Databehandleraftale

1. Formål

1.1 Aftalen sikrer, at databehandleren behandler personoplysninger på vegne af den dataansvarlige i overensstemmelse med databeskyttelsesforordningen (EU) 2016/679 («GDPR»), særligt artikel 28, og databeskyttelsesloven.

1.2 Aftalen gælder for de personoplysninger, som hotellet og dets personale lægger i Staywarden eller lader Staywarden modtage (fx fra bookingkanaler), om hotellets gæster, kontaktpersoner og personale. Den gælder ikke for de oplysninger, Staywarden selv er dataansvarlig for (hotellets konto, abonnementsbetaling, Staywardens egen markedsføring). De står i Staywardens privatlivspolitik.

1.3 Bilag A beskriver behandlingen, bilag B underdatabehandlerne, og bilag C hotellets instruks og sikkerheden.

2. Den dataansvarliges rettigheder og pligter

2.1 Den dataansvarlige har ansvaret for, at behandlingen sker i overensstemmelse med GDPR, herunder at der er et behandlingsgrundlag, og at gæsterne får de oplysninger, de har krav på.

2.2 Den dataansvarlige beslutter, til hvilke formål og med hvilke hjælpemidler oplysningerne behandles. Det sker gennem de valg, hotellet træffer i Staywarden (hvilke funktioner og forbindelser der er slået til), og gennem denne aftale.

3. Databehandleren handler efter instruks

3.1 Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves efter EU-ret eller dansk ret. I så fald underretter databehandleren den dataansvarlige om kravet, før behandlingen sker, medmindre loven forbyder det.

3.2 Instruksen står i bilag C. Hotellets brug af panelet (fx at sende en besked, udstede en faktura eller forbinde en bookingkanal) er også instruks.

3.3 Mener databehandleren, at en instruks er i strid med GDPR eller anden databeskyttelsesret, underretter databehandleren straks den dataansvarlige.

4. Fortrolighed

4.1 Kun personer, der har brug for det for at levere tjenesten, får adgang til oplysningerne. De har tavshedspligt.

4.2 Databehandleren gennemgår løbende, hvem der har adgang, og fjerner adgangen, når den ikke længere er nødvendig.

5. Sikkerhed

5.1 Databehandleren træffer de tekniske og organisatoriske foranstaltninger, som artikel 32 kræver, under hensyn til risikoen for gæsternes rettigheder. De foranstaltninger, der gælder i dag, står i bilag C.

6. Underdatabehandlere

6.1 Den dataansvarlige giver med denne aftale en generel forhåndsgodkendelse til, at databehandleren bruger underdatabehandlere. Dem, der bruges i dag, står i bilag B.

6.2 En underdatabehandler pålægges de samme databeskyttelsesforpligtelser som i denne aftale gennem en skriftlig aftale.

6.3 Databehandleren giver den dataansvarlige besked mindst 30 dage, før en ny underdatabehandler tages i brug eller en eksisterende udskiftes. Den dataansvarlige kan gøre indsigelse. Kan parterne ikke blive enige, kan den dataansvarlige opsige abonnementet til ophør, før ændringen træder i kraft.

6.4 Databehandleren hæfter over for den dataansvarlige for underdatabehandlerens opfyldelse af sine forpligtelser.

6.5 Nogle forbindelser vælger hotellet selv og indgår selv aftale om, fx hotellets egen Stripe-konto til gæsternes kortbetalinger. Den udbyder er hotellets egen leverandør, ikke Staywardens underdatabehandler.

7. Overførsel til tredjelande

7.1 Oplysningerne opbevares i EU (Railways datacenter i Amsterdam).

7.2 Nogle underdatabehandlere er selskaber uden for EU/EØS eller kan tilgå oplysningerne derfra (bilag B). Overførsel sker kun med et gyldigt grundlag efter GDPR kapitel V, fx en afgørelse om tilstrækkeligt beskyttelsesniveau (herunder EU-U.S. Data Privacy Framework) eller EU-Kommissionens standardkontraktbestemmelser.

8. Bistand til den dataansvarlige

8.1 Databehandleren hjælper den dataansvarlige med at opfylde gæsternes rettigheder (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse). Meget af det kan hotellet gøre selv i panelet. Ellers skriver hotellet til al@staywarden.com.

8.2 Henvender en gæst sig direkte til databehandleren om hotellets oplysninger, sender databehandleren henvendelsen videre til hotellet og svarer ikke selv på den.

8.3 Databehandleren hjælper i rimeligt omfang med konsekvensanalyser og forudgående høring af Datatilsynet (artikel 35 og 36).

9. Brud på persondatasikkerheden

9.1 Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at have opdaget et brud på persondatasikkerheden, der omfatter hotellets oplysninger.

9.2 Underretningen beskriver, så vidt det er muligt: hvad der er sket, hvilke kategorier og omtrent hvor mange gæster og oplysninger det drejer sig om, de sandsynlige konsekvenser, og hvad der er gjort eller foreslås gjort. Oplysninger, der ikke kendes endnu, eftersendes.

9.3 Databehandleren hjælper den dataansvarlige med at anmelde bruddet til Datatilsynet og med at underrette gæsterne, hvis det er nødvendigt.

10. Dokumentation og revision

10.1 Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at vise, at aftalen overholdes. En skriftlig redegørelse for sikkerheden får den dataansvarlige gratis én gang om året.

10.2 Den dataansvarlige, eller en uafhængig revisor med tavshedspligt, kan foretage en revision med mindst 30 dages skriftligt varsel. Den dataansvarlige afholder sine egne omkostninger og databehandlerens rimelige tidsforbrug ved en fysisk revision.

11. Ophør og sletning

11.1 Når hotellet lukker sin konto eller sletter hotellet, sletter databehandleren hotellets oplysninger fra den aktive database inden for 30 dage. Før det kan hotellet eksportere sine data fra panelet.

11.2 Sikkerhedskopier er krypterede og slettes automatisk 90 dage efter, at de er taget. Oplysninger, der er slettet fra den aktive database, er derfor væk fra sikkerhedskopierne senest 90 dage efter sletningen.

11.3 Undtaget er oplysninger, som databehandleren efter lovgivningen skal opbevare, fx fakturaer og andre bogføringsbilag udstedt i Staywarden. De opbevares, så længe loven kræver det, og bruges ikke til andet.

12. Ikrafttræden og ændringer

12.1 Aftalen gælder fra hotellets accept af vilkårene og så længe databehandleren behandler oplysninger for hotellet.

12.2 Ændringer i bilag B følger punkt 6.3. Andre ændringer varsles mindst 30 dage i forvejen.

12.3 Ved uoverensstemmelse mellem denne aftale og Staywardens vilkår går denne aftale forud, for så vidt angår behandling af personoplysninger.

12.4 Aftalen er underlagt dansk ret.

Bilag A — Behandlingen

Formål: at levere Staywarden til hotellet. Det omfatter kalender og bookinger, bookingside og hjemmeside, gæsteside, beskeder med gæster (e-mail, WhatsApp, bookingkanaler), betalinger, fakturaer, opgaver og personale, ture, markedsføring til gæster, der har givet samtykke, og The Warden (AI-assistent).

Behandlingens art: opbevaring, visning, søgning, afsendelse og modtagelse af beskeder, synkronisering med bookingkanaler, beregninger (priser, belægning, økonomi), oversættelse og svarudkast med AI, sletning.

Kategorier af registrerede: hotellets gæster og deres medrejsende, kontaktpersoner hos bureauer og partnere, guider og leverandører, hotellets personale.

Gæster: navn, e-mail, telefonnummer, land, sprog, opholdets datoer, værelse, antal personer, beløb og betalingsstatus, beskeder, ønsker og noter, som hotellet skriver, og tilmelding til nyhedsbrev. Slår hotellet gæstens registrering til: ID-dokument (navn og pas- eller ID-kortnummer). Sælger hotellet ture, der kræver en parktilladelse: hver rejsendes navn, nationalitet og pasnummer.

Bureauer og partnere: kontaktoplysninger og det, bureauet indtaster via sit link (gæstens navn, datoer, antal personer, bureauets reference og note).

Personale: navn, rolle, e-mail, profilbillede, hvis de selv lægger et ind, beskeder i holdets chat, og arbejdstid og timeløn, hvis hotellet bruger timesedler.

Kortoplysninger behandles ikke af Staywarden. De går direkte til hotellets betalingsudbyder.

Følsomme oplysninger (artikel 9) skal ikke lægges i Staywarden. Skriver en gæst sådanne selv i en besked, behandles de kun som en del af beskeden.

Varighed: så længe hotellet bruger Staywarden, og derefter som i punkt 11.

Bilag B — Underdatabehandlere

Railway Corporation (USA). Servere, database og de krypterede sikkerhedskopier. Lageret til sikkerhedskopierne drives af Railways leverandør Tigris. Hvor: datacenter i Amsterdam (EU); Railway er et amerikansk selskab. Grundlag: EU-U.S. Data Privacy Framework (certificeret siden 15. marts 2024) og standardkontraktbestemmelser i Railways databehandleraftale.

Resend (Plus Five Five, Inc., USA). Sender e-mails til gæster og personale. Hvor: USA. Grundlag: EU-U.S. Data Privacy Framework og standardkontraktbestemmelser i Resends databehandleraftale.

Anthropic (Anthropic Ireland, Limited for kunder i EU). The Warden og AI-funktionerne: svarudkast til gæstebeskeder, oversættelse af hjemmesidens tekster og læsning af bilag og filer, som hotellet giver den. Hvor: opbevares i USA. Grundlag: standardkontraktbestemmelser (modul 2 og 3) i Anthropics databehandleraftale.

Cloudflare, Inc. (USA). Kun hvis hotellet sender sin mail videre til Staywardens indbakke: modtager e-mails og sender dem til Staywarden. Hvor: Cloudflares globale netværk. Grundlag: EU-U.S. Data Privacy Framework og standardkontraktbestemmelser i Cloudflares databehandleraftale.

Channex.io LTD (England). Kun hvis hotellet slår det til: bookingkanaler (navne, datoer og beløb på bookinger). Hvor: EU (AWS og DigitalOcean). Grundlag: EU-Kommissionens afgørelse om tilstrækkeligt beskyttelsesniveau i Storbritannien (gælder til 27. december 2031).

Meta Platforms Ireland. Kun hvis hotellet slår det til: WhatsApp-beskeder. Hvor: Irland (EU). Grundlag: ikke nødvendigt inden for EU; Meta kan overføre videre efter egne vilkår.

Google LLC (USA). Kun hvis personalet slår notifikationer til: notifikationer på Android og i browseren (Firebase Cloud Messaging). Hvor: Googles globale netværk. Grundlag: EU-U.S. Data Privacy Framework; standardkontraktbestemmelser som reserve i Firebases databehandlervilkår.

Apple Inc. (USA). Kun hvis personalet slår notifikationer til: notifikationer på iPhone og i Safari (Apple Push Notification service). Hvor: ikke oplyst. Grundlag: ikke afklaret endnu. Apple tilbyder ingen databehandlervilkår for notifikationer og står ikke på Data Privacy Framework-listen.

Ikke underdatabehandlere: hotellets egen Stripe-konto (hotellets leverandør, punkt 6.5) og Revolut, der behandler hotellets betaling af abonnementet til Staywarden. Der er Staywarden selv dataansvarlig.

Bilag C — Instruks og sikkerhed

Instruks: Databehandleren behandler oplysningerne for at levere de funktioner, hotellet bruger i Staywarden, som beskrevet i bilag A, og i øvrigt efter hotellets handlinger i panelet. Oplysningerne bruges ikke til databehandlerens egne formål og sælges ikke. AI-leverandøren må efter sine vilkår for erhvervskunder ikke bruge dem til at træne sine modeller (Anthropic, Commercial Terms afsnit B, gældende fra 17. juni 2025).

Sikkerhed i dag: Data opbevares i EU (Amsterdam), og al trafik er krypteret (HTTPS/TLS).

Adgangskoder og sessionsnøgler gemmes kun som hash. Nøgler til tredjeparter, som hotellet forbinder, gemmes krypteret.

Adgang styres med roller. Ejeren bestemmer, hvem på holdet der ser hvad, og kan give andre lov til at styre holdet. Ingen kan give mere adgang, end de selv har. En bogholder kan få læseadgang alene.

Sikkerhedskopier tages hver nat og krypteres (AES-256-GCM), før de gemmes. De ligger i et lager i EU (Amsterdam), hver kopi hentes igen og åbnes som kontrol, og de slettes automatisk efter 90 dage.

Hvert hotels data er knyttet til hotellet, og kun hotellets egne brugere får adgang til dem.

Adgang til produktionen har kun de personer hos Staywarden, der driver tjenesten.