Contract

0 (3)

0 (3)

Utöver vad som redan framgår av Personuppgiftsbiträdesavtalet ska Personuppgiftsbiträdet även följa nedanstående Instruktion:

1. Ändamål, föremålet och arten

Systemet i sig är till för en säker provsituation, att genomföra prov digitalt men omöjliggöra fusk genom surf på webben och liknande.

2. Behandlingen omfattar följande typer av Personuppgifter

Följande kategorier kan förekomma i behandlingen av personuppgifter.

1. Personuppgifter hänförliga till den Personuppgiftsansvariges personal, i huvudsak kontaktuppgifter;

              Namn, efternamn,

              E-postadress,

              Gruppmedlemskap

2. Personuppgifter hänförliga till den Personuppgiftsansvariges elever, i huvudsak kontaktuppgifter; och

Namn, efternamn

E-postadress

Gruppmedlemskap

3. Behandlingen omfattar kategorier av Registrerade

Kategorierna av registrerade inkluderar den Personuppgiftsansvariges:

1. Personal;

Anställda

2. Enskilda;

Elever

4. Ange särskilda hanteringskrav vad gäller Behandling av Personuppgifter som utförs av Personuppgiftsbiträdet/biträdena

• Personuppgiftsansvarig ska bestämma gallringstiderna (antal år) för personuppgifter. Gallringstiderna för systemet ChromEx är 2 år.

5. Ange särskilda tekniska och organisatoriska säkerhetsåtgärder vad gäller Behandling av Personuppgifter som utförs av Personuppgiftsbiträdet/biträdena

Personuppgiftsbiträdet och ev. underbiträden ska, vidta tekniska, administrativa och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripande;

1. pseudonymisering och kryptering av personuppgifter,

2. förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos informationssystemet samt e-tjänster,

3. förmågan att återställa tillgänglighet och tillgång till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, och

4. ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

6. Ange särskilda krav på Loggning vad gäller Behandling av Personuppgifter samt vilka som ska ha tillgång till dem

Personuppgiftsbiträdet och Underbiträden ska ansvara för att,

• det av dokumentationen av åtkomsten (loggar) framgår vilka åtgärder som har vidtagits med uppgifter om en registrerad person,

• det av loggarna framgår vid vilken enhet åtgärderna vidtagits,

• det av loggarna framgår vid vilken tidpunkt åtgärderna vidtagits,

• användarens och den registrerades identitet framgår av loggarna,

• systematiska och återkommande stickprovskontroller av loggarna görs, och                                                                              

• kontroller av loggarna dokumenteras.

7. Lokalisering och överföring av Personuppgifter till Tredje land

Som en del av Personuppgiftsbiträdets fullgörande av tjänsterna som levereras enligt Tjänsteavtalet kan avidentifierade personuppgifter relaterade till supportärenden samt personuppgifter i form av kontaktuppgifter såsom namn, telefonnummer och e-postadress hänförliga till den Personuppgiftsansvariges personal komma att föras över till Personuppgiftsbiträdets underleverantör, se Bilaga 2.

• (Ev. underbiträden i USA ska vara anslutna till Privacy Shield.)

8. Övriga Instruktioner angående Behandling av Personuppgifter som utförs av biträdet/biträdena

• På webbresursen xxxxx://xxx.xxxxxxx.xx/xx/xxxxxxx finns alltid en uppdaterad lista över aktuella underbiträden och detaljerad beskrivning av den behandling som görs vid användande av ChromEx.

Versionshantering

Version	Datum	Förändringar	Ansvarig
1	2018-12-18	Koncerngemensamt PUB-avtal (SKL, Kommentus och Inera)	MN, PR, FL, MC, UL, HA, AO
1.2	2019-10-25	Borttag av ’Mall för förteckning över Underbiträden vid PUB-avtalets ingående	PR