Personuppgiftsbiträdesavtal

Det här personuppgiftsbiträdesavtalet (”biträdesavtalet”) beskriver hur TicketPa behandlar personuppgifter åt de företag som använder tjänsten, så som artikel 28 i den allmänna dataskyddsförordningen (GDPR) kräver. Det är en del av våra användarvillkor, och du godkänner det när du godkänner villkoren.

Mellan vilka avtalet gäller

• Du, det företag som använder TicketPa, som personuppgiftsansvarig.
• TicketPa som personuppgiftsbiträde (TicketPa drivs av: innehavare av intyg om individuell verksamhet nr 777726, Vilnius, Litauen).

Det omfattar personuppgifter om dina gäster och andra personer som vi behandlar åt dig när vi tillhandahåller TicketPa (”gästuppgifter”). Bilaga 1 beskriver de uppgifterna och vad vi gör med dem. Personuppgifter om dig och dina teammedlemmar omfattas i stället av vår integritetspolicy, eftersom vi är personuppgiftsansvariga för de uppgifterna.

Om biträdesavtalet och villkoren säger olika saker om personuppgifter gäller biträdesavtalet.

Vad vi gör med gästuppgifter

Vi behandlar gästuppgifter bara för att tillhandahålla TicketPa åt dig, och bara enligt dina dokumenterade instruktioner. Dina instruktioner är villkoren och detta biträdesavtal, och hur du ställer in och använder TicketPa: dina inställningar, vad du och ditt team gör i appen och vad du ber oss om skriftligt.

Om vi anser att en instruktion strider mot dataskyddslagstiftningen meddelar vi dig. Om EU-rätt eller litauisk rätt kräver att vi behandlar gästuppgifter på något annat sätt meddelar vi dig först, om inte den lagen förbjuder det.

Sekretess

Alla på vår sida som har åtkomst till gästuppgifter är skyldiga att behandla dem konfidentiellt och får bara använda dem så som detta biträdesavtal tillåter.

Säkerhet

Vi skyddar gästuppgifter med de tekniska och organisatoriska åtgärderna i bilaga 2, och vi anpassar dem efter riskerna allteftersom TicketPa förändras. Vi kan uppdatera åtgärderna, så länge de inte ger ett sämre skydd.

Underbiträden

Du tillåter oss att anlita underbiträden, de tjänsteleverantörer som anges i bilaga 3, för att hjälpa till att tillhandahålla TicketPa. Vi ålägger var och en genom avtal dataskyddsskyldigheter som är minst lika stränga som våra i detta biträdesavtal, och vi förblir ansvariga gentemot dig för deras arbete.

Minst 30 dagar innan vi lägger till eller byter ut ett underbiträde mejlar vi ägarna till ditt företag och uppdaterar bilaga 3. Om du har rimliga skäl som rör dataskydd att invända, meddela oss inom den tiden. Om vi inte kan lösa din invändning kan du avsluta ditt konto före ändringen, och vi återbetalar de avgifter som du har betalat i förskott för tiden efter avslutet.

Hjälp till dig

Vi hjälper dig, så långt vi rimligen kan och med hänsyn till vad TicketPa gör:

• med begäranden från dina gäster om att utöva sina rättigheter enligt dataskyddsförordningen. Om en gäst skriver till oss skickar vi vidare begäran till dig och svarar inte själva, om du inte ber oss om det. Många begäranden kan du hantera själv i TicketPa; för resten, till exempel att radera en gästs uppgifter, skriv till oss så gör vi det åt dig.
• med dina andra skyldigheter enligt artiklarna 32 till 36 i dataskyddsförordningen, till exempel säkerhet, konsekvensbedömningar avseende dataskydd och samråd med en dataskyddsmyndighet.

Personuppgiftsincidenter

Om vi får kännedom om en säkerhetsincident som påverkar gästuppgifter meddelar vi dig utan onödigt dröjsmål, och senast inom 48 timmar. Vi berättar vad vi vet om den: vad som hände, vilka typer av uppgifter och ungefär hur många personer som berörs, de sannolika följderna och vad vi gör åt det, och vi håller dig uppdaterad allteftersom vi får veta mer. Vi vidtar rimliga åtgärder för att begränsa incidenten och minska dess effekter.

När du slutar använda TicketPa

Innan ditt konto avslutas kan du ladda ned dina bokningar, till exempel bokningarnas CSV-fil under Reports (Rapporter). Inom 90 dagar efter att ditt företag har avslutats i TicketPa raderar vi gästuppgifterna, om inte EU-rätt eller litauisk rätt kräver att vi sparar en del av dem. Kopior i våra säkerhetskopior raderas automatiskt inom 30 dagar efter det. På begäran bekräftar vi raderingen skriftligt.

Information och granskningar

Vi ger dig den information du behöver för att visa att vi följer detta biträdesavtal. Du, eller en oberoende granskare som du väljer och som har tystnadsplikt, får granska att vi följer det en gång per år, eller oftare efter en personuppgiftsincident eller när en dataskyddsmyndighet begär det. Meddela oss minst 30 dagar i förväg. Granskningar sker på din bekostnad, under kontorstid och utan åtkomst till andra företags uppgifter.

Överföringar utanför Europeiska ekonomiska samarbetsområdet

Vi överför gästuppgifter utanför Europeiska ekonomiska samarbetsområdet bara med de skyddsåtgärder som kapitel V i dataskyddsförordningen kräver, till exempel ett beslut om adekvat skyddsnivå från Europeiska kommissionen eller standardavtalsklausuler. Hostinger lagrar gästuppgifter i Europeiska unionen, och våra säkerhetskopior hos Cloudflare förvaras också där. Förfrågningar till TicketPa går dock genom Cloudflares världsomspännande nätverk, oftast genom det datacenter som ligger närmast den person som använder TicketPa, vilket kan ligga utanför Europeiska ekonomiska samarbetsområdet. Cloudflare, ett amerikanskt företag, är certifierat enligt EU-US Data Privacy Framework, och dess avtal med oss innehåller standardavtalsklausulerna.

Dina skyldigheter

Du ansvarar för:

• att ha en rättslig grund för de gästuppgifter du samlar in och de mejl du väljer att skicka, till exempel förfrågningar om omdömen;
• att berätta för dina gäster hur du använder deras uppgifter, i din egen integritetspolicy;
• att bara ge oss lagliga instruktioner;
• att inte be gäster om särskilda kategorier av personuppgifter, till exempel hälsouppgifter, om du inte verkligen behöver dem och har en rättslig grund;
• att bestämma vem i ditt team som kan se gästuppgifter, genom deras roller.

Ansvar och giltighetstid

Respektive parts ansvar enligt detta biträdesavtal följer användarvillkoren, i den utsträckning dataskyddslagstiftningen tillåter. Detta biträdesavtal gäller så länge vi behandlar gästuppgifter åt dig, även efter att ditt konto har avslutats, tills gästuppgifterna har raderats.

Bilaga 1: Uppgifter om behandlingen

Bilaga 2: Säkerhetsåtgärder

• Kryptering under överföring: varje sida och förfrågan levereras över HTTPS.
• Skydd mot attacker: all trafik till TicketPa går genom Cloudflare, som filtrerar bort attacker, som flöden av förfrågningar, innan de når servrarna. Anslutningen från Cloudflare till servrarna är också krypterad.
• Konton: lösenord sparas bara som säkra hashar, tvåstegsverifiering finns för alla konton, och antalet inloggningsförsök är begränsat.
• Kryptering i vila för hemligheter: hemliga nycklar för tvåstegsverifiering, återställningskoder och hemligheter för betalningssessioner är krypterade i databasen.
• Åtskillnad mellan företag: varje post tillhör ett företag, och TicketPa kontrollerar vid varje förfrågan att den inloggade personen är medlem i det företaget. Automatiska tester kontrollerar att ett företag inte kan komma åt ett annat företags uppgifter.
• Roller inom ditt företag: ägare, chefer och värdar ser olika saker. Värdar ser inte rapporter eller betalningsinställningar.
• Vår egen åtkomst: bara de personer som driver TicketPa har åtkomst till servrarna och adminpanelen. Inloggning på servrarna kräver en SSH-nyckel, eftersom lösenord är avstängda, och en adress som upprepade gånger misslyckas med att logga in blockeras automatiskt.
• Hosting: servrarna finns i ett datacenter i Europeiska unionen, bakom en brandvägg som bara tillåter de anslutningar som TicketPa behöver. Säkerhetsuppdateringar för operativsystemet installeras automatiskt.
• Säkerhetskopior: databasen säkerhetskopieras var 6:e timme till privat, krypterad lagring i Europeiska unionen, åtskild från servrarna. Varje säkerhetskopia raderas automatiskt efter 30 dagar. Uppladdade foton och logotyper säkerhetskopieras dagligen på samma ställe och sparas i 7 dagar.
• Betalningar: kortuppgifter hanteras bara av Stripe, som är certifierat enligt PCI DSS. TicketPa sparar betalnings-ID:n och belopp, aldrig kortnummer.
• Dataminimering: uppladdade foton och logotyper kodas om, vilket tar bort dold information som GPS-position; Stripe-händelseposter och misslyckade bakgrundsjobb, som kan innehålla gästuppgifter, raderas efter 30 dagar; utgångna inbjudningar raderas.

Bilaga 3: Underbiträden

Tjänster som du själv kopplar in. Om du slår på onlinebetalningar går dina gästers betalningsuppgifter till ditt eget Stripe-konto, enligt ditt avtal med Stripe. Stripe är inte vårt underbiträde för det.

Frågor om detta biträdesavtal: hello@ticketpa.com.