1. Genstand og roller

Kunden er dataansvarlig i henhold til art. 4, nr. 7, GDPR for de personoplysninger, som kunden eller hans brugere behandler i STRYK (»Behandlede data«). Nextpulse behandler Behandlede data som databehandler.

Genstand for behandlingen er levering, drift, vedligeholdelse, sikkerhedskopiering og support af STRYK i henhold til hovedaftalen, herunder testaftaler.

For egne formål – aftaleadministration, fakturering, identitetskonti hos Nextpulse ID, platformens sikkerhed, misbrugsforebyggelse og retsforfølgning – handler Nextpulse som egen dataansvarlig; disse behandlinger beskrives i privatlivspolitikken.

2. Varighed

Aftalen gælder for hovedaftalens løbetid inklusive overgangs- og hentningsperioden efter aftaleophør og derudover, så længe Nextpulse behandler Behandlede data, indtil de slettes efter punkt 14.

3. Behandlingens art og formål

Behandlingens art: indsamling, registrering, lagring, ordning, tilpasning, forespørgsel, anvendelse, videregivelse til modtagere valgt af kunden, sammenstilling, begrænsning, sikkerhedskopiering, genoprettelse og sletning. Formålet er at levere de funktioner, kunden anvender, navnlig:

hotelstyring: reservationer, værelser, belægning, housekeeping, gæsteprofiler, fakturaer, betalingsstatus, finansposteringer, analyser og medarbejderorganisering;
Booking Engine, gæstehjemmeside, online check-in, gæsteportal og kiosk, herunder registrering af indberetnings- og identitetsdata, for så vidt kunden aktiverer disse funktioner;
gæstekommunikation pr. e-mail og i øvrige kanaler, herunder AI-understøttet analyse, svarforslag og automatiske svar, for så vidt aktiveret;
distribution af tilgængeligheder, priser og reservationer via Channel Manager, for så vidt aktiveret;
tilslutning af betalings-, kasse-, bank- og øvrige systemer, for så vidt kunden aktiverer dem;
dataoverførsel fra forsystemer, fejlanalyse, support og sikkerhedsforanstaltninger, for så vidt det er nødvendigt for ydelsen.

4. Registrerede personer og datakategorier

Gæster, medrejsende, bestillere og interessenter: identitets- og kontaktoplysninger, opholds- og bookingdata, præferencer, kommunikationsindhold, faktura- og betalingsstatusdata, indberetnings- og gæstefortegnelsesdata.
Identitetsdata: oplysninger fra rejsedokumenter og afbildninger af identitetsdokumenter, for så vidt kunden anvender den tilsvarende funktion.
Kundens medarbejdere og brugere: navn, kontaktoplysninger, rolle, tjeneste- og opgavetildeling, aktivitets- og adgangslogs.
Forretningskontakter, firmakunder, leverandører og partnere: stam-, kontakt-, aftale- og faktureringsdata.
Særlige kategorier af personoplysninger i henhold til art. 9 GDPR, f.eks. helbredsoplysninger i gæsteønsker, kun hvis kunden beslutter at registrere sådanne data og har et retsgrundlag hertil.
Behandles ikke: fulde kortnumre, kortkontrolcifre og netbankadgangsoplysninger; betalingsmidler behandles af kundens betalingstjenesteudbyder.

5. Instrukser

Nextpulse behandler Behandlede data kun efter dokumenteret instruks fra kunden, herunder for så vidt angår overførsel til tredjelande, medmindre Nextpulse er forpligtet til behandling i henhold til EU-retten eller medlemsstatens ret; i så fald underretter Nextpulse kunden om disse retlige krav før behandlingen, for så vidt retten ikke forbyder det.

Hovedaftalen, denne aftale og kundens konfiguration og anvendelse af funktionerne udgør instrukserne. Enkeltinstrukser gives i tekstform.

Mener Nextpulse, at en instruks er i strid med databeskyttelsesbestemmelserne, underretter Nextpulse straks kunden og må suspendere udførelsen, indtil instruksen er bekræftet eller ændret.

6. Fortrolighed

Nextpulse garanterer, at de personer, der er bemyndiget til at behandle data, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. Adgang til Behandlede data sker kun, for så vidt det er nødvendigt for drift, sikkerhed eller support. Ændrende supportforanstaltninger i platformsadministrationen registreres med begrundelse.

7. Behandlingens sikkerhed

Nextpulse træffer de tekniske og organisatoriske foranstaltninger, der er nødvendige efter art. 32 GDPR. De er beskrevet i punkt 17. Nextpulse må tilpasse foranstaltningerne til den tekniske udvikling, for så vidt beskyttelsesniveauet ikke underskrides.

8. Underdatabehandlere

Kunden giver en generel godkendelse til at anvende de virksomheder, der er nævnt i listen over underdatabehandlere. Nextpulse underretter kunden mindst 30 dage før anvendelsen af en ny underdatabehandler eller udskiftningen af en eksisterende underdatabehandler i tekstform.

Kunden kan gøre indsigelse mod ændringen inden for 14 dage efter modtagelsen af underretningen af en væsentlig databeskyttelsesmæssig grund i tekstform. Parterne bestræber sig på en mindelig løsning. Lykkes dette ikke, kan kunden opsige den berørte aftale eller aftaledel på tidspunktet for anvendelsen; forudbetalte vederlag for tiden derefter refunderes forholdsmæssigt.

Er en udskiftning nødvendig på kort varsel for at afværge en akut sikkerheds- eller tilgængelighedsfare, underretter Nextpulse straks efterfølgende; indsigelses- og opsigelsesretten gælder tilsvarende.

Nextpulse pålægger hver underdatabehandler kontraktligt i det væsentlige de samme databeskyttelsesforpligtelser, som er fastlagt i denne aftale, og hæfter over for kunden for overholdelsen heraf.

9. Registreredes rettigheder

Nextpulse bistår Kunden med passende tekniske og organisatoriske foranstaltninger ved besvarelsen af anmodninger fra registrerede, primært gennem de funktioner, der er tilgængelige i STRYK, navnlig til berigtigelse, eksport af data samt sletning eller anonymisering af gæsteprofiler. Er disse funktioner ikke tilstrækkelige til en anmodning, stiller Nextpulse på Kundens anmodning inden for ti arbejdsdage den registreredes data, der behandles på Kundens vegne, til rådighed i et almindeligt anvendt, maskinlæsbart format, eller sletter dem. Henvender en registreret sig direkte til Nextpulse, videresender Nextpulse anmodningen til Kunden inden for fem arbejdsdage og besvarer den ikke selv, medmindre loven kræver det.

10. Bistand ved sikkerhed, konsekvensanalyse og forhåndsdrøftelse

Nextpulse bistår kunden under hensyntagen til behandlingens art og de tilgængelige oplysninger med overholdelsen af forpligtelserne efter art. 32 til 36 GDPR, navnlig ved at levere oplysninger til en konsekvensanalyse vedrørende databeskyttelse og ved forudgående høring af tilsynsmyndigheden.

Bistand, der går ud over levering af eksisterende oplysninger og funktioner og ikke er foranlediget af en overtrædelse fra Nextpulses side, kan Nextpulse efter forudgående underretning afregne til rimelige satser.

11. Brud på persondatasikkerheden

Nextpulse anmelder et brud på sikkerheden for Behandlede data til kunden straks, og senest inden for 48 timer efter at have fået kendskab til det. Anmeldelsen sendes til den af kunden angivne kontaktadresse.

Anmeldelsen indeholder, for så vidt det er tilgængeligt, en beskrivelse af bruddets art, kategorierne og det ca. antal berørte personer og datasæt, de sandsynlige konsekvenser samt de trufne eller foreslåede foranstaltninger og et kontaktpunkt. Oplysninger, der endnu ikke er tilgængelige, eftersendes straks.

Beslutningen om anmeldelser til tilsynsmyndigheden og underretning af registrerede træffes af kunden. En anmeldelse er ingen anerkendelse af en pligtforsømmelse.

12. Behandlingssteder og overførsler til tredjelande

Behandlede data behandles fortrinsvis i Den Europæiske Union eller i Det Europæiske Økonomiske Samarbejdsområde. Enkelte underdatabehandlere behandler data også i tredjelande, navnlig i USA; listen over underdatabehandlere angiver sted og overførselsgrundlag for hver udbyder.

Overførsler til tredjelande sker kun under betingelserne i art. 44 ff. GDPR, navnlig på grundlag af en afgørelse om tilstrækkeligt beskyttelsesniveau såsom EU-US Data Privacy Framework for certificerede modtagere eller af Europa-Kommissionens standardkontraktbestemmelser med de nødvendige supplerende foranstaltninger. Hvor en afgørelse om tilstrækkeligt beskyttelsesniveau anvendes, aftaler Nextpulse, for så vidt det er muligt, standardkontraktbestemmelser som supplerende grundlag.

13. Dokumentation og kontrol

Nextpulse stiller alle nødvendige oplysninger til rådighed for kunden til dokumentation af overholdelsen af denne aftale, navnlig en aktuel beskrivelse af de tekniske og organisatoriske foranstaltninger og tilgængelig dokumentation fra underdatabehandlerne.

Kunden eller en revisor, som han har bemyndiget, og som er underlagt tavshedspligt og ikke er konkurrent til Nextpulse, kan gennemføre gennemgange, herunder inspektioner. Regelmæssige gennemgange finder højst én gang årligt sted med et forudgående varsel på mindst 30 dage. Ved et brud på sikkerheden for Behandlede data, et påbud fra tilsynsmyndigheden eller konkrete holdepunkter for en overtrædelse er yderligere gennemgange tilladt med rimeligt forudgående varsel.

Gennemgange sker i kontortiden uden unødig forstyrrelse af driften og under iagttagelse af fortroligheden af andre kunders data. Kunden bærer sine omkostninger; viser gennemgangen en væsentlig overtrædelse fra Nextpulses side, bærer Nextpulse de rimelige omkostninger.

14. Tilbagelevering og sletning

I aftalens løbetid kan kunden hente Behandlede data via de tilgængelige eksportfunktioner. Efter aftaleophør holder Nextpulse Behandlede data klar til tilbagelevering i overgangs- og hentningsperioden efter B2B-SaaS-AGB; for så vidt adgangen til STRYK ikke længere består, stiller Nextpulse efter anmodning en eksport til rådighed.

Efter udløbet af hentningsperioden sletter Nextpulse Behandlede data straks, og senest inden for 90 dage, medmindre EU-retten eller medlemsstatens ret pålægger Nextpulse selv at lagre dem. Består en sådan pligt, spærrer Nextpulse de berørte data og behandler dem kun til dette formål. Sikkerhedskopier overskrives i den almindelige sikkerhedskopieringscyklus, senest efter 90 dage, og anvendes indtil da ikke længere til den løbende drift. Efter anmodning bekræfter Nextpulse sletningen i tekstform.

Kundens lovbestemte opbevaringspligter, f.eks. efter BAO, UGB eller Meldegesetz, påhviler kunden; han opfylder dem på grundlag af tilbageleveringen henholdsvis eksporterne. Nextpulse opbevarer ikke Behandlede data for kunden efter aftaleophør, medmindre kunden udtrykkeligt bestiller dette særskilt som en egen ydelse med fastlagt varighed. Nextpulses egne aftale-, afregnings- og dokumentationsdata er ikke Behandlede data.

15. Anonymiserede data

Nextpulse må anonymisere Behandlede data, for så vidt det er nødvendigt for at levere, sikre og forbedre STRYK, og anvende de anonymiserede data uden slutninger om fysiske personer eller den enkelte kunde. Behandlede data anvendes ikke til træning af AI-modeller.

16. Forrang og ansvar

For spørgsmål om databeskyttelse går denne aftale forud for de øvrige kontraktdokumenter, undtagen individuelle regler, der udtrykkeligt henviser til en bestemt regel i denne aftale; en afvigelse fra art. 28 GDPR til kundens skade aftales ikke.

Ufravigeligt ansvar efter GDPR udelukkes eller begrænses ikke. Mellem parterne sker udligningen efter art. 82, stk. 5, i GDPR; herfor og i øvrigt gælder ansvarsbestemmelserne i B2B-SaaS-AGB, herunder deres begrænsninger ved let uagtsomhed.

17. Bilag: tekniske og organisatoriske foranstaltninger

De følgende foranstaltninger beskriver den aktuelle status. De kontrolleres regelmæssigt og videreudvikles.

Mandantadskillelse: hver kundes data er mærket med kundereference; databasen håndhæver adskillelsen ud over applikationslogikken ved hjælp af rækkesikkerhedspolitikker (Row Level Security), som ikke kan omgås for applikationsrollen.
Adgangskontrol: brugerlogin via Nextpulse ID med OpenID Connect; understøttelse af en andenfaktor; for følsomme administrative handlinger i platformsadministrationen kræves fornyet login med andenfaktor. Enhedskonti til kioskfunktioner er begrænset til den respektive virksomhed.
Adgangsstyring: rollebaserede rettigheder efter nødvendighedsprincippet med serverside kontrol af hver forespørgsel; ikke tildelte adgange afvises. Supportforanstaltninger udføres via platformsadministrationen; ændrende foranstaltninger kræver begrundelse og registreres.
Transmissionskontrol: adgang til STRYK via internettet sker udelukkende krypteret med TLS. E-mails overføres transportkrypteret, for så vidt den modtagende server understøtter dette. Adgangshemmeligheder til tilsluttede tredjepartssystemer lagres krypteret.
Kryptering af hvilende data: sikkerhedskopier lagres krypteret. For særligt beskyttelseskrævende indhold såsom afbildninger af identitetsdokumenter anbefaler Nextpulse, at registreringen begrænses til det lovbestemt nødvendige, og at der fastsættes slettefrister.
Slettefrister: for data fra online check-in, herunder registrerede identitetsdata, kan kunden fastsætte en slettefrist i STRYK. Den er som standard ikke aktiveret; fastsættelsen af slettefrister påhviler kunden som dataansvarlig.
Uploads: uploadede filer kontrolleres for skadelig software, inden de behandles.
Inputkontrol og logning: logning af sikkerheds- og fagrelevante handlinger; logs indeholder ingen adgangskoder, tokens eller adgangshemmeligheder.
Tilgængelighedskontrol: daglige sikkerhedskopier, som lagres krypteret på et fra produktionsdriften adskilt lagringssted; dokumenterede genoprettelsesprocedurer; begrænsning af anonyme forespørgsler mod overbelastning og misbrug.
Adskillelseskontrol: adskillelse af udviklings-, test- og produktionsmiljøer; ingen produktive adgangsoplysninger i kildekoden.
Organisatoriske foranstaltninger: forpligtelse til fortrolighed, begrænsning af administrative adgange til berettigede personer, procedurer for sikkerhedsopdateringer og for håndtering af sikkerhedshændelser.