Personuppgiftsbiträdesavtal

Det här personuppgiftsbiträdesavtalet är en del av våra allmänna villkor (avsnitt 5). Det gäller de personuppgifter Goboblo behandlar åt dig när din restaurang, bar eller annan verksamhet använder Goboblo — för det mesta uppgifter om dina gäster. Du behöver inte skriva under något: avtalet gäller så fort villkoren gäller. Vill du ha ett underskrivet exemplar? Skriv till help@goboblo.com.

1. Vem som är vem

Du bestämmer över dina gästers uppgifter. Du är personuppgiftsansvarig enligt GDPR. Goboblo — Strumpbudet (org.nr 880519-5115), Vestagatan 5, 416 48 Göteborg — är ditt personuppgiftsbiträde: vi behandlar uppgifterna bara åt dig, för att leverera tjänsten.

Avtalet gäller inte uppgifter som Goboblo själv bestämmer över, som ditt eget konto och dina fakturor. De står i vår integritetspolicy.

2. Vad vi behandlar, och varför

Vi behandlar de uppgifter som behövs för att driva Goboblo åt dig: bokningar, gästregistret, stämpelkort och medlemskap, beställningar och betalningar, presentkort och upplevelser, bekräftelser och påminnelser, och de funktioner du slår på. Vems uppgifter det är, vilka slags uppgifter och vad vi gör med dem står i bilaga 1. Behandlingen pågår så länge du använder Goboblo, och tills uppgifterna raderats enligt avsnitt 9.

3. Bara på dina instruktioner

Vi behandlar uppgifterna bara på dina dokumenterade instruktioner. Dina instruktioner är villkoren, det här avtalet och hur du ställer in och använder Goboblo — till exempel vilka funktioner du slår på och vad du ber appen göra. Tror vi att en instruktion bryter mot dataskyddsreglerna säger vi till. Kräver lagen att vi behandlar uppgifterna på annat sätt, till exempel efter ett beslut från en myndighet, säger vi det till dig innan, om inte lagen förbjuder oss.

4. Tystnadsplikt

Alla hos Goboblo som kan komma åt uppgifterna har tystnadsplikt. Vi tittar på dina uppgifter bara när det behövs för att driva tjänsten eller hjälpa dig, till exempel när du kontaktar supporten.

5. Säkerhet

Det här skyddar uppgifterna i dag:

All trafik till appen, bokningsrutan, hemsidorna och våra servrar är krypterad (HTTPS).
Bara de du ger en inloggning ser dina uppgifter i appen, och roller (till exempel ägare, admin och personal) begränsar vad var och en kan göra.
Varje kunds uppgifter hålls isär i databasen, så ett konto kan inte läsa ett annat kontos uppgifter.
Kortnummer når aldrig oss: gäster och kunder skriver in dem direkt hos Stripe.
Vi går regelbundet igenom koden efter säkerhetsbrister och rättar det vi hittar.

Vi håller skyddet på en nivå som passar risken och förbättrar det när tjänsten växer. Vi sänker aldrig skyddet utan att säga det till dig.

6. Underbiträden

Du ger oss ett allmänt godkännande att anlita de underbiträden som står i bilaga 2. Vi ser till att vart och ett är bundet av dataskyddsvillkor som skyddar uppgifterna lika bra som det här avtalet, och vi ansvarar mot dig för deras arbete.

Nya underbiträden: vi mejlar dig minst 30 dagar innan vi lägger till eller byter ett underbiträde, och ändringen syns i ändringsloggen nedan. Måste vi byta en leverantör akut — till exempel för att den lägger ner — säger vi till så fort vi kan, och du behåller rätten att invända. Har du en rimlig invändning, säg till. Kan vi inte lösa den kan du säga upp den berörda tjänsten innan ändringen börjar gälla.

Tjänster du själv kopplar in — till exempel ditt kassasystem, ditt eget Stripe-konto för gästernas betalningar eller en partner du ger en API-nyckel — är dina egna leverantörer. Du bestämmer vad de får, och de är inte våra underbiträden.

7. Hjälp till dig

Gästers begäranden. I appen kan du söka fram en gäst, rätta uppgifterna, exportera dina bokningar och stämpelkortsmedlemmar, och radera en gästs personuppgifter (antalet besök finns kvar, utan namn). Behöver du mer hjälp att svara en gäst som vill se, rätta, flytta eller radera sina uppgifter hjälper vi dig. Hör en gäst av sig direkt till oss skickar vi vidare begäran till dig och svarar inte själva, om du inte ber oss.

Dina andra skyldigheter. Vi ger dig den information vi har när du behöver den för säkerheten, för att anmäla en personuppgiftsincident, för en konsekvensbedömning eller i kontakt med Integritetsskyddsmyndigheten (IMY).

8. Om något går fel

Upptäcker vi en personuppgiftsincident som rör dina uppgifter säger vi till dig utan onödigt dröjsmål. Vi berättar det vi vet då — vad som hänt, vilka uppgifter och ungefär hur många personer som berörs, troliga följder och vad vi gör åt det — och skickar mer när vi vet mer. Vi dokumenterar varje incident.

9. När avtalet upphör

Innan du lämnar kan du exportera dina bokningar och stämpelkortsmedlemmar från appen. När ditt konto stängs raderar vi de personuppgifter vi behandlar åt dig, om inte lagen kräver att vi sparar dem. Vill du att de raderas ett visst datum, eller få en bekräftelse på att det är gjort? Skriv till help@goboblo.com. Finns kopior kvar i säkerhetskopior raderas de när säkerhetskopiorna byts ut, och de används inte under tiden.

10. Så visar vi att vi följer avtalet

Vi ger dig den information du behöver för att se att vi följer avtalet. Börja med att skriva till oss: vi svarar på frågor skriftligt och delar dokument. Räcker inte det får du — eller en granskare med tystnadsplikt — granska oss en gång om året, med 30 dagars varsel. Oftare går bra om en tillsynsmyndighet kräver det eller efter en incident. Var och en betalar sina egna kostnader.

11. Var uppgifterna finns

Vår databas finns i Stockholm, Sverige (EU), och våra servrar körs i Amsterdam, Nederländerna (EU). Några underbiträden i bilaga 2 är amerikanska företag och kan behandla uppgifter i USA eller i andra länder utanför EU/EES. När uppgifter lämnar EU/EES använder vi de skydd som lagen anvisar, till exempel EU–US Data Privacy Framework för leverantörer som är certifierade enligt det, eller EU-kommissionens standardavtalsklausuler.

12. Ansvar och vilken text som gäller först

Mellan dig och oss gäller ansvarsbegränsningen i avsnitt 7 i villkoren även för det här avtalet, så långt lagen tillåter. Den begränsar aldrig de rättigheter dina gäster har enligt lag. Säger det här avtalet och villkoren olika saker om personuppgifter gäller det här avtalet.

13. Ändringar

Vi ändrar avtalet på samma sätt som villkoren: ändrar vi något väsentligt mejlar vi dig minst 30 dagar innan det börjar gälla (avsnitt 10 i villkoren). Allt syns i ändringsloggen nedan.

Bilaga 1 — Behandlingen

Vems uppgifter

Dina gäster: de som bokar, beställer, går med i ett stämpelkort eller medlemskap, köper ett presentkort eller en upplevelse, eller får mejl eller sms från din lokal.
Din personal och andra du ger en inloggning.
De som kommenterar eller skriver till dina sociala konton, om du använder sociala medier i Goboblo.

Vilka uppgifter

Kontaktuppgifter: namn, mejl och telefon.
Bokningar: datum, tid, antal gäster, bord, anteckningar, svar på dina bokningsfrågor, status och uteblivna besök.
Besökshistorik, och om gästen är stamgäst eller VIP.
Allergier, kostönskemål och önskemål som gästen anger, och födelsedag om du lägger in den.
Om gästen sagt ja till utskick, och avanmälningar.
Stämplar, medlemskap, presentkort, upplevelser, beställningar och betalningar (belopp och status — kortnummer hanteras av Stripe).
Uppgifter om de mejl och sms som skickats till gästen.
Personal: namn, mejl, roll och inloggning.
Sociala medier, om du använder det: dina inlägg, och namn och meddelanden från den som kommenterar eller skriver.

Känsliga uppgifter

Allergier och kostönskemål kan säga något om en gästs hälsa. Vi behandlar dem bara så att din lokal kan servera gästen tryggt.

Vad vi gör med uppgifterna

Vi sparar dem, visar dem för dig i appen, använder dem för att hitta lediga bord, skickar bekräftelser, påminnelser och de mejl du slår på, hanterar beställningar och betalningar, kör AI-funktionerna när du använder dem, publicerar inlägg när du använder sociala medier, gör exporter och raderar uppgifter när du eller gästen ber om det.

För barer som använder matcher kan appen visa hur många platser liknande barer har bokat till en match. Den visar bara avrundade tal från minst tre andra lokaler — aldrig en annan lokals egna siffror, och aldrig något om en gäst. Du stänger av det med inställningen "Jämför med liknande barer" under Inställningar; då räknas din lokal inte med, och du ser inte heller jämförelsen.

Bilaga 2 — Underbiträden

Det här är de underbiträden som kan behandla personuppgifter när du använder Goboblo. De flesta används bara när du använder funktionen det gäller.

Supabase — Databas, fillagring och inloggning. Här ligger uppgifterna i tjänsten. Uppgifter: Alla uppgifter i tjänsten. Plats: Stockholm, Sverige (EU).
Railway — Kör våra servrar, som appen, bokningsrutan och hemsidorna hämtar och sparar uppgifter genom. Uppgifter: Alla uppgifter i tjänsten, när de passerar. Plats: Amsterdam, Nederländerna (EU).
Vercel — Visar appen, bokningsrutan, restaurangernas hemsidor och goboblo.com från Vercels nät av servrar. Räknar besök på goboblo.com (Vercel Web Analytics, utan kakor). Registrerar också domäner du köper genom oss. Uppgifter: Det som visas på sidorna och tekniska uppgifter som IP-adress. På goboblo.com: besökssummor, utan namn eller mejl. Vid domänköp: domänägarens namn, adress, mejl och telefon.
Loopia — Registrerar .se-, .no-, .dk- och .nu-domäner du köper genom oss. Uppgifter: Domänägarens namn, adress, mejl och telefon.
Stripe — Betalningar: dina abonnemang och fakturor hos oss, och gästernas betalningar (förskott, presentkort, beställningar, upplevelser) i ditt eget Stripe-konto. Uppgifter: Namn, mejl, belopp och kortuppgifter. Kortnumret skrivs in direkt hos Stripe — vi ser det aldrig.
Resend — Skickar mejl: bokningsbekräftelser, påminnelser, kvitton, de automatiska mejlen du slår på och våra mejl till dig. Uppgifter: Namn, mejladress och mejlets innehåll.
46elks — Skickar sms när lokalen har slagit på sms. Uppgifter: Telefonnummer och sms:ets text.
Inngest — Kör schemalagda jobb, som påminnelser och automatiska mejl, på rätt tid. Uppgifter: Det jobbet behöver, till exempel vilken bokning en påminnelse gäller.
Anthropic — AI-text: Goboblo AI och texter som AI:n skriver åt dig (hemsida, inlägg). Uppgifter: Det du skriver till AI:n och de uppgifter om bokningar och gäster som svaret behöver, till exempel namn och allergier.
OpenAI — AI-bilder och läsning av bilder: bilder som skapas eller redigeras, och menyer som läses in från ett foto. Uppgifter: Foton och menyer du laddar upp.
Google (Places API) — Hämtar restaurangens offentliga företagsuppgifter (adress, telefon, öppettider) när du söker fram den. Uppgifter: Restaurangens namn och adress. Inga gästuppgifter.
Webbläsarnas push-tjänster (Apple, Google, Mozilla, Microsoft) — Levererar notiser till en gäst eller i personalen som själv har slagit på notiser i sin webbläsare. Uppgifter: En teknisk adress för notiserna och notisens text.
Zernio — Publicerar inlägg på de sociala konton en lokal kopplar in och hämtar kommentarer och meddelanden till dem. Används bara om lokalen använder sociala medier i Goboblo. Uppgifter: Inläggen, och namn och meddelanden från den som kommenterar eller skriver till lokalen.

Bilaga 3 — Lokaler i USA

Den här bilagan gäller bara lokaler i USA. För dem är Goboblo "service provider" enligt Kaliforniens integritetslag (CCPA, ändrad genom CPRA) och liknande lagar i andra delstater. Det betyder att vi bara använder personuppgifterna för att leverera Goboblo åt dig, aldrig säljer eller delar dem för riktad reklam, inte använder dem för något annat syfte eller utanför vår affärsrelation med dig, inte slår ihop dem med andra uppgifter utom där lagen tillåter det, och säger till om vi inte längre kan uppfylla detta. Hela texten, som gäller för lokaler i USA, finns i den engelska versionen, Annex 3.

Ändringslogg

2026-09-29 — Första versionen.