Användarvillkor - Besökslogg (besokslogg.se)

Dessa användarvillkor (”Villkoren”) reglerar användningen av tjänsten Besökslogg - besokslogg.se (”Tjänsten”) som tillhandahålls av Evdelion AB, org.nr 559296-3135 (”Leverantören”, ”vi”, ”oss”). Genom att registrera ett konto, logga in eller på annat sätt använda Tjänsten accepterar du (”Kunden”) Villkoren i sin helhet.

1. Om Tjänsten

Besökslogg är en webbaserad digital besökslogg för verksamheter främst i Sverige. Tjänsten omfattar bland annat:

• Registrering och utcheckning av besökare via personalgränssnitt och självbetjäningskiosk.
• Personalhantering, mötesvärdar och e-postnotiser.
• Audit-logg, statistik och CSV-export (beroende på prenumerationsplan).
• Nödläge (utrymningsläge) med notifieringar till utrymningsansvariga.
• Digitalt besökskort med QR-baserad självutcheckning (beroende på plan).
• Återkommande besökare med valfri snabbkod (PIN) för förifyllning av besökarens egna uppgifter i kiosken (beroende på plan).
• TOTP/2FA, IP-spärr och rollbaserad behörighet (beroende på plan).

Tjänsten levereras som SaaS via webben. Ingen installation krävs hos Kunden.

2. Avtalets parter

Tjänsten riktar sig till näringsidkare (juridiska personer och enskilda firmor i näringsverksamhet). Konsumentlagstiftning (t.ex. ångerrätt enligt distansavtalslagen) är inte tillämplig.

3. Konto och registrering

3.1 Vid registrering ska Kunden lämna korrekta och aktuella uppgifter, inklusive företagsnamn, organisationsnummer, kontaktperson, telefonnummer och e-postadress. Faktureringsuppgifter (faktureringsadress och eventuell separat faktura-e-post) lämnas i samband med uppgradering till betalplan eller före första fakturering.

3.2 Kontot är personligt för Kundens organisation. Inloggning sker som standard med e-postadress och engångskod (OTP). Användare som aktiverat TOTP/2FA loggar istället in med e-postadress och TOTP-kod från en autentiseringsapp; när TOTP är aktiverat ersätter TOTP-koden OTP via e-post och de kombineras inte.

3.3 Kunden ansvarar för att inloggningsuppgifter, kioskenheter och kiosk-tokens hanteras säkert, samt för all aktivitet som sker via Kundens konto.

3.4 Kunden ska omedelbart meddela Leverantören vid misstanke om obehörig åtkomst till kontot.

3.5 Leverantören får avregistrera eller spärra konton som registrerats med felaktiga uppgifter, används i strid med Villkoren eller uppenbart inte används.

4. Prenumerationsplaner och avgifter

4.1 Tjänsten erbjuds i flera planer: gratis, bas, plus och vip. Aktuella priser, gränser och funktioner framgår på besokslogg.se.

4.2 Betalplaner faktureras årsvis i förskott via PDF-faktura, om inte annat skriftligen avtalats. Betalningsvillkor är 30 dagar netto från fakturadatum.

4.3 Vid utebliven betalning skickas en påminnelse. Vid fortsatt utebliven betalning förbehåller sig Leverantören rätten att spärra kontot tills betalning skett, och därefter avsluta avtalet.

4.4 Dröjsmålsränta utgår enligt räntelagen (1975:635) från förfallodagen. Lagstadgad påminnelse- och inkassoavgift kan tillkomma.

4.5 Alla priser anges exklusive moms.

4.6 Leverantören får ändra priser inför nästa förnyelseperiod genom skriftligt meddelande senast 30 dagar före förnyelsen. Kunden får då säga upp avtalet utan kostnad innan ändringen träder i kraft.

5. Gratisplanen

5.1 Den kostnadsfria planen (”gratis”) tillhandahålls i befintligt skick utan garantier eller åtaganden om tillgänglighet, drifttid eller funktionsbevarande.

5.2 Leverantören får när som helst, utan föregående meddelande, ändra eller avveckla gratisplanen, justera dess gränsvärden eller avsluta enskilda gratiskonton. Skälig hänsyn tas till Kundens möjlighet att exportera data.

5.3 Användning utöver gratisplanens tekniska gränser (t.ex. antal kiosker, användare eller månatliga besök) kan medföra att funktioner spärras tills uppgradering sker.

6. Avtalstid och uppsägning

6.1 För betalplaner (bas, plus, vip) löper avtalet i tolv (12) månader i taget och förlängs automatiskt med ytterligare tolv månader om det inte sägs upp senast trettio (30) dagar före utgången av innevarande period.

6.2 För gratisplanen löper inget bundet avtal. Kunden får säga upp och avsluta gratiskontot när som helst via portalen eller via e-post till info@besokslogg.se, med verkan omedelbart eller från valt datum. Bestämmelserna i §5 gäller i övrigt.

6.3 Uppsägning av betalplan sker skriftligen via e-post till info@besokslogg.se eller via supportfunktionen i portalen.

6.4 Förskottsbetalda avgifter återbetalas inte vid uppsägning, med undantag för fall där Leverantören väsentligt bryter mot Villkoren och inte rättar bristen inom skälig tid efter skriftlig anmaning.

6.5 Leverantören får säga upp avtalet med omedelbar verkan om Kunden bryter mot Villkoren på ett väsentligt sätt, försätts i konkurs, inleder företagsrekonstruktion eller på annat sätt visar bristande betalningsförmåga.

7. Kundens åtaganden

Kunden förbinder sig att:

• Använda Tjänsten i enlighet med svensk lag och Villkoren.
• Endast registrera personuppgifter där det finns laglig grund enligt GDPR (t.ex. berättigat intresse).
• Tillhandahålla nödvändig information till besökare om personuppgiftsbehandlingen, t.ex. via informationstext på kiosk.
• Inte försöka kringgå tekniska skyddsåtgärder, plangränser eller åtkomstkontroller.
• Inte använda Tjänsten för att lagra särskilt känsliga personuppgifter (t.ex. uppgifter om hälsa, etniskt ursprung, religiös övertygelse) utöver vad Tjänsten är avsedd för.
• Inte använda Tjänsten på ett sätt som stör eller skadar Tjänsten eller andra kunder (t.ex. överbelastning, intrångsförsök eller automatiserad skrapning).
• Säkerställa att personer med åtkomst till Kundens konto är behöriga och informerade om Villkoren.

8. Personuppgiftsbiträdesavtal (DPA)

Detta avsnitt utgör ett personuppgiftsbiträdesavtal mellan parterna enligt artikel 28 i Europaparlamentets och rådets förordning (EU) 2016/679 (”GDPR”). Vid eventuell motstridighet mellan detta avsnitt och övriga delar av Villkoren har detta avsnitt företräde i frågor som rör behandling av personuppgifter.

8.1 Roller och ansvar

Vid behandling av besökares och personals personuppgifter via Tjänsten är Kunden personuppgiftsansvarig och Leverantören personuppgiftsbiträde. Kunden bestämmer ändamål och medel för behandlingen; Leverantören behandlar uppgifterna för Kundens räkning.

8.2 Föremål, varaktighet och karaktär

8.3 Kundens (personuppgiftsansvarigs) instruktioner

8.3.1 Leverantören behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Villkoren, Kundens konfiguration i Tjänsten samt skriftliga tilläggsinstruktioner från Kunden utgör tillsammans de dokumenterade instruktionerna.

8.3.2 Leverantören ska utan dröjsmål informera Kunden om en instruktion enligt Leverantörens uppfattning strider mot GDPR eller annan dataskyddslagstiftning.

8.3.3 Behandling utöver Kundens instruktioner sker endast om unionsrätten eller svensk rätt kräver det. I sådant fall informerar Leverantören Kunden om kravet, om inte sådan information är förbjuden av viktiga skäl av allmänt intresse.

8.4 Säkerhetsåtgärder (GDPR Art. 32)

Leverantören vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inklusive:

• Kryptering i vila av känsliga besökarfält (namn, företag, syfte, e-post) med AES-256-GCM och kundunik nyckelhärledning.
• Krypterad överföring (TLS) mellan klient och Tjänsten, med HSTS för tvingande HTTPS.
• Inloggning med engångskod (OTP) och möjlighet till TOTP/2FA.
• Hashning av OTP-koder och eventuella snabbkoder (PIN) för återkommande besökare med bcrypt; klartextkoder lagras aldrig på disk.
• Rollbaserad åtkomstkontroll och behörighetsstyrning per användare.
• IP-baserad åtkomstkontroll för portal och kiosk.
• Audit-logg över väsentliga händelser, partitionerad per år.
• Loggning av inloggningar och felaktiga inloggningsförsök, samt rate limiting.
• Säkerhetskopiering, återställningsrutiner och driftövervakning.
• Sessionssäkerhet med HttpOnly, Secure, SameSite=Lax, __Host--prefix och serversidig idle-timeout.
• CSRF-skydd och uppsättning av HTTP-säkerhetshuvuden (CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy m.fl.).
• Periodisk genomgång av åtkomster och säkerhetshändelser.

Leverantören får uppdatera säkerhetsåtgärderna under förutsättning att skyddsnivån inte försämras.

En aktuell version av Leverantörens säkerhetspolicy (bilaga till detta avtal) tillhandahålls inloggade kunder via supportsidan i portalen och kan därutöver publiceras eller sändas på begäran via info@besokslogg.se.

8.5 Sekretess och personalens åtaganden

Leverantören säkerställer att personer som behandlar personuppgifter har förbundit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt, samt har tillräcklig kunskap om dataskydd.

8.6 Underbiträden

8.6.1 Kunden ger Leverantören ett allmänt förhandsgodkännande att anlita underbiträden för delar av behandlingen, t.ex. drift-, hosting-, e-post- och säkerhetskopieringsleverantörer.

8.6.2 En aktuell förteckning över anlitade underbiträden framgår av säkerhetspolicyn (avsnitt 7) och kan därutöver erhållas på begäran via info@besokslogg.se.

8.6.3 Leverantören ska träffa skriftligt avtal med varje underbiträde som ålägger underbiträdet motsvarande dataskyddsförpliktelser som de som åvilar Leverantören enligt detta avsnitt 8.

8.6.4 Vid byte eller tillägg av underbiträde meddelas Kunden minst trettio (30) dagar i förväg via e-post eller meddelande i portalen. Kunden får inom denna tid invända mot ändringen på sakliga dataskyddsskäl. Om parterna inte når en lösning får Kunden säga upp avtalet med verkan från den dag underbiträdet börjar anlitas; betalda men outnyttjade avgifter återbetalas pro rata.

8.6.5 Leverantören ansvarar gentemot Kunden för underbiträdets behandling som för sin egen.

8.7 Tredjelandsöverföring

Personuppgifter behandlas inom EU/EES. Vid eventuell överföring till tredjeland sker det endast på laglig grund enligt GDPR kapitel V, t.ex. genom EU-kommissionens standardavtalsklausuler kompletterade med lämpliga tekniska och organisatoriska skyddsåtgärder. Kunden informeras innan sådan överföring inleds.

8.8 Bistånd till Kunden

Leverantören bistår Kunden, med beaktande av behandlingens karaktär och tillgänglig information, att uppfylla Kundens skyldigheter att:

• Besvara förfrågningar från registrerade om utövande av deras rättigheter (GDPR Art. 12–22), inklusive registerutdrag, rättelse, radering och begränsning. Tjänsten innehåller funktioner för export, redigering och radering som Kunden själv kan använda.
• Säkerställa säkerhet i behandlingen (Art. 32).
• Anmäla personuppgiftsincidenter till Integritetsskyddsmyndigheten (Art. 33) och informera registrerade (Art. 34).
• Genomföra konsekvensbedömningar avseende dataskydd och eventuellt förhandssamråd (Art. 35–36).

För bistånd som går utöver Tjänstens standardfunktioner och Kundens egen administration får Leverantören ta ut skälig ersättning enligt vid var tid gällande timpris.

8.9 Personuppgiftsincident

8.9.1 Vid personuppgiftsincident som påverkar Kundens uppgifter underrättas Kunden utan onödigt dröjsmål, normalt inom 72 timmar från det att Leverantören fått kännedom om incidenten.

8.9.2 Underrättelsen ska, så långt informationen är tillgänglig, innehålla:

• Incidentens art, inklusive berörda kategorier och ungefärligt antal registrerade och poster.
• Kontaktuppgifter för vidare information.
• Sannolika konsekvenser av incidenten.
• Vidtagna eller föreslagna åtgärder.

8.9.3 Kunden ansvarar själv för anmälan till Integritetsskyddsmyndigheten och, i förekommande fall, till de registrerade.

8.10 Granskning och revision

8.10.1 Leverantören ska på Kundens skriftliga begäran tillhandahålla den information som rimligen krävs för att visa att skyldigheterna enligt GDPR Art. 28 efterlevs.

8.10.2 Kunden har rätt att högst en (1) gång per år, och därutöver vid skälig misstanke om bristande efterlevnad eller efter en personuppgiftsincident, genomföra en granskning. Granskningen får utföras av Kunden eller en oberoende tredje part som är bunden av sekretess och som inte är konkurrent till Leverantören.

8.10.3 Granskning ska aviseras minst trettio (30) dagar i förväg, ske under kontorstid och utföras på ett sätt som inte stör Tjänsten eller äventyrar sekretess gentemot andra kunder. Leverantören får uppfylla revisionsskyldigheten genom att tillhandahålla aktuella revisionsrapporter eller motsvarande underlag.

8.10.4 Vardera parten bär sina egna kostnader för granskningen, om inte granskningen visar väsentliga brister hos Leverantören, i vilket fall Leverantören står för Kundens skäliga kostnader.

8.11 Lagring, gallring och återlämning

8.11.1 Maximal lagringstid för besöksdata och auditlogg styrs av Kundens prenumerationsplan; aktuella retentionstider per plan framgår av säkerhetspolicyn (avsnitt 6.1) och tillämpas via ett dagligt schemalagt jobb. Kunden kan därutöver när som helst radera enskilda eller alla besöksposter via portalen i enlighet med principen om dataminimering.

8.11.2 Vid avtalets upphörande, eller på Kundens skriftliga begäran, ska Leverantören efter Kundens val antingen återlämna eller radera samtliga personuppgifter som behandlas för Kundens räkning. Återlämning sker i ett vanligt förekommande maskinläsbart format (t.ex. JSON eller CSV).

8.11.3 Om Kunden inte lämnar instruktion inom trettio (30) dagar efter avtalets upphörande raderas data automatiskt, dock senast nittio (90) dagar efter sista fakturaperiodens utgång.

8.11.4 Leverantören får behålla personuppgifter i den utsträckning det krävs enligt unionsrätten eller svensk rätt, t.ex. bokföringslagen. Sådana uppgifter behandlas endast för det ändamål och under den tid som lagen kräver.

8.12 Kundens åtaganden som personuppgiftsansvarig

Kunden ansvarar bland annat för att:

• Säkerställa laglig grund för behandlingen enligt GDPR Art. 6 (typiskt berättigat intresse för besöksregistrering).
• Informera besökare och personal enligt GDPR Art. 13–14, t.ex. via informationstext på kiosken och i en intern dataskyddsinformation.
• Endast registrera uppgifter som är nödvändiga för ändamålet (dataminimering).
• Konfigurera lagringstider, behörigheter, IP-spärrar och 2FA i enlighet med Kundens egen riskbedömning.
• Inte använda Tjänsten för särskilt känsliga personuppgifter (GDPR Art. 9) eller uppgifter om lagöverträdelser (Art. 10) utöver vad Tjänsten är avsedd för.
• Hantera och besvara förfrågningar från registrerade i första hand själv, med stöd av Tjänstens funktioner.

9. Säkerhet och tillgänglighet

9.1 Leverantören eftersträvar hög tillgänglighet men lämnar inga garantier om specifik upptid utöver vad som uttryckligen följer av en separat SLA.

9.2 Planerat underhåll utförs i möjligaste mån utanför kontorstid. Kunden meddelas på förhand vid större driftpåverkande underhåll.

9.3 Vid säkerhetsincident som påverkar Kundens personuppgifter underrättas Kunden utan onödigt dröjsmål, i enlighet med GDPR Art. 33.

10. Immateriella rättigheter

10.1 Tjänsten, dess källkod, design, logotyper, dokumentation och varumärken tillhör Leverantören eller dess licensgivare. Kunden får en icke-exklusiv, icke-överlåtbar nyttjanderätt till Tjänsten under avtalstiden.

10.2 Kundens egen data (besöksposter, personalregister, logotyper, konfiguration) tillhör Kunden. Leverantören har endast den begränsade rätt till behandling som krävs för att tillhandahålla Tjänsten.

10.3 Kunden får inte kopiera, dekompilera, modifiera, hyra ut eller på annat sätt utnyttja Tjänsten utöver vad som uttryckligen tillåts enligt Villkoren eller tvingande lag.

11. Ansvarsbegränsning

11.1 Leverantören ansvarar inte för indirekta skador, följdskador, utebliven vinst, förlust av data, förlust av goodwill eller andra ekonomiska förluster som uppstår till följd av användningen av eller oförmågan att använda Tjänsten.

11.2 Leverantörens samlade ansvar under avtalet är, oavsett grund, begränsat till ett belopp motsvarande de avgifter Kunden betalat för Tjänsten under de tolv (12) månader som föregått skadetillfället. För gratisplanen är ansvaret begränsat till noll kronor.

11.3 Begränsningarna ovan gäller inte vid uppsåt, grov vårdslöshet eller skada som inte får begränsas enligt tvingande lag.

11.4 Leverantören är inte ansvarig för Kundens egna åtgärder, felaktig konfiguration, försummelse att efterleva GDPR eller annan tillämplig lag, eller skada som beror på tredjepartstjänster utanför Leverantörens kontroll.

12. Sekretess

12.1 Vardera parten förbinder sig att inte röja konfidentiell information som erhållits från den andra parten i samband med avtalet, vare sig under eller efter avtalstiden.

12.2 Sekretessen omfattar inte information som är allmänt tillgänglig, som mottagits från tredje part utan sekretessåtagande eller som måste röjas enligt lag, myndighetsbeslut eller domstolsavgörande.

13. Force majeure

Part befrias från ansvar för skada eller försening som beror på omständighet utanför partens rimliga kontroll, t.ex. krig, terrorhandling, allvarlig pandemi, naturkatastrof, strejk, blockad, allmänna driftstörningar i el- eller telenät, eller åtgärder från myndighet.

14. Ändringar av Villkoren

14.1 Leverantören får uppdatera Villkoren löpande. Redaktionella förtydliganden, justeringar som inte materiellt försämrar Kundens ställning, samt ändringar som är nödvändiga för att följa lag, myndighetsbeslut eller för att höja säkerhetsnivån får genomföras utan föregående varsel. Den uppdaterade versionen publiceras i portalen och på besokslogg.se och gäller från publiceringen.

14.2 Ändringar som materiellt försämrar Kundens ställning meddelas Kunden via e-post eller via portalen senast femton (15) dagar innan de träder i kraft. Kunden får då säga upp avtalet med verkan från ikraftträdandedagen; betalda men outnyttjade avgifter återbetalas pro rata. Fortsatt användning efter ikraftträdandet innebär att de uppdaterade Villkoren accepterats.

14.3 För prisändringar gäller §4.6 och för byte av underbiträden gäller §8.6.4.

15. Överlåtelse

15.1 Kunden får inte överlåta avtalet eller rättigheter enligt det utan Leverantörens skriftliga samtycke.

15.2 Leverantören får överlåta avtalet till annan juridisk person inom samma koncern eller i samband med fusion, omstrukturering eller försäljning av verksamheten, förutsatt att Kundens rättigheter inte försämras.

16. Tillämplig lag och tvistelösning

16.1 På avtalet tillämpas svensk rätt, med undantag för dess lagvalsregler.

16.2 Tvist som uppstår med anledning av avtalet ska i första hand lösas genom förhandling mellan parterna.

16.3 Om förhandling inte leder till uppgörelse ska tvisten avgöras av allmän domstol med Stockholms tingsrätt som första instans.

17. Kontakt

För frågor om Villkoren, fakturering eller behandling av personuppgifter:

• E-post: info@besokslogg.se
• Webb: https://besokslogg.se

Dessa villkor utgör hela avtalet mellan parterna avseende Tjänsten och ersätter alla tidigare överenskommelser i samma fråga, om inte annat skriftligen avtalats.