GDPR-dokumentasjon

1. Databehandleravtale (DPA)

1.1 Avtaleparter

Denne databehandleravtalen (heretter "DPA") er inngått mellom operatøren av bedriften som bruker Resovu-systemet (heretter "Behandlingsansvarlig") og Lubomír Unar, ID 05000386 (heretter "Databehandler"). DPA er en integrert del av vilkårene for bruk av Resovu-tjenesten.

1.2 Gjenstand og varighet for behandling

Databehandleren behandler personopplysninger om den Behandlingsansvarliges kunder for å levere bestillingssystemet. Behandlingen pågår i avtalens varighet. Kategorier av registrerte: den Behandlingsansvarliges kunder som foretar bestillinger, ved overnatting også medreisende gjester og ved aktiviteter for barn deres foresatte. Kategorier av opplysninger: navn, etternavn, e-post, telefon, bestillings- og oppholdsdata, valgfrie egendefinerte felt, lojalitetspoeng, omtaler og kvitteringer utstedt til kunder. Ved overnatting, avhengig av den Behandlingsansvarliges innstillinger, også registreringsopplysninger om gjester (fødselsdato og fødested, kjønn, statsborgerskap, adresse, type og nummer på identitetsdokument, visum, formål med oppholdet) og, med gjestens samtykke, en henvisning til betalingskortet lagret hos Stripe (identifikator, merke, de fire siste sifrene) og registreringen av samtykket.

1.3 Databehandlerens forpliktelser

Databehandleren forplikter seg til: å behandle personopplysninger kun på grunnlag av dokumenterte instrukser fra Behandlingsansvarlig; å sikre at personer med tilgang til behandling er forpliktet til konfidensialitet; å gjennomføre alle tiltak påkrevet av art. 32 GDPR; å overholde vilkårene for bruk av underleverandører; å bistå Behandlingsansvarlig med oppfyllelse av forpliktelser etter art. 32 til 36 GDPR; å slette eller returnere alle personopplysninger etter avtalens opphør; å gi Behandlingsansvarlig all informasjon som er nødvendig for å dokumentere overholdelse.

1.4 Behandlingsansvarliges instrukser

Behandlingsansvarlig gir Databehandleren en generell instruks om å behandle personopplysninger i den utstrekning som er nødvendig for å levere Resovu-tjenesten. Behandlingsansvarlig kan gi ytterligere instrukser gjennom innstillinger i systemadministrasjonen. Databehandleren informerer umiddelbart Behandlingsansvarlig dersom en instruks anses å bryte GDPR.

1.5 Underleverandører

Behandlingsansvarlig gir Databehandleren generelt samtykke til å bruke underleverandører oppført i seksjonen Liste over underleverandører. Databehandleren informerer Behandlingsansvarlig om alle planlagte endringer vedrørende tillegg eller erstatning av underleverandører. Behandlingsansvarlig har mulighet til å gjøre innsigelse mot endringer innen 30 dager. Dersom Behandlingsansvarlig kobler til sin egen konto hos en SMS-leverandør (f.eks. BulkGate eller seven.io), overfører Databehandleren etter instruks fra Behandlingsansvarlig telefonnummeret og påminnelsesteksten til denne leverandøren; leverandøren er Behandlingsansvarligs databehandler i henhold til en avtale inngått med Behandlingsansvarlig og er ikke underleverandør for Databehandleren. Det samme gjelder for andre tjenester som den Behandlingsansvarlige selv kobler til (bookingportaler via iCal-kalender, PriceLabs, webhooks, Zapier): Databehandleren overfører opplysninger til dem etter instruks fra den Behandlingsansvarlige, og de er ikke underleverandører for Databehandleren.

1.6 Sikkerhetstiltak

Databehandleren implementerer passende tekniske og organisatoriske tiltak: AES-256-GCM-kryptering for sensitive felt; HTTPS/TLS for all dataoverføring; dataisolasjon for leietakere ved bruk av Row Level Security; rollebasert tilgangskontroll (RBAC); hashing av IP-adresser; automatisk sletting av personopplysninger etter utløp av lagringsperioden; sikkerhetsheadere (CSP, HSTS, X-Frame-Options); hastighetsbegrensning for beskyttelse mot misbruk.

1.7 Varsel om sikkerhetsbrudd

Databehandleren varsler Behandlingsansvarlig om ethvert brudd på personopplysningssikkerheten uten ugrunnet opphold etter å ha blitt oppmerksom på det, og senest innen 48 timer. Varselet inneholder: beskrivelse av bruddets art, kategorier og omtrentlig antall berørte registrerte, sannsynlige konsekvenser og iverksatte tiltak.

1.8 Bistand ved utøvelse av registrertes rettigheter

Databehandleren bistår Behandlingsansvarlig med å oppfylle plikten til å besvare forespørsler fra registrerte om utøvelse av deres rettigheter etter kapittel III GDPR. Systemet muliggjør: eksport av kundedata (art. 20), anonymisering/sletting av data (art. 17), oversikt over behandlede opplysninger (art. 15).

1.9 Revisjon

Databehandleren tillater Behandlingsansvarlig eller en revisor utnevnt av denne å gjennomføre revisjoner og inspeksjoner og bidra til dem. Databehandleren gir Behandlingsansvarlig all nødvendig informasjon for å dokumentere overholdelse av forpliktelsene i art. 28 GDPR. Revisjon kan gjennomføres en gang årlig med 30 dagers varsel.

1.10 Behandlingsperiode og sletting

Etter opphør av tjenestene vil Databehandleren slette alle personopplysninger innen 30 dager, med mindre EU-rett eller nasjonal rett krever lagring. Behandlingsansvarlig kan eksportere alle data via GDPR-eksportfunksjonen i systemadministrasjonen før avslutning.

2. Behandlingsprotokoll (ROPA)

Protokoll i henhold til art. 30 GDPR over behandlingsaktiviteter utført gjennom Resovu-systemet.

3. Prosedyre ved brudd på personopplysningssikkerheten

3.1 Deteksjon og rapportering

Resovu implementerer overvåkingssystemer for deteksjon av sikkerhetshendelser. Alle ansatte og samarbeidspartnere er forpliktet til umiddelbart å rapportere enhver mistanke om sikkerhetsbrudd til ledelsen.

3.2 Vurdering av alvorlighetsgrad

Etter oppdagelse av en hendelse vurderer ansvarlig person umiddelbart: omfanget av berørte data, antall berørte registrerte, sannsynlig innvirkning på registrertes rettigheter og friheter, hvorvidt dataene var kryptert, om det er mulig å begrense konsekvensene.

3.3 Varsling av tilsynsmyndighet

Dersom sikkerhetsbruddet sannsynligvis utgjør en risiko for fysiske personers rettigheter og friheter, varsler Resovu den relevante tilsynsmyndigheten innen 72 timer etter oppdagelse. Varselet inneholder: beskrivelse av bruddets art, kontaktinformasjon for DPO, beskrivelse av sannsynlige konsekvenser, beskrivelse av iverksatte tiltak. Tilsynsmyndigheter: ÚOOÚ – www.uoou.cz (Tsjekkia), ÚOOU SR – www.dataprotection.gov.sk (Slovakia), BfDI – www.bfdi.bund.de (Tyskland), UODO – www.uodo.gov.pl (Polen), NAIH – www.naih.hu (Ungarn), AEPD – www.aepd.es (Spania), Datatilsynet – www.datatilsynet.no (Norge); CNIL – www.cnil.fr (Frankrike).

3.4 Varsling av registrerte

Dersom bruddet sannsynligvis utgjør høy risiko for fysiske personers rettigheter og friheter, informerer Resovu de berørte registrerte uten ugrunnet opphold. Varselet gis på et forståelig språk og inneholder anbefalinger for å begrense konsekvensene.

3.5 Dokumentasjon

Alle sikkerhetshendelser registreres i et internt register, inkludert: oppdagelsesdato, beskrivelse av hendelsen, berørte data og registrerte, iverksatte tiltak, beslutning om varsling av tilsynsmyndighet og registrerte, resultater av etterforskning.

3.6 Kontakt for rapportering av hendelser

Sikkerhetshendelser rapporteres til: security@resovu.com. Oppgi "Sikkerhetshendelse" i emnefeltet. Gi så mye informasjon som mulig om hendelsens art og omfang.

4. Liste over underleverandører