Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal (“PUB”) utgör Bilaga 2 till Molntjänstavtalet (“Huvudavtalet”) mellan Kunden (Personuppgiftsansvarig) och Leverantören (Personuppgiftsbiträde). Vid motstridighet mellan PUB och Huvudavtalet ska PUB äga företräde avseende behandling av personuppgifter.

1. Definitioner

Begrepp som används i detta PUB har samma innebörd som i EU:s dataskyddsförordning (GDPR) 2016/679, om inte annat anges. Med “Personuppgiftsansvarig” avses Kunden och med “Biträdet” avses Leverantören.

2. Behandlingens omfattning

Biträdet ska behandla personuppgifter uteslutande för Personuppgiftsansvarigs räkning och i enlighet med dennes dokumenterade instruktioner. Behandlingens art, ändamål, kategorier av registrerade och typer av personuppgifter framgår av Appendix A till detta PUB.

3. Personuppgiftsansvarigs skyldigheter

Personuppgiftsansvarig ansvarar för att:

• (a) behandlingen av personuppgifter sker i enlighet med GDPR och övrig tillämplig dataskyddslagstiftning;
• (b) det finns en laglig grund för behandlingen;
• (c) de registrerade har informerats om behandlingen i enlighet med GDPR art. 13–14; samt
• (d) instruktioner till Biträdet är förenliga med tillämplig dataskyddslagstiftning.

4. Biträdets skyldigheter

Biträdet förbinder sig att:

• (a) behandla personuppgifter enbart enligt Personuppgiftsansvarigs dokumenterade instruktioner, inklusive vad avser överföringar till tredjeland, såvida inte EU-rätt eller svensk rätt kräver annan behandling – i sådant fall ska Biträdet informera Personuppgiftsansvarig om detta lagkrav innan behandling sker, om inte sådan information är förbjuden;
• (b) säkerställa att personer som bemyndigats att behandla personuppgifterna har åtagit sig att iaktta sekretess eller omfattas av lagreglerad tystnadsplikt;
• (c) vidta alla åtgärder som krävs enligt GDPR art. 32 (säkerhet vid behandling);
• (d) inte anlita ett annat personuppgiftsbiträde (underbiträde) utan föregående skriftligt godkännande från Personuppgiftsansvarig, i enlighet med § 6 nedan;
• (e) med beaktande av behandlingens art, bistå Personuppgiftsansvarig genom lämpliga tekniska och organisatoriska åtgärder, så att denne kan fullgöra sin skyldighet att besvara begäran från registrerade om utövande av deras rättigheter enligt GDPR kapitel III;
• (f) bistå Personuppgiftsansvarig med att säkerställa efterlevnad av skyldigheterna enligt GDPR art. 32–36 (säkerhetsåtgärder, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd);
• (g) efter avslutad behandling, enligt Personuppgiftsansvarigs val, radera eller återlämna samtliga personuppgifter och radera befintliga kopior, om inte unionslagstiftning eller nationell lagstiftning kräver lagring; samt
• (h) ge Personuppgiftsansvarig tillgång till all information som är nödvändig för att påvisa att de skyldigheter som följer av GDPR art. 28 fullgörs, samt möjliggöra och bidra till granskningar (revisioner) som genomförs av Personuppgiftsansvarig eller av en revisor som utsetts av Personuppgiftsansvarig.

5. Personuppgiftsincidenter

Biträdet ska utan onödigt dröjsmål, och senast inom tjugofyra (24) timmar efter att ha fått kännedom om en personuppgiftsincident, underrätta Personuppgiftsansvarig. Underrättelsen ska innehålla:

• (a) en beskrivning av incidentens art, inklusive, om möjligt, kategorierna av och det ungefärliga antalet berörda registrerade samt personuppgiftsposter;
• (b) namn på och kontaktuppgifter till dataskyddsombud eller annan kontaktpunkt där ytterligare information kan erhållas;
• (c) en beskrivning av de sannolika konsekvenserna av incidenten; samt
• (d) en beskrivning av de åtgärder som vidtagits eller föreslås för att hantera incidenten och mildra dess konsekvenser.

6. Underbiträden

6.1 Personuppgiftsansvarig ger härmed ett allmänt förhandstillstånd till Biträdet att anlita underbiträden. Gällande underbiträden vid avtalets ingående framgår av Appendix B.

6.2 Biträdet ska skriftligen informera Personuppgiftsansvarig minst trettio (30) dagar i förväg vid planerat byte eller tillägg av underbiträde. Personuppgiftsansvarig har rätt att invända mot förändringen inom denna period. Om Personuppgiftsansvarig inte invänder inom trettio (30) dagar, ska Personuppgiftsansvarig anses ha godkänt det nya underbiträdet.

6.3 Om Personuppgiftsansvarigs invändning mot ett underbiträde, enligt Biträdets bedömning, förhindrar ett effektivt tillhandahållande av Tjänsten, äger Biträdet rätt att säga upp Huvudavtalet utan påföljd eller skadeståndsskyldighet, med trettio (30) dagars varsel.

6.4 Biträdet ska genom avtal säkerställa att varje underbiträde åläggs minst motsvarande skyldigheter avseende dataskydd som följer av detta PUB. Biträdet ansvarar gentemot Personuppgiftsansvarig för underbiträdets åtaganden på samma sätt som för sina egna.

7. Överföringar till tredjeland

Personuppgifter ska lagras och behandlas inom EU/EES. Överföring till tredjeland får enbart ske med Personuppgiftsansvarigs föregående skriftliga godkännande och förutsatt att en lämplig skyddsmekanism enligt GDPR föreligger.

8. Granskning och revision

8.1 Biträdet ska på begäran tillhandahålla dokumentation som visar att detta PUB efterlevs.

8.2 Personuppgiftsansvarig, eller en oberoende tredjepartsrevisor utsedd av Personuppgiftsansvarig, har rätt att genomföra granskning av Biträdets behandling efter skälig förvarning (minst 30 dagar) och under normal arbetstid. Biträdet ska i skälig utsträckning medverka i sådan granskning.

9. Kommunikation med registrerade och tillsynsmyndigheter

Biträdet ska utan dröjsmål hänvisa registrerade, tillsynsmyndigheter eller andra som kontaktar Biträdet i frågor rörande behandlingen av personuppgifter enligt detta PUB, till Personuppgiftsansvarig. Biträdet får inte besvara sådana förfrågningar på egen hand utan Personuppgiftsansvarigs föregående godkännande, om inte Biträdet är skyldigt att lämna uppgifter enligt lag.

10. Ansvar

Vardera Parts ansvar för skada som uppstår till följd av behandling i strid med GDPR följer av GDPR art. 82. De ansvarsbegränsningar som anges i Huvudavtalets § 8 ska även tillämpas på detta PUB.

11. Lagval och tvistlösning

Detta PUB ska tolkas och tillämpas i enlighet med svensk rätt. Tvister i anledning av detta PUB ska avgöras i enlighet med vad som föreskrivs om tvistlösning i Huvudavtalet.

12. Avtalstid

Detta PUB gäller så länge Biträdet behandlar personuppgifter för Personuppgiftsansvarigs räkning. Skyldigheterna avseende konfidentialitet och radering/återlämnande kvarstår även efter PUB:ets upphörande.

APPENDIX A – Behandlingens omfattning

APPENDIX B – Godkända underbiträden

Följande underbiträden är godkända av Personuppgiftsansvarig vid avtalets ingående:

Listan ska hållas uppdaterad och göras tillgänglig för Personuppgiftsansvarig i Tjänsten eller på begäran.