Vad är ett personuppgiftsbiträdesavtal?

Ett personuppgiftsbiträdesavtal är ett dokument som beskriver hur en leverantör hanterar personuppgifter för ett företags räkning. Det är ett lagkrav enligt GDPR (EU:s dataskyddsförordning) när ett företag överlåter behandlingen av kunders eller medarbetares uppgifter till en extern leverantör – till exempel ett digitalt kassasystem eller bokningssystem.

I avtalet fastställs bland annat vilka typer av uppgifter som behandlas, hur de lagras, vem som har tillgång till dem och hur leverantören ser till att uppgifterna inte missbrukas eller läcker ut. Det hjälper till att dokumentera att behandlingen av personuppgifter sker på ett ansvarsfullt sätt och enligt gällande dataskyddsregler.

Ett konkret exempel:

Tänk dig att du driver ett kafé och använder ett kassasystem som sparar uppgifter om dina kunder – till exempel namn, telefonnummer och eventuella allergier i samband med bordsbokningar. Uppgifterna lagras av systemleverantören i molnet. Då måste du ha ett personuppgiftsbiträdesavtal med leverantören som beskriver hur de skyddar och hanterar dina kunders uppgifter.

Varför är det viktigt för dig som krögare?

När du samlar in och lagrar personuppgifter – till exempel från kunder som bokar bord online eller får nyhetsbrev – ansvarar du för att uppgifterna behandlas lagligt. Men om du använder en IT-lösning som hanterar uppgifterna åt dig blir den tekniska leverantören personuppgiftsbiträde. Därför är det ditt ansvar att se till att ni har ett korrekt och uppdaterat personuppgiftsbiträdesavtal.

Saknas avtalet riskerar du att bryta mot GDPR, vilket kan leda till böter eller förlorat förtroende hos kunderna. Avtalet är därför en grundsten i arbetet med digital compliance och dataskydd.

Hur används personuppgiftsbiträdesavtal i Flexybox?

På Flexybox tar vi dataskydd på allvar. När vi levererar vårt kassa- eller bokningssystem till restauranger, kaféer och liknande ingår vi alltid ett personuppgiftsbiträdesavtal med våra kunder. På så sätt säkerställer vi att alla kunduppgifter behandlas enligt GDPR och att krögaren uppfyller sina juridiska skyldigheter som personuppgiftsansvarig. Det är en viktig del av vårt arbete med att ge dig och dina gäster en trygg och professionell drift.

Vanliga frågor

Ja, om leverantören behandlar personuppgifter för ditt företags räkning – till exempel kunddata eller uppgifter om medarbetare – är ett personuppgiftsbiträdesavtal ett lagkrav.

Du som äger en restaurang eller ett kafé är personuppgiftsansvarig, eftersom du bestämmer syftet med och medlen för behandlingen av personuppgifter. Ett personuppgiftsbiträde är en tredje part som behandlar uppgifterna för din räkning.

Din leverantör av IT-lösningar (till exempel kassasystem) bör erbjuda ett personuppgiftsbiträdesavtal som en del av kontraktet. Det är ditt ansvar att se till att det uppfyller kraven i GDPR.

Ett saknat personuppgiftsbiträdesavtal kan innebära att du inte följer GDPR, vilket kan leda till juridiska följder och böter.