Version 1. Bilaga till Kundavtalet för TableFai. Avtalet uppfyller kraven i artikel 28 i dataskyddsförordningen (EU) 2016/679 ("GDPR").
1. Parter och roller
- Personuppgiftsansvarig: det företag som är kund i TableFai ("Kunden").
- Personuppgiftsbiträde: Tizfai Technologies AB, org.nr 559284-7379 ("TableFai").
Kunden bestämmer ändamålen med behandlingen av personuppgifter om sina gäster och sin personal i TableFai. TableFai behandlar dem endast för Kundens räkning och enligt detta avtal.
Gästkonton på tablefai.com, inloggning och säkerhetsloggar för plattformen samt TableFais egen fakturering av Kunden är TableFais eget ansvar och omfattas av TableFais integritetspolicy, inte av detta avtal.
2. Behandlingens föremål, art och ändamål
TableFai tillhandahåller bordsbokning åt Kunden: att ta emot och hantera bokningar (online, per telefon och drop-in), väntelista och kö, planritning och bordsplacering, gästregister med besökshistorik, utskick av bekräftelser, påminnelser och andra meddelanden via e-post och sms, betalningar och garantier via Kundens eget Stripe-konto, gruppbokningar, förbeställningar, omdömen, rapporter, import och export.
3. Kategorier av registrerade och personuppgifter
| Registrerade | Personuppgifter |
|---|---|
| Kundens gäster | namn, e-postadress, mobilnummer, språk, bokningar (datum, tid, sällskap, bord, källa), önskemål, allergier och kostpreferenser, anteckningar, taggar, besök och uteblivna besök, samtycke till marknadsföring, omdömen, betalningar (belopp, kortets märke och fyra sista siffror; aldrig kortnummer), uppgift om verifiering med BankID (namn och en pseudonym; aldrig personnumret) |
| Kundens personal | namn, e-postadress, roll, vilka restauranger personen arbetar i, inloggningar och vad personen har gjort i tjänsten (aktivitetslogg) |
Allergier och kostpreferenser kan vara uppgifter om hälsa (artikel 9 GDPR). Kunden ansvarar för att det finns stöd för att behandla dem, och TableFai lagrar dem krypterade.
4. Behandlingens varaktighet
Behandlingen pågår så länge Kundavtalet gäller och därefter enligt punkt 11.
5. Kundens instruktioner
TableFai behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner. Instruktionerna utgörs av detta avtal, Kundavtalet och de inställningar och åtgärder Kunden gör i TableFai. Anser TableFai att en instruktion strider mot dataskyddsregler meddelar TableFai Kunden utan dröjsmål.
6. Sekretess
Alla som arbetar för TableFai och har tillgång till personuppgifterna har tystnadsplikt. Tillgång ges bara den som behöver det för att driva eller ge support i tjänsten. Supportåtkomst till ett kundkonto sker skrivskyddad, tidsbegränsad, med angivet skäl och loggas så att Kunden kan se den.
7. Säkerhet (artikel 32)
TableFai vidtar bland annat följande åtgärder:
- servrar och säkerhetskopior inom EU;
- krypterad överföring (TLS) och kryptering av gästers anteckningar, önskemål och allergier i databasen (AES-256-GCM);
- lösenord lagras med bcrypt; inloggningstoken, länkar och API-nycklar lagras som hashvärden; ny enhet kräver engångskod via e-post;
- behörighet efter roll (ägare, administratör, anställd) och restaurang, kontrollerad i varje anrop;
- en aktivitetslogg som inte kan ändras i efterhand;
- kortuppgifter hanteras enbart av Stripe och når aldrig TableFai;
- regelbundna uppdateringar, övervakning och återläsningsbara säkerhetskopior.
8. Underbiträden
Kunden ger TableFai ett allmänt förhandstillstånd att anlita underbiträden. I dag används:
| Underbiträde | Vad | Var |
|---|---|---|
| Hetzner Online GmbH | servrar och lagring för tjänsten, e-post och sms-tjänsten | Tyskland och Finland (EU) |
| Stripe ([bolagsnamn och land kontrolleras]) | betalningar och garantier; Kundens eget Stripe-konto omfattas också av Kundens avtal med Stripe | EU, med överföring enligt Stripes villkor |
| Comviq (Tele2 Sverige AB) | leverans av sms till mobiloperatörerna | Sverige |
Följande drivs av TableFai självt (Tizfai Technologies AB) på servrar i EU och är inte underbiträden: e-postservern (mail.tizfai.com), sms-tjänsten (sms.tizfai.com) och Tizfai Identity (id.tizfai.com), som verifierar gäster med BankID när Kunden begär det. BankID tillhandahålls av Finansiell ID-Teknik BID AB, som är självständigt ansvarig för sin behandling.
TableFai informerar Kunden minst 30 dagar innan ett underbiträde läggs till eller byts ut. Kunden får invända av sakliga skäl; kan parterna inte enas får Kunden säga upp avtalet. TableFai ingår avtal med varje underbiträde med samma skyldigheter som i detta avtal och ansvarar för underbiträdets behandling.
9. Överföring till tredje land
Personuppgifterna behandlas inom EU/EES. Sker en överföring utanför EU/EES (till exempel hos Stripe) sker den bara med stöd av kapitel V i GDPR, till exempel EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå.
10. Hjälp till Kunden
TableFai hjälper Kunden att
- uppfylla de registrerades rättigheter: i TableFai kan Kunden själv söka fram, rätta, exportera (artikel 15 och 20) och radera (artikel 17) en gästs uppgifter;
- bedöma konsekvenser och samråda med Integritetsskyddsmyndigheten när det behövs (artikel 35–36);
- hantera personuppgiftsincidenter: TableFai underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar efter att TableFai fått kännedom om en incident, med den information Kunden behöver för sin anmälan (artikel 33–34).
Hjälp utöver det som tjänsten redan gör kan debiteras efter överenskommelse.
11. När avtalet upphör
Under avtalet och i 12 månader efter dess slut kan Kunden exportera sina uppgifter. Därefter raderar TableFai uppgifterna efter att ha frågat Kunden, eller tidigare om Kunden begär det, om inte lag kräver att de sparas. Säkerhetskopior skrivs över inom 14 dagar.
12. Insyn och granskning
TableFai ger Kunden den information som behövs för att visa att avtalet följs och möjliggör granskningar som Kunden eller en oberoende granskare utför, efter minst 30 dagars varsel, under kontorstid och på Kundens bekostnad. Granskningen får inte avslöja andra kunders uppgifter.
13. Ansvar och övrigt
Parternas ansvar följer artikel 82 GDPR och ansvarsbegränsningen i Kundavtalet, i den mån den är förenlig med GDPR. Vid motstridighet gäller detta avtal före Kundavtalet i frågor om personuppgifter. Svensk lag gäller och tvister avgörs enligt Kundavtalet.