Databehandleravtale

1. Formål og behandlingens art

Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig utelukkende for å levere bookingtjenesten: mottak og administrasjon av bookinger og bestillinger, utsending av bekreftelser og varsler, drift av bedriftens offentlige side, og valgfrie tilleggsfunksjoner som nyhetsbrev og markedsføringsverktøy.

2. Kategorier av registrerte og opplysninger

Registrerte: Behandlingsansvarliges kunder og kontakter, de som booker time, handler i nettbutikken, melder seg på nyhetsbrev eller sender melding via kontaktskjema.

Personopplysninger: navn, e-postadresse, telefonnummer, bookinger og bestillinger, samt innhold den registrerte selv oppgir. Tjenesten er ikke ment for særlige kategorier personopplysninger (sensitive opplysninger).

3. Databehandlers plikter

• Behandle personopplysninger kun etter dokumenterte instrukser fra Behandlingsansvarlig. Bruk av tjenesten utgjør slike instrukser.
• Sikre at personer med tilgang til opplysningene er underlagt taushetsplikt.
• Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak (se punkt 4).
• Bistå Behandlingsansvarlig med å oppfylle plikter ved henvendelser fra registrerte og ved avvikshåndtering.
• Varsle Behandlingsansvarlig uten ugrunnet opphold ved brudd på personopplysningssikkerheten.

4. Sikkerhet

Opplysningene lagres i database innenfor EU/EØS, overføres kryptert (HTTPS), og tilgang er begrenset til det som er nødvendig for å drifte tjenesten. Passord lagres kryptert (hashet). Hver bedrifts data er logisk adskilt fra andre bedrifters data.

5. Underdatabehandlere

Behandlingsansvarlig samtykker til at Databehandler bruker følgende underdatabehandlere:

• Neon, databaselagring (innenfor EU)
• Railway, drift av applikasjonen
• Cloudinary, lagring av opplastede bilder
• Brevo, utsending av e-post
• Anthropic, AI-tekstgenerering, kun ved bruk av markedsføringsverktøyet
• Replicate, AI-bildegenerering, kun ved bruk av markedsføringsverktøyet

Overføring til underdatabehandlere utenfor EU/EØS skjer på grunnlag av EU-kommisjonens standardvilkår (SCC). Ved bytte av underdatabehandler oppdateres denne listen, og Behandlingsansvarlig informeres ved vesentlige endringer.

6. De registrertes rettigheter

Databehandler stiller funksjonalitet til rådighet slik at Behandlingsansvarlig kan oppfylle de registrertes rettigheter , blant annet sletting av abonnenter, avbestilling av bookinger, avmelding av nyhetsbrev, og sletting av hele kontoen med tilhørende data.

7. Sletting ved opphør

Når Behandlingsansvarlig sletter kontoen sin, slettes alle tilhørende personopplysninger umiddelbart. Behandlingsansvarlig er selv ansvarlig for å eksportere data som skal beholdes (f.eks. regnskapsgrunnlag) før sletting.

8. Varighet

Avtalen gjelder så lenge Behandlingsansvarlig bruker Bestilly, og avsluttes når kontoen slettes.

9. Lovvalg

Avtalen er underlagt norsk rett. Spørsmål kan rettes til Bestilly via kontaktsiden.