Common use of Dataskydd Clause in Contracts

Dataskydd. I denna punkt 20 ska uttrycket ”Dataskyddslagar” från och med den 25 maj 2018 innebära Europaparlamentet och rådets förordning (EU) 2016/679 (”GDPR”) och/eller andra gällande lagar om dataskydd som tillämpligt. 20.1 Uttrycken ”behandla/behandlar/behandlad”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad person”, ”personuppgifter” och ”personuppgiftsintrång” ska ha samma betydelser som i Dataskyddslagarna. 20.2 Kunden förbinder sig att inte tillhandahålla eller på annat sätt tillgängliggöra personuppgifter för Bolaget, förutom personuppgifter i form av namn och kontaktinformation (till exempel telefonnummer, befattning och e-postadress) till Kundens kontaktpersoner om inte något annat krävs för att det ska gå att utföra Tjänsterna. Sådana ytterligare personuppgifter ska i så fall specifikt identifieras i förväg av Kunden och godkännas skriftligt av Bolaget. 20.3 Om personuppgifter behandlas av en part under eller i samband med Avtalet ska den parten i egenskap av personuppgiftsbiträde: 20.3.1 inte behandla, överföra, modifiera, göra tillägg i eller ändra personuppgifterna eller lämna ut eller tillåta utlämnande av personuppgifterna till någon tredje part utöver vad som krävs för att följa den andra partens (som personuppgiftsansvarig) lagenliga, dokumenterade och rimliga instruktioner (som om inget annat avtalats ska vara att behandla personuppgifter så som det är nödvändigt för att tillhandahålla Tjänsterna i enlighet med villkoren i detta Avtal), såvida det inte krävs enligt någon lag som personuppgiftsbiträdet är underkastat, varvid personuppgiftsbiträdet ska informera personuppgiftsansvarig om detta lagkrav före behandlingen såvida inte den aktuella lagen förbjuder sådan information på grundval av viktiga ändamål av allmänintresse. Specifikt instruerar personuppgiftsansvarig personuppgiftsbiträdet att överföra uppgifter utanför EES endast på villkor att personuppgiftsbiträdet uppfyller kraven i artikel 45 till 49 i GDPR; 20.3.2 då denne blir medveten om ett personuppgiftsincident: (a) meddela personuppgiftsansvarig utan onödigt dröjsmål; och (b) i rimlig utsträckning samarbeta med personuppgiftsansvarig (på personuppgiftsansvarigs bekostnad) i samband med personuppgiftsincidenten; 20.3.3 då denne tar emot någon begäran, något klagomål eller någon kommunikation som gäller personuppgiftsansvarigs skyldigheter enligt dataskyddslagarna: (a) meddela personuppgiftsansvarig så snart som rimligen är praktiskt möjligt; (b) bistå personuppgiftsansvarig genom att införa lämpliga tekniska och organisatoriska åtgärder så att personuppgiftsansvarig kan efterleva registrerads utövande av rättigheter enligt dataskyddslagar i fråga om personuppgifter som behandlas av personuppgiftsbiträdet under detta Avtal eller uppfylla någon utvärdering, någon förfrågan, något meddelande eller någon utredning enligt dataskyddslagar, på villkor att personuppgiftsansvarig i respektive fall ersätter personuppgiftsbiträdet för alla kostnader som personuppgiftsbiträdet rimligen ådrar sig vid uppfyllandet av sina skyldigheter enligt denna punkt 20.3.3; 20.3.4 försäkra sig om att lämpliga tekniska och organisatoriska åtgärder så som krävs enligt artikel 32 vid alla tillfällen är införda; 20.3.5 försäkra sig om att de av dess anställda som kan ha tillgång till personuppgifterna är underkastade lämpliga sekretessåtaganden; 20.3.6 införa lämpliga organisatoriska och tekniska åtgärder för att hjälpa personuppgiftsansvarig att uppfylla sina skyldigheter vad gäller artikel 33 till 36 i GDPR med hänsyn till behandlingens natur och den information som är tillgänglig för personuppgiftsbiträdet; 20.3.7 inte låta någon underleverantör behandla personuppgifterna (”Underbiträde”) annat än med i förväg inhämtat skriftligt tillstånd av personuppgiftsansvarig, med erkännande av att personuppgiftsansvarig samtycker till att underbiträden, från tid till annan, utses av personuppgiftsbiträdet och som i respektive fall är underkastade villkor mellan personuppgiftsbiträdet och underbiträdet som ger ett minst lika starkt skydd som villkoren i denna punkt 20 förutsatt att personuppgiftsbiträdet meddelar personuppgiftsansvarig om identiteten av sådana underbiträden och när de eventuellt ändras; och 20.3.8 upphöra med behandlingen av personuppgifterna inom nittio (90) dagar efter avslutandet eller utgången av detta Avtal eller, om detta inträffar tidigare, den Tjänst som Avtalet gäller och så snart som möjligt därefter (efter personuppgiftsansvarigs godtycke) antingen returnera eller säkert radera från sitt system personuppgifterna och eventuella kopior av dem eller den information de innehåller, förutom i den utsträckning som personuppgiftsbiträdet måste spara personuppgifterna på grund av ett juridiskt krav, myndighetskrav eller krav från en ackrediteringsorganisation. 20.4 Den personuppgiftsansvarige ska, om sådan information och instruktioner inte har tillhandahållits genom Avtalet eller på annat sätt, skriftligen informera personuppgiftsbiträdet om föremålet för behandlingen och behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade som omfattas av personuppgiftsbiträdets behandling. 20.5 Personuppgiftsbiträdet ska göra tillgänglig för personuppgiftsansvarig sådan vidare information och (i den mån tillämpligt) tillåta och bidra till eventuell granskning eller revision som genomförs av personuppgiftsansvarig eller en revisor som utses av personuppgiftsansvarig för att säkerställa att personuppgiftsansvarig uppfyller de skyldigheter som anges i denna punkt 20, alltid under förutsättning att sådan granskning eller revision inte ska medföra att personuppgiftsbiträdet måste tillhandahålla eller tillåta åtkomst av information om: (i) personuppgiftsbiträdets interna prisinformation; (ii) information som gäller personuppgiftsbiträdets övriga kunder; (iii) personuppgiftsbiträdets icke-offentliga externa rapporter; eller (iv) interna rapporter framställda av personuppgiftsbiträdets interna funktioner för revision eller efterlevnad. Personuppgiftsbiträdet ska omedelbart meddela personuppgiftsansvarig om någon instruktion från personuppgiftsansvarig under detta Avtal enligt personuppgiftsbiträdets uppfattning innebär brott mot GDPR eller andra regler om dataskydd för EU eller en medlemsstat.

Dataskydd. I denna punkt 20 ska uttrycket ”Dataskyddslagar” från 15.1 Informationen som samlas in av CCEP, inklusive, utan begränsning, kontaktuppgifter till (företrädare och kontaktpersoner hos) Leverantören och uppgifter som erfordras för fakturering, behandlas omsorgsfullt helt i enlighet med gällande dataskyddslagar, i synnerhet EU förordning 2016/679 av den 25 maj 2018 innebära Europaparlamentet och rådets förordning 27 april 2016 (EU) 2016/679 (dataskyddsförordningen, också benämnd ”GDPR”). 15.2 Både Leverantören och CCEP anses vara personuppgiftsansvariga inom gällande dataskyddslagstiftning: Leverantören som den part som lämnar informationen till CCEP inom ramen för affärsavtalet mellan parterna (hädanefter ”Avtalet”), och CCEP som den part som använder informationen inom ramen för Xxxxxxx. 15.3 Dessa personuppgifter behandlas av CCEP i syfte att säkerställa överensstämmelse med gällande xxxxx samt för de legitima affärsintressen som beskrivs nedan. 15.4 Leverantören åtar sig att informera sina företrädare/kontaktpersoner eller andra personer vars personuppgifter tillhandahållits CCEP (”registrerade”) om uppgiftsbehandlingen inom ramen för Avtalet, inkluderande bland annat: • uppgifter om Leverantören och CCEP som personuppgiftsansvariga inom ramen för detta Avtal; • syftet med uppgiftsbehandling (se nedan); • de rättsliga grunderna för behandlingen (se ovan); • potentiella tredje parter som deltar eller kan komma att delta vid genomförandet av Avtalet, och även kan behandla (dvs. personuppgiftsbiträden) eller ta emot (dvs. mottagarna) personuppgifter i detta sammanhang; • regleringen avseende längden på den period under vilken personuppgifter kommer att behandlas och/eller andra gällande lagar om dataskydd som tillämpligt. 20.1 Uttrycken ”behandla/behandlar/behandlad”lagras; • möjligheten att lämna in ett klagomål hos en dataskyddsmyndighet, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad person”, ”personuppgifter” • kontaktuppgifter till Data Protection Officer (DPO); och ”personuppgiftsintrång” ska ha samma betydelser som i Dataskyddslagarna. 20.2 Kunden förbinder sig • den berörda registrerades rättigheter att inte tillhandahålla eller på annat sätt tillgängliggöra personuppgifter för Bolaget, förutom personuppgifter i form av namn och kontaktinformation (till exempel telefonnummer, befattning och e-postadress) till Kundens kontaktpersoner om inte något annat krävs för att det ska gå att utföra Tjänsterna. Sådana ytterligare personuppgifter ska i så fall specifikt identifieras i förväg av Kunden och godkännas skriftligt av Bolaget. 20.3 Om personuppgifter behandlas av en part under eller i samband med Avtalet ska den parten i egenskap av personuppgiftsbiträde: 20.3.1 inte behandla, överföra, modifiera, göra tillägg i eller ändra personuppgifterna eller lämna ut eller tillåta utlämnande av personuppgifterna till någon tredje part utöver vad som krävs för att följa den andra partens (som personuppgiftsansvarig) lagenliga, dokumenterade och rimliga instruktioner (som om inget annat avtalats ska vara att behandla personuppgifter så som det är nödvändigt för att tillhandahålla Tjänsterna i enlighet med villkoren i detta Avtal), såvida det inte krävs enligt någon lag som personuppgiftsbiträdet är underkastat, varvid personuppgiftsbiträdet ska informera personuppgiftsansvarig om detta lagkrav före behandlingen såvida inte den aktuella lagen förbjuder sådan information på grundval av viktiga ändamål av allmänintresse. Specifikt instruerar personuppgiftsansvarig personuppgiftsbiträdet att överföra uppgifter utanför EES endast på villkor att personuppgiftsbiträdet uppfyller kraven i artikel 45 till 49 i GDPR; 20.3.2 då denne blir medveten om ett personuppgiftsincident: (a) meddela personuppgiftsansvarig utan onödigt dröjsmål; och (b) i rimlig utsträckning samarbeta med personuppgiftsansvarig (på personuppgiftsansvarigs bekostnad) i samband med personuppgiftsincidenten; 20.3.3 då denne tar emot någon begäran, något klagomål eller någon kommunikation som gäller personuppgiftsansvarigs skyldigheter enligt dataskyddslagarna: (a) meddela personuppgiftsansvarig så snart som rimligen är praktiskt möjligt; (b) bistå personuppgiftsansvarig genom att införa lämpliga tekniska och organisatoriska åtgärder så att personuppgiftsansvarig kan efterleva registrerads utövande av rättigheter enligt dataskyddslagar i fråga om personuppgifter som behandlas av personuppgiftsbiträdet under detta Avtal eller uppfylla någon utvärdering, någon förfrågan, något meddelande eller någon utredning enligt dataskyddslagar, på villkor att personuppgiftsansvarig i respektive fall ersätter personuppgiftsbiträdet för alla kostnader som personuppgiftsbiträdet rimligen ådrar sig vid uppfyllandet av sina skyldigheter enligt denna punkt 20.3.3; 20.3.4 försäkra sig om att lämpliga tekniska och organisatoriska åtgärder så som krävs enligt artikel 32 vid alla tillfällen är införda; 20.3.5 försäkra sig om att de av dess anställda som kan ha få tillgång till personuppgifterna är underkastade lämpliga sekretessåtaganden; 20.3.6 införa lämpliga organisatoriska och tekniska åtgärder för att hjälpa personuppgiftsansvarig att uppfylla sina skyldigheter vad gäller artikel 33 till 36 i GDPR med hänsyn till behandlingens natur erhålla rättelse radering, begränsning och den information som är tillgänglig för personuppgiftsbiträdet; 20.3.7 inte låta någon underleverantör behandla personuppgifterna dataportabilitet (”Underbiträde”) annat än med i förväg inhämtat skriftligt tillstånd av personuppgiftsansvarig, med erkännande av att personuppgiftsansvarig samtycker till att underbiträden, från tid till annan, utses av personuppgiftsbiträdet och som i respektive fall är underkastade villkor mellan personuppgiftsbiträdet och underbiträdet som ger ett minst lika starkt skydd som villkoren i denna punkt 20 förutsatt att personuppgiftsbiträdet meddelar personuppgiftsansvarig om identiteten av sådana underbiträden och när de eventuellt ändras; och 20.3.8 upphöra med behandlingen av personuppgifterna inom nittio (90) dagar efter avslutandet eller utgången av detta Avtal eller, om detta inträffar tidigare, den Tjänst som Avtalet gäller och så snart som möjligt därefter (efter personuppgiftsansvarigs godtycke) antingen returnera eller säkert radera från sitt system personuppgifterna och eventuella kopior av dem eller den information de innehåller, förutom i den utsträckning som personuppgiftsbiträdet måste spara personuppgifterna på grund av ett juridiskt krav, myndighetskrav eller krav från en ackrediteringsorganisationvid giltiga skäl därtill enligt GDPR). 20.4 Den personuppgiftsansvarige ska, om sådan information och instruktioner inte har tillhandahållits genom Avtalet eller på annat sätt, skriftligen informera personuppgiftsbiträdet om föremålet för behandlingen och behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade som omfattas av personuppgiftsbiträdets behandling. 20.5 Personuppgiftsbiträdet ska göra tillgänglig för personuppgiftsansvarig sådan vidare information och (i den mån tillämpligt) tillåta och bidra till eventuell granskning eller revision som genomförs av personuppgiftsansvarig eller en revisor som utses av personuppgiftsansvarig för att säkerställa att personuppgiftsansvarig uppfyller de skyldigheter som anges i denna punkt 20, alltid under förutsättning att sådan granskning eller revision inte ska medföra att personuppgiftsbiträdet måste tillhandahålla eller tillåta åtkomst av information om: (i) personuppgiftsbiträdets interna prisinformation; (ii) information som gäller personuppgiftsbiträdets övriga kunder; (iii) personuppgiftsbiträdets icke-offentliga externa rapporter; eller (iv) interna rapporter framställda av personuppgiftsbiträdets interna funktioner för revision eller efterlevnad. Personuppgiftsbiträdet ska omedelbart meddela personuppgiftsansvarig om någon instruktion från personuppgiftsansvarig under detta Avtal enligt personuppgiftsbiträdets uppfattning innebär brott mot GDPR eller andra regler om dataskydd för EU eller en medlemsstat.

Dataskydd. 8.1 I denna punkt 20 8 ska uttrycket ”Dataskyddslagar” termerna "personuppgiftsansvarig", "personuppgiftsbiträde", "personuppgifter", och "behandling" anses motsvara definitionerna i EG-direktivet om personuppgifter 95/46/EC ("Direktivet"), vars innehåll kan ändras eller ersättas från tid till annan. 8.2 I den utsträckning Slutkunden och Partnern fungerar som personuppgiftsansvariga för personuppgifter som behandlas i enlighet med eller i anslutning till Slutkundsavtalet, ska varje part efterleva de villkor och skyldigheter som de åläggs enligt Direktivet. 8.3 Som personuppgiftsansvarig bekräftar Slutkunden att denna har erhållit alla tillstånd som krävs för lagenlig behandling av personuppgifterna, innan dessa vidarebefordras till Partnern eller till Dell. I den 25 maj 2018 innebära Europaparlamentet och rådets förordning (EU) 2016/679 (”GDPR”) utsträckning Partnern och/eller andra gällande lagar om dataskydd Dell behandlar personuppgifter som tillämpligtpersonuppgiftsbiträde för Slutkunden, i enlighet med eller i anslutning till Slutkundsavtalet, ska Partnern och/eller Dell säkerställa att sådana personuppgifter har lämpligt skydd. 20.1 Uttrycken ”behandla8.4 Kunden godkänner att Partnern och/behandlareller Dell får inhämta, använda, lagra och överföra de personuppgifter som Slutkunden tillhandahåller Partnern och/behandlad”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad person”, ”personuppgifter” och ”personuppgiftsintrång” ska ha samma betydelser som eller Dell i Dataskyddslagarna. 20.2 Kunden förbinder sig att inte tillhandahålla eller på annat sätt tillgängliggöra personuppgifter för Bolaget, förutom personuppgifter i form av namn och kontaktinformation (till exempel telefonnummer, befattning och e-postadress) till Kundens kontaktpersoner om inte något annat krävs för att det ska gå syfte att utföra Tjänsterna. Sådana ytterligare personuppgifter ska i så fall specifikt identifieras i förväg av Kunden och godkännas skriftligt av Bolaget. 20.3 Om personuppgifter behandlas av en part under eller i samband med Avtalet ska den parten i egenskap av personuppgiftsbiträde: 20.3.1 inte behandla, överföra, modifiera, göra tillägg i eller ändra personuppgifterna eller lämna ut eller tillåta utlämnande av personuppgifterna till någon tredje part utöver vad som krävs för att följa den andra partens (som personuppgiftsansvarig) lagenliga, dokumenterade och rimliga instruktioner (som om inget annat avtalats ska vara att behandla personuppgifter så som det är nödvändigt för att tillhandahålla Tjänsterna i enlighet med villkoren Slutkundsavtalet. 8.5 Dell får, i detta Avtal)den dagliga verksamheten, såvida det inte krävs enligt någon lag som personuppgiftsbiträdet är underkastatöverföra personuppgifter över hela världen i sina företagssystem, varvid personuppgiftsbiträdet ska informera personuppgiftsansvarig om detta lagkrav före behandlingen såvida inte den aktuella lagen förbjuder sådan information på grundval av viktiga ändamål av allmänintresse. Specifikt instruerar personuppgiftsansvarig personuppgiftsbiträdet att överföra uppgifter utanför EES endast på villkor att personuppgiftsbiträdet uppfyller kraven till andra juridiska enheter, agenter och underleverantörer i artikel 45 samma företagsgrupp, eller till 49 i GDPR; 20.3.2 då denne blir medveten om ett personuppgiftsincident: (a) meddela personuppgiftsansvarig utan onödigt dröjsmål; och (b) i rimlig utsträckning samarbeta med personuppgiftsansvarig (på personuppgiftsansvarigs bekostnad) i samband med personuppgiftsincidenten; 20.3.3 då denne tar emot någon begäranandra relevanta företagspartners, något klagomål eller någon kommunikation som gäller personuppgiftsansvarigs skyldigheter enligt dataskyddslagarna: (a) meddela personuppgiftsansvarig så snart som rimligen är praktiskt möjligt; (b) bistå personuppgiftsansvarig genom att införa lämpliga tekniska och organisatoriska åtgärder så att personuppgiftsansvarig kan efterleva registrerads utövande av rättigheter enligt dataskyddslagar i fråga om personuppgifter som behandlas av personuppgiftsbiträdet under detta Avtal eller uppfylla någon utvärdering, någon förfrågan, något meddelande eller någon utredning enligt dataskyddslagar, på villkor att personuppgiftsansvarig i respektive fall ersätter personuppgiftsbiträdet för alla kostnader som personuppgiftsbiträdet rimligen ådrar sig vid uppfyllandet av sina skyldigheter enligt denna punkt 20.3.3; 20.3.4 försäkra sig om att lämpliga tekniska och organisatoriska åtgärder så som krävs enligt artikel 32 vid alla tillfällen är införda; 20.3.5 försäkra sig om att de av dess anställda som kan ha tillfällig tillgång till personuppgifterna är underkastade lämpliga sekretessåtaganden;personuppgifter. När Dell gör sådana överföringar ska Dell säkerställa att det finns lämpligt skydd för de personuppgifter som överförs i enlighet med eller i anslutning till utförandet av Tjänsterna. 20.3.6 införa lämpliga organisatoriska och tekniska åtgärder 8.6 Varken Partnern eller Dell ska hållas ersättningsskyldiga för att hjälpa personuppgiftsansvarig att uppfylla sina skyldigheter vad gäller artikel 33 till 36 i GDPR med hänsyn till behandlingens natur och den information som är tillgänglig för personuppgiftsbiträdet; 20.3.7 inte låta någon underleverantör behandla personuppgifterna (”Underbiträde”) annat än med i förväg inhämtat skriftligt tillstånd av personuppgiftsansvarig, med erkännande av att personuppgiftsansvarig samtycker till att underbiträden, från tid till annan, utses av personuppgiftsbiträdet och som i respektive fall är underkastade villkor mellan personuppgiftsbiträdet och underbiträdet som ger ett minst lika starkt skydd som villkoren i denna punkt 20 förutsatt att personuppgiftsbiträdet meddelar personuppgiftsansvarig om identiteten av sådana underbiträden och när de eventuellt ändras; och 20.3.8 upphöra med behandlingen av personuppgifterna inom nittio (90) dagar efter avslutandet eller utgången av detta Avtal eller, om detta inträffar tidigare, den Tjänst som Avtalet gäller och så snart som möjligt därefter (efter personuppgiftsansvarigs godtycke) antingen returnera eller säkert radera från sitt system personuppgifterna och eventuella kopior av dem eller den information de innehåller, förutom i den utsträckning som personuppgiftsbiträdet måste spara personuppgifterna på grund av ett juridiskt krav, myndighetskrav eller krav från Slutkunden eller någon vars personuppgifter registrerats som uppkommer som ett resultat av en ackrediteringsorganisation. 20.4 Den personuppgiftsansvarige ska, om sådan information och instruktioner inte har tillhandahållits genom Avtalet åtgärd eller på annat sätt, skriftligen informera personuppgiftsbiträdet om föremålet för behandlingen och behandlingens varaktighet, art och ändamål, typen underlåtenhet av personuppgifter och kategorier av registrerade som omfattas av personuppgiftsbiträdets behandling. 20.5 Personuppgiftsbiträdet ska göra tillgänglig för personuppgiftsansvarig sådan vidare information och (Partnern eller Dell i den mån tillämpligt) tillåta och bidra till eventuell granskning en sådan åtgärd eller revision som genomförs underlåtenhet föranletts av personuppgiftsansvarig eller en revisor som utses av personuppgiftsansvarig för att säkerställa att personuppgiftsansvarig uppfyller de skyldigheter som anges i denna punkt 20, alltid under förutsättning att sådan granskning eller revision inte ska medföra att personuppgiftsbiträdet måste tillhandahålla eller tillåta åtkomst av information om: (i) personuppgiftsbiträdets interna prisinformation; (ii) information som gäller personuppgiftsbiträdets övriga kunder; (iii) personuppgiftsbiträdets icke-offentliga externa rapporter; eller (iv) interna rapporter framställda av personuppgiftsbiträdets interna funktioner för revision eller efterlevnad. Personuppgiftsbiträdet ska omedelbart meddela personuppgiftsansvarig om någon instruktion från personuppgiftsansvarig under detta Avtal enligt personuppgiftsbiträdets uppfattning innebär brott mot GDPR eller andra regler om dataskydd för EU eller en medlemsstatSlutkundens instruktioner.

Dataskydd. I denna punkt 20 ska uttrycket ”Dataskyddslagar” från 12. 1 Verifone förbinder sig i enlighet med avtalen mellan Verifone och med Tillhandahållare av betalningsinstrument att genomföra t jänsten så att den 25 maj 2018 innebära Europaparlamentet uppfyller vid varje t i l l fälle gällande obligatoriska dataskyddsföreskrifter och rådets förordning (EU) 2016/679 standarder. 12. 2 Verifone och Handlaren ansvarar båda för sina respektive datasystems del för att dataskyddet i dem har ordnats på erforderligt sätt och att systemen på ett t i l l förlitligt sätt är skyddade mot obehörig användning. 12. 3 Användarnamnet och lösenordet t ill administrationsgränssnittet i Betaltjänsten och andra motsvarande inloggningsuppgifter (”GDPRAutentiseringsuppgifter”) och/eller ska hållas hemliga och endast ges t i l l de personer som verkar för Handlarens del och som har ett grundat behov av att känna t i l l dessa uppgifter. Handlaren ansvarar för att Autentiseringsuppgifterna används på ett korrekt sätt. Handlaren är skyldig att omedelbart meddela Verifone om Autentiseringsuppgifterna har kommit t i l l en tredje parts kännedom samt andra gällande lagar om dataskydd dataskyddsrisker som tillämpligtHandlaren får kännedom om. 20.1 Uttrycken ”behandla/behandlar/behandlad”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad person”, ”personuppgifter” och ”personuppgiftsintrång” ska ha samma betydelser som i Dataskyddslagarna. 20.2 Kunden 12. 4 Handlaren förbinder sig att inte tillhandahålla omedelbart och senast inom ett dygn meddela Verifone om dataintrång eller på annat sätt tillgängliggöra personuppgifter för Bolagetförsök t i l l dataintrång, förutom personuppgifter som Handlaren har fått kännedom om eller misstänker, riktade t i form av namn och kontaktinformation (till exempel telefonnummerl l elektroniska eller fysiska kopior som hör t i l l Handlaren s jälv, befattning och e-postadress) till Kundens kontaktpersoner om inte något annat krävs för att det ska gå att utföra Tjänsterna. Sådana ytterligare personuppgifter ska i så fall specifikt identifieras i förväg av Kunden och godkännas skriftligt av Bolaget. 20.3 Om personuppgifter behandlas av en part under dess ombud, underleverantörer eller i samband med Avtalet ska den parten i egenskap av personuppgiftsbiträde: 20.3.1 inte behandlaandra instanser vars t jänster, överförasystem eller kontouppgiftsinnehåll, modifiera, göra tillägg i eller ändra personuppgifterna eller lämna ut eller tillåta utlämnande av personuppgifterna till någon tredje part utöver vad som krävs för att följa den andra partens (som personuppgiftsansvarig) lagenliga, dokumenterade och rimliga instruktioner (som om inget annat avtalats ska vara att behandla personuppgifter så som det är nödvändigt för att tillhandahålla Tjänsterna i enlighet med villkoren i detta Avtal), såvida det inte krävs enligt någon lag som personuppgiftsbiträdet är underkastat, varvid personuppgiftsbiträdet ska informera personuppgiftsansvarig om detta lagkrav före behandlingen såvida inte den aktuella lagen förbjuder sådan information på grundval av viktiga ändamål av allmänintresse. Specifikt instruerar personuppgiftsansvarig personuppgiftsbiträdet att överföra uppgifter utanför EES endast på villkor att personuppgiftsbiträdet uppfyller kraven i artikel 45 till 49 i GDPR; 20.3.2 då denne blir medveten om ett personuppgiftsincident: (a) meddela personuppgiftsansvarig utan onödigt dröjsmål; och (b) i rimlig utsträckning samarbeta med personuppgiftsansvarig (på personuppgiftsansvarigs bekostnad) i samband med personuppgiftsincidenten; 20.3.3 då denne tar emot någon begäraneller hanterar Handlarens betalningstransaktioner eller kontouppgifter, något klagomål samt missbruk eller någon kommunikation försök t i l l missbruk av t jänsten, kort eller kontouppgifter som gäller personuppgiftsansvarigs skyldigheter enligt dataskyddslagarna: (a) meddela personuppgiftsansvarig så snart den har fått kännedom om eller misstänker som rimligen är praktiskt möjligt; (b) bistå personuppgiftsansvarig genom att införa lämpliga tekniska och organisatoriska åtgärder så att personuppgiftsansvarig har orsakat eller kan efterleva registrerads utövande orsaka skada för kortinnehavarna, Verifone eller Tillhandahållaren av rättigheter enligt dataskyddslagar i fråga om personuppgifter som behandlas av personuppgiftsbiträdet under detta Avtal eller uppfylla någon utvärdering, någon förfrågan, något meddelande eller någon utredning enligt dataskyddslagar, på villkor att personuppgiftsansvarig i respektive fall ersätter personuppgiftsbiträdet för alla kostnader som personuppgiftsbiträdet rimligen ådrar sig vid uppfyllandet av sina skyldigheter enligt denna punkt 20.3.3; 20.3.4 försäkra sig om att lämpliga tekniska och organisatoriska åtgärder så som krävs enligt artikel 32 vid alla tillfällen är införda; 20.3.5 försäkra sig om att de av dess anställda som kan ha tillgång till personuppgifterna är underkastade lämpliga sekretessåtaganden; 20.3.6 införa lämpliga organisatoriska och tekniska åtgärder för att hjälpa personuppgiftsansvarig att uppfylla sina skyldigheter vad gäller artikel 33 till 36 i GDPR med hänsyn till behandlingens natur och den information som är tillgänglig för personuppgiftsbiträdet; 20.3.7 inte låta någon underleverantör behandla personuppgifterna (”Underbiträde”) annat än med i förväg inhämtat skriftligt tillstånd av personuppgiftsansvarig, med erkännande av att personuppgiftsansvarig samtycker till att underbiträden, från tid till annan, utses av personuppgiftsbiträdet och som i respektive fall är underkastade villkor mellan personuppgiftsbiträdet och underbiträdet som ger ett minst lika starkt skydd som villkoren i denna punkt 20 förutsatt att personuppgiftsbiträdet meddelar personuppgiftsansvarig om identiteten av sådana underbiträden och när de eventuellt ändras; och 20.3.8 upphöra med behandlingen av personuppgifterna inom nittio (90) dagar efter avslutandet eller utgången av detta Avtal eller, om detta inträffar tidigare, den Tjänst som Avtalet gäller och så snart som möjligt därefter (efter personuppgiftsansvarigs godtycke) antingen returnera eller säkert radera från sitt system personuppgifterna och eventuella kopior av dem eller den information de innehåller, förutom i den utsträckning som personuppgiftsbiträdet måste spara personuppgifterna på grund av ett juridiskt krav, myndighetskrav eller krav från en ackrediteringsorganisationbetalningsinstrumenten. 20.4 Den personuppgiftsansvarige ska, om sådan information och instruktioner inte har tillhandahållits genom Avtalet eller på annat sätt, skriftligen informera personuppgiftsbiträdet om föremålet för behandlingen och behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade som omfattas av personuppgiftsbiträdets behandling. 20.5 Personuppgiftsbiträdet ska göra tillgänglig för personuppgiftsansvarig sådan vidare information och (i den mån tillämpligt) tillåta och bidra till eventuell granskning eller revision som genomförs av personuppgiftsansvarig eller en revisor som utses av personuppgiftsansvarig för att säkerställa att personuppgiftsansvarig uppfyller de skyldigheter som anges i denna punkt 20, alltid under förutsättning att sådan granskning eller revision inte ska medföra att personuppgiftsbiträdet måste tillhandahålla eller tillåta åtkomst av information om: (i) personuppgiftsbiträdets interna prisinformation; (ii) information som gäller personuppgiftsbiträdets övriga kunder; (iii) personuppgiftsbiträdets icke-offentliga externa rapporter; eller (iv) interna rapporter framställda av personuppgiftsbiträdets interna funktioner för revision eller efterlevnad. Personuppgiftsbiträdet ska omedelbart meddela personuppgiftsansvarig om någon instruktion från personuppgiftsansvarig under detta Avtal enligt personuppgiftsbiträdets uppfattning innebär brott mot GDPR eller andra regler om dataskydd för EU eller en medlemsstat.

Dataskydd. I denna punkt 20 ska uttrycket ”Dataskyddslagar” från 12. 1 Verifone förbinder sig i enlighet med avtalen mellan Verifone och med Tillhandahållare av betalningsinstrument att genomföra t jänsten så att den 25 maj 2018 innebära Europaparlamentet uppfyller vid varje t i l l fälle gällande obligatoriska dataskyddsföreskrifter och rådets förordning (EU) 2016/679 standarder. 12. 2 Verifone och Handlaren ansvarar båda för sina respektive datasystems del för att dataskyddet i dem har ordnats på erforderligt sätt och att systemen på ett t i l l förlitligt sätt är skyddade mot obehörig användning. 12. 3 Användarnamnet och lösenordet t i l l administrationsgränssnittet i Betaltjänsten och andra motsvarande inloggningsuppgifter (”GDPRAutentiseringsuppgifter”) och/eller ska hållas hemliga och endast ges t i l l de personer som verkar för Handlarens del och som har ett grundat behov av att känna t i l l dessa uppgifter. Handlaren ansvarar för att Autentiseringsuppgifterna används på ett korrekt sätt. Handlaren är skyldig att omedelbart meddela Verifone om Autentiseringsuppgifterna har kommit t i l l en tredje parts kännedom samt andra gällande lagar om dataskydd dataskyddsrisker som tillämpligtHandlaren får kännedom om. 20.1 Uttrycken ”behandla/behandlar/behandlad”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad person”, ”personuppgifter” och ”personuppgiftsintrång” ska ha samma betydelser som i Dataskyddslagarna. 20.2 Kunden 12. 4 Handlaren förbinder sig att inte tillhandahålla omedelbart och senast inom ett dygn meddela Verifone om dataintrång eller på annat sätt tillgängliggöra personuppgifter för Bolagetförsök t i l l dataintrång, förutom personuppgifter som Handlaren har fått kännedom om eller misstänker, riktade t i form av namn och kontaktinformation (till exempel telefonnummerl l elektroniska eller fysiska ko pior som hör t i l l Handlaren själv, befattning och e-postadress) till Kundens kontaktpersoner om inte något annat krävs för att det ska gå att utföra Tjänsterna. Sådana ytterligare personuppgifter ska i så fall specifikt identifieras i förväg av Kunden och godkännas skriftligt av Bolaget. 20.3 Om personuppgifter behandlas av en part under dess ombud, underleverantörer eller i samband med Avtalet ska den parten i egenskap av personuppgiftsbiträde: 20.3.1 inte behandlaandra instanser vars t jänster, överförasystem eller kontouppgiftsinnehåll, modifiera, göra tillägg i eller ändra personuppgifterna eller lämna ut eller tillåta utlämnande av personuppgifterna till någon tredje part utöver vad som krävs för att följa den andra partens (som personuppgiftsansvarig) lagenliga, dokumenterade och rimliga instruktioner (som om inget annat avtalats ska vara att behandla personuppgifter så som det är nödvändigt för att tillhandahålla Tjänsterna i enlighet med villkoren i detta Avtal), såvida det inte krävs enligt någon lag som personuppgiftsbiträdet är underkastat, varvid personuppgiftsbiträdet ska informera personuppgiftsansvarig om detta lagkrav före behandlingen såvida inte den aktuella lagen förbjuder sådan information på grundval av viktiga ändamål av allmänintresse. Specifikt instruerar personuppgiftsansvarig personuppgiftsbiträdet att överföra uppgifter utanför EES endast på villkor att personuppgiftsbiträdet uppfyller kraven i artikel 45 till 49 i GDPR; 20.3.2 då denne blir medveten om ett personuppgiftsincident: (a) meddela personuppgiftsansvarig utan onödigt dröjsmål; och (b) i rimlig utsträckning samarbeta med personuppgiftsansvarig (på personuppgiftsansvarigs bekostnad) i samband med personuppgiftsincidenten; 20.3.3 då denne tar emot någon begäraneller hanterar Handlarens betalningstransaktioner eller kontouppgifter, något klagomål samt missbruk eller någon kommunikation försök t i l l m issbruk av t jänsten, kort eller kontouppgifter som gäller personuppgiftsansvarigs skyldigheter enligt dataskyddslagarna: (a) meddela personuppgiftsansvarig så snart den har fått kännedom om eller misstänker som rimligen är praktiskt möjligt; (b) bistå personuppgiftsansvarig genom att införa lämpliga tekniska och organisatoriska åtgärder så att personuppgiftsansvarig har orsakat eller kan efterleva registrerads utövande orsaka skada för kortinnehavarna, Verifone eller Tillhandahållaren av rättigheter enligt dataskyddslagar i fråga om personuppgifter som behandlas av personuppgiftsbiträdet under detta Avtal eller uppfylla någon utvärdering, någon förfrågan, något meddelande eller någon utredning enligt dataskyddslagar, på villkor att personuppgiftsansvarig i respektive fall ersätter personuppgiftsbiträdet för alla kostnader som personuppgiftsbiträdet rimligen ådrar sig vid uppfyllandet av sina skyldigheter enligt denna punkt 20.3.3; 20.3.4 försäkra sig om att lämpliga tekniska och organisatoriska åtgärder så som krävs enligt artikel 32 vid alla tillfällen är införda; 20.3.5 försäkra sig om att de av dess anställda som kan ha tillgång till personuppgifterna är underkastade lämpliga sekretessåtaganden; 20.3.6 införa lämpliga organisatoriska och tekniska åtgärder för att hjälpa personuppgiftsansvarig att uppfylla sina skyldigheter vad gäller artikel 33 till 36 i GDPR med hänsyn till behandlingens natur och den information som är tillgänglig för personuppgiftsbiträdet; 20.3.7 inte låta någon underleverantör behandla personuppgifterna (”Underbiträde”) annat än med i förväg inhämtat skriftligt tillstånd av personuppgiftsansvarig, med erkännande av att personuppgiftsansvarig samtycker till att underbiträden, från tid till annan, utses av personuppgiftsbiträdet och som i respektive fall är underkastade villkor mellan personuppgiftsbiträdet och underbiträdet som ger ett minst lika starkt skydd som villkoren i denna punkt 20 förutsatt att personuppgiftsbiträdet meddelar personuppgiftsansvarig om identiteten av sådana underbiträden och när de eventuellt ändras; och 20.3.8 upphöra med behandlingen av personuppgifterna inom nittio (90) dagar efter avslutandet eller utgången av detta Avtal eller, om detta inträffar tidigare, den Tjänst som Avtalet gäller och så snart som möjligt därefter (efter personuppgiftsansvarigs godtycke) antingen returnera eller säkert radera från sitt system personuppgifterna och eventuella kopior av dem eller den information de innehåller, förutom i den utsträckning som personuppgiftsbiträdet måste spara personuppgifterna på grund av ett juridiskt krav, myndighetskrav eller krav från en ackrediteringsorganisationbetalningsinstrumenten. 20.4 Den personuppgiftsansvarige ska, om sådan information och instruktioner inte har tillhandahållits genom Avtalet eller på annat sätt, skriftligen informera personuppgiftsbiträdet om föremålet för behandlingen och behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade som omfattas av personuppgiftsbiträdets behandling. 20.5 Personuppgiftsbiträdet ska göra tillgänglig för personuppgiftsansvarig sådan vidare information och (i den mån tillämpligt) tillåta och bidra till eventuell granskning eller revision som genomförs av personuppgiftsansvarig eller en revisor som utses av personuppgiftsansvarig för att säkerställa att personuppgiftsansvarig uppfyller de skyldigheter som anges i denna punkt 20, alltid under förutsättning att sådan granskning eller revision inte ska medföra att personuppgiftsbiträdet måste tillhandahålla eller tillåta åtkomst av information om: (i) personuppgiftsbiträdets interna prisinformation; (ii) information som gäller personuppgiftsbiträdets övriga kunder; (iii) personuppgiftsbiträdets icke-offentliga externa rapporter; eller (iv) interna rapporter framställda av personuppgiftsbiträdets interna funktioner för revision eller efterlevnad. Personuppgiftsbiträdet ska omedelbart meddela personuppgiftsansvarig om någon instruktion från personuppgiftsansvarig under detta Avtal enligt personuppgiftsbiträdets uppfattning innebär brott mot GDPR eller andra regler om dataskydd för EU eller en medlemsstat.

Dataskydd. I 12.1 Personuppgifter avseende individer som är knutna till Säljföretaget (kontaktpersoner osv.) kommer att behandlas med Nets som personuppgiftsansvarig i) för att göra det möjligt att tillhandahålla tjänsterna och upp- fylla åtaganden enligt Xxxxxxx, ii) för kundanalyser och affärsuppföljning, iii) för affärs- och metodutveckling samt företagande av riskbedömningar och förvaltning av dessa, iv) för marknadsföringsändamål (i enlighet med tillämplig lag) av Nets koncernbolag till Säljföretaget. De personuppgifter som samlas in inkluderar information om kontaktpersoner för introduktionsprocesser, sup- port osv., personuppgifter som behandlas som en del av AML-åtgärder, eller på grund av andra rättsliga skyldig- heter. Säljföretaget åtar sig att informera sina anställda och andra företrädare på Säljföretaget om att denna punkt 20 information lämnas ut till Nets som en del av avtalet för ovanstående ändamål. 12.2 Personuppgifter avseende individer som är kunder till Säljföretaget kommer att behandlas av Nets som person- uppgiftsansvarig. 12.3 Personuppgifter kan också komma att behandlas av 13.1 All information som rör avtalsförhållandet mellan Sälj- företaget och Nets ska uttrycket ”Dataskyddslagar” från behandlas konfidentiellt av parterna. Förpliktelsen att behandla all information konfidentiellt gäller såvida inte annat avtalats, en part enligt lag, föreskrifter eller myndighetsbeslut är skyldig att lämna upplysningar, eller om uppgifterna är allmänt kända och med finns tillgängliga på marknaden utan den 25 maj 2018 innebära Europaparlamentet och rådets förordning (EU) 2016/679 (”GDPR”) andra partens brott. 13.2 Säljföretaget får under inga omständigheter vidare- befordra Kort- och/eller andra gällande lagar transaktionsdata till andra, om dataskydd som tillämpligt. 20.1 Uttrycken ”behandla/behandlar/behandlad”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad person”, ”personuppgifter” och ”personuppgiftsintrång” ska ha samma betydelser som i Dataskyddslagarna. 20.2 Kunden förbinder sig att det inte tillhandahålla eller på annat sätt tillgängliggöra personuppgifter för Bolaget, förutom personuppgifter i form av namn och kontaktinformation (till exempel telefonnummer, befattning och e-postadress) till Kundens kontaktpersoner om inte något annat krävs för att det ska gå att utföra Tjänsterna. Sådana ytterligare personuppgifter ska i så fall specifikt identifieras i förväg av Kunden och godkännas skriftligt av Bolaget. 20.3 Om personuppgifter behandlas av en part under eller är nödvändigt i samband med Avtalet ska den parten rättelser av Kortbetalningar, eller vid krav i egenskap av personuppgiftsbiträde:enlighet med gällande lagstiftning. 20.3.1 inte behandla13.3 Nets har rätt att vidarebefordra information om Säljföre- taget till Kortorganisationerna, överföra, modifiera, göra tillägg i eller ändra personuppgifterna eller lämna ut eller tillåta utlämnande av personuppgifterna till någon tredje part utöver vad som krävs för tekniska leverantörer och andra företag under förutsättning att följa den andra partens (som personuppgiftsansvarig) lagenliga, dokumenterade och rimliga instruktioner (som om inget annat avtalats ska vara att behandla personuppgifter så som det är nödvändigt för att tillhandahålla Tjänsterna i enlighet med villkoren i detta Avtal)Nets ska kunna efterleva gällande compliance och säkerhetskrav, såvida det inte krävs enligt någon lag som personuppgiftsbiträdet är underkastat, varvid personuppgiftsbiträdet ska informera personuppgiftsansvarig om detta lagkrav före behandlingen såvida inte den aktuella lagen förbjuder sådan information på grundval av viktiga ändamål av allmänintresse. Specifikt instruerar personuppgiftsansvarig personuppgiftsbiträdet att överföra uppgifter utanför EES endast på villkor att personuppgiftsbiträdet uppfyller kraven i artikel 45 till 49 i GDPR; 20.3.2 då denne blir medveten om ett personuppgiftsincident: (a) meddela personuppgiftsansvarig utan onödigt dröjsmål; och (b) i rimlig utsträckning samarbeta med personuppgiftsansvarig (på personuppgiftsansvarigs bekostnad) i samband med personuppgiftsincidenten; 20.3.3 då denne tar emot någon begäran, något klagomål eller någon kommunikation som gäller personuppgiftsansvarigs skyldigheter enligt dataskyddslagarna: (a) meddela personuppgiftsansvarig så snart som rimligen är praktiskt möjligt; (b) bistå personuppgiftsansvarig genom att införa lämpliga tekniska och organisatoriska åtgärder så att personuppgiftsansvarig kan efterleva registrerads utövande av rättigheter enligt dataskyddslagar i fråga om personuppgifter som behandlas av personuppgiftsbiträdet under detta Avtal eller uppfylla någon utvärdering, någon förfrågan, något meddelande eller någon utredning enligt dataskyddslagar, på villkor att personuppgiftsansvarig i respektive fall ersätter personuppgiftsbiträdet för alla kostnader som personuppgiftsbiträdet rimligen ådrar sig vid uppfyllandet av sina skyldigheter enligt denna punkt 20.3.3; 20.3.4 försäkra sig om att lämpliga tekniska och organisatoriska åtgärder så som krävs enligt artikel 32 vid alla tillfällen är införda; 20.3.5 försäkra sig om att de av dess anställda som kan ha tillgång till personuppgifterna är underkastade lämpliga sekretessåtaganden; 20.3.6 införa lämpliga organisatoriska och tekniska åtgärder för att hjälpa personuppgiftsansvarig kunna leverera tjänsten för inlösen till Säljföretaget. Om Nets och Säljföretaget har ingått ett Avtalet baserat på en referens, en hänvisning, eller förmedling eller liknande från en samarbetspartner till Nets, har Nets dessutom rätt att uppfylla förmedla nödvändig information om Avtalet och samarbetet avseende inlö- sen till samarbetspartnern (såsom till exempel Säljföre- tagets namn, adress, information avseende de kort som accepterats etc.) för att Nets ska fullgöra sina skyldigheter vad gäller artikel 33 förpliktel- ser avseende rapportering till 36 i GDPR med hänsyn till behandlingens natur samarbetspartnern och den information som är tillgänglig för personuppgiftsbiträdet;ett beräkna en eventuell förmedlingsavgift. 20.3.7 inte låta någon underleverantör behandla personuppgifterna (”Underbiträde”) annat än med i förväg inhämtat skriftligt tillstånd av personuppgiftsansvarig, med erkännande av att personuppgiftsansvarig 13.4 Säljföretaget samtycker till att underbiträdenNets vidarebefordrar upplysningar om Säljföretaget (t.ex. kontaktinformation, från tid information om Avtalet och avtalsförhållandet med Nets) till annanandra företag i samma koncern som Nets för användning vid t.ex. intern koncernrapportering, utses mark- nadsföring, och försäljning av personuppgiftsbiträdet produkter och tjänster. En översikt över företag i samma koncern som i respektive fall är underkastade villkor mellan personuppgiftsbiträdet och underbiträdet som ger ett minst lika starkt skydd som villkoren i denna punkt 20 förutsatt att personuppgiftsbiträdet meddelar personuppgiftsansvarig om identiteten av sådana underbiträden och när de eventuellt ändras; ochNets finns tillgänglig på xxxx.xx. 20.3.8 upphöra med behandlingen av personuppgifterna inom nittio (90) dagar efter avslutandet eller utgången av detta Avtal eller, om detta inträffar tidigare, den Tjänst som 13.5 Om Avtalet gäller och så snart som möjligt därefter (efter personuppgiftsansvarigs godtycke) antingen returnera eller säkert radera från sitt system personuppgifterna och eventuella kopior av dem eller den information de innehåller, förutom i den utsträckning som personuppgiftsbiträdet måste spara personuppgifterna upphävs på grund av ett juridiskt krav, myndighetskrav eller krav från en ackrediteringsorganisation. 20.4 Den personuppgiftsansvarige ska, om sådan information och instruktioner inte att Säljföretaget har tillhandahållits genom brutit mot Avtalet eller på annat sätt, skriftligen informera personuppgiftsbiträdet om föremålet för behandlingen grund av att Säljföretaget har möjliggjort eller medverkat till bedrägeri är Nets skyldigt att anmäla Säljföretaget till Kortorganisationerna. Nets får även lägga till Säljföretaget och behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade som omfattas av personuppgiftsbiträdets behandlingrelevanta person med koppling till Säljföretaget i Nets interna övervaknings- lista. 20.5 Personuppgiftsbiträdet ska göra tillgänglig för personuppgiftsansvarig sådan vidare information och (i den mån tillämpligt) tillåta och bidra till eventuell granskning eller revision som genomförs av personuppgiftsansvarig eller en revisor som utses av personuppgiftsansvarig för 13.6 Denna bestämmelse gäller även efter att säkerställa att personuppgiftsansvarig uppfyller de skyldigheter som anges i denna punkt 20, alltid under förutsättning att sådan granskning eller revision inte ska medföra att personuppgiftsbiträdet måste tillhandahålla eller tillåta åtkomst av information om: (i) personuppgiftsbiträdets interna prisinformation; (ii) information som gäller personuppgiftsbiträdets övriga kunder; (iii) personuppgiftsbiträdets icke-offentliga externa rapporter; eller (iv) interna rapporter framställda av personuppgiftsbiträdets interna funktioner för revision eller efterlevnad. Personuppgiftsbiträdet ska omedelbart meddela personuppgiftsansvarig om någon instruktion från personuppgiftsansvarig under detta Avtal enligt personuppgiftsbiträdets uppfattning innebär brott mot GDPR eller andra regler om dataskydd för EU eller en medlemsstatXxxxxxx har upphört.

Dataskydd. I denna punkt 20 ska uttrycket ”Dataskyddslagar” från Inbyggt dataskydd (privacy by design) innebär att man tar hänsyn till integritetsskydds- reglerna redan när man utformar it-system och med rutiner. Det är ett sätt att se till att kraven i dataskyddsförordningen uppfylls och att den 25 maj 2018 innebära Europaparlamentet och rådets förordning (EU) 2016/679 (”GDPR”) och/eller andra gällande lagar om registrerades rättigheter skyddas. Kravet på dataskydd som tillämpligt. 20.1 Uttrycken ”behandla/behandlar/behandlad”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad person”, ”personuppgifter” och ”personuppgiftsintrång” standard (privacy by default) innebär i korthet att den som behandlar personuppgifter ska ha samma betydelser som se till att personuppgifter i Dataskyddslagarna. 20.2 Kunden förbinder sig standardfallet inte behandlas i onödan. Det kan till exempel handla om att de förvalda inställningarna i en tjänst för sociala media är satta så att inte tillhandahålla mer information än nödvändigt samlas in, delas ut eller på annat sätt tillgängliggöra personuppgifter visas. Med beaktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för Bolaget, förutom personuppgifter i form av namn fysiska personers rättigheter och kontaktinformation (till exempel telefonnummer, befattning och e-postadress) till Kundens kontaktpersoner om inte något annat krävs för att det ska gå att utföra Tjänsterna. Sådana ytterligare personuppgifter ska i så fall specifikt identifieras i förväg av Kunden och godkännas skriftligt av Bolaget. 20.3 Om personuppgifter behandlas av en part under eller i samband med Avtalet friheter ska den parten i egenskap personuppgiftsansvarige, både vid fastställandet av personuppgiftsbiträde: 20.3.1 inte behandlavilka medel behandlingen utförs med och vid själva behandlingen, överföra, modifiera, göra tillägg i eller ändra personuppgifterna eller lämna ut eller tillåta utlämnande av personuppgifterna till någon tredje part utöver vad som krävs för att följa den andra partens (som personuppgiftsansvarig) lagenliga, dokumenterade genomföra lämpliga tekniska och rimliga instruktioner (som om inget annat avtalats organisatoriska åtgärder. Den personuppgiftsansvarige ska vara att behandla personuppgifter så som det är nödvändigt för att tillhandahålla Tjänsterna i enlighet med villkoren i detta Avtal), såvida det inte krävs enligt någon lag som personuppgiftsbiträdet är underkastat, varvid personuppgiftsbiträdet ska informera personuppgiftsansvarig om detta lagkrav före behandlingen såvida inte den aktuella lagen förbjuder sådan information på grundval av viktiga ändamål av allmänintresse. Specifikt instruerar personuppgiftsansvarig personuppgiftsbiträdet att överföra uppgifter utanför EES endast på villkor att personuppgiftsbiträdet uppfyller kraven i artikel 45 till 49 i GDPR; 20.3.2 då denne blir medveten om ett personuppgiftsincident: (a) meddela personuppgiftsansvarig utan onödigt dröjsmål; och (b) i rimlig utsträckning samarbeta med personuppgiftsansvarig (på personuppgiftsansvarigs bekostnad) i samband med personuppgiftsincidenten; 20.3.3 då denne tar emot någon begäran, något klagomål eller någon kommunikation som gäller personuppgiftsansvarigs skyldigheter enligt dataskyddslagarna: (a) meddela personuppgiftsansvarig så snart som rimligen är praktiskt möjligt; (b) bistå personuppgiftsansvarig genom att införa genomföra lämpliga tekniska och organisatoriska åtgärder så för att, i standardfallet, säkerställa att personuppgiftsansvarig kan efterleva registrerads utövande av rättigheter enligt dataskyddslagar i fråga om endast personuppgifter som behandlas av personuppgiftsbiträdet under detta Avtal eller uppfylla någon utvärdering, någon förfrågan, något meddelande eller någon utredning enligt dataskyddslagar, på villkor att personuppgiftsansvarig i respektive fall ersätter personuppgiftsbiträdet är nödvändiga för alla kostnader som personuppgiftsbiträdet rimligen ådrar sig vid uppfyllandet av sina skyldigheter enligt denna punkt 20.3.3; 20.3.4 försäkra sig om att lämpliga tekniska och organisatoriska åtgärder så som krävs enligt artikel 32 vid alla tillfällen är införda; 20.3.5 försäkra sig om att de av dess anställda som kan ha tillgång till personuppgifterna är underkastade lämpliga sekretessåtaganden; 20.3.6 införa lämpliga organisatoriska och tekniska åtgärder för att hjälpa personuppgiftsansvarig att uppfylla sina skyldigheter vad gäller artikel 33 till 36 i GDPR med hänsyn till behandlingens natur och den information som är tillgänglig för personuppgiftsbiträdet; 20.3.7 inte låta någon underleverantör behandla personuppgifterna (”Underbiträde”) annat än med i förväg inhämtat skriftligt tillstånd av personuppgiftsansvarig, med erkännande av att personuppgiftsansvarig samtycker till att underbiträden, från tid till annan, utses av personuppgiftsbiträdet och som i respektive fall är underkastade villkor mellan personuppgiftsbiträdet och underbiträdet som ger ett minst lika starkt skydd som villkoren i denna punkt 20 förutsatt att personuppgiftsbiträdet meddelar personuppgiftsansvarig om identiteten av sådana underbiträden och när de eventuellt ändras; och 20.3.8 upphöra varje specifikt ändamål med behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för deras lagring och deras tillgänglighet. Framför allt ska dessa åtgärder säkerställa att personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer. Exempel på åtgärder är: • Pseudonymisering och kryptering • Backup • Regelbundna tester/undersökningar av personuppgifterna inom nittio (90) dagar efter avslutandet teknik och organisation • Säkerhetsnivå baserad på risken för oavsiktlig eller utgången olaglig förstöring, förlust eller ändring eller till obehörigt röjande av detta Avtal eller, om detta inträffar tidigare, den Tjänst som Avtalet gäller eller obehörig åtkomst. • Biträden och så snart som möjligt därefter (andra endast behandlar personuppgifter efter personuppgiftsansvarigs godtycke) antingen returnera instruktion. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller säkert radera från sitt system personuppgifterna och eventuella kopior olaglig förstöring, förlust eller ändring eller till obehörigt röjande av dem eller den information obehörig åtkomst till de innehållerpersonuppgifter som överförts, förutom i den utsträckning som personuppgiftsbiträdet måste spara personuppgifterna på grund av ett juridiskt krav, myndighetskrav eller krav från en ackrediteringsorganisation. 20.4 Den personuppgiftsansvarige ska, om sådan information och instruktioner inte har tillhandahållits genom Avtalet lagrats eller på annat sättsätt behandlats. Bolagets principer för dataskydd framgår av Stockholm stads allmänna regler för dataskydd där krav ställs på åtkomst, skriftligen informera personuppgiftsbiträdet om föremålet loggning, rutiner, backup, kryptering, hantering m.m.: • Riktlinje för behandlingen och behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade som omfattas av personuppgiftsbiträdets behandling. 20.5 Personuppgiftsbiträdet ska göra tillgänglig informationssäkerhet • Handbok för personuppgiftsansvarig sådan vidare information och (i den mån tillämpligt) tillåta och bidra till eventuell granskning eller revision som genomförs av personuppgiftsansvarig eller en revisor som utses av personuppgiftsansvarig för att säkerställa att personuppgiftsansvarig uppfyller de skyldigheter som anges i denna punkt 20, alltid under förutsättning att sådan granskning eller revision inte ska medföra att personuppgiftsbiträdet måste tillhandahålla eller tillåta åtkomst av information om: (i) personuppgiftsbiträdets interna prisinformation; (ii) information som gäller personuppgiftsbiträdets övriga kunder; (iii) personuppgiftsbiträdets icke-offentliga externa rapporter; eller (iv) interna rapporter framställda av personuppgiftsbiträdets interna funktioner för revision eller efterlevnadinformationsklassificering. Personuppgiftsbiträdet ska omedelbart meddela personuppgiftsansvarig om någon instruktion från personuppgiftsansvarig under detta Avtal enligt personuppgiftsbiträdets uppfattning innebär brott mot GDPR eller andra regler om dataskydd för EU eller en medlemsstat.• Kryptorekommendationer