Personuppgiftsbiträdesavtal
Version AV2024-1.0
Parter:
1. Jimani, nedan kallad ”Personuppgiftsbiträde”;
2. Kunden, nedan kallad ”Personuppgiftsansvarig”;
Personuppgiftsbiträdet och Personuppgiftsansvarig nedan gemensamt kallade: ”Parterna”
Med beaktande av att:
– Personuppgiftsansvarig har gett Personuppgiftsbiträdet i uppdrag att behandla personuppgifter för dennes verksamhet inom ramen för huvudavtalet, vilket utgör en oskiljaktig del av detta personuppgiftsbiträdesavtal;– Personuppgiftsansvarig fastställer ändamålen och medlen för vilka de häri nämnda villkoren gäller;– Personuppgiftsbiträdet är villigt att utföra behandlingen och även villigt att uppfylla skyldigheter rörande säkerhet och andra aspekter av den allmänna dataskyddsförordningen (”GDPR”), i den mån detta ligger inom dess kontroll;– Personuppgiftsbiträdet inte behandlar personuppgifterna för egna ändamål;– Personuppgiftsansvarig kan anses vara personuppgiftsansvarig i den mening som avses i artikel 4.7 i GDPR;– Personuppgiftsbiträdet kan anses vara personuppgiftsbiträde i den mening som avses i artikel 4.8 i GDPR;– Där det i detta avtal talas om personuppgifter avses personuppgifter i den mening som avses i artikel 4.1 i GDPR;– Parterna, även med hänsyn till kravet i artikel 28.3 i GDPR, önskar fastställa sina rättigheter och skyldigheter skriftligen genom detta personuppgiftsbiträdesavtal (nedan kallat ”Personuppgiftsbiträdesavtal”).
Parterna har kommit överens om följande:
Artikel 1 – Ändamål med behandlingen
1. Personuppgiftsbiträdet åtar sig att på uppdrag av Personuppgiftsansvarig behandla personuppgifter enligt villkoren i detta personuppgiftsbiträdesavtal. Behandling ska uteslutande ske inom ramen för genomförandet av uppdragsavtalet och detta personuppgiftsbiträdesavtal i den mening som avses i artikel 28.3 i GDPR. 2. Det är förbjudet för Personuppgiftsbiträdet att behandla personuppgifterna för något annat ändamål än det som fastställts av Personuppgiftsansvarig. Ändamålet med behandlingen är att tillhandahålla de tjänster som begärts av Personuppgiftsansvarig såsom de beskrivs och fastställs i huvudavtalet. För detta ändamål utförs följande aktiviteter: tillhandahållande av en plattform för kundens verksamhet och andra relaterade aktiviteter. 3. Kategorin av registrerade vars personuppgifter samlas in avser kunduppgifter, inloggningsuppgifter, medarbetaruppgifter för kunden och/eller andra personer eller kontakter till Personuppgiftsansvarig som Personuppgiftsbiträdet kommer i kontakt med vid behandling av personuppgifter för Personuppgiftsansvarigs räkning. 4. Kategorin av personuppgifter som behandlas är: personuppgifter, medarbetaruppgifter för kunden. 5. Personuppgiftsbiträdet kommer inte att behandla personuppgifterna för något annat ändamål än vad som fastställts av Personuppgiftsansvarig. Personuppgiftsansvarig ska informera Personuppgiftsbiträdet om behandlingsändamålen i den mån dessa inte redan nämns i detta personuppgiftsbiträdesavtal. 6. Personuppgiftsbiträdet har kontroll över medlen för behandling och lagring av personuppgifterna. Personuppgiftsansvarig ansvarar för att fastställa ändamålet med behandlingen och ska dokumentera detta tydligt. 7. Behandlingen kommer att ske både manuellt och (semi)automatiskt. 8. De personuppgifter som behandlas på uppdrag av Personuppgiftsansvarig förblir Personuppgiftsansvarigs och/eller de berörda registrerades egendom.
Artikel 2 – Avtalets giltighetstid
1. Detta avtal träder i kraft efter godkännande av avtalet och ingås för den tid som huvudavtalet löper. 2. Detta avtal kan inte sägas upp i förtid. 3. Ändringar i detta avtal till följd av förändringar i det eventuella underliggande uppdragsavtalet, lagar eller regler eller andra relevanta omständigheter är endast giltiga om de efter samråd och med uttryckligt medgivande från parterna bifogas personuppgiftsbiträdesavtalet. 4. Detta avtal upphör automatiskt om huvudavtalet upphör. 5. Så snart avtalet har upphört, oavsett anledning och på vilket sätt det än sker, ska Personuppgiftsbiträdet – efter Personuppgiftsansvarigs val – återlämna alla personuppgifter som finns hos biträdet i original eller kopia till Personuppgiftsansvarig och/eller radera och/eller förstöra dessa originalpersonuppgifter och eventuella kopior därav inom en period av högst 28 dagar. Eventuella kostnader för detta bärs av Personuppgiftsansvarig. 6. Bestämmelserna rörande tystnadsplikt, ansvar och tvistlösning förblir i kraft även efter detta avtals upphörande.
Artikel 3 – Personuppgiftsbiträdets skyldigheter
1. Personuppgiftsbiträdet är skyldigt att följa de villkor som ställs på behandling av personuppgifter enligt gällande lagar och regler, särskilt GDPR och tillämplig nationell lagstiftning. 2. Det är förbjudet för Personuppgiftsbiträdet att berika sina egna databaser och/eller filer med några (person)uppgifter från Personuppgiftsansvarigs databaser, förutom i de fall då Personuppgiftsbiträdet behöver skapa tillfälliga databaser och/eller filer för att kunna behandla personuppgifterna på ett korrekt sätt. De tillfälliga filerna raderas omedelbart så snart de inte längre behövs för behandlingen. 3. Personuppgiftsbiträdet ska på begäran informera Personuppgiftsansvarig om de åtgärder som vidtagits avseende dess skyldigheter enligt detta personuppgiftsbiträdesavtal. 4. Om Personuppgiftsansvarig ger instruktioner till Personuppgiftsbiträdet rörande behandlingen av personuppgifter, ska Personuppgiftsbiträdet följa dessa instruktioner om det är nödvändigt för en korrekt behandling, förutom i de fall då dessa instruktioner strider mot lagar, regler eller eventuella tillämpliga yrkes- och etiska regler. Endast Personuppgiftsansvarig är behörig att fälla det avgörande omdömet i denna fråga. 5. Alla skyldigheter som vilar på Personuppgiftsbiträdet gäller även för de personer som behandlar personuppgifter under Personuppgiftsbiträdets auktoritet (efter uttryckligt medgivande från Personuppgiftsansvarig), vilket inkluderar anställda och anlitade tredje parter. 6. Personuppgiftsbiträdet ansvarar för att endast anställda och/eller tredje parter har tillgång till de personuppgifter för vilka tillgång är nödvändig för att fullgöra avtalet. Anställda och/eller tredje parter arbetar under Personuppgiftsbiträdets ansvar. 7. Personuppgiftsansvarig har obegränsad tillgång till personuppgifterna hos Personuppgiftsbiträdet. Personuppgiftsbiträdet är skyldigt att samarbeta på begäran av Personuppgiftsansvarig gällande insyn. 8. Detta avtal kan inte överlåtas, såvida inte annat uttryckligen överenskommits.
Artikel 4 – Överföring av personuppgifter
1. Utan skriftligt medgivande från Personuppgiftsansvarig får Personuppgiftsbiträdet inte låta överföra eller göra personuppgifter tillgängliga från länder eller internationella organisationer för vilka Europeiska kommissionen ännu inte har beslutat att de säkerställer en adekvat skyddsnivå i enlighet med tillämplig integritetslagstiftning. Artikel 44 till 50 i GDPR ska alltid efterlevas. Personuppgiftsbiträdet ska på begäran ge Personuppgiftsansvarig insyn i de platser där behandlingen sker. 2. Personuppgiftsbiträdet ska hantera Personuppgiftsansvarigs personuppgifter med omsorg.
Artikel 5 – Personuppgiftsbiträdets ansvar
1. Personuppgiftsbiträdet ska för Personuppgiftsansvarigs räkning inom ramen för detta avtal utföra de aktiviteter som nämns i artikel 1.2 i detta avtal samt övriga aktiviteter som fastställts i huvudavtalet. 2. Personuppgiftsbiträdet ansvarar för behandlingen av personuppgifterna enligt detta personuppgiftsbiträdesavtal, i enlighet med Personuppgiftsansvarigs instruktioner. För övriga behandlingar av personuppgifter, inklusive men inte begränsat till insamling av personuppgifter av Personuppgiftsansvarig, behandlingar för ändamål som inte har anmälts till Personuppgiftsbiträdet av Personuppgiftsansvarig, behandlingar av tredje part och/eller för andra ändamål, är Personuppgiftsbiträdet likaså ansvarigt.
Artikel 6 – Tredje part
Personuppgiftsbiträdets arbete får endast läggas ut på tredje part efter uttryckligt föregående medgivande från Personuppgiftsansvarig. Personuppgiftsbiträdet ansvarar för dessa tredje parter och är självt ansvarigt och skadeståndsskyldigt för all skada som uppstår hos Personuppgiftsansvarig genom tredje parts agerande. Alla skyldigheter i detta avtal gäller även för dessa tredje parter (underbiträden).
Artikel 7 – Säkerhetsåtgärder för personuppgifter
1. Personuppgiftsbiträdet åtar sig att vidta tillräckliga och lämpliga organisatoriska och tekniska åtgärder mot varje form av olaglig behandling med avseende på de behandlingar av personuppgifter som ska utföras. 2. Åtgärdernas säkerhetsnivå ska minst motsvara en nivå som inte är orimlig med hänsyn till de därmed förenade kostnaderna, de aktuella personuppgifternas känslighet samt den tekniska utvecklingen och riskerna. Personuppgiftsbiträdet garanterar inte att de vidtagna säkerhetsåtgärderna är effektiva vid alla tidpunkter och under alla omständigheter. Efter samråd kan parterna vidta andra kompletterande eller ytterligare säkerhetsåtgärder. 3. Personuppgiftsbiträdet har ett eget ansvar att informera sig självt och/eller sina anställda och anlitade tredje parter om alla protokoll, (säkerhets)policyer och andra instruktioner som möjliggör och främjar en säker behandling. 4. Personuppgiftsbiträdet är ansvarigt för sin del av behandlingen. 5. Om det sker en säkerhetsöverträdelse avseende personuppgifterna som kan orsaka skada eller ha negativa konsekvenser för skyddet av personuppgifterna, ska Personuppgiftsbiträdet informera Personuppgiftsansvarig om detta omedelbart, eller utan oskäligt dröjsmål, dock senast inom 24 timmar efter att Personuppgiftsbiträdet rimligen borde ha fått kännedom om detta. Personuppgiftsansvarig ska därefter informera Integritetsskyddsmyndigheten inom 48 timmar och eventuella registrerade så snart som möjligt om överträdelsen. 6. Enligt Personuppgiftsbiträdets anmälningsskyldighet ska anmälan om en överträdelse innehålla minst följande komponenter: – överträdelsens art i fråga om personuppgifter, där så är möjligt med angivande av kategorier av och det ungefärliga antalet registrerade och personuppgiftsposter som berörs; – namn och kontaktuppgifter för dataskyddsombudet eller en annan kontaktpunkt där mer information kan erhållas; – de sannolika konsekvenserna av personuppgiftsincidenten; – de åtgärder som Personuppgiftsbiträdet har föreslagit eller vidtagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter. 7. Personuppgiftsansvarig ska föra ett register över alla överträdelser i enlighet med artikel 33.5 i GDPR. 8. Om en säkerhetsöverträdelse avseende personuppgifterna har skett hos Personuppgiftsbiträdet, är Personuppgiftsbiträdet skyldigt att på egen bekostnad vidta lämpliga åtgärder för att förhindra framtida incidenter och/eller överträdelser.
Artikel 8 – Tystnadsplikt
Personuppgiftsbiträdet och dess anställda samt de tredje parter som anlitats av Personuppgiftsbiträdet är skyldiga att iaktta tystnadsplikt beträffande alla personuppgifter, känslig information och/eller företagsuppgifter som erhållits genom detta avtal. Tystnadsplikten gäller inte om Personuppgiftsansvarig har gett uttryckligt och skriftligt medgivande till Personuppgiftsbiträdet att dela dessa uppgifter och information med tredje part, eller om det föreligger en lagstadgad skyldighet att lämna ut uppgifterna och informationen till en tredje part. Efter detta avtals upphörande förblir parterna skyldiga att följa denna tystnadsplikt.
Artikel 9 – Den registrerades rättigheter
1. Om Personuppgiftsbiträdet mottar en begäran om registerutdrag från en registrerad eller en behörig myndighet, ska Personuppgiftsbiträdet hantera denna begäran så snart som möjligt, dock senast inom 5 arbetsdagar. Om det inte är möjligt att hantera begäran själv, ska begäran vidarebefordras till Personuppgiftsansvarig inom 5 arbetsdagar. Personuppgiftsbiträdet ska på begäran samarbeta vid genomförandet av begäran. De kostnader som Personuppgiftsbiträdet har för detta samarbete bärs av Personuppgiftsansvarig. 2. Bestämmelserna i artikel 9.1 gäller på motsvarande sätt om en registrerad vill göra gällande andra rättigheter såsom rätt till rättelse, radering, rätt till begränsning av behandling, rätt till dataportabilitet, rätt att göra invändningar och rättigheter vid automatiserat individuellt beslutsfattande, såsom de fastställs i avsnitt 3 och 4 i den allmänna dataskyddsförordningen.
Artikel 10 – Ansvar
1. Personuppgiftsbiträdet ansvarar för behandlingen av personuppgifterna och garanterar att behandlingen är laglig och inte kränker de registrerades rättigheter. Personuppgiftsbiträdet är endast ansvarigt för skada till följd av handlingar och/eller underlåtenhet, eller bristande efterlevnad av lagar och regler från Personuppgiftsbiträdets sida. 2. Personuppgiftsbiträdets ansvar är begränsat till högst ett belopp motsvarande uppdragets värde. Alla följdskador är uttryckligen undantagna från Personuppgiftsbiträdets ansvar. 3. Utan att det påverkar bestämmelserna i denna artikel är Personuppgiftsbiträdet ansvarigt för skada som orsakats av behandlingen om de skyldigheter i GDPR som är specifikt riktade till biträdet inte har uppfyllts vid behandlingen, eller om biträdet har handlat i strid med Personuppgiftsansvarigs lagliga instruktioner. 4. Personuppgiftsbiträdet är inte ansvarigt för skadan om det kan visa att det inte på något sätt är ansvarigt för den händelse som orsakade skadan.
Artikel 11 – Skadeslöshet
1. Personuppgiftsansvarig håller Personuppgiftsbiträdet skadeslöst för anspråk, böter och/eller viten från eller på uppdrag av Integritetsskyddsmyndigheten och/eller andra myndigheter, där det har fastställts att överträdelserna faller under Personuppgiftsansvarigs ansvar. 2. Personuppgiftsbiträdet kan kräva ersättning för påförda böter och/eller viten från Personuppgiftsansvarig om och i den mån Personuppgiftsbiträdet kan hållas ansvarigt för Personuppgiftsansvarigs överträdelser.
Artikel 12 – Tvistlösning
1. På detta avtal ska nederländsk lag tillämpas. 2. Alla tvister som uppstår mellan parterna till följd av eller i samband med detta personuppgiftsbiträdesavtal ska avgöras av behörig domstol på den ort där Personuppgiftsbiträdet har sitt säte.
