænse bruddet og mindske dets virkninger.

Når du holder op med at bruge TicketPa

Før din konto lukkes, kan du downloade dine bookinger, for eksempel booking-CSV-filen under Reports (Rapporter). Inden for 90 dage efter at din virksomhed er lukket på TicketPa, sletter vi gæsteoplysningerne, medmindre EU-retten eller litauisk ret kræver, at vi gemmer en del af dem. Kopier i vores sikkerhedskopier slettes automatisk inden for 30 dage derefter. På anmodning bekræfter vi sletningen skriftligt.

Oplysninger og revision

Vi giver dig de oplysninger, du har brug for til at vise, at vi overholder denne aftale. Du eller en uafhængig revisor, som du vælger, og som har tavshedspligt, må revidere, om vi overholder aftalen, én gang om året eller oftere efter et brud, eller når en databeskyttelsesmyndighed beder om det. Giv os mindst 30 dages varsel. Revisioner sker for din regning, i arbejdstiden og uden adgang til andre virksomheders data.

Overførsler uden for Det Europæiske Økonomiske Samarbejdsområde

Vi overfører kun gæsteoplysninger uden for Det Europæiske Økonomiske Samarbejdsområde med de garantier, som kapitel V i databeskyttelsesforordningen kræver, for eksempel en afgørelse fra Europa-Kommissionen om tilstrækkeligt beskyttelsesniveau eller standardkontraktbestemmelser. Hostinger opbevarer gæsteoplysninger i Den Europæiske Union, og vores sikkerhedskopier hos Cloudflare opbevares også der. Forespørgsler til TicketPa går dog gennem Cloudflares verdensomspændende netværk, som regel gennem det datacenter, der ligger nærmest den person, der bruger TicketPa, og det kan ligge uden for Det Europæiske Økonomiske Samarbejdsområde. Cloudflare, en amerikansk virksomhed, er certificeret under databeskyttelsesrammen mellem EU og USA (EU-US Data Privacy Framework), og dens aftale med os indeholder standardkontraktbestemmelserne.

Dit ansvar

Du er ansvarlig for:

• at have et lovligt grundlag for de gæsteoplysninger, du indsamler, og de e-mails, du vælger at sende, for eksempel anmodninger om anmeldelser;
• at fortælle dine gæster, hvordan du bruger deres oplysninger, i din egen privatlivspolitik;
• kun at give os lovlige instrukser;
• ikke at bede gæster om særlige kategorier af personoplysninger, for eksempel helbredsoplysninger, medmindre du virkelig har brug for dem og har et lovligt grundlag;
• at bestemme, hvem i dit team der kan se gæsteoplysninger, via deres roller.

Ansvar og varighed

Hver parts ansvar efter denne aftale følger servicevilkårene, i det omfang databeskyttelseslovgivningen tillader det. Denne aftale gælder, så længe vi behandler gæsteoplysninger for dig, også efter at din konto er lukket, indtil gæsteoplysningerne er slettet.

Bilag 1: Oplysninger om behandlingen

Bilag 2: Sikkerhedsforanstaltninger

• Kryptering under overførsel: alle sider og forespørgsler leveres over HTTPS.
• Beskyttelse mod angreb: al trafik til TicketPa går gennem Cloudflare, som frasorterer angreb som strømme af forespørgsler, før de når serverne. Forbindelsen fra Cloudflare til serverne er også krypteret.
• Konti: adgangskoder gemmes kun som sikre hashes, totrinsbekræftelse kan bruges på alle konti, og antallet af loginforsøg er begrænset.
• Kryptering af hemmeligheder i hvile: hemmelige nøgler til totrinsbekræftelse, gendannelseskoder og hemmeligheder til betalingssessioner er krypteret i databasen.
• Adskillelse mellem virksomheder: hver post tilhører én virksomhed, og TicketPa tjekker ved hver forespørgsel, at den person, der er logget ind, er medlem af den virksomhed. Automatiske tests kontrollerer, at én virksomhed ikke kan komme til en anden virksomheds data.
• Roller i din virksomhed: ejere, ledere og værter ser forskellige ting. Værter ser ikke rapporter eller betalingsindstillinger.
• Vores egen adgang: kun de personer, der driver TicketPa, har adgang til serverne og adminpanelet. Login på serverne kræver en SSH-nøgle, da adgangskoder er slået fra, og en adresse, der gentagne gange ikke kan logge ind, blokeres automatisk.
• Hosting: serverne står i et datacenter i Den Europæiske Union bag en firewall, der kun tillader de forbindelser, TicketPa har brug for. Sikkerhedsopdateringer til styresystemet installeres automatisk.
• Sikkerhedskopier: databasen sikkerhedskopieres hver 6. time til privat, krypteret lagerplads i Den Europæiske Union, adskilt fra serverne. Hver sikkerhedskopi slettes automatisk efter 30 dage. Uploadede fotos og logoer sikkerhedskopieres dagligt samme sted og gemmes i 7 dage.
• Betalinger: kortoplysninger håndteres kun af Stripe, som er certificeret efter PCI DSS. TicketPa gemmer betalings-id'er og beløb, aldrig kortnumre.
• Dataminimering: uploadede fotos og logoer genkodes, hvilket fjerner skjulte data som GPS-placering; hændelsesposter fra Stripe og mislykkede baggrundsopgaver, som kan indeholde gæsteoplysninger, slettes efter 30 dage; udløbne invitationer slettes.

Bilag 3: Underdatabehandlere

Tjenester, du selv forbinder. Hvis du slår onlinebetalinger til, går dine gæsters betalingsoplysninger til din egen Stripe-konto efter din aftale med Stripe. Stripe er ikke vores underdatabehandler for det.

Spørgsmål om denne aftale: hello@ticketpa.com.