Databehandleraftale

Du bruger Sobo til din hjemmeside eller til Sobo Booking. For at det kan virke, gemmer og behandler Sobo oplysninger om dine kunder. Det er din virksomhed, der bestemmer, hvad oplysningerne bruges til, og derfor er du dataansvarlig. Sobo er din databehandler og må kun bruge oplysningerne til det, du har bedt om.

Aftalen sikrer, at Sobo overholder databeskyttelsesforordningen (GDPR) artikel 28 og databeskyttelsesloven, når vi behandler oplysninger for dig.

Aftalen er en del af Sobos betingelser. Du siger ja til den, når du bestiller en hjemmeside eller Sobo Booking, og den gælder, så længe Sobo behandler oplysninger for dig. Siger betingelserne og aftalen noget forskelligt om beskyttelse af personoplysninger, gælder aftalen.

Formål: at få din hjemmeside, online booking, bestilling, venteliste, klippekort og påmindelser til at virke. Sobo bruger ikke oplysningerne til andet, fx ikke til markedsføring, og sælger dem aldrig.

Hvem oplysningerne handler om: dine kunder, dine medarbejdere, der bruger Sobo Booking, og besøgende på din hjemmeside.

Hvilke oplysninger:

• –Kundekonti: navn, e-mail, telefon, adgangskode (gemt, så den ikke kan læses) og din egen note om kunden.
• –Bookinger: tid, ydelse og medarbejder, kundens navn, telefon og e-mail, kundens besked, din interne note, og om tiden blev aflyst, eller kunden udeblev. Det samme gælder faste tider.
• –Venteliste og klippekort: navn, telefon og e-mail, hvornår kunden kan, og hvor mange klip der er brugt.
• –Påmindelser: hvilke bekræftelser og påmindelser der er sendt, og hvornår.
• –Bestillinger: navn, telefon, leveringsadresse, hvornår maden skal hentes eller leveres, retterne, beløbet og kundens besked.
• –Medarbejdere: navn, e-mail, arbejdstider, fri og ferie, og hvilke ydelser de laver.

Sobo beder ikke om følsomme oplysninger, fx om helbred. Skriver en kunde selv noget følsomt i en besked, eller skriver du det i en note, behandler vi det på samme måde som resten. Brug derfor kun noterne til det, du har brug for.

Varighed: så længe du har en hjemmeside eller Sobo Booking hos Sobo, og indtil oplysningerne er slettet efter punkt 12.

Sobo behandler kun oplysningerne efter din instruks. Instruksen er denne aftale, betingelserne og det, du selv sætter op og gør i dashboardet, fx når du slår SMS-påmindelser til eller aflyser en booking.

Mener vi, at en instruks er i strid med loven, siger vi det til dig med det samme. Kræver loven, at vi behandler oplysningerne på en anden måde, fortæller vi dig det først, medmindre loven forbyder det.

Kun de personer, der skal bruge oplysningerne for at få Sobo til at virke, har adgang til dem. Sobo drives i dag af Simon Søborg alene. Får andre adgang, fx en ansat eller en hjælper, har de tavshedspligt, og adgangen lukkes, når de ikke længere skal bruge den.

Sobo beskytter oplysningerne bl.a. sådan:

• – Al trafik til hjemmesiderne og Sobo Booking er krypteret (HTTPS).
• – Adgangskoder gemmes, så de ikke kan læses, og gentagne forkerte login bremses.
• – Hver bruger ser kun de hjemmesider, de er knyttet til. Medarbejdere ser kun bookingdelen.
• – Serveren og databasen ligger i et datacenter i København.
• – Kortbetalinger foregår hos Stripe. Sobo ser aldrig kortnummeret.
• – Hver nat tages en krypteret backup, som ligger hos UpCloud i Sverige, adskilt fra serveren. Den gemmes i 30 dage og slettes derefter.

Vi holder sikkerheden ved lige og opdaterer den, når risikoen ændrer sig. Du skal selv passe på dit login og give medarbejdere adgang med deres egen konto.

Du giver Sobo lov til at bruge underdatabehandlere, dvs. leverandører, der hjælper med dele af behandlingen. Sobo indgår en aftale med hver af dem, der giver mindst samme beskyttelse som denne aftale, og Sobo står over for dig til ansvar for, at de overholder den.

Vil vi tage en ny underdatabehandler i brug eller skifte en ud, får du besked på mail mindst 30 dage før. Er du imod det, kan du gøre indsigelse ved at skrive til os. Kan vi ikke finde en løsning, kan du opsige uden at betale for den tid, der er tilbage.

Sobo bruger i dag:

UpCloud

Server og database, hvor hjemmesiderne, Sobo Booking og alle oplysninger ligger.

Får: Alle de oplysninger, aftalen dækker. Om dig og dine medarbejdere og dine kunder.

Hvor: Datacenter i København. UpCloud er en finsk virksomhed.

Resend

Sender mails fra hjemmesiderne og Sobo Booking: bekræftelser, påmindelser og links til at oprette en konto eller vælge en ny adgangskode.

Får: Modtagerens e-mail og selve mailen. Om dig og dine medarbejdere og dine kunder.

Hvor: Mails sendes fra Resends servere. Resend er et amerikansk selskab, og en del af behandlingen sker i USA.

GatewayAPI

Sender SMS-påmindelser om bookinger, kun når du har slået SMS-påmindelser til.

Får: Kundens telefonnummer og beskeden. Om dine kunder.

Hvor: Dansk virksomhed (ONLINECITY.IO ApS, Odense). Oplysningerne gemmes i EU, men GatewayAPI bruger underleverandører uden for EU, bl.a. til support.

Stripe

Betaling af forudbetalinger og klippekort på hjemmesiden. Pengene går til din egen Stripe-konto.

Får: Kortoplysninger, navn og e-mail. Sobo ser aldrig kortnummeret. Om dine kunder.

Hvor: Aftalen er med Stripe Payments Europe, Limited i Irland. En del af behandlingen sker hos Stripe, LLC i USA.

Dataforsyningen

Statens adresseregister. Når en kunde skriver sin adresse for at få leveret, slås den op dér, så vi kan se, om den findes og ligger i leveringsområdet.

Får: Den adresse, kunden skriver. Om dine kunder.

Hvor: Danmark.

Google (Maps)

Viser kortet, når en hjemmeside har et kort med din adresse.

Får: Den besøgendes IP-adresse og browseroplysninger, når kortet hentes. Om besøgende på hjemmesiden.

Hvor: Kortet leveres af Google LLC i USA.

Sobo overfører kun oplysninger til lande uden for EU og EØS, hvis der er et lovligt grundlag for det, fx EU-kommissionens afgørelse om EU-US Data Privacy Framework eller EU's standardkontraktbestemmelser. Ingen af leverandørerne får følsomme oplysninger, fx om helbred. Grundlaget for hver leverandør:

• –UpCloud: Ingen overførsel uden for EU.
• –Resend: EU-US Data Privacy Framework, som Resend er certificeret under, og EU's standardkontraktbestemmelser.
• –GatewayAPI: EU's standardkontraktbestemmelser.
• –Stripe: EU-US Data Privacy Framework, som Stripe, LLC er certificeret under, og EU's standardkontraktbestemmelser.
• –Dataforsyningen: Ingen overførsel uden for EU.
• –Google (Maps): EU-US Data Privacy Framework, som Google LLC er certificeret under, og EU's standardkontraktbestemmelser.

Beder en af dine kunder om at se, rette eller slette sine oplysninger, er det dig, der svarer. Du kan se dine kunders bookinger og oplysninger i dashboardet. Skal noget rettes eller slettes, som du ikke kan gøre selv, gør vi det for dig. Får Sobo selv sådan en henvendelse, sender vi den videre til dig.

Vi hjælper dig også, hvis du skal vurdere en risiko, lave en konsekvensanalyse eller spørge Datatilsynet, i det omfang det handler om Sobo.

Sker der et brud på sikkerheden, fx at oplysninger bliver stjålet, slettet ved en fejl eller set af nogen, der ikke må, giver vi dig besked uden unødig forsinkelse og senest 48 timer efter, at vi har opdaget det.

Beskeden siger, hvad der er sket, hvilke oplysninger og hvor mange kunder det drejer sig om, hvad det kan betyde, og hvad vi gør ved det. Så kan du anmelde bruddet til Datatilsynet inden for de 72 timer, loven kræver. Vi hjælper med anmeldelsen.

Vil du have slettet en kundes oplysninger, mens du er kunde hos Sobo, så skriv til os, så sletter vi dem. Når du opsiger, gemmer vi oplysningerne i 6 måneder, så du kan starte igen, og sletter dem derefter. Beder du os om det, sletter vi dem med det samme. Vi gemmer kun oplysningerne længere, hvis loven kræver det. Det, der slettes, forsvinder også fra backuppen senest 30 dage efter.

Vil du have dine kunders oplysninger med, før de slettes, sender vi dem til dig på mail som regneark (CSV). Det koster ikke noget. Kopien af hjemmesiden, du kan ansøge om under Flyt din hjemmeside i dashboardet, har ikke dine kunders oplysninger med.

Sobo giver dig de oplysninger, du skal bruge for at se, at aftalen bliver overholdt. Du kan bede om en skriftlig redegørelse for sikkerheden. Vil du lave en inspektion, aftaler vi tid og omfang med rimeligt varsel, og du betaler selv for den.

Datatilsynet kan altid få adgang til de oplysninger, loven giver det ret til.

Aftalen træder i kraft, når du bestiller, og løber, så længe Sobo behandler oplysninger for dig. Den kan ikke opsiges for sig, men slutter, når abonnementet er slut, og oplysningerne er slettet efter punkt 12.

Ændrer vi aftalen, får du besked på mail mindst 30 dage før, ændringen gælder. Aftalen følger dansk ret, og en eventuel sag hører under de danske domstole.

Spørgsmål om aftalen eller dine kunders oplysninger? Skriv til info@sobo-sites.dk.