Personuppgiftsbiträdesavtal

• Personuppgiftsansvarig: verksamheten som innehar kontot i Stampaz, med de juridiska uppgifter den anger under Inställningar.
• Personuppgiftsbiträde: Miranda Network, S.L., NIF B-75866194, säte: Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), kontakt: support@mirandanetwork.es.

Biträdet behandlar uppgifterna endast för att tillhandahålla tjänsten för stamkort: registrering av kunder, hantering av stämplar, poäng och belöningar, utfärdande och uppdatering av kort i Apple Wallet och Google Wallet, utskick av de notiser den ansvarige beslutar, statistik och hantering av kundernas rättigheter.

Behandlingar: insamling, registrering, lagring, läsning, ändring, utlämnande till Apple och Google för att utfärda kortet, export och radering.

Uppdraget varar så länge verksamheten har ett konto i Stampaz.

• Registrerade: den ansvariges kunder som går med i dess lojalitetsprogram och medlemmar i dess team som använder skannern.
• Uppgifter: namn; e-post, telefon och födelsedag om den ansvarige ber om dem; historik över besök, stämplar, poäng och belöningar; inställning för erbjudanden; bevis på samtycke (datum, tid och textversion); kortets tekniska identifierare.
• Inga särskilda kategorier av personuppgifter eller platsuppgifter behandlas: närhetspåminnelsen avgörs av kundens mobil.

Den ansvarige ger sina instruktioner via inställningarna i sin panel: vilka uppgifter som efterfrågas, vilka notiser som skickas, hur länge inaktiva kunder sparas (mellan 6 och 60 månader) och vilken juridisk information som visas för kunden. När kunden går med ser hen ett första informationslager med den ansvariges uppgifter, och Stampaz sparar beviset på samtycket.

Om biträdet anser att en instruktion strider mot gällande regler meddelar det den ansvarige.

• Behandla uppgifterna endast enligt den ansvariges dokumenterade instruktioner och inte använda dem för egna ändamål.
• Säkerställa sekretess för de personer som har behörighet att behandla uppgifterna.
• Tillämpa säkerhetsåtgärderna i artikel 32 GDPR: kryptering vid överföring, isolering av uppgifter per verksamhet, åtkomstkontroll, säkerhetskopior och åtkomstloggning.
• Hjälpa den ansvarige att tillgodose de registrerades rättigheter. Kunderna kan rätta och ladda ner sina uppgifter, sluta få erbjudanden och radera allt från sitt kort; förfrågningar som når biträdet vidarebefordras till den ansvarige utan dröjsmål.
• Underrätta den ansvarige om personuppgiftsincidenter utan onödigt dröjsmål och i alla händelser inom högst 48 timmar från det att biträdet fått kännedom om dem, med tillgänglig information.
• Vid behov hjälpa den ansvarige med konsekvensbedömningar och samråd med tillsynsmyndigheten.
• Ge den ansvarige den information som behövs för att visa efterlevnad och möjliggöra rimliga granskningar, med 30 dagars förvarning och på den ansvariges bekostnad.
• Föra register över behandlingar i egenskap av biträde.

Den ansvarige ger ett allmänt godkännande till följande underbiträden:

• Supabase: databas, autentisering och lagring (drift inom EU).
• Vercel: drift av applikationen, som körs i dess region Frankfurt (Europeiska unionen).
• Apple och Google: utfärdande och uppdatering av korten i deras Wallets (endast kortets innehåll: namn, stämplar eller poäng och kod).

Vi meddelar alla ändringar av underbiträden minst 15 dagar i förväg så att den ansvarige kan invända; om den invänder och det inte finns något alternativ kan den säga upp avtalet. Varje underbiträde omfattas av motsvarande skyldigheter. Överföringar utanför EES sker med skyddsåtgärderna i kapitel V i GDPR (beslut om adekvat skyddsnivå, som EU–US Data Privacy Framework, eller standardavtalsklausuler).

• Fylla i sina juridiska uppgifter under Inställningar, informera sina kunder och ha en giltig rättslig grund.
• Skicka erbjudanden bara till dem som godkänt det och inte missbruka notiserna.
• Se till att personalen följer GDPR och skyddar åtkomsten till skannern.

När prenumerationen upphör raderar biträdet automatiskt alla uppgifter efter 30 dagar. Under den tiden kan den ansvarige exportera dem (JSON). Om den ansvarige raderar sitt konto sker raderingen omedelbart. Endast uppgifter som lagen kräver att vi sparar behålls spärrade.