TAAP Online-avtal – avtal mellan personuppgiftsansvarig (inklusive SCC:er)

Den engelska originalversionen av detta C2C-avtal kan ha översatts till andra språk. I händelse av en inkonsekvens eller avvikelse mellan den engelska versionen och andra språkversioner av detta Avtal ska den engelska versionen äga företräde.

OMFATTNING: : Når henholdsvis Expedia og du behandler personOMFATTNING: opplysninger som en del av en avtale (f.eks. i form av nettbaserte «klikk og godkjenn»-vilkår) som er inngått med den andre parten (en avtale som sier at du har blitt utnevnt til markedsføringspartner under TAAP, og der alle relevante aktiviteter knyttet til slik aktivitet heri omtales som «relevanteaktiviteter»), vil denne globale avtalen mellom to behandlingsansvarlige («C2C-avtalen») komme i tillegg til og gjelde for den avtalen som er inngått mellom partene i forbindelse med de relevante aktivitetene («avtalen») og angi ytterligere vilkår, krav og betingelser for Expedias og din behandling av personopplysninger i forbindelse med avtalen.I denne avtalen mellom behandlingsansvarlige viser «Expedia», «vi» og «oss» til Expedia, Inc. og/eller andre Expedia Group-selskaper som er part i avtalen. «Du» viser til den navngitte enheten som er angitt på søknaden som beskrevet i avtalen (og alle henvisninger til enten Expedia eller du vil tolkes som flertallsord i den grad avtalen krever det).OMFATTNING: När Expedia eller du behandlar personuppgifter som en del av ett avtal (vilket kan vara i form av clickwrap-villkor online) som ingåtts med den andra parten (i enlighet med vilket du har utsetts till marknadsföringspartner under TAAP, och alla relevanta aktiviteter som är kopplade till sådan aktivitet som häri hänvisas till som ” Relevanta aktiviteter ”), är detta globala avtal mellan personuppgiftsansvariga (controller to controller, C2C) ”(C2C-avtal)” ett komplement till och gäller för sådant avtal som ingåtts mellan parterna i samband med Relevanta aktiviteter (” Avtale”) och anger ytterligare villkor, krav och betingelser under vilka Expedia och du, var och en, kommer att behandla personuppgifter i samband med Avtalet.I detta C2C-avtal avser ” Expedia” ” vi ” och ”oss” Expedia, Inc. och/eller något annat Expedia Group-företag som är part i Avtalet. ” Du ” hänvisar till den namngivna enheten som anges i applikationen enligt beskrivningen i Avtalet (och alla hänvisningar till antingen Expedia eller du kommer att tolkas som pluraltermer i den utsträckning som Avtalet kräver).

1. DEFINISJONER OCH TOLKNING

1.1 Detta C2C-avtal är föremål för villkoren i Avtalet och är införlivat i Avtalet.Tolkningar och definierade termer som anges i Avtalet gäller för tolkningen av detta C2C-avtal om inte annat definieras i detta C2C-avtal

1. a. varje lämplig teknisk och organisatorisk åtgärd, personuppgiftsansvarig, personuppgifter, personuppgiftsincident, behandling/behandla och tillsynsmyndighet (eller rimligen likvärdiga termer) ska ha den innebörd som de har i tillämplig dataskyddslagstiftning.
2. b. Tillämplig(a) dataskyddslag(ar) avser alla tillämpliga lagar och förordningar i någon relevant jurisdiktion, relaterade till användning eller behandling av personuppgifter.
3. c. Tillåtna ändamål avser ändamålen att (i) utföra bokningar (ii) tillhandahålla support för bokningar (iii) TAAP-registrering och kontoadministration (iv) betalning av provisioner och andra belopp i enlighet med detta Avtal (v) generera rapporter till dig och eventuell ytterligare behandling som krävs för avstämning, hantering av klagomål och liknande aktiviteter som har samband med att uppfylla Avtalet (vi) support för TAAP-konton (vii) kommunikation till TAAP-medlemmar och underanvändare (viii) förbättra våra tjänster, inklusive optimering av bokningsupplevelsen (ix) skapa rapporter för analys, affärsinformation och affärsrapportering (x) förebygga bedrägerier (xi) svara på förfrågningar från brottsbekämpande myndigheter och granskningsförfrågningar från skattemyndigheter (xii) underlätta transaktioner med företagstillgångar (vilket kan omfatta fusioner, förvärv eller försäljning av tillgångar) (xiii) på annat sätt uppfylla våra skyldigheter enligt detta Avtal, Expedias sekretesspolicy och tillämpliga lagar (xiv) för att fastställa, beräkna och rapportera reseskatter och för andra tillämpliga skatteändamål som kan krävas från tid till annan.
4. d. DPF ((Data Privacy Framework, DPF) ramverk för datasekretess), avser en EU-US Data Privacy Framework-certifiering med US Department of Commerce (USA:s handelsdepartement) eller någon ersättnings- eller kompletterande certifieringsmekanism som godkänts av Europeiska kommissionen (eller annan relevant nationell myndighet) från tid till annan och inkluderar eventuella kompletterande beslut om adekvat skyddsnivå utfärdade av något annat land som tillåter utvidgning av DPF mellan USA och det tredje landet (till exempel, utan begränsning, Storbritannien och Schweiz).
5. e. Land med begränsad överföring avser vilket land som helst inom det Europeiska ekonomiska samarbetsområdet, Schweiz, Storbritannien och Brasilien
6. f. Begränsade överföringsuppgifter avser kunduppgifter som hänför sig till en bokning som gjorts via en försäljningskanal som vi avsett att kunder ska få åtkomst till i ett Begränsat överföringsland.
7. g. Standardavtalsklausuler/(Standard Contractual Clauses, SCC:er) g. Standardavtalsklausuler/(Standard Contractual Clauses, SCC:er) avser de av den Europeiska kommissionens godkända standardavtalsklausulerna för överföring av personuppgifter från Europeiska unionen till tredje länder, utfärdade den 4 juni 2021, i dess ändrade, ersatta, kompletterande lydelse eller som från tid till annan ersatts. Den fullständiga aktuella versionen kan hittas på denna länk: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en och
8. h. Personuppgifter för TAAP avser personuppgifter som du lämnar till oss via TAAP:s webbplats eller som på annat sätt behandlas i samband med TAAP i sig eller för att underlätta bokningar som görs på TAAP:s webbplats.

Parternas förhållande till varandra

1. 1.2 Du och vi ska var och en samla in och behandla personuppgifter för att uppfylla våra respektive rättigheter och skyldigheter enligt Avtalet samt ditt och vårt respektive ansvar enligt tillämpliga lagar.Var och en av parterna ska därför: (i) behandla personuppgifter som oberoende och självständiga personuppgiftsansvariga (ii) följa tillämplig dataskyddslagstiftning och (iii) ansvara för eventuella handlingar eller underlåtenheter som strider mot tillämplig dataskyddslag.

Dina skyldigheter

1.3 Du måste: 

1. a. uppfylla en rättslig grund för att göra Personuppgifter för TAAP tillgängliga för oss så att vi kan behandla dem för de Tillåtna ändamålen
2. b. se till att kunder via din sekretesspolicy och på annat lämpligt sätt är medvetna om att deras personuppgifter kommer att delas med oss för de Tillåtna ändamålen
3. c. hänvisa kunder till vår sekretesspolicy för mer information om vår hantering av deras personuppgifter
4. d.samarbeta med oss och ge oss rimlig assistans så att vi kan följa tillämpliga dataskyddslagar i samband med vår behandling av Personuppgifter för TAAP i förbindelse med Avtalet.

Våra skyldigheter

1.4 Vi (och förekommande i fall, våra Gruppmedlemmar) ska: 

1. a. endast behandla Personuppgifter för TAAP i förbindelse med ett Tillåtet ändamål
2. b. inte sprida alla eller någon del av Personuppgifter för TAAP till någon annan person, utom i förbindelse med ett Tillåtet ändamål
3. c. samarbeta med dig och ge dig rimlig assistans så att du kan följa tillämpliga dataskyddslagar i samband med din behandling av Personuppgifter för TAAP i förbindelse med Avtalet
4. d. visa och följa vårt lagliga och uppdaterade meddelande om cookies (om så krävs) och vår sekretesspolicy på TAAP:s webbplats.

Kunder och tredje parter

1.5 Du bekräftar att vi:

1. a. får skicka e-postmeddelanden till Kunder gällande Bokningar
2. b. kan överföra Personuppgifter för TAAP (inklusive bankuppgifter) till våra tredjepartsleverantörer för ändamålet att:
   1. i. administrera, hantera och stödja ditt och dina Representanters och Underanvändares TAAP-konton
   2. ii. tillhandahålla stöd för bokningar
   3. iii. betala ut provisioner och andra belopp i enlighet med Avtalet.

Datasäkerhet

1.6 Båda parter, i egenskap av personuppgiftsansvariga, ska:

1. a. upprätthålla lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som de behandlar mot en personuppgiftsincident
2. b. i händelse av en bekräftad personuppgiftsincident i system som parten har i sin besittning eller kontroll, omedelbart underrätta den andra parten om personuppgiftsincidenten både (i) påverkar Personuppgifter för TAAP som också behandlas av den andra parten enligt Avtalet och (ii) måste rapporteras till en tillsynsmyndighet, med fullständig information om detta.I sådant fall ska båda parter samarbeta i rimlig utsträckning och i god tro för att avhjälpa eller mildra effekterna av personuppgiftsincidenten och de rimliga kostnaderna för sådant samarbete ska bäras av den part som råkade ut för personuppgiftsincidenten

Gränsöverskridande överföringar 

1.7 Data Privacy Framework (DPF), (Ramverk för datasekretess) :Du och vi är överens om att i fråga om överföringar av Begränsade överföringsuppgifter mellan dig och oss till USA eller till ett land som inte ansetts ha ”adekvat skyddsnivå” enligt Tillämpliga dataskyddslagar i det ursprungliga Begränsade överföringslandet (a) i den mån och så länge som en relevant myndighet godkänt DPF som en erkänd metod för överföring, ska DPF vara den överenskomna mekanismen för gränsöverskridande överföringar av uppgifter som härrör från ett Begränsat överföringsland till oss i USA (b) i den mån och så länge som DPF inte är en giltig metod för överföring (inklusive för överföringar av Begränsade överföringsuppgifter till ett land som inte ansetts ha ”adekvat skyddsnivå” enligt tillämpliga dataskyddslagar i det ursprungliga Begränsade överföringslandet) ska SCC:erna gälla för sådana överföringar och vi kommer att ingå dem på den grund som anges i Klausul 1.11 nedan.Där du också innehar en aktuell DPF-certifiering kan överföringar av Begränsade överföringsuppgifter till dig på liknande sätt göras under DPF med SCC:er som en reservmekanism enligt ovan.

1.8 Överförda skyldigheter för DPF : Du samtycker till att du kommer att tillhandahålla minst samma skyddsnivå för de Begränsade överföringsuppgifterna som krävs enligt DPF och du ska omedelbart meddela oss om du kommer fram till att du inte längre kan tillhandahålla denna skyddsnivå.Om så sker, eller om vi på annat sätt har rimliga skäl att anta att du inte skyddar de Begränsade överföringsuppgifterna upp till den nivå som krävs enligt DPF, kan vi antingen: (a) instruera dig att vidta rimliga och lämpliga åtgärder för att stoppa och åtgärda all obehörig behandling, i vilket fall du omedelbart, i god tro, kommer att samarbeta med oss för att identifiera, samtycka till och implementera sådana åtgärder (b) godkänna ett alternativt skydd som kan gälla för behandlingen enligt Tillämplig dataskyddslag (c) säga upp detta C2C-avtal och Avtalet (eller, enligt vår bedömning, alla berörda delar därav) utan påföljd genom att meddela dig.Om du även innehar en aktuell DPF-certifiering, ska ovanstående bestämmelser och de i Klausul 1.9 nedan anses gälla som om skyldigheterna är dubbelriktade.

1.9 DPF: s upplysningsskyldigheter : Du accepterar att vi kan lämna upplysningar om innehållet i detta C2C-avtal och alla relevanta sekretessbestämmelser i Avtalet till US Department of Commerce, Federal Trade Commission, en europeisk dataskyddsmyndighet eller till USA:s eller EU:s rättsliga eller reglerande organ på deras begäran och att sådana upplysningar inte ska anses vara ett brott mot konfidentialiteten.

1.10 Utvidgning av SCC: er till Icke begränsade överföringsländer: I samband med överföringar av Personuppgifter för TAAP mellan dig och oss som kommer från ett land som inte är ett Begränsat överföringsland men som i övrigt är föremål för skyddsåtgärder som, enligt Tillämplig dataskyddslag, måste tillämpas innan en överföring av dessa Personuppgifter för TAAP utanför ursprungslandet kan ske (vart och ett land är ett Icke begränsat överföringsland), så är du och vi överens om att (a) de SCC:er som anges i Klausul 1.11 nedan ska anses omfatta sådana ytterligare överföringar i den mån en sådan antagen omfattning skulle uppfylla det landets säkerhetskrav och/eller (b) om de åtgärder som anges i Klausul 1.11 är otillräckliga eller kräver kompletterande åtgärder, är parterna överens om att vidta sådana ytterligare åtgärder, inklusive till exempel upprättande av relevanta handlingar, insamling av samtycke, fylla i erforderliga ansökningar, som kan krävas från tid till annan för att uppfylla Tillämplig dataskyddslag.

1.11 I enlighet med Klausul 1.7 ovan, samtycker du och vi härmed till att ingå i SCC:erna på en oförändrad grund med undantag för följande val::

1. a. om du befinner dig i ett Begränsat överföringsland eller i ett land som ansetts ha ”tillräcklig skyddsnivå” i enlighet med Artikel 45 i GDPR, gäller endast Modul ett (1) av SCC:erna enkelriktat för överföringar från dig till Expedia.I annat fall gäller Modul ett (1) av SCC:erna dubbelriktat för att täcka både överföringar från oss till dig och från dig till oss.
2. b. Vid tillämpningen av klausul 11(a) i SCC:erna stryks den valfria texten.
3. c. Vid tillämpningen av klausul 13 i SCC:erna är den relevanta paragrafen ”Tillsynsmyndigheten i den medlemsstat där företrädaren i den mening som avses i Artikel 27.1 i förordning (EU) 2016/679 är etablerad ska, enligt vad som anges i Annex I.C, fungera som behörig tillsynsmyndighet.”
4. d. Irlands lag den tillämpliga styrande lagen vid tillämpningen av klausul 17 i SCC:erna.
5. e. Irland är valet vid tillämpningen av klausul 18(b) i SCC:erna.
6. f. En ny klausul 19 läggs till i SCC:erna för att täcka överföringar av personuppgifter från Storbritannien till utanför Storbritannien enligt följande:

”Klausul 19

Storbritanniens GDPR och DPA 2018

Parterna är överens om att dessa Klausuler kommer att utvidgas och tillämpas, i den utsträckning som är relevant för överföringen i fråga, för att täcka gränsöverskridande överföringar som faller under tillämpningsområdet för UK GDPR och Data Protection Act 2018 (en brittisk överföring).För sådana brittiska överföringar gäller bestämmelserna i tillägget Internationella dataöverföringar (International Data Transfer Addendum) till Standardavtalsklausulerna (Standard Contractual Clauses) Version B1.0 (i dess ändrade, ersatta, kompletterande lydelse eller som från tid till annan ersatts) enligt formuläret som bifogas som Tillägget.”

1. h. En ny klausul 20 läggs till i SCC:erna för att täcka överföringar av personuppgifter från Schweiz till utanför Schweiz enligt följande:

"Klausul 20

Schweiziska – FADP

Parterna är överens om att dessa Klausuler kommer att utvidgas och tillämpas, i den utsträckning som är relevant för överföringen i fråga, för att täcka gränsöverskridande överföringar som faller under tillämpningsområdet för Federal Act of Data Protection (FADP) (benämns i denna Klausul som en Schweizisk överföring).För sådana Schweiziska överföringar ska den tillämpliga lagen anses vara den valda medlemsstatens, valet av forum ska vara den valda medlemsstaten och Federal Data Protection och Information Commissioner (FDPIC) ska vara den behöriga tillsynsmyndigheten.Parterna är vidare överens om att sådana ytterligare ändringar ska tolkas som att de görs i Klausulerna med avseende på en Schweizisk överföring som anses nödvändiga av FCPIC för att följa Storbritanniens GDPR och FADP, och Klausulerna ska tolkas i enlighet med kraven för Schweiziska överföringar som härrör från dessa lagar eller som på annat sätt anges i vägledning utfärdad av FDPIC, utan att parterna behöver upprätta separata standardavtalsklausuler som utarbetats specifikt för deras Schweiziska överföringar.Parterna ska vidare utföra alla sådana handlingar och saker som kan vara nödvändiga för att säkerställa efterlevnad av FADP när de deltar i Schweiziska överföringar.”

1. i. En ny klausul 21 läggs till i SCC:erna för att täcka överföringar av personuppgifter från Brasilien till utanför Brasilien enligt följande:

”Klausul 21 

Brasilianska – LGPD 

Parterna är överens om att dessa Klausuler kommer att utvidgas och tillämpas, i den utsträckning som är relevant för överföringen i fråga, för att täcka gränsöverskridande överföringar som faller under tillämpningsområdet för den Brasilianska allmänna dataskyddslagen Lag nr. 13,709/18 (Lei Geral de Proteção de Dados) (LGPD) (benämns i denna Klausul för en Brasiliansköverföring). För sådana Brasilianska överföringar ska den tillämpliga lagen anses vara den valda medlemsstatens, valet av forum ska vara den valda medlemsstaten och Brasiliens National Data Protection Authority (ANPD) ska vara den behöriga tillsynsmyndigheten.Parterna är vidare överens om att sådana ytterligare ändringar ska tolkas som att de görs i Klausulerna med avseende på en Brasiliansk överföring som anses nödvändiga av ANPD för att följa LGPD, och Klausulerna ska tolkas i enlighet med kraven för Brasilianska överföringar som härrör från dessa lagar eller som på annat sätt anges i vägledning utfärdad av ANPD eller annan relevant Brasiliansk myndighet, utan att parterna behöver upprätta separata standardavtalsklausuler som utarbetats specifikt för deras Brasilianska överföringar.Parterna ska vidare utföra alla sådana handlingar och saker som kan vara nödvändiga för att säkerställa efterlevnad av LGPD när de deltar i Brasilianska överföringar.”

1. j. En ny klausul 22 läggs till i SCC:erna för att täcka överföringar av personuppgifter från något annat land som hittills inte har specificerats där SCC:erna kan utvidgas för att säkerställa lämpliga skyddsåtgärder för överföringar av personuppgifter som härrör från det landet till en part utanför det landet enligt följande:

”Klausul 22

Andra överföringar från/till tredje land

Parterna är överens om att dessa Klausuler kommer att utvidgas och tillämpas, i den utsträckning som är relevant för överföringen i fråga, för att täcka gränsöverskridande överföringar som faller under omfattningen av andra tillämpliga lagar och förordningar i någon relevant jurisdiktion, relaterade till användning eller behandling av personuppgifter (Tillämpliga dataskyddslagar) som kräver villkor och skydd som i stort sett motsvarar dessa Klausuler för att överföra personuppgifter från det landet till ett annat (benämns i denna Klausul för en Överföring från/till tredje land)För sådana Överföringar från/till tredje land ska den tillämpliga lagen anses vara den valda medlemsstatens, valet av forum ska vara den valda medlemsstaten och dataskyddsmyndigheten eller tillsynsorganet i det landet ska vara den behöriga tillsynsmyndigheten.Parterna är vidare överens om att sådana ytterligare ändringar ska tolkas som att de görs i Klausulerna med avseende på en Överföring från/till tredje land som en sådan tillsynsmyndighet anser nödvändiga för att följa det landets Tillämpliga dataskyddslagar, och Klausulerna ska tolkas i enlighet med kraven för Överföringar från/till tredje land som härrör från dessa lagar eller som på annat sätt anges i vägledning utfärdad av relevant tillsynsmyndighet, utan att parterna behöver upprätta separata standardavtalsklausuler som utarbetats specifikt för deras Överföringar från/till tredje land.Parterna ska vidare utföra alla sådana handlingar och saker som kan vara nödvändiga för att säkerställa efterlevnad av Tillämpliga dataskyddslagar när de deltar i Överföringar från/till tredje land.”

1.12 Annex 1 (Behandlingsöversikt för SCC:er) till detta C2C-avtal utgör Annex 1 till SCC:erna.Annex 2 (Tekniska och organisatoriska åtgärder) till detta C2C-avtal utgör Annex 2 till SCC:erna och gäller endast för Expedia när du har lämnat upplysningar om, och vi har accepterat, adekvata tekniska och organisatoriska åtgärder för att uppfylla dina krav i Annex 2 till SCC:erna eller, när så är inte fallet, kommer Annex 2 att tolkas gälla för båda parter och alla hänvisningar till Expedia och Expedia Group kommer att tolkas som hänvisningar till endera parten i enlighet därmed.Tillägget till detta C2C-avtal utgör Storbritanniens Tillägg vid tillämpning av SCC:erna.

ANNEX I – BEHANDLINGSÖVERSIKT FÖR SCC:er 

MODUL ETT: Mellan personuppgiftsansvariga (från dig till oss)

A. LISTA ÖVER PARTER

Dataexportör(er):

Dataimportör(-er): 

B. BESKRIVNING AV ÖVERFÖRING

C. BEHÖRIG TILLSYNSMYNDIGHET

Identifiera den eller de behöriga tillsynsmyndigheterna i enlighet med Klausul 13 i SCC:erna

Irländska dataskyddsmyndigheten

MODUL ETT: Mellan personuppgiftsansvariga (från oss till dig)

A. LISTA ÖVER PARTER

Dataexportör(er):

Den eller de parter som identifierats som dataimportörer i Modul ett (1) (från dig till oss) ovan.Se ovan för mer information.

Dataimportör(-er):

Den eller de parter som identifierats som dataexportörer i Modul ett (1) (från dig till oss) ovan.Se ovan för mer information.

B.BESKRIVNING AV ÖVERFÖRING

C. BEHÖRIG TILLSYNSMYNDIGHET

Enligt Modul ett (1)

ANNEX II - TEKNISKA OCH ORGANISATORISKA ÅTGÄRDER 

De tekniske og organisatoriske tiltakene som gjelder for formålene i modul én (1), er angitt nedenfor.

Tillägg till EU-kommissionens standardavtalsklausuler (Tillägg), avseende internationella dataöverföringar

Detta Tillägg har utfärdats av Informationskommissionären (Information Commissioner) för parter som gör Begränsade överföringar.Informationskommissionären anser att det tillhandahåller lämpliga skyddsåtgärder för Begränsade överföringar när det ingås som ett juridiskt bindande avtal.

Del 1 Tabeller

Del 2: Obligatoriska Klausuler

Obligatoriska Klausuler i det godkända Tillägget, som är mallen Tillägg B.1.0 som utfärdats av ICO och som lades fram för parlamentet i enlighet med avsnitt 119A i Data Protection Act 2018 den 2 februari 2022, som den revideras enligt Avsnitt 18 i dessa obligatoriska Klausuler.