UNDERBITRÄDESAVTAL
PARTER
Xxxxxxxx & Xxxxxxxx Byggnads AB, 556489-9903, (nedan kallad Personuppgiftsbiträde) och Företagets namn, organisationsnummer, (nedan kallad Underbiträde) har denna dag ingått följande Underbiträdesavtal (nedan kallat Avtal).
DEFINITIONER
Begrepp och definitioner i detta Avtal ska ha motsvarande betydelse som i Europaparlamentets och Rådets förordning (EU) 2016/679 (nedan kallad dataskyddsförordningen) samt tolkas och tillämpas i enlighet med Tillämplig dataskyddslagstiftning. Detta innebär bland annat följande:
Behandling avser en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.
Tillämplig
Dataskyddslagstiftning avser Europaparlamentets och Rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG och de nationella lagar som stiftas till följd av denna förordning. ”Tillämplig dataskyddslagstiftning” inkluderar även bindande vägledningar, utlåtanden, rekommendationer och beslut från tillsynsmyndigheter, domstol eller annan myndighet.
Personuppgiftsansvarig den som på egen hand eller tillsammans med andra, fastställer ändamål och medel för behandlingen av personuppgifterna.
Personuppgiftsbiträde avser den som behandlar personuppgifter på uppdrag av den Personuppgiftsansvarige.
Underbiträde avser den som behandlar personuppgifter på uppdrag av Personuppgiftsbiträdet.
Personuppgiftsbiträdes-
avtalet avser avtalet mellan den Personuppgiftsansvarige och Personuppgiftsbiträdet.
Personuppgifter varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifikator som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.
Personuppgiftsincident avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.
INNEHÅLL OCH SYFTE
Personuppgiftsbiträdet och Underbiträdet har ingått ett avtal (nedan kallat Tjänsteavtal) angående de tjänster som Underbiträdet ska tillhandahålla Personuppgiftsbiträdet. Med anledning av detta Tjänsteavtal kommer Underbiträdet att behandla personuppgifter för Personuppgiftsbiträdets räkning. Detta Avtal har upprättats för att bland annat uppfylla kravet i artikel 28 i dataskyddsförordningen om att det ska finnas ett skriftligt avtal mellan ett personuppgiftsbiträde och ett underbiträde för behandlingen av personuppgifter.
BEHANDLING AV PERSONUPPGIFTER
Personuppgiftsbiträdet garanterar att denne har rätt att behandla personuppgifter samt att behandlingen är i enlighet med Tillämplig dataskyddslagstiftning och i enlighet med Personuppgiftsbiträdesavtalet (se bilaga 1). Personuppgiftsbiträdet garanterar att denne har tillstånd från Personuppgiftsansvarige att anlita ett underbiträde samt att den Personuppgiftsansvarige har informerats om att Underbiträdet har utsetts till detta.
Underbiträdet åtar sig att endast behandla personuppgifter i enlighet med Tjänsteavtalet och med Personuppgiftsbiträdets instruktioner enligt bilaga 2 i detta Avtal. Underbiträdet ska vid behandlingen av personuppgifter följa Tillämplig dataskyddslagstiftning.
Underbiträdet ska omedelbart informera Personuppgiftsbiträdet om Underbiträdet saknar instruktion om hur denne ska behandla personuppgifter i en specifik situation eller om en instruktion enligt detta Avtal eller i annat fall strider mot Tillämplig dataskyddslagstiftning.
Underbiträdet får inte, utan föreläggande från relevant myndighet eller tvingande lagstiftning:
samla in eller lämna ut personuppgifter från eller till någon tredje part om inte annat skriftligen har överenskommits,
ändra metod för behandling,
kopiera eller återskapa personuppgifter eller
på något annat sätt behandla personuppgifter för andra ändamål än de som anges i Tjänsteavtalet.
ÖVERFÖRING TILL TREDJE LAND
Överföring av personuppgifter till en stat utanför EU och EES kräver Personuppgiftsbiträdets skriftliga samtycke i förväg och får endast ske om de villkor för överföring till tredje länder som framgår av Tillämplig dataskyddslagstiftning har uppfyllts.
SÄKERHET
Underbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska innebära en säkerhetsnivå som överensstämmer med Tillämplig dataskyddslagstiftning och som är lämplig med beaktande av:
de tekniska möjligheter som finns,
vad det skulle kosta att genomföra åtgärderna,
de särskilda risker som finns med behandlingen av personuppgifterna och
hur pass känsliga de behandlade personuppgifterna är.
Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter, ska Underbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt
pseudonymisering och kryptering av personuppgifter,
förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos de system och tjänster som behandlar personuppgifter,
förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, och
ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.
SEKRETESS
Underbiträdet är skyldigt att säkerställa att endast personer som har ett direkt behov av tillgång till Personuppgifter för att kunna infria Underbiträdets åtaganden i enlighet med Tjänsteavtalet har tillgång till sådan information. Underbiträdet ska se till att samtliga anställda, konsulter och övriga som är involverade i behandlingen är bundna av sekretess samt att de är informerade om hur behandling av personuppgifterna får ske.
UNDERBITRÄDEN
För att Underbiträdet ska kunna uppfylla skyldigheterna enligt Tjänsteavtalet och detta Avtal har Underbiträdet rätt att anlita underbiträden. Personuppgiftsbiträdet samtycker till att de underbiträden som listas i bilaga 3 i detta Avtal kan komma att anlitas som underbiträde. Om Underbiträdet avser att ändra, ta bort eller lägga till ett underbiträde kommer Underbiträdet att informera om detta så att Personuppgiftsbiträdet har möjlighet att göra invändningar mot sådana förändringar.
Om Underbiträdet anlitar underbiträde ska Underbiträdet ingå särskilt underbiträdesavtal med sådant underbiträde vad avser underbiträdets behandling av personuppgifter. I ett sådant avtal ska det framgå att underbiträdet har motsvarande skyldigheter som Underbiträdet har enligt detta Avtal. Underbiträdet ska på Personuppgiftsbiträdets begäran tillhandahålla kopia av de delar av Underbiträdets avtal med underbiträde som krävs för att utvisa att Underbiträdet uppfyllt sina åtaganden enligt detta Avtal.
ASSISTANS
Underbiträdet ska bistå Personuppgiftsbiträdet med att se till att Personuppgiftsbiträdet kan uppfylla sina rättsliga skyldigheter som denne har enligt Tillämplig dataskyddslagstiftning, Avtalet och Personuppgiftsbiträdesavtalet.
GRANSKNING
Personuppgiftsbiträdet äger rätt att, själv eller genom tredje man, genomföra revision gentemot Underbiträdet eller på annat sätt kontrollera att Underbiträdets behandling av personuppgifter följer detta Avtal. Vid sådan revision eller kontroll ska Underbiträdet ge Personuppgiftsbiträdet den assistans som behövs för genomförandet.
PERSONUPPGIFTSINCIDENT
Vid en personuppgiftsincident som omfattar personuppgifter som behandlas på uppdrag av Personuppgiftsbiträdet ska Underbiträdet omedelbart undersöka incidenten och vidta lämpliga åtgärder för att mildra dess potentiella negativa effekt och förhindra upprepning. Underbiträdet ska även omedelbart tillhandahålla Personuppgiftsbiträdet en beskrivning av incidenten. Beskrivningen ska åtminstone
beskriva personuppgiftsincidentens art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,
förmedla namnet på den person som kan tillhandahålla mer information eller svara på frågor,
beskriva de sannolika konsekvenserna av personuppgiftsincidenten, och
beskriva de åtgärder som Underbiträdet har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.
AVTALETS UPPHÖRANDE
Villkoren i detta Avtal ska gälla så länge Underbiträdet behandlar personuppgifter på uppdrag av Personuppgiftsbiträdet.
Om detta Avtal upphör att gälla ska Underbiträdet upphöra med Behandlingen av Personuppgifter och, efter Personuppgiftsbiträdets önskemål, radera eller återlämna alla Personuppgifter till Personuppgiftsbiträdet och radera befintliga kopior, såvida inte Tillämplig dataskyddslagstiftning eller nationell rätt kräver att Personuppgifterna lagras. Underbiträdet ska säkerställa att Underbiträde vidtar samma åtgärder.
ÄNDRINGAR
Ändringar eller tillägg till Avtalet ska göras skriftligen och undertecknas av båda Parterna.
TVIST
Tvist angående tolkning eller tillämpning av detta Avtal ska avgöras enligt svensk lag och Tjänsteavtalets bestämmelse om tvist. Om Tjänsteavtalet inte innehåller någon sådan bestämmelse gäller att tvist ska avgöras av svensk allmän domstol.
Av detta Avtal har två originalexemplar upprättats och utväxlats mellan parterna.
Ort och datum Ort och datum
Namnförtydligande Namnförtydligande
Behörig
firmatecknare Behörig
firmatecknare
Personuppgiftsbiträde Underbiträde
Xxxxxxxx
& Xxxxxxxx Byggnads AB Företagsnamn