Juridisk

Databehandleraftale

Rammeaftale for Stayos behandling af personoplysninger på vegne af kunden (dataansvarlig).

Denne side er foreløbig kun tilgængelig på svensk. Den svenske version af databehandleraftalen er den juridisk bindende version. Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") utgör en del av avtalet mellan kunden ("den Personuppgiftsansvarige") och Nordic Sidekick AB, org.nr 556901-2288, Storgatan 67, 903 30 Umeå ("Stayo", "Personuppgiftsbiträdet"), och reglerar Stayos behandling av personuppgifter på uppdrag av kunden i samband med tillhandahållandet av Stayo-tjänsten. Vid konflikt har detta Biträdesavtal företräde framför de allmänna villkoren i den mån det gäller behandling av Kunddata. Detta Biträdesavtal träder i kraft på samma datum som avtalet mellan parterna. Version 1 — 2 oktober 2026. Den svenska versionen är den rättsligt bindande.

1. Bakgrund och omfattning

1.1 Detta Biträdesavtal gäller för Stayos behandling av personuppgifter för kundens räkning vid tillhandahållandet av Stayo-tjänsten, inklusive hotellsystem (PMS), bokningsmotor, kanalhanterare, gästportal, betalningsflöden, housekeeping, resursbokning, upplevelser och uthyrning, kiosk, integrationer, API och webhooks. 1.2 Kunden är personuppgiftsansvarig för de personuppgifter som behandlas i tjänsten. Stayo är personuppgiftsbiträde och behandlar personuppgifter enbart på uppdrag av kunden och i enlighet med kundens dokumenterade instruktioner, inklusive detta avtal. 1.3 Biträdesavtalet gäller under hela den tid Stayo behandlar personuppgifter för kundens räkning och är en integrerad del av de allmänna villkoren för tjänsten. 1.4 Avtalet mellan parterna och detta Biträdesavtal utgör tillsammans kundens dokumenterade instruktioner enligt GDPR artikel 28. Kunden kan ge ytterligare skriftliga instruktioner i enlighet med detta avtal. 1.5 Detta Biträdesavtal upphör att gälla först när Stayo har raderat samtliga Kunddata enligt avsnitt 14, även om avtalet mellan parterna skulle sägas upp tidigare.

2. Definitioner

2.1 Begrepp som personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad, tillsynsmyndighet och personuppgiftsincident har samma innebörd som i Europaparlamentets och rådets förordning (EU) 2016/679 ("GDPR"), såvida inte annat framgår av detta avtal. 2.2 "Kunddata" avser de personuppgifter som kunden eller kundens gäster lägger in i eller som behandlas i tjänsten på kundens uppdrag, exempelvis bokningsuppgifter, gästuppgifter, kontaktuppgifter, betalnings- och foliounderlag, meddelanden och preferenser. Kunddata omfattar även kontaktuppgifter och åtkomstuppgifter för kundens behöriga användare samt uppgifter i supportärenden från sådana användare. 2.3 "Tillämplig dataskyddslagstiftning" avser all tillämplig lagstiftning, regelverk och myndighetsföreskrifter som rör skyddet av personuppgifter, i synnerhet GDPR samt nationell dataskyddslagstiftning i de länder kunden bedriver verksamhet. 2.4 "Standardavtalsklausuler" avser EU-kommissionens beslut 2021/914 om standardavtalsklausuler för överföring av personuppgifter till tredje land. 2.5 "Säkerhetsincident" avser en bekräftad överträdelse av säkerheten som leder till att Kunddata oavsiktligt eller olagligt förstörs, går förlorade, ändras, röjs obehörigt eller blir föremål för obehörig åtkomst. Triviala och misslyckade incidenter, som pingar och broadcast-attacker som inte äventyrar säkerheten för Kunddata, omfattas inte. 2.6 "Känsliga personuppgifter" avser personuppgifter enligt GDPR artikel 9, dvs. uppgifter om rasiskt eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller fackligt medlemskap, genetiska data, biometriska data för att entydigt identifiera en fysisk person, uppgifter om hälsa eller om en fysisk persons sexliv eller sexuella läggning. 2.7 "Underbiträde" avser en annan personuppgiftsbiträde som Stayo anlitar för behandling av Kunddata på uppdrag av kunden. 2.8 "Identifieringsfrigjorda data" avser data som skapats utifrån Kunddata men som inte kan kopplas till Kunddata eller en registrerad, vare sig direkt eller indirekt.

3. Parternas roller

3.1 Parterna är överens om att Stayo agerar som personuppgiftsbiträde och kunden som personuppgiftsansvarig enligt detta avtal. 3.2 Om kunden i sin tur behandlar Kunddata på uppdrag av en egen personuppgiftsansvarig (exempelvis en franchisegivare eller ett förvaltningsbolag), agerar Stayo som underbiträde till kunden, och kunden ansvarar för att erforderliga tillstånd och instruktioner finns på plats.

4. Behandlingens ändamål, natur, omfattning och varaktighet

4.1 Stayo behandlar personuppgifter enbart för att tillhandahålla, underhålla, säkra och supporta tjänsten samt för att fullgöra sina skyldigheter enligt avtalet med kunden. 4.2 Behandlingens natur omfattar lagring, registrering, strukturering, överföring inom tjänsten, analys, korrigering, radering, säkerhetskopiering, felsökning och support. 4.3 Behandlingen omfattar de åtgärder som krävs för drift av tjänsten, exempelvis leverans av bokningsflöden, kanalsynkronisering, gäst kommunikation, betalningsunderlag och rapportering enligt kundens konfiguration. 4.4 Behandlingen pågår under avtalstiden. Efter avtalets upphörande hanteras personuppgifter enligt avsnitt 14. 4.5 Stayo ska följa tillämplig dataskyddslagstiftning och behandla Kunddata enbart på kundens dokumenterade instruktioner. Stayo ska omedelbart informera kunden om en instruktion enligt Stayos bedömning strider mot dataskyddslagstiftningen. 4.6 Med hänsyn till behandlingens art ska Stayo bistå kunden med att dokumentera genomförda dataskyddskonsekvensbedömningar och förhandssamråd med tillsynsmyndighet enligt GDPR artiklarna 35–36.

5. Stayos förbud mot egen nyttjande

5.1 Stayo får inte: (a) sälja Kunddata eller på annat sätt göra Kunddata tillgängliga för tredje part mot betalning eller annan värdefull ersättning; (b) dela Kunddata med tredje part för beteendebaserad annonsering i annat sammanhang; (c) lagra, använda eller röja Kunddata för något annat ändamål än de affärsändamål som anges i avtalet eller som tillåts enligt dataskyddslagstiftningen; (d) lagra, använda eller röja Kunddata utanför det direkta affärsförhållandet mellan parterna; eller (e) kombinera Kunddata med personuppgifter som Stayo fått från eller för annan kund, förutom om tillämplig dataskyddslagstiftning tillåter det.

6. Kundens skyldigheter

6.1 Kunden ansvarar för att det finns laglig grund för behandlingen, att de registrerade har informerats enligt GDPR och att instruktioner till Stayo är lagliga. 6.2 Kunden ansvarar för riktigheten, kvaliteten och lagligheten hos de personuppgifter som behandlas i tjänsten. 6.3 Kunden ska i den mån det krävs för laglig behandling inhämta (eller säkerställa att kundens personuppgiftsansvarige inhämtar) giltigt samtycke från de registrerade i den form som krävs enligt dataskyddslagstiftningen. 6.4 Kunden ska vidta lämpliga tekniska och organisatoriska åtgärder för att möjliggöra att de registrerade kan ta del av sina rättigheter enligt GDPR kapitel III, och ska besvara begäranden från registrerade inom de tidsramar som anges i lagstiftningen. 6.5 Kunden ska säkerställa att särskilt informerat samtycke inhämtats innan känsliga personuppgifter läggs in i tjänsten, om sådana uppgifter ska behandlas. 6.6 Kunden ansvarar för att konfigurera tjänsten, behörigheter och integrationer på ett sätt som är förenligt med GDPR.

7. Stayos personal

7.1 Stayo ska begränsa åtkomsten till Kunddata till personal som har ett faktiskt behov av åtkomst för att fullgöra sina arbetsuppgifter. 7.2 Stayo ska säkerställa att sådan personal är bunden av sekretess eller annan lämplig lagstadgad tystnadsplikt och att skyldigheterna är minst lika skyddande som detta Biträdesavtal. 7.3 Åtkomst återkallas omgående när den inte längre behövs, exempelvis vid tjänstgöringens slut eller rollbyte.

8. Underbiträden

8.1 Kunden godkänner att Stayo anlitar underbiträden för att tillhandahålla tjänsten, exempelvis för molndrift, e-postleverans, betalningsförmedling och kundsupport. En aktuell lista över underbiträden tillhandahålls på begäran via hej@stayo.se. 8.2 Stayo kan behandla Kunddata på de platser där Stayo eller Stayos underbiträden bedriver verksamhet, med iakttagande av detta avtals skyldigheter enligt avsnitt 10 (överföring till tredje land). 8.3 Stayo ska ingå skriftligt avtal med varje underbiträde som ålägger underbiträdet dataskyddsskyldigheter som i sak inte är mindre skyddande än de som anges i detta Biträdesavtal. Stayo ansvarar för underbiträdets fullgörande av sina skyldigheter som för egen verksamhet. 8.4 Stayo ska informera kunden om planerade förändringar av underbiträden i god tid, minst 30 dagar, innan förändringen träder i kraft. Kunden har rätt att invända mot ett nytt underbiträde inom 14 dagar från underrättelsen om det finns sakliga skäl kopplade till dataskydd. Parterna ska i god tro söka en lösning. Om Stayo inte kan tillmötesgå invändningen har kunden rätt att säga upp avtalet avseende den berörda delen av tjänsten med skriftlig förklaring.

9. Registreredas rättigheter

9.1 Stayo ska utan dröjsmål underrätta kunden om Stayo eller ett underbiträde mottar en begäran från en registrerad om att utöva sina rättigheter enligt dataskyddslagstiftningen (t.ex. utdrag, rättelse, radering, begränsning eller dataportabilitet), om Stayo med hänsyn till tjänstens natur kan koppla begäran till kunden. 9.2 Det ligger hos kunden ensam att besvara en sådan begäran. Stayo ska inte besvara registrerade direkt, förutom att hänvisa till kunden, och ska bistå kunden med nödvändig hjälp så att kunden kan uppfylla sina skyldigheter, med hänsyn till tjänstens natur. 9.3 Stayo ska, med hänsyn till behandlingens art, bistå kunden med lämpliga tekniska och organisatoriska åtgärder så att kunden kan uppfylla sin skyldighet att svara på begäranden från registrerade.

10. Överföring till tredje land

10.1 Personuppgifter behandlas i första hand inom EU/EES. 10.2 Om överföring av personuppgifter till tredje land sker ska det finnas lagligt stöd för överföringen, exempelvis kommissionens standardavtalsklausuler (SCC), ett adekvansbeslut eller andra giltiga överföringsmekanismer enligt GDPR kapitel V, samt vid behov kompletterande åtgärder. 10.3 Standardavtalsklausulerna ska vid behov läggas till detta Biträdesavtal enligt Bilaga 2, med de moduler och ändringar som anges där. 10.4 Kundens användning av vissa integrationer (exempelvis externa bokningskanaler eller analysverktyg som kunden själv aktiverar) kan innebära att uppgifter överförs utanför EU/EES enligt respektive tredjeparts villkor. Kunden ansvarar för sådana överföringar som sker på kundens initiativ. 10.5 Om ett annat överföringsverktyg än SCC godkänns under den tillämpliga dataskyddslagstiftningen ska parterna omgående träffa tilläggsavtal som omfattar detaljerna i Bilaga 3.

11. Tekniska och organisatoriska säkerhetsåtgärder

11.1 Stayo ska vidta och underhålla lämpliga tekniska och organisatoriska åtgärder för att skydda Kunddata, med hänsyn till behandlingens natur, omfattning, sammanhang och ändamål samt riskerna för registrerade, inklusive skydd mot obehörig behandling och mot oavsiktlig förlust, förstörelse eller skada. 11.2 Säkerhetsåtgärderna ska som minimum uppfylla den standard som anges i Bilaga 1. 11.3 En aktuell beskrivning av säkerhetsåtgärderna finns på stayo.se/sakerhet.

12. Information och granskning

12.1 Stayo ska underrätta kunden om Stayo konstaterar att Stayo inte längre kan fullgöra sina skyldigheter enligt dataskyddslagstiftningen eller detta avtal. 12.2 På begäran ska Stayo tillhandahålla den information som rimligen krävs för att kunden ska kunna kontrollera att detta avtal efterlevs, exempelvis beskrivningar av säkerhetsåtgärder, certifieringar och testrapporter. 12.3 Om informationen enligt 12.2 inte är tillräcklig har kunden rätt att, efter minst 30 dagars skriftligt varsel och högst en gång per kalenderår, genomföra eller låta en oberoende revisor genomföra en granskning på plats, i den utsträckning dataskyddslagstiftningen kräver det. Granskningen ska ske under normal arbetstid, utan att störa Stayos verksamhet, och under sekretess. Kunden står för kostnaderna för granskningen om inte granskningen visar på en väsentlig avvikelse från avtalet. 12.4 Granskningar enligt 12.3 förutsätter att parterna först skriftligen kommit överens om omfattning och tidpunkt. Om granskningen visar brister ska kunden omgående informera Stayo, och resultaten ska behandlas som Stayos konfidentiella information.

13. Personuppgiftsincidenter

13.1 Stayo ska underrätta kunden skriftligt utan oskäligt dröjsmål och, om det är möjligt, inom 48 timmar efter att Stayo blivit medveten om en Säkerhetsincident som berör Kunddata, till de kontaktuppgifter som kunden angett i tjänsten. 13.2 Stayo ska vidta skäliga åtgärder för att begränsa, utreda och mildra incidenten och ska fortlöpande ge kunden information om incidentens art, de berörda kategorierna och det ungefärliga antalet registrerade, de sannolika konsekvenserna samt de åtgärder som vidtagits eller föreslås. 13.3 Stayo ska bistå kunden i kundens utredning av incidenten och kundens skyldigheter enligt dataskyddslagstiftningen, inklusive anmälan till Integritetsskyddsmyndigheten (IMY) och, vid behov, information till de registrerade. 13.4 Stayos underrättelse av eller svar på en Säkerhetsincident enligt detta avsnitt ska inte tolkas som ett erkännande av något fel eller ansvar för incidenten.

14. Avtalets upphörande, returnering och radering

14.1 Efter avtalets upphörande ska Stayo, enligt kundens val, returnera eller radera alla Kunddata som behandlats för kundens räkning, om inte EU-rätten eller svensk rätt kräver fortsatt lagring. 14.2 Kunden kan exportera sina data via tjänstens exportfunktioner eller genom att kontakta Stayo. Om kunden begär det inom 30 dagar efter avtalets upphörande ska Stayo tillhandahålla en kopia av Kunddata i ett vanligt förekommande format eller tillhandahålla en självbetjäningsfunktion för nedladdning. 14.3 Radering sker inom 90 dagar efter avtalets upphörande, inklusive i säkerhetskopior enligt Stayos ordinarie rutiner för överskrivning av kopior. 14.4 Identifieringsfrigjorda data får behållas i identifieringsfrigjord form, förutsatt att Stayo vidtar skäliga åtgärder för att de inte kan kopplas till en registrerad, offentligt åtar sig att endast behandla dem i sådan form och inte försöker återidentifiera dem.

15. Ansvar och ansvarsbegränsning

15.1 Det som avtalats om ansvar och ansvarsbegränsning i de allmänna villkoren för tjänsten gäller även för detta Biträdesavtal. 15.2 Stayo ansvarar inte för skador som uppstår till följd av kundens instruktioner eller kundens brott mot GDPR.

16. Ändringar av avtalet

16.1 Stayo kan uppdatera detta Biträdesavtal, exempelvis vid ändringar i lagstiftning eller tillsynsmyndigheters vägledningar. Väsentliga ändringar meddelas kunden minst 30 dagar i förväg. 16.2 Om kunden inte godtar en ändring som är till kundens nackdel har kunden rätt att säga upp avtalet innan ändringen träder i kraft. 16.3 Parterna ska förhandla i god tid om tillägg eller ändringar som krävs med anledning av förändringar i tillämplig dataskyddslagstiftning.

17. Tillämplig lag och tvistlösning

17.1 Svensk lag ska tillämpas på detta avtal. 17.2 Tvister som uppstår med anledning av detta avtal ska i första hand lösas genom förhandling. Om parterna inte kan enas ska tvisten avgöras av Umeå tingsrätt som första instans.

18. Kontakt

Frågor om detta Biträdesavtal eller om Stayos behandling av personuppgifter besvaras via hej@stayo.se. För att teckna ett undertecknat Biträdesavtal, eller för att begära den aktuella listan över underbiträden, kontakta hej@stayo.se.

Bilaga 1 — Tekniska och organisatoriska åtgärder

Stayo kombinerar policys, rutiner, riktlinjer samt tekniska och fysiska kontroller för att skydda de personuppgifter som behandlas mot oavsiktlig förlust och obehörig åtkomst, röjning eller förstörelse. Styrning och policys. Stayo utser ansvariga för att fastställa, granska och genomföra säkerhetspolicys och säkerhetsåtgärder; granskar säkerhetsåtgärderna regelbundet så att de förblir adekvata för de data som skyddas; och följer säkra standardkonfigurationer för system och mjukvara, så att säkerhet beaktas vid projektstart och utveckling av nya IT-system. Incident- och beredskapsrespons. Stayo har interna övervakningssystem som larmar driftteamet vid tjänstestörningar, i vissa fall innan tröskelvärden nås. Stayo har en responsplan för personuppgiftsincidenter som regelbundet testas och uppdateras. Åtkomstkontroll. Åtkomsten begränsas enligt principen om minsta möjliga behörighet: personer beviljas endast de privilegier som krävs för deras arbetsuppgifter, och privilegier återkallas när de inte längre behövs. Identitetshantering sker centraliserat via identitetsleverantörer, vilket gör att avregistrering och privilegiumdragning sker snabbt. Ändringar i infrastrukturen kräver godkännande av minst ytterligare en auktoriserad person. Inloggning på interna resurser skyddas av en stark lösenordspolicy och obligatorisk tvåfaktorsautentisering. Lösenord lagras aldrig i klartext. Enheter som används för åtkomst till interna resurser kräver starka lösenord, antivirus och full diskkryptering. Åtkomstloggar sparas för alla åtgärder i Stayos infrastruktur och för alla interaktioner med kundprojekt. Trafikloggar sparas så att anslutningar till Stayos infrastruktur kan analyseras retroaktivt. Nätverkssegmentering. Kundprojekt och Stayos interna styrplansystem körs i separata nätverk, med brandväggar som endast tillåter förväntad trafik. Loggar och mätvärden för observability skickas till system som är segmenterade från kundprojekt med Kunddata. Kryptering. Lagrad data krypteras där det är lämpligt, inklusive säkerhetskopior, med branschstandard (AES-256 i vila). All nätverkskommunikation, inklusive överföring av inloggningsuppgifter, sker över TLS-krypterade förbindelser med moderna chifferpaket. Tillgänglighet och säkerhetskopiering. Stayo tar regelbundna säkerhetskopior av kunddata. Kopiorna krypteras vid överföring och i vila och lagras på ett lagringssystem som är oberoende av kundens ordinarie resurser. Stayo har distribuerad personal för support och övervakning. Testning. Stayo använder säkerhets- och efterlevnadsövervakningssystem över infrastrukturen för att upptäcka överträdelser av säkerhetspolicys. Penetrationstester genomförs regelbundet av välrenommerade externa säkerhetsföretag, och resultatet åtgärdas enligt prioritet.

Bilaga 2 — Standardavtalsklausuler

När överföring enligt avsnitt 10 omfattas av standardavtalsklausulerna (EU-kommissionens beslut 2021/914) ska följande gälla: 1.1 Modul två (personuppgiftsansvarig till personuppgiftsbiträde) ska tillämpas när kunden är personuppgiftsansvarig och Stayo personuppgiftsbiträde. 1.2 Modul tre (personuppgiftsbiträde till underbiträde) ska tillämpas i den mån kunden är personuppgiftsbiträde och Stayo underbiträde. 1.3 Dockningsklausulen i klausul 7 ska inte tillämpas. 1.4 Alternativ 2 i klausul 9(a) (allmänt skriftligt tillstånd) ska tillämpas; tidsperioden bestäms enligt avsnitt 8.4 i Biträdesavtalet. 1.5 Alternativet i klausul 11(a) (oberoende tvistlösningsorgan) ska inte tillämpas. 1.6 Enligt klausul 17 (tillämplig lag) ska alternativ 1 tillämpas och svensk lag ska gälla. 1.7 Enligt klausul 18 (val av domstol och jurisdiktion) ska parterna underkasta sig svenska domstolar. 1.8 För bilaga I till standardavtalsklausulerna: bilaga 3 i detta Biträdesavtal anger detaljerna i överföringen; den överförande parten (exportören) är kunden enligt de kontaktuppgifter som anges i avtalet; den mottagande parten (importören) är Nordic Sidekick AB, Storgatan 67, 903 30 Umeå, Sverige, kontakt hej@stayo.se. 1.9 För bilaga II till standardavtalsklausulerna utgör Bilaga 1 i detta Biträdesavtal de tekniska och organisatoriska åtgärderna.

Bilaga 3 — Behandlingsuppgifter

Kund (personuppgiftsansvarig): Kunden enligt avtalet; kundens namn, adress och kontaktuppgifter är de som är kopplade till kundens Stayo-konto eller som annars anges i avtalet. Kundens roll: Personuppgiftsansvarig (eller personuppgiftsbiträde för kundens egen personuppgiftsansvarige, i förekommande fall). Kategorier av registrerade: kundens gäster (bokande gäster och medresenärer), kundens användare och personal, samt andra personer vars uppgifter kunden väljer att behandla i tjänsten. Kategorier av personuppgifter: namn, kontaktuppgifter (e-post, telefon, adress), boknings- och vistelseuppgifter (datum, rumstyp, tillägg, preferenser), betalnings- och faktureringsuppgifter (belopp, transaktionsreferenser — kortuppgifter hanteras av PCI DSS-certifierade betalningsleverantörer och lagras inte av Stayo), kommunikation med gäster, in- och utcheckningsuppgifter samt tekniska logguppgifter (IP-adress, enhetsinformation). Känsliga personuppgifter: inte avsedda att behandlas i tjänsten. Kunden ansvarar för att inte lägga in känsliga personuppgifter utan särskild överenskommelse och utan särskilt informerat samtycke. Frekvens av överföringen: kontinuerlig, i takt med att tjänsten används. Natur och ändamål med behandlingen: att fullgöra Stayo-tjänsten, dvs. tillhandahålla hotellsystem, bokningsmotor, kanalhanterare, gästportal och relaterade verktyg för driften av kundens gästgiveri- eller uthyrningsverksamhet. Lagringstid: avtalstiden, såvida inte tidigare radering begärs av kunden enligt tjänstens funktioner eller avsnitt 14. Underbiträden: enligt Stayos aktuella underbiträdeslista, tillhandahållen på begäran via hej@stayo.se. Tillsynsmyndighet: den behöriga tillsynsmyndigheten enligt tillämplig dataskyddslagstiftning, normalt Integritetsskyddsmyndigheten (IMY) i Sverige.