Personuppgiftsbiträdesavtal

Detta avtal ingås mellan det företag eller den person som har skapat ett Calendo-konto ("Kunden", personuppgiftsansvarig) och tjänsteleverantören Salovuori Mikko Heikki ("Tjänsteleverantören", personuppgiftsbiträde). Det utgör en del av användarvillkoren och träder i kraft när Kunden godkänner dem. Avtalet tillämpas alltid när Tjänsteleverantören behandlar personuppgifter för Kundens räkning för att tillhandahålla bokningstjänsten Calendo.

Om du behöver en undertecknad version av avtalet kan du begära den via kundtjanst@calendo.fi.

• Ändamål: att ta emot, bekräfta, påminna om, flytta och avboka bokningar (även via AI-bokaren per textmeddelande eller WhatsApp) samt därtill hörande kommunikation, betalningar, erbjudanden som skickas med samtycke och rapportering.
• Art: insamling av uppgifter via bokningssidan, lagring, visning för Kunden, registrering i Kundens kalender, utskick av meddelanden, säkerhetskopiering och radering.
• Varaktighet: så länge Kunden använder Calendo och till dess att uppgifterna har raderats enligt punkt 12.

• Registrerade: personer som bokar tider hos Kunden, andra deltagare som bjudits in till bokningar, Kundens teammedlemmar, de kunder som Kunden har fört in i Calendo samt personer som skriver till Kundens AI-bokare.
• Personuppgifter: namn, e-postadress och telefonnummer; företagsnamn och mötesadress som registrerats i bokningen; bokad tid, mötestyp, språk och tidszon; svar på tilläggsfrågor, även bild- eller PDF-bilagor om Kundens formulär begär dem; tilläggsuppgifter; svar på påminnelser via textmeddelande eller WhatsApp; samtycke till marknadsföring och återkallelse av samtycket; betalningens belopp, status och Stripes referensnummer; månadsmedlemskap (medlemmens namn, e-postadress och språk, medlemskod, status, pris, faktureringsperiod, Stripes abonnemangs- och kundidentifierare samt använda besök); Googles boknings- och hänvisningsidentifierare för bokningar via Boka via Google; teammedlemmarnas krypterade åtkomsttoken för kalendrar; tid och rubrik för övriga händelser i Kundens och teammedlemmarnas valda kalendrar, som visas för Kunden och inte sparas; AI-bokarens samtal (telefonnummer och meddelanden); anmälningar till väntelista, respons på möten, svar på tidsförfrågningar, köp av klippkort, koder för stamkundsförmåner, Kundens kundanteckningar och mottagare av erbjudanden i sista minuten; händelseloggen i Pro-paketet.
• Särskilda kategorier av personuppgifter (såsom uppgifter om hälsa) behandlas inte, om inte Kunden själv efterfrågar dem i sina tilläggsfrågor. Kunden ansvarar då för den rättsliga grunden för behandlingen och får inte samla in onödiga uppgifter.

Kunden ansvarar för att den har en laglig grund för behandlingen, för att de som bokar informeras (Kundens namn visas på bokningssidan, och bokningssidan innehåller en länk till Calendos dataskyddsbeskrivning), för att dess instruktioner och inställningar är lagenliga samt för de tjänster som den själv har kopplat, såsom webhooks, Zapier och det egna Stripe-kontot.

• Behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Instruktionerna utgörs av detta avtal, användarvillkoren och de inställningar som Kunden har gjort i Calendo. Tjänsteleverantören underrättar Kunden om den anser att en instruktion strider mot lag.
• Använder inte personuppgifter för egna ändamål. Anonym, sammanställd statistik kan användas för att utveckla tjänsten.
• Säkerställer att de personer som behandlar personuppgifter har åtagit sig att iaktta sekretess.
• Vidtar de säkerhetsåtgärder som anges i punkt 7.
• Bistår Kunden med att besvara de registrerades begäranden samt med fullgörandet av skyldigheterna enligt artiklarna 32–36 i dataskyddsförordningen.
• Ger Kunden den information som behövs för att visa att detta avtal efterlevs.

Kunden ger ett allmänt tillstånd att anlita följande underbiträden. De som är märkta "om i bruk" behandlar uppgifter endast när Kunden aktiverar funktionen eller kopplar tjänsten.

• Cloudflare, Inc.: servrar, databas, fillagring och säkerhetskopior.
• Google LLC (om i bruk): kalenderposter, Google Meet och meddelanden via Kundens eget Google-konto; i funktionen Boka via Google mottagande av bokningar som gjorts via Google Sök eller Maps samt rapportering av deras status och bekräftade bokningar till Google.
• Microsoft Ireland Operations Ltd / Microsoft Corporation (om i bruk): kalenderposter, Microsoft Teams och meddelanden via Kundens eget Microsoft-konto.
• Twilio Inc. (om i bruk): bekräftelser och påminnelser via textmeddelande och WhatsApp, betalningslänkar, svar på påminnelser, AI-bokarens samtal och Kundens egna aviseringar via textmeddelande. WhatsApp-meddelanden förmedlas dessutom av Meta Platforms Ireland Ltd.
• Zoom Communications, Inc. (om i bruk): Zoom-möten och länkarna till dem (mötets ämne, tid och namnet på den som bokat).
• Anthropic, PBC (om i bruk): AI-sammanfattningen och AI-bokaren i Pro-paketet. Svaren och tilläggsuppgifterna i bokningen skickas endast när Kunden begär en sammanfattning; när AI-bokaren är på skickas samtalets meddelanden samt Kundens tjänster och lediga tider för att ta fram svaren. Uppgifterna används inte för att träna AI-modeller.

Google och Microsoft används med Kundens egna konton enligt villkoren mellan Kunden och dem. Betalningar som Kunden tar emot går till Kundens eget Stripe-konto, liksom abonnemangsavgifterna för månadsmedlemskap, och Stripe behandlar dem enligt sitt avtal med Kunden.

Tjänsteleverantören meddelar nya eller utbytta underbiträden minst 30 dagar i förväg på denna sida och per e-post. Kunden kan invända mot ändringen av skäl som grundar sig på dataskydd; om frågan inte kan lösas kan Kunden säga upp avtalet innan ändringen träder i kraft. Tjänsteleverantören ålägger underbiträdena motsvarande dataskyddsskyldigheter och ansvarar för dem som för sin egen verksamhet.

De åtgärder som tillämpas beskrivs på sidan calendo.fi/tietoturva. Till dem hör bland annat krypterad trafik (HTTPS, HSTS), inloggning med Google-, Microsoft- eller Apple-konto utan lösenord och en signerad sessionscookie, AES-GCM-krypterade åtkomsttoken för kalendrar, kontrollerad åtkomst per konto vid varje anrop, skydd mot missbruk av bokningsformuläret, dagliga säkerhetskopior som sparas i 30 dagar med veckovisa återställningstester samt automatisk radering av bokningar efter lagringstiden.

Tjänsteleverantören underrättar Kunden om en personuppgiftsincident utan onödigt dröjsmål och senast 48 timmar efter att ha fått kännedom om den. Underrättelsen innehåller de omständigheter som är kända: incidentens art, kategorierna av och det ungefärliga antalet registrerade, de sannolika konsekvenserna och de åtgärder som har vidtagits.

Kunden besvarar begäranden från dem som bokar, och Calendos export- och raderingsfunktioner står till dess förfogande. Den som bokar kan också själv ladda ned eller radera sina egna bokningsuppgifter på sidan calendo.fi/omat-tiedot, och Kunden underrättas om raderingen. Tjänsteleverantören vidarebefordrar utan dröjsmål begäranden som riktats till den till Kunden.

Personuppgifter får överföras till länder utanför EU/EES endast till de underbiträden som anges i punkt 6 och på de grunder som anges i kapitel V i dataskyddsförordningen, såsom ramen för dataskydd mellan EU och USA (Data Privacy Framework) eller Europeiska kommissionens standardavtalsklausuler.

Kunden har rätt att på egen bekostnad granska efterlevnaden av detta avtal högst en gång per år med 30 dagars förhandsmeddelande. Granskningen genomförs i första hand genom skriftliga redogörelser, och granskaren ska ha åtagit sig att iaktta sekretess.

• Bokningar och deras bilagor raderas automatiskt efter den lagringstid som Kunden har fastställt (som standard 365 dagar efter mötet, valbart 30–3 650 dagar).
• Händelseloggen i Pro-paketet sparas i 365 dagar, hashvärdena för missbruksskydd i 48 timmar och AI-bokarens samtal i 24 timmar efter det senaste meddelandet. Mottagare av erbjudanden i sista minuten raderas efter samma lagringstid som bokningarna.
• När kontot raderas raderas Kundens personuppgifter inom 30 dagar och ur säkerhetskopiorna när deras lagringstid (30 dagar) har löpt ut, om inte lagen kräver att de bevaras. Kunden kan exportera sina uppgifter före raderingen.

På ansvaret tillämpas artikel 82 i dataskyddsförordningen samt, i den utsträckning lagen tillåter, användarvillkorens ansvarsbegränsningar. På avtalet tillämpas finsk lag. I frågor som gäller behandling av personuppgifter har detta avtal företräde framför användarvillkoren.