Arivenos personuppgiftsbiträdesavtal

Hämta den oföränderliga Markdown-källan.

Version: 2026-09-07-beta.10 Ikraftträdande: från den elektroniska accepten av denna version av en korrekt identifierad och företrädd Personuppgiftsansvarig Personuppgiftsbiträde: Brillnet Piotr Adamski, ul. Henryka Sienkiewicza 73/6, 90-057 Łódź, NIP 7321779060, REGON 101551294 Kontakt: privacy@ariveno.com

Denna svenska översättning tillhandahålls som information. Dokumentets bindande text är det polska originalet av samma version (2026-09-07-beta.10), tillgängligt på https://ariveno.pl/legal/dpa.

1. Parter och avtalets ingående

1. Avtalet ingås mellan:
   1. den näringsidkare eller organisation som identifieras i Ariveno-kontot genom företagsnamn/namn, adress, NIP eller annan identifierare — nedan Personuppgiftsansvarig;
   2. Brillnet Piotr Adamski — nedan Personuppgiftsbiträdet.
2. Den person som accepterar Avtalet för den Personuppgiftsansvariges räkning intygar att personen har behörighet att ingå det.
3. Personuppgiftsbiträdet registrerar minst: kontots identitet, organisationen, uppgifterna om företrädaren, versionen, UTC-tiden, källan och innehållet i behörighetsförklaringen.
4. Om den Personuppgiftsansvariges uppgifter kompletteras efter registreringen träder Avtalet i kraft först när uppgifterna har kopplats till organisationen och accepten. Fram till dess bör den Personuppgiftsansvarige inte lägga in Salongskunders personuppgifter.
5. Avtalet utgör en del av avtalet om tillhandahållande av Ariveno och är ett avtal enligt artikel 28(3) GDPR.

2. Definitioner

1. GDPR — förordning (EU) 2016/679.
2. Anförtrodda uppgifter — personuppgifter som Personuppgiftsbiträdet behandlar för den Personuppgiftsansvariges räkning i Ariveno.
3. Behandling, personuppgifter, personuppgiftsincident, tillsynsmyndighet och registrerad har den betydelse som anges i GDPR.
4. Underbiträde — ett annat personuppgiftsbiträde som anlitas av Personuppgiftsbiträdet för att behandla de Anförtrodda uppgifterna.
5. Tjänsten — Ariveno som omfattas av Användarvillkoren.
6. Instruktion — en dokumenterad instruktion från den Personuppgiftsansvarige som följer av Avtalet, konfigurationen, användningen av en funktion, en supportbegäran eller en annan registrerad kanal.

3. Föremål, varaktighet, art och ändamål

1. Föremålet är behandling av de Anförtrodda uppgifterna för att tillhandahålla, skydda, underhålla och stödja Ariveno.
2. Behandlingen pågår från Avtalets giltiga ingående till radering eller återlämnande av de Anförtrodda uppgifterna efter att Tjänsten upphört, med hänsyn till tekniska kopior och rättsliga skyldigheter.
3. Åtgärdernas art omfattar: insamling, registrering, organisering, lagring, framtagning, användning, sammanförande, överföring enligt Instruktioner, begränsning, export, anonymisering och radering.
4. Ändamålen omfattar:
   1. bokningar, scheman, besök och väntelistan;
   2. hantering av personal, tjänster, resurser och steg;
   3. transaktionsmeddelanden via e-post och valfria SMS;
   4. rapporter, exporter, privata ICS-flöden och support;
   5. tillgodoseende av registrerades rättigheter, revision och säkerhet;
   6. säkerhetskopiering, kontinuitet och radering efter upphörande.
5. Personuppgiftsbiträdet använder inte de Anförtrodda uppgifterna för egen marknadsföring, försäljning av uppgifter, reklamprofilering eller träning av modeller för artificiell intelligens.

4. Kategorier av registrerade och uppgifter

1. Kategorier av registrerade:
   1. Salongskunder, personer som gör bokningar och personer som besöker salongen;
   2. den Personuppgiftsansvariges personal och samarbetspartner;
   3. den Personuppgiftsansvariges kontaktpersoner och företrädare;
   4. personer som förekommer i bokningsuppgifter eller transaktionskommunikation.
2. Kategorier av uppgifter:
   1. identitets- och kontaktuppgifter, t.ex. förnamn, efternamn, telefonnummer, e-post;
   2. boknings- och besöksuppgifter, t.ex. datum och tid, tjänst, resurs, ansvarig medarbetare, status;
   3. organisatoriska uppgifter om personal, schema, behörigheter och plats;
   4. historik över transaktionskommunikation och leveransmetadata;
   5. preferenser, samtycken och begränsade anteckningar som rör organiseringen av tjänsten;
   6. identifierare, revisionshändelser och tekniska säkerhetsmetadata;
   7. filer och foton som den Personuppgiftsansvarige tillhandahåller inom tillåtet omfång.
3. Den Personuppgiftsansvarige anförtror inte hälsouppgifter eller andra särskilda kategorier av uppgifter enligt artikel 9 GDPR, uppgifter om fällande domar enligt artikel 10 eller uppgifter som kräver funktioner som Ariveno inte tillhandahåller.
4. Om den Personuppgiftsansvarige avser att ändra kategorierna av uppgifter eller ändamålen måste denne först få Personuppgiftsbiträdets skriftliga bekräftelse och säkerställa att lagen följs.

5. Instruktioner och laglighet

1. Personuppgiftsbiträdet behandlar de Anförtrodda uppgifterna endast enligt dokumenterade Instruktioner från den Personuppgiftsansvarige, även avseende överföringar utanför EES, om inte unionsrätten eller en medlemsstats lag kräver annat.
2. Om lagen kräver behandling utan Instruktion informerar Personuppgiftsbiträdet den Personuppgiftsansvarige innan behandlingen inleds, om inte lagen förbjuder detta av viktiga skäl som rör allmänintresset.
3. Användarvillkoren, Tjänstens konfiguration, behöriga Användares åtgärder och den Personuppgiftsansvariges begäranden utgör den fullständiga uppsättningen inledande Instruktioner.
4. Den Personuppgiftsansvarige ansvarar för Instruktionernas laglighet, rättsliga grunder, öppenhet gentemot registrerade, uppgifternas korrekthet och omfattningen av Användarnas åtkomst.
5. Personuppgiftsbiträdet informerar omedelbart den Personuppgiftsansvarige om det anser att en Instruktion strider mot GDPR eller andra dataskyddsbestämmelser. Biträdet får avbryta genomförandet tills frågan har klarlagts.
6. En ytterligare Instruktion som går utöver standardtjänsten kan kräva en överenskommelse om kostnad och tidsplan, i den mån detta inte begränsar Personuppgiftsbiträdets skyldigheter enligt lag.

6. Konfidentialitet och behörigheter

1. Personuppgiftsbiträdet ger åtkomst till de Anförtrodda uppgifterna endast till personer som behöver åtkomsten.
2. Dessa personer omfattas av lagstadgad eller avtalsenlig tystnadsplikt, har utbildats i säkerhet och omfattas av åtkomstkontroll.
3. Administrativ åtkomst ges enligt principen om minsta behörighet, loggas och granskas regelbundet.
4. Tystnadsplikten fortsätter efter att samarbetet upphört.

7. Tekniska och organisatoriska åtgärder

1. Personuppgiftsbiträdet genomför åtgärder enligt artikel 32 GDPR som är lämpliga med hänsyn till risken, den tekniska utvecklingen, kostnaden och behandlingens art.
2. Den aktuella minimiuppsättningen beskrivs i bilaga B. Personuppgiftsbiträdet får ändra åtgärderna under förutsättning att den övergripande skyddsnivån inte sänks.
3. Den Personuppgiftsansvarige ansvarar för säker konfiguration av sina egna Användare, enheter, e-postkonton, SMSAPI, exporter och integrationskanaler.

8. Bistånd till den Personuppgiftsansvarige

1. Med hänsyn till behandlingens art bistår Personuppgiftsbiträdet den Personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder med att tillgodose registrerades rättigheter, särskilt tillgång, rättelse, radering, begränsning och portabilitet.
2. En begäran om Anförtrodda uppgifter som tas emot direkt från en registrerad vidarebefordras av Personuppgiftsbiträdet till den Personuppgiftsansvarige utan att biträdet fattar ett självständigt beslut om den, om inte lagen kräver annat.
3. Personuppgiftsbiträdet bistår den Personuppgiftsansvarige med att fullgöra skyldigheterna enligt artiklarna 32–36 GDPR, bland annat avseende:
   1. risk- och säkerhetsbedömning;
   2. incidenter och anmälningar;
   3. konsekvensbedömningar avseende dataskydd;
   4. förhandssamråd med myndigheten.
4. Standardbistånd ges genom Tjänstens funktioner och dokumentation. Arbete utöver standard kan debiteras enligt villkor som avtalats i förväg, om inte behovet av bistånd beror på att Personuppgiftsbiträdet har brutit mot Avtalet.

9. Personuppgiftsincidenter

1. Personuppgiftsbiträdet underrättar den Personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått kännedom om en incident som rör de Anförtrodda uppgifterna.
2. Det operativa målet är en första underrättelse inom 24 timmar efter att händelsen bekräftats eller på rimliga grunder klassificerats som en incident. Om en väsentlig risk finns tidigare lämnar Personuppgiftsbiträdet en preliminär varning utan att invänta fullständig bekräftelse.
3. I den mån informationen är tillgänglig omfattar underrättelsen:
   1. incidentens art, berörda system samt ungefärliga kategorier och antal registrerade och poster;
   2. möjliga konsekvenser;
   3. vidtagna eller föreslagna åtgärder;
   4. en kontaktpunkt;
   5. den information som den Personuppgiftsansvarige behöver för att bedöma sina skyldigheter enligt artiklarna 33 och 34 GDPR.
4. Information får lämnas i omgångar.
5. En underrättelse innebär inte ett medgivande av skuld eller ansvar.
6. Personuppgiftsbiträdet dokumenterar incidenten och samarbetar för att begränsa dess konsekvenser. Den Personuppgiftsansvarige ansvarar för att underrätta myndigheten och de registrerade om en sådan skyldighet finns.

10. Underbiträden

1. Den Personuppgiftsansvarige ger ett allmänt tillstånd att använda de aktörer som anges i den aktuella Underbiträdeslistan.
2. Personuppgiftsbiträdet meddelar avsikten att lägga till eller ersätta ett direkt Underbiträde minst 30 dagar i förväg, via e-post eller i Panelen.
3. Under denna period får den Personuppgiftsansvarige framföra en motiverad invändning som rör dataskydd till privacy@ariveno.com.
4. Parterna söker en lösning i god tro, t.ex. en konfigurationsändring. Om en lösning inte rimligen är möjlig får den Personuppgiftsansvarige säga upp den del av Tjänsten som påverkas av ändringen innan det nya Underbiträdet tas i bruk.
5. Personuppgiftsbiträdet ingår ett avtal med Underbiträdet som ålägger det i huvudsak samma dataskyddsskyldigheter, särskilt lämpliga skyddsåtgärder.
6. Personuppgiftsbiträdet förblir ansvarigt gentemot den Personuppgiftsansvarige för att ett direkt Underbiträde fullgör dataskyddsskyldigheterna i den utsträckning som krävs enligt artikel 28(4) GDPR.
7. Listan skiljer direkta Underbiträden från leverantörer som agerar som separata personuppgiftsansvariga eller aktörer som väljs direkt av den Personuppgiftsansvarige.

11. Överföringar utanför EES

1. Personuppgiftsbiträdet använder primära resurser konfigurerade för EU-jurisdiktion, men global support, nätverket och reservutskick av e-post kan medföra överföring utanför EES.
2. En sådan överföring sker enligt den Personuppgiftsansvariges Instruktion, uttryckt genom att ingå Avtalet och aktivera den berörda funktionen, och med tillämpning av en lämplig mekanism enligt kapitel V GDPR.
3. Beroende på mottagaren kan mekanismen vara ett beslut om adekvat skyddsnivå, EU–US Data Privacy Framework eller standardavtalsklausuler tillsammans med kompletterande åtgärder.
4. På motiverad begäran lämnar Personuppgiftsbiträdet information om mekanismen, överföringsbedömningen och de kompletterande åtgärderna, med skydd för hemligheter och säkerhet.
5. Om den Personuppgiftsansvarige förbjuder en överföring som är nödvändig för en viss funktion stänger Personuppgiftsbiträdet av funktionen eller, om det inte är möjligt, kommer parterna överens om att avsluta Tjänsten.

12. Revisioner och information om efterlevnad

1. Personuppgiftsbiträdet tillhandahåller den information som behövs för att visa efterlevnad av artikel 28 GDPR, inklusive detta Avtal, Underbiträdeslistan, en beskrivning av åtgärderna och rimligen tillgängliga bevis på kontroller.
2. Den Personuppgiftsansvarige bedömer först de dokument och svar som lämnats.
3. Om de inte räcker får den Personuppgiftsansvarige genomföra en revision själv eller genom en oberoende revisor:
   1. högst en gång per år, om inte en incident, en väsentlig riskförändring eller en begäran från en myndighet har inträffat;
   2. med minst 30 dagars förvarning, om inte brådskan beror på en incident eller en myndighet;
   3. på Arbetsdagar, utan att oskäligt störa Tjänsten;
   4. med bibehållen konfidentialitet och utan åtkomst till andra Kunders uppgifter eller hemligheter som inte behövs.
4. Den Personuppgiftsansvarige står för rimliga kostnader för revisionen och dess hantering, om inte revisionen visar ett väsentligt avtalsbrott från Personuppgiftsbiträdets sida.
5. Personuppgiftsbiträdet samarbetar med behörig tillsynsmyndighet enligt lag.

13. Lagringstid, återlämnande och radering

1. Under avtalstiden ställer den Personuppgiftsansvarige in lagringstiden för Salongskunders uppgifter inom intervallet 30–3650 dagar; standardvärdet är 180 dagar från det senaste genomförda besöket. Det aktiva värdet i Panelen är den gällande konfigurationen för den aktuella Personuppgiftsansvarige och kan skilja sig från standardvärdet.
2. Den Personuppgiftsansvarige får exportera de Anförtrodda uppgifterna under avtalstiden och under 30 dagars skrivskyddad åtkomst efter att avtalet upphört.
3. Efter upphörandet får den Personuppgiftsansvarige välja återlämnande genom export och radering, eller enbart radering. Om ingen annan Instruktion ges tillhandahåller Personuppgiftsbiträdet en standardexport i 30 dagar och raderar sedan uppgifterna.
4. Operativa uppgifter och organisationsresurser raderas senast efter 90 dagar. D1 Time Travel kan möjliggöra teknisk återställning i upp till 30 dagar, och R2-kopior roteras i upp till 35 dagar. Uppgifter i slutna säkerhetskopior återställs inte till normal användning och raderas under rotationscykeln.
5. Personuppgiftsbiträdet får behålla uppgifter som enligt lag måste lagras, endast i den omfattning som krävs, med begränsad behandling och information till den Personuppgiftsansvarige där detta är tillåtet.
6. En aktiv spärr mot radering av rättsliga skäl eller säkerhetsskäl kräver en dokumenterad orsak och ett datum för omprövning.
7. På begäran bekräftar Personuppgiftsbiträdet att raderingen har slutförts.

14. Ansvar

1. Parternas ansvar enligt GDPR regleras särskilt av artikel 82 GDPR och tvingande lag.
2. I avtalsförhållandet mellan parterna gäller begränsningarna i Användarvillkoren i den mån lagen tillåter att de tillämpas på den aktuella skyldigheten.
3. Varje part ansvarar för sina egna Instruktioner, beslut, överträdelser och omfattningen av sina lagstadgade skyldigheter.

15. Giltighetstid och företräde

1. Avtalet gäller under den period då Personuppgiftsbiträdet behandlar de Anförtrodda uppgifterna.
2. Bestämmelserna om konfidentialitet, revision, ansvar och radering fortsätter att gälla efter upphörandet i nödvändig omfattning.
3. Vid konflikt i frågor om personuppgiftsbehandling har Avtalet företräde framför Användarvillkoren.
4. En ändring som väsentligt påverkar den Personuppgiftsansvariges rättigheter kräver underrättelse och vid behov förnyad accept.
5. Avtalet omfattas av polsk rätt, utan att det påverkar direkt tillämplig unionsrätt.

Bilaga A — Uppgifter om behandlingen

Bilaga B — Tekniska och organisatoriska åtgärder

1. Arkitektur och isolering

1. En privat D1-databas och en privat R2-resurs per organisation samt bokningssamordning med Durable Objects.
2. Operativa resurser konfigurerade för EU-jurisdiktion.
3. Logisk isolering av organisationer och uttryckliga resursbindningar.
4. Separation av produktions- och testmiljöer genom separata zoner, token, prefix, bindningar och driftsättningsskydd. Ett separat Cloudflare-konto för varje miljö utlovas inte.

2. Åtkomstkontroll

1. Individuella konton, autentisering och roller.
2. Principen om minsta behörighet och återkallande av onödig åtkomst.
3. Loggning av viktiga administrativa åtgärder.
4. Hemligheter lagras utanför koden och visas inte för Användare.

3. Kryptering och överföring

1. TLS för överföring.
2. Kryptering av leverantörshanterade resurser i vila enligt leverantörens standard.
3. Kortlivade token för exporter; token placeras inte i URL:en.
4. Privata filresurser och åtkomstkontroll för objekt.

4. Minimering

1. Köer och asynkrona meddelanden utan PII-innehåll — de använder identifierare för organisation, jobb, post, idempotens och försök.
2. Inga spårningspixlar i meddelanden som konfigureras av Ariveno.
3. Ingen beständig lagring av kund-, besöks- och schemauppgifter i webbläsarlagring för offlineanvändning.
4. Inga reklamleverantörer, sessionsinspelningar eller AI-leverantörer för de Anförtrodda uppgifterna.

5. Loggning och revision

1. Revision av salongens åtgärder i D1 i 24 månader.
2. Workers-loggar i upp till 7 dagar.
3. Loggar som vidarebefordras till en privat R2 konfigurerad för EU i upp till 90 dagar.
4. Korrelationsidentifierare, larm och en rutin för händelseanalys.

6. Tillgänglighet och återställning

1. Tillgänglighetsmål på 99,5 % per månad.
2. RPO på upp till 24 timmar och mål för RTO på upp till 8 timmar.
3. D1 Time Travel i upp till 30 dagar och rotation av R2-säkerhetskopior i upp till 35 dagar.
4. Återställningstester och kontinuitetsrutiner.
5. Primära säkerhetskopior finns kvar hos samma leverantör och presenteras inte som fullständig katastrofåterställning i ett separat konto.

7. Säker utveckling och ändringshantering

1. Granskning av ändringar, kontrollerade driftsättningar och skydd mot sammanblandning av miljöer.
2. Funktionstester samt integritets- och isoleringstester.
3. Uppdateringar av beroenden och hantering av sårbarheter som är anpassade till risken.
4. Incidentrutiner och kontakt via security@ariveno.com.

8. Radering och registrerades rättigheter

1. Konfigurerbar lagringstid och raderingsjobb.
2. Ett integritetscenter som hanterar tillgång, rättelse, begränsning, radering och portabilitet.
3. Oåterkallelig anonymisering där fullständigt avlägsnande av identifierare med bibehållen statistisk konsekvens är lämpligt.
4. Status och bevis på fullgörande utan att lagra hela begärans innehåll om det inte behövs.