Personuppgiftsbiträdesavtal

1. Uppgifter om behandlingen

• Ämne och varaktighet: att tillhandahålla Carreh for Business under avtalstiden och till dess radering enligt avsnitt 10.
• Art och syfte: att vara värd för, organisera, läsa (inklusive med AI), visa, exportera och radera rese- och utläggsregister, enligt hur Kunden konfigurerar och instruerar.
• Registrerade: Kunders anställda, uppdragstagare och andra användare, samt personer som namnges i deras rese- och utläggsunderlag.
• Personuppgifter: identitets- och kontaktuppgifter, roll och avdelning, reseförfrågningar, resplaner, bokningar och resedokument, kvitton, utlägg, återbetalningar, godkännanden och kommentarer, inloggningsposter.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Instruktioner

Carreh behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner, vilka utgörs av Villkoren, detta DPA och Kundens användning och konfiguration av Tjänsten, om inte EU-lagstiftning eller nationell lagstiftning kräver annat; i så fall informerar Carreh Kunden först om lagen inte förbjuder det. Carreh meddelar Kunden om Carreh anser att en instruktion är olaglig.

3. Sekretess

Alla på Carreh som har behörighet att behandla personuppgifterna omfattas av sekretess.

4. Säkerhet

Carreh genomför de tekniska och organisatoriska åtgärderna i bilaga 1 och håller dem lämpliga i förhållande till risken. Carreh får uppdatera dem förutsatt att den övergripande skyddsnivån inte minskar.

5. Underbiträden

Kunden ger Carreh tillstånd att använda underbiträdena som listas här. Carreh meddelar arbetsytans ägare minst 30 dagar i förväg via e-post om ett nytt underbiträde. Kunden kan invända av rimliga skäl som rör dataskydd; om ingen lösning hittas kan Kunden avsluta den berörda Tjänsten och få återbetalning av förskottsbetalda avgifter för den återstående perioden. Carreh ålägger varje underbiträde dataskyddsförpliktelser som motsvarar detta DPA och ansvarar fortfarande för dem.

6. Internationella överföringar

När personuppgifter överförs utanför Europeiska ekonomiska samarbetsområdet till ett land utan adekvathetsbeslut förlitar sig Carreh på Europeiska kommissionens standardavtalsklausuler, med kompletterande åtgärder vid behov.

7. Support

Med hänsyn till behandlingens art hjälper Carreh Kunden att besvara begäranden från registrerade (Tjänsten låter Ägare och Admins hitta, exportera, korrigera och radera poster), samt med säkerhet, anmälningar om intrång, konsekvensbedömningar och samråd med tillsynsmyndigheter.

8. Personuppgiftsincidenter

Carreh meddelar kunden utan onödigt dröjsmål, och senast 48 timmar efter att ha fått kännedom om en personuppgiftsincident som påverkar kundens personuppgifter, med den information som finns tillgänglig vid tillfället, och uppdaterar den sedan allt eftersom utredningen fortskrider.

9. Retur och radering

Kunden kan exportera sina data när som helst. När avtalet upphör har Kunden 30 dagar på sig att exportera; Carreh raderar därefter personuppgifterna inom 90 dagar, utom när EU-lagstiftning eller medlemsstatslagstiftning kräver att de behålls. Säkerhetskopior skrivs över enligt sitt normala schema.

10. Revisioner

Carreh tillhandahåller den information som behövs för att visa efterlevnad av detta DPA. Kunden får granska en gång per år, med 30 dagars skriftligt varsel, under kontorstid, under sekretess och på egen bekostnad, eller förlita sig på aktuella oberoende certifieringar av Carrehs underbiträden där de omfattar behandlingen.

11. Ansvar och prioritet

Ansvarsbegränsningarna i Villkoren gäller för detta personuppgiftsbiträdesavtal, i den utsträckning lagen tillåter. För behandling av personuppgifter har detta personuppgiftsbiträdesavtal företräde framför Villkoren.

12. Bilaga 1: tekniska och organisatoriska åtgärder

• Separering: Carreh for Business har egna konton, databas, lagring och nycklar, separerade från Carrehs konsumentappar. Varje företags data hålls åtskild, och varje begäran kontrolleras mot användarens företagsmedlemskap och roll.
• Åtkomstkontroll: engångskoder för inloggning skickas via e-post; sessioner lagras endast som hashvärden; Carreh-personal behöver en e-postkod och en passkey; behörig personal öppnar arbetsytans innehåll endast för att ge support, hålla tjänsten säker, förhindra bedrägerier och uppfylla rättsliga skyldigheter, och varje öppning registreras i arbetsytans åtgärdslogg.
• Övervakning: inloggningar och åtgärder registreras med nätverk och enhet; automatiska kontroller flaggar ovanliga inloggningar, dubblerade eller ändrade kvitton och missbruk, och blockerar missbrukande nätverk.
• Kryptering: TLS under överföring; kryptering i vila hos hostingleverantören; autentiseringshemligheter krypterade med AES-256-GCM; koder och tokens hashade med SHA-256 och en hemlig nyckel.
• Loggning: en append-only, manipuleringssäker åtgärdslogg över inloggningar och administrativa åtgärder.
• Motståndskraft: hanterad databas med point-in-time-återställning och säkerhetskopior; återställningsrutiner testade före lansering.
• Utveckling: kodgranskning, automatiserade tester inklusive tester som säkerställer att ett företag inte kan nå ett annat företags data; hemligheter hålls utanför källkoden.
• Minimering: inga reklamspårare; AI-leverantörer tränar inte på Kundens data.