Senast uppdaterat: 2026-05-16-r2
Detta databehandlaravtal (”DPA”) ingås mellan Nordic IT Resources AB, org.nr 559481-4591, Skarnberga 653, 247 91 Södra Sandby (”Personuppgiftsbiträdet”), som tillhandahåller plattformen Bokningssida.se, och det företag (”Personuppgiftsansvarig”) som registrerat ett konto i tjänsten.
DPA reglerar den behandling av personuppgifter som Personuppgiftsbiträdet utför för Personuppgiftsansvariges räkning i samband med tillhandahållandet av tjänsten, i enlighet med artikel 28 i dataskyddsförordningen (EU) 2016/679 (”GDPR”).
DPA gäller automatiskt så länge Personuppgiftsansvarig använder tjänsten, och utgör en integrerad del av användarvillkoren mellan parterna.
Begrepp i detta DPA har samma innebörd som i GDPR. Med ”Personuppgifter” avses all information som direkt eller indirekt kan identifiera en fysisk person (registrerad), exempelvis namn, telefonnummer, e-postadress, bokningar och betalningsuppgifter.
Personuppgiftsbiträdet behandlar Personuppgifter uteslutande för att möjliggöra och tillhandahålla tjänsten Bokningssida, vilket innefattar:
Behandlingen pågår så länge Personuppgiftsansvarig använder tjänsten samt under den lagringsperiod som följer av tillämplig lag (exempelvis bokföringslagens sju år för transaktionsdata).
Behandlingen omfattar följande kategorier av registrerade:
Kategorier av personuppgifter som behandlas:
Personuppgiftsbiträdet behandlar inga särskilda kategorier av personuppgifter (”känsliga uppgifter” enligt artikel 9 GDPR) eller uppgifter om lagöverträdelser, och Personuppgiftsansvarig får inte använda fritextfält i tjänsten för att lagra sådana uppgifter.
Personuppgiftsbiträdet förbinder sig att:
Personuppgiftsansvarig ansvarar för att:
Personuppgiftsbiträdet anlitar följande underbiträden för att tillhandahålla tjänsten. Personuppgiftsansvarig ger genom godkännandet av detta DPA generellt förhandsgodkännande till dessa.
Personuppgiftsbiträdet säkerställer att varje underbiträde är bundet av motsvarande skyldigheter som följer av detta DPA.
Vid byte eller tillägg av underbiträde informeras Personuppgiftsansvarig minst 30 dagar i förväg via e-post eller via tjänsten. Personuppgiftsansvarig har då rätt att invända — om parterna inte når en lösning får Personuppgiftsansvarig säga upp avtalet med omedelbar verkan.
Personuppgiftsbiträdet vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda Personuppgifterna mot obehörig eller olaglig behandling samt mot förlust, förstöring eller skada. Åtgärderna omfattar bland annat:
Personuppgiftsbiträdet ska utan onödigt dröjsmål, och senast inom 24 timmar från att incidenten upptäcktes, informera Personuppgiftsansvarig om en personuppgiftsincident som rör Personuppgifter som behandlas för Personuppgiftsansvariges räkning.
Meddelandet ska innehålla, i den utsträckning det är möjligt: incidentens art, kategorier och uppskattat antal berörda registrerade, sannolika konsekvenser samt vidtagna eller föreslagna åtgärder för att begränsa skadan.
Personuppgiftsansvarig ansvarar för eventuell anmälan till Integritetsskyddsmyndigheten (IMY) och berörda registrerade.
Personuppgiftsbiträdet ska, i den utsträckning det är möjligt, bistå Personuppgiftsansvarig att uppfylla sina skyldigheter att besvara förfrågningar från registrerade om utövande av sina rättigheter (tillgång, rättelse, radering, begränsning, dataportabilitet och invändning).
Tjänsten tillhandahåller funktioner för export och radering av kunddata via instrumentpanelen. Vid komplexa förfrågningar lämnar Personuppgiftsbiträdet rimlig assistans på begäran.
All primär databehandling sker inom EU/EES. Vissa underbiträden (Stripe, Vercel, Cloudflare) kan medföra överföring till USA. Sådan överföring sker endast med stöd av:
Avtalet löper så länge Personuppgiftsbiträdet behandlar Personuppgifter för Personuppgiftsansvariges räkning.
Vid avtalets upphörande ska Personuppgiftsbiträdet, enligt Personuppgiftsansvariges val, antingen återlämna eller radera samtliga Personuppgifter. Radering sker senast 90 dagar efter avtalets upphörande, med undantag för uppgifter som måste sparas enligt tvingande lag (exempelvis bokföringsdata under sju år enligt bokföringslagen).
Säkerhetskopior raderas i takt med ordinarie rotationscykel (max 90 dagar).
Personuppgiftsansvarig har rätt att en gång per år, med minst 30 dagars varsel, begära skriftlig dokumentation som styrker att Personuppgiftsbiträdet uppfyller sina åtaganden enligt detta DPA.
Vid skäliga misstankar om allvarlig avtalsöverträdelse kan Personuppgiftsansvarig på egen bekostnad genomföra en revision på plats. Revisionen ska planeras så att den inte stör driften av tjänsten och får inte avse uppgifter som tillhör andra kunder.
Personuppgiftsbiträdet kan uppdatera detta DPA för att återspegla regulatoriska förändringar eller förändringar i tjänsten. Vid väsentliga ändringar informeras Personuppgiftsansvarig via e-post eller via tjänsten minst 30 dagar i förväg.
Fortsatt användning av tjänsten efter ikraftträdandet innebär ett godkännande av den uppdaterade versionen.
Detta DPA regleras av svensk lag. Tvister ska i första hand lösas genom förhandling. Om förhandling inte leder till lösning ska tvisten avgöras av svensk allmän domstol med Stockholms tingsrätt som första instans.
Frågor om detta DPA eller om hur personuppgifter behandlas kan skickas till support@bokningssida.se.