Personuppgiftsbiträdesavtal

Version 1.0 · Gäller från 2026-10-01

Avtalet gäller mellan verksamheten ("personuppgiftsansvarig", "ni") och Superia Fitness AB, org.nr 556802-2049 ("personuppgiftsbiträde", "Stamgäst", "vi"), och är en del av avtalet om Stamgäst. Begrepp som personuppgift, behandling och underbiträde har samma betydelse som i EU:s dataskyddsförordning (GDPR).

1. Vad avtalet gäller

Vi behandlar personuppgifter för er räkning för att tillhandahålla tjänsten Stamgäst: stämpelkort, stämplingar och de erbjudanden ni skickar till era gäster. Avtalet gäller så länge vi behandlar personuppgifter för er räkning.

2. Uppgifter och registrerade

Registrerade är era gäster och er personal. Uppgifterna omfattar det som gästen lämnar i tjänsten, som e-postadress och, om gästen lämnar dem, namn, telefonnummer och födelsedag (dag och månad), kortets stämplingshistorik, gästens val om erbjudanden samt tekniska uppgifter som behövs för tjänsten. För personal omfattar uppgifterna namn, e-postadress, inloggning och uppgift om vilken stämpling personen gjort.

3. Våra skyldigheter

Vi behandlar uppgifterna bara efter era dokumenterade instruktioner. Dessa avtal och er användning av tjänsten utgör instruktionerna. Vi meddelar er om vi anser att en instruktion strider mot dataskyddslagstiftningen.

Personer som behandlar uppgifterna hos oss har tystnadsplikt.

4. Säkerhet

Vi skyddar uppgifterna med lämpliga tekniska och organisatoriska åtgärder, bland annat kryptering vid överföring och lagring, behörighetsstyrning så att en verksamhet bara når sina egna gäster, loggning av åtkomst och regelbundna säkerhetskopior. Åtgärderna kan uppdateras så länge skyddsnivån inte försämras.

5. Underbiträden

Ni ger oss ett allmänt godkännande att anlita underbiträden. De aktuella listas på stamgast.se/underleverantorer. Vi meddelar er med e-post minst 30 dagar innan vi lägger till eller byter underbiträde. Ni kan invända mot en ändring på sakliga grunder. Vi ställer samma krav på underbiträdena som ställs på oss här och ansvarar för deras behandling.

6. Överföring utanför EU och EES

Uppgifterna om era gäster lagras inom EU. Skulle en överföring till land utanför EU och EES bli nödvändig sker den bara med lagliga skyddsåtgärder, som EU-kommissionens standardavtalsklausuler, och vi informerar er innan.

7. Hjälp till er

Vi hjälper er, med hänsyn till hur behandlingen ser ut, att besvara begäranden från registrerade om deras rättigheter och att uppfylla era skyldigheter om säkerhet, incidenter, konsekvensbedömningar och förhandssamråd. Får vi en begäran från en registrerad som gäller era uppgifter vidarebefordrar vi den till er utan onödigt dröjsmål. Hjälp som går utöver det rimliga får debiteras efter överenskommelse i förväg.

8. Personuppgiftsincidenter

Upptäcker vi en personuppgiftsincident som rör uppgifter vi behandlar för er räkning meddelar vi er utan onödigt dröjsmål och lämnar de uppgifter ni behöver för att kunna anmäla incidenten.

9. Radering och återlämning

När avtalet upphör raderar vi uppgifterna enligt lagringstiderna i vår integritetspolicy och i Villkor för verksamheter. På begäran lämnar vi ut uppgifterna enligt punkt 10 i Villkor för verksamheter. Vi får spara uppgifter som vi är skyldiga att spara enligt lag.

10. Kontroll

Vi ger er den information som behövs för att visa att vi följer avtalet, och medger granskning med rimligt varsel, högst en gång per år, på er bekostnad och utan att störa vår verksamhet.

11. Ansvar

Ansvarsbegränsningen i Villkor för verksamheter gäller inte i den mån tvingande lag hindrar det.

12. Roller

Vi behandlar även vissa uppgifter som egen personuppgiftsansvarig, bland annat gästens konto (inloggning och de uppgifter gästen lämnar för att skapa konto). Den behandlingen omfattas inte av detta avtal och beskrivs i vår integritetspolicy.

13. Företräde

I frågor om personuppgiftsbehandling har detta avtal företräde framför Villkor för verksamheter.