Mall Personuppgifts-biträdesavtal (pub-avtal)

Personuppgiftsansvarig	Personuppgiftsbiträde
[Organisationens fullständiga namn]	[Organisationens fullständiga namn]
Organisationsnummer	Organisationsnummer
[Organisationens organisationsnummer]	[Organisationens organisationsnummer]
Postadress	Postadress
[Organisationens postadress]	[Organisationens postadress]
Kontaktperson för administration av detta personuppgiftsbiträdesavtal	Kontaktperson för administration av detta personuppgiftsbiträdesavtal
Namn [Kontaktpersonens Förnamn och Efternamn] E-post [Kontaktpersonens e-postadress] Telefon [Kontaktpersonens telefonnummer]	Namn [Kontaktpersonens Förnamn och Efternamn] E-post [Kontaktpersonens e-postadress] Telefon [Kontaktpersonens telefonnumme]r
Kontaktperson för parternas samarbete om dataskydd	Kontaktpersoner för parternas samarbete om dataskydd
Namn [Kontaktpersonens Förnamn och Efternamn] E-post [Kontaktpersonens e-postadress] Telefon [Kontaktpersonens telefonnummer]	Namn [Kontaktpersonens Förnamn och Efternamn] E-post [Kontaktpersonens e-postadress] Telefon [Kontaktpersonens telefonnummer]

Bilagor

I personuppgiftsbiträdesavtalet ingår nedan. I händelse av motstridande lydelse gäller personuppgiftsbiträdesavtalet före bilagorna och bilagorna sinsemellan i nedan angiven ordning, om inte parterna uttryckligen angett att annan ordning ska gälla.

Bilaga 1: Instruktion
Bilaga 2: Godkända Underbiträden

2. Definitioner

Utöver de begrepp som definieras i löptext, i detta personuppgiftsbiträdesavtal, ska dessa definitioner oavsett om de används i plural eller singular, i bestämd eller obestämd form, ha nedanstående innebörd när de anges med versal som begynnelsebokstav.

Behandling	En åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.
Dataskyddslagstiftning	Avser all integritets- och personuppgiftslagstiftning, samt all annan eventuell lagstiftning (inklusive förordningar och föreskrifter), som är tillämplig på den Behandling som sker enligt detta pub-avtal, inklusive nationell sådan lagstiftning och EU-lagstiftning.
Personuppgiftsansvarig	Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamål och medlen för behandlingen av personuppgifter.
Instruktion	De skriftliga instruktioner som närmare anger föremål, varaktighet, art och ändamål, typ av personuppgifter samt kategorier av registrerade och särskilda behov som omfattas av behandlingen.
Logg	Logg är resultatet av Loggning.
Loggning	Loggning är ett kontinuerligt insamlande av uppgifter om den behandling av personuppgifter som utförs enligt detta pub-avtal och som kan knytas till en enskild fysisk person.
Personuppgiftsbiträde	Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning.
Personuppgift	Varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.
Personuppgiftsincident	En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.
Registrerad	Fysisk person vars personuppgifter behandlas.
Tredje land	En stat som inte ingår i Europeiska unionen (EU) eller inte är ansluten till Europeiska ekonomiska samarbetsområdet (EES).
Underbiträde	Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som i egenskap av underleverantör till personuppgiftsbiträdet behandlar personuppgifter för personuppgiftsansvariges räkning.

3. Bakgrund och syfte

3.1 Detta personuppgiftsbiträdesavtal samt tillhörande Instruktion och en eventuell förteckning över Underbiträden mellan personuppgiftsansvarige och personuppgiftsbiträdet (nedan gemensamt ”pub-avtalet”) reglerar de skyldigheter som personuppgiftsbiträdet har när personuppgifter behandlas för personuppgiftsansvariges räkning. Pub-avtalets syfte är att säkerställa den registrerades fri- och rättigheter vid behandlingen, i enlighet med vad som stadgas i artikel 28.3 i Dataskyddsförordningen.

3.2 När pub-avtalet utgör ett av flera avtalsdokument inom ramen för ett annat avtal benämns det andra avtalet ”Huvudavtalet” i pub-avtalet.

3.3 För det fall något stadgas is punkterna 1, 18, 19, 20.2, 21–24 i pub-avtalet regleras på annat sätt i Huvudavtalet ska Huvudavtalets reglering ha företräde.

3.4 Hänvisning i pub-avtalet till nationell eller unionsrättsliga lagstiftning, avser vid var tid tillämpliga bestämmelser.

4. Behandling av personuppgifter och specifikation

4.1 Den personuppgiftsansvarige utser härmed personuppgiftsbiträdet att utföra behandlingen för den personuppgiftsansvariges räkning enligt vad som stadgas i detta pub-avtal.

4.2 Den personuppgiftsansvarige ska ge skriftliga instruktioner till personuppfitsbiträdet om hur hen ska utföra behandlingen.

4.3 Personuppgiftsbiträdet får endast utföra behandlingen i enlighet med pub-avtalet och vid var tid gällande instruktioner.

5. Den personuppgiftsansvariges ansvar

5.1 Den personuppgiftsansvarige ansvarar för att det vid var tid finns laglig grund för behandlingen och för att utforma korrekta instruktioner så att personuppgiftsbiträdet och eventuellt underbiträde kan fullgöra sitt eller sina uppdrag enligt detta pub-avtal och Huvudavtal i förekommande fall.

5.2 Den personuppgiftsansvarige ska utan onödigt dröjsmål informera personuppgiftsbiträdet om förändringar i behandlingen vilka påverkar personuppgiftsbiträdets skyldigheter enligt Dataskyddslagstiftningen.

5.3 Den personuppgiftsansvarige ansvarar för att informera registrerade om behandlingen och för att tillvarata registrerades rättigheter enligt Dataskyddslagstiftningen samt vidta varje annan åtgärd som åligger den personuppgiftsansvarige enligt Dataskyddslagstiftningen.

6. Personuppgiftsbiträdets åtaganden

6.1 Personuppgiftsbiträdet förbinder sig att endast utföra behandlingen i enlighet med pub-avtalet och instruktioner samt att följa Dataskyddslagstiftningen. Personuppgiftsbiträdet förbinder sig även att fortlöpande hålla sig informerad om gällande rätt på området.

6.2 Personuppgiftsbiträdet ska vidta åtgärder för att skydda personuppgifterna mot alla slag av behandlingar som inte är förenliga med pub-avtalet, instruktioner och Dataskyddslagstiftningen.

6.3 Personuppgiftsbiträdet åtar sig att säkerställa att samtliga fysiska personer som arbetar under dess ledning följer pub-avtalet och instruktioner samt att de fysiska personerna informeras om relevant lagstiftning.

6.4 Personuppgiftsbiträdet ska på begäran från den personuppgiftsansvarige bistå denne med att säkerställa att skyldigheterna enligt artikel 32–36 i Dataskyddsförordningen fullgörs och svara på begäran om utövande av den registrerades rättigheter i enlighet med Dataskyddsförordningen, kap. III, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå.

6.5 För det fall att personuppgiftsbiträdet finner att instruktioner är otydliga, i strid med Dataskyddslagstiftningen eller saknas och personuppgiftsbiträdet bedömer att nya eller kompletterande instruktioner är nödvändiga för att genomföra sina åtaganden ska personuppgiftsbiträdet utan dröjsmål informera den personuppgiftsansvarige, tillfälligt upphöra med behandlingen och invänta nya instruktioner.

6.6 För det fall att den personuppgiftsansvarige förser personuppgiftsbiträdet med nya eller ändrade instruktioner ska personuppgiftsbiträdet, utan onödigt dröjsmål från mottagandet, meddela den personuppgiftsansvarige huruvida genomförandet av de nya instruktionerna föranleder förändrade kostnader för personuppgiftsbiträdet.

7. Säkerhetsåtgärder

7.1 Personuppgiftsbiträdet ska vidta alla lämpliga tekniska och organisatoriska säkerhetsåtgärder som krävs enligt Dataskyddslagstiftningen för att förhindra personuppgiftsincidenter, genom att säkerställa att behandlingen uppfyller kraven i Dataskyddsförordningen och att den registrerades rättigheter skyddas.

7.2 Personuppgiftsbiträdet ska fortlöpande säkerställa att den tekniska och organisatoriska säkerheten i samband med behandlingen medför en lämplig nivå av konfidentialitet, integritet, tillgänglighet och motståndskraft.

7.3 Eventuella tillkommande eller ändrade krav på skyddsåtgärder från den personuppgiftsansvarige, efter parternas tecknande av pub-avtalet, ska betraktas som nya instruktioner enligt pub-avtalet.

7.4 Personuppgiftbiträdet ska genom behörighetskontrollsystem endast ge åtkomst till personuppgifterna för sådana fysiska personer som arbetar under personuppgiftsbiträdets ledning och som behöver åtkomsten för att kunna utföra sina arbetsuppgifter.

7.5 Personuppgiftsbiträdet åtar sig att kontinuerligt logga åtkomst till personuppgifterna enligt pub-avtalet i den utsträckning det krävs enligt instruktionen. Loggar får gallras först fem (5) år efter loggningstillfället om inte annat anges i instruktionen. Loggar ska omfattas av erforderliga skyddsåtgärder, i enlighet med Dataskyddslagstiftningen.

7.6 Personuppgiftsbiträdet ska systematiskt testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

8. Sekretess/tystnadsplikt

8.1 Personuppgiftsbiträdet och samtliga fysiska personer som arbetar under dess ledning ska vid behandlingen iaktta såväl sekretess som tystnadsplikt. Personuppgifterna får inte nyttjas eller spridas för andra ändamål, vare sig direkt eller indirekt, såvida inte annat avtalats.

8.2 Personuppgiftsbiträdet ska tillse att samtliga fysiska personer som arbetar under dess ledning, vilka deltar i behandlingen, är bundna av sekretessförbindelse avseende behandlingen. Detta krävs dock inte om dessa redan omfattas av en straffsanktionerad tystnadsplikt som följer av lag. Personuppgiftsbiträdet åtar sig även att tillse att det finns sekretessavtal med underbiträdet samt sekretessförbindelser mellan underbiträdet och samtliga fysiska personer som arbetar under dess ledning, vilka deltar i behandlingen.

8.3 Personuppgiftsbiträdet ska skyndsamt underrätta den personuppgiftsansvarige om eventuella kontakter med tillsynsmyndighet avseende behandlingen. Personuppgiftsbiträdet har inte rätt att företräda den personuppgiftsansvarige eller agera för den personuppgiftsansvariges räkning gentemot tillsynsmyndigheter i frågor avseende behandlingen.

8.4 Sekretessåtagandet gäller även under tid efter det att personuppgiftsbiträdesavtalet i övrigt upphört att gälla, dock längst till och med sådan tidpunkt som gäller enligt särskilt tillämpliga rättsliga krav.

8.5 Om den registrerade, tillsynsmyndighet eller tredje man begär information från personuppgiftsbiträdet vilken rör behandlingen, ska personuppgiftsbiträdet informera den personuppgiftsansvarige om saken. Information om behandlingen får inte lämnas till den registrerade, tillsynsmyndighet eller tredje man utan skriftligt medgivande från den personuppgiftsansvarige, såvida det inte framgår av tvingande lag att information ska lämnas. Personuppgiftsbiträdet ska bistå med förmedling av den informationen som omfattas av ett medgivande eller lagkrav.

9. Överföring av personuppgifter till tredje land

9.1 Personuppgiftsbiträdet får inte behandla personuppgifter eller anlita någon annan för behandlingen av personuppgifter i tredje land förutom när annat särskilt avtalats mellan parterna, den personuppgiftsansvarige skriftligen tillåtit annat eller om annat följer av tillämpliga rättsliga krav.

9.2 Om personuppgiftsbiträdet ska få överföra till eller behandla personuppgifter i tredje land och parterna inte uttryckligen avtalat om annat, ska något av nedan angivna krav uppfyllas:

aktuellt tredje land uppfyller kravet om en adekvat skyddsnivå,
de registrerade har behörigen samtyckt till överföringen eller behandlingen,
annan laglig grund föreligger för överföringen eller behandlingen enligt tillämpliga rättsliga krav,
det föreligger ett avtal med EU-kommissionens modellklausuler (2010/87/EU) som inte innehåller ändringar eller tillägg som står i strid med klausulerna,
Personuppgiftsbiträdet tillämpar bindande företagsinterna regler (Binding Corporate Rules) som även gäller för mottagaren av personuppgifterna i aktuellt tredje land, eller
Personuppgiftsbiträdet har genomfört en godkänd certifiering vilken dessutom innefattar bindande och verkställbara åtaganden att tillämpa tillräckliga garantier, även när det gäller de registrerades rättigheter.

10. Granskning, tillsyn och revision

10.1 Personuppgiftsbiträdet ska utan onödigt dröjsmål som en del av sina garantier, enligt artikel 28.1 i Dataskyddsförordningen, på den personuppgiftsansvariges begäran kunna redovisa vilka tekniska och organisatoriska säkerhetsåtgärder som används för att behandlingen ska uppfylla kraven enligt pub-avtalet och artikel 28.3.h i Dataskyddsförordningen.

10.2 Personuppgiftsbiträdet ska minst en (1) gång om året granska säkerheten avseende behandlingen genom en egenkontroll för att säkerställa att behandlingen följer pub-avtalet. Resultatet av sådan egenkontroll ska på begäran delges den personuppgiftsansvarige.

10.3 Den personuppgiftsansvarige äger rätt att, själv eller genom annan av denne utsedd tredje part (som inte får vara en konkurrent till personuppgiftsbiträdet), följa upp att personuppgiftsbiträdet uppfyller pub-avtalets, instruktionernas och Dataskyddslagstiftningens krav. Personuppgiftsbiträdet ska vid sådan granskning bistå den personuppgiftsansvarige, eller den som utför granskningen i den personuppgiftsansvariges ställe, med dokumentation, tillgång till lokaler, it-system och andra tillgångar som behövs för att kunna granska personuppgiftsbiträdets efterlevnad av pub-avtalet, instruktioner och Dataskyddslagstiftningen. Den personuppgiftsansvarige ska säkerställa att personal som genomför granskningen är underkastade sekretess eller tystnadsplikt enligt lag eller avtal.

10.4 Personuppgiftsbiträdet äger alternativt till vad som stadgas i punkterna 10.2–10.3, rätt att erbjuda andra tillvägagångssätt för granskning av behandlingen, exempelvis granskning genomförd av oberoende tredje part. Den personuppgiftsansvarige ska i sådant fall äga rätt, men inte skyldighet, att tillämpa detta alternativa tillvägagångssätt för granskning. Vid sådan granskning ska personuppgiftsbiträdet ge den personuppgiftsansvarige eller en tredje part den assistans som behövs för utförandet av granskningen.

10.5 Personuppgiftbiträdet ska bereda tillsynsmyndighet, eller annan myndighet som har laglig rätt till det, möjlighet att göra tillsyn enligt myndighetens begäran i enlighet med vid var tid gällande lagstiftning, även om sådan tillsyn annars skulle stå i strid med bestämmelserna i pub-avtalet.

10.6 Personuppgiftsbiträdet ska tillförsäkra den personuppgiftsansvarige rättigheter gentemot underbiträdet vilka motsvarar den personuppgiftsansvariges samtliga rättigheter gentemot personuppgiftsbiträdet enligt punkten 6 i pub-avtalet.

10.7 Personuppgiftsbiträdet ska utan dröjsmål informera personuppgiftsansvarig om eventuella kontakter med tredje part, domstol, tillsynsmyndighet eller annan myndighet som rör eller kan vara av betydelse för behandling av personuppgifter. Personuppgiftsbiträdet äger ej rätt att företräda personuppgiftsansvarig eller på annat sätt agera för personuppgiftsansvarigs räkning gentemot Integritetsskyddsmyndigheten (IMY) eller annan tredje man utan skriftligt medgivande från personuppgiftsansvarig.

10.8 Personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som krävs för att visa att behandling av personuppgifter uppfyller tillämpliga rättsliga krav jämte de villkor som enligt detta pub-avtal gäller för behandling.

11. Rättigheter och behörigheter

11.1 Personuppgiftsbiträdet ansvarar för att denna har samtliga rättigheter som krävs för dennes ingående och fullgörande av pub-avtalet. Personuppgiftsbiträdet ska bland annat tillse att samtliga rättigheter som krävs för fullgörandet av åtagandet innehas och att åtagandena inte innebär intrång i tredje mans rätt.

12. Hantering av rättelser och radering m.m.

12.1 För det fall den personuppgiftsansvarige begärt rättelse eller radering på grund av personuppgiftsbiträdets felaktiga behandling ska personuppgiftsbiträdet vidta lämplig åtgärd utan onödigt dröjsmål, senast inom trettio (30) dagar, från det att personuppgiftsbiträdet mottagit erforderlig information från den personuppgiftsansvarige. När den personuppgiftsansvarige begärt radering får personuppgiftsbiträdet endast utföra behandling av den aktuella personuppgiften som ett led i processen för rättelse eller radering.

12.2 Om tekniska och organisatoriska åtgärder (t.ex. uppgraderingar eller felsökningar) vidtas av personuppgiftsbiträdet i behandlingen, vilka kan väntas påverka behandlingen, ska personuppgiftsbiträdet skriftligt informera den personuppgiftsansvarige om detta i enlighet med vad stadgas om meddelanden i punkten 21 i pub-avtalet. Informationen ska lämnas i god tid innan åtgärderna vidtas.

13. Personuppgiftsincident

13.1 Personuppgiftsbiträdet ska ha förmåga att återställa tillgängligheten och tillgången till personuppgifterna i rimlig tid vid en fysisk eller teknisk incident enligt artikel 32.1.c i Dataskyddsförordningen.

13.2 Personuppgiftbiträdet åtar sig att med beaktande av behandlingens art, och den information som personuppgiftsbiträdet har att tillgå, bistå den personuppgiftsansvarige med att fullgöra dennes skyldigheter vid en personuppgiftsincident beträffande behandlingen. Personuppgiftbiträdet ska på den personuppgiftsansvariges begäran även bistå med att utreda misstankar om eventuell obehörigs behandling och/eller åtkomst till personuppgifterna.

13.3 Vid Personuppgiftsincident, vilken personuppgiftbiträdet fått vetskap om, ska personuppgiftsbiträdet utan onödigt dröjsmål skriftligen underrätta den personuppgiftsansvarige om händelsen. Personuppgiftsbiträdet ska, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå, tillhandahålla den personuppgiftsansvarige en skriftlig beskrivning av personuppgiftsincidenten.

Beskrivningen ska redogöra för:

Personuppgiftsincidentens art och, om möjligt, de kategorier och antalet registrerade som berörs samt kategorier och antalet personuppgiftsposter som berörs,
de sannolika konsekvenserna av personuppgiftsincidenten, och
åtgärder som har vidtagits eller föreslagits samt åtgärder för att mildra personuppgiftincidentens potentiella negativa effekter.

13.4 Om det inte är möjligt för personuppgiftsbiträdet att tillhandahålla hela beskrivningen samtidigt, enligt punkten 13.3 i pub-avtalet, får beskrivningen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.

13.5 Om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska personuppgiftsbiträdet före det att behandlingen utförs vara personuppgiftsansvarig behjälplig vid en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter.

14. Underbiträden

14.1 Personuppgiftsbiträdet äger rätt att anlita den eller de underbiträden som framgår av bilagd förteckning över underbiträden.

14.2 Personuppgiftsbiträdet åtar sig att teckna ett skriftligt avtal med underbiträdet som reglerar behandlingen som underbiträdet utför å den personuppgiftsansvariges vägnar samt att endast anlita underbiträden som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder så att behandlingen uppfyller kraven i Dataskyddsförordningen. I fråga om dataskydd ska avtalet ålägga underbiträdet samma skyldigheter som åläggs personuppgiftsbiträdet i detta pub-avtal.

14.3 Personuppgiftsbiträdet ansvarar fullt ut för underbiträdets behandling gentemot den personuppgiftsansvarige.

14.4 Personuppgiftsbiträdet äger rätt att anlita nya underbiträden och ersätta befintliga underbiträden.

14.5 När Personuppgiftsbiträdet avser att anlita ett nytt eller ersätta ett befintligt underbiträde ska personuppgiftsbiträdet säkerställa underbiträdets kapacitet och förmåga att uppfylla sina skyldigheter enligt Dataskyddslagstiftningen. Personuppgiftsbiträdet ska skriftligen meddela den personuppgiftsansvarige om

Underbiträdets namn, organisationsnummer och säte (adress och land),
vilken typ av uppgifter och kategorier av registrerade som behandlas, och
var personuppgifterna ska behandlas.

14.6 Den personuppgiftsansvarige äger rätt att inom trettio (30) dagar från dag för meddelande enligt punkten 14.5 invända mot personuppgiftsbiträdets anlitande av ett nytt underbiträde och att, med anledning av sådan invändning, säga upp detta pub-avtal att upphöra i enlighet med vad stadgas i pub-avtalet, punkten 19.4.

14.7 När personuppgiftsbiträdet upphör med att anlita underbiträdet ska personuppgiftsbiträdet skriftligen meddela den personuppgiftsansvarige om att det upphör med att anlita underbiträdet.

14.8 Personuppgiftsbiträdet ska på den personuppgiftsansvariges begäran översända en kopia av det avtal som reglerar behandling av underbiträdets behandling av personuppgifter enligt punkten 14.2.

15. Ansvar vid skada i samband med behandlingen

15.1 Vid ersättning för skada i samband med behandling som, genom fastställd dom eller förlikning, ska utgå till den registrerade på grund av överträdelse av bestämmelse i pub-avtalet, instruktioner och/eller tillämplig bestämmelse i Dataskyddslagstiftningen ska artikel i 82 i Dataskyddsförordningen tillämpas.

15.2 Sanktionsavgifter enligt artikel 83 i Dataskyddsförordningen, eller 6 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ska bäras av den av pub-avtalets parter som påförts en sådan avgift.

15.3 Om endera part får kännedom om omständighet som kan leda till skada för motparten ska parten omedelbart informera motparten om förhållandet och aktivt arbeta tillsammans med motparten för att förhindra och minimera sådan skada.

15.4 Innan part inleder förhandling, ingår förlikning eller träffar avtal eller förbinder sig till någon annan förpliktelse gentemot de registrerade eller annan tredje part eller med domstol eller annan myndighet med anledning av ersättningskrav, anspråk eller påföljd enligt punkterna 15.1 och 15.2, ska parten informera den andre parten härom och ge denne möjlighet att biträda parten eller på annat lämpligt sätt tillvarata sina rättigheter.

15.5 Oaktat vad sägs i Huvudavtalet gäller detta pub-avtal, punkterna 15.1 och 15.2, före andra regler om fördelning mellan parterna av krav sinsemellan såvitt avser behandlingen.

16. Ersättning

16.1 Personuppgiftsbiträdet har inte rätt till ersättning för sitt arbete med behandling av personuppgifter under pub-avtalet, om inte parterna avtalat om annat.

17. Tillämplig lag och tvist

17.1 Tvist avseende tolkning eller tillämpning av personuppgiftsbiträdesavtalet ska slutligt avgöras enligt vad som anges rörande tvist i Huvudavtalet, om inte parterna avtalat annat.

18. Pub-avtalets tecknande, avtalstid och uppsägning

18.1 Pub-avtalet gäller från och med den tidpunkt pub-avtalet undertecknats av båda parter och tillsvidare. Parterna äger ömsesidig rätt att säga upp pub-avtalet att upphöra med trettio (30) dagars varsel.

19. Ändringar och uppsägning med omedelbar verkan m.m.

19.1 Endera part i pub-avtalet äger rätt att påkalla omförhandling av pub-avtalet om motpartens ägarförhållanden ändras väsentligt eller om tillämplig lagstiftning, eller tolkningen av den, ändras på ett för behandlingen avgörande sätt. Påkallande av omförhandling enligt första meningen innebär inte att pub-avtalet till någon del upphör att gälla utan endast att en omförhandling om pub-avtalet ska påbörjas.

19.2 Tillägg till, och ändringar i, pub-avtalet ska vara skriftliga och undertecknade av båda parter.

19.3 När någon av parterna får kännedom om att motparten agerar i strid med pub-avtalet och/eller instruktioner ska parten utan dröjsmål meddela motparten om agerandet. Därefter äger parten rätt att med omedelbar verkan upphöra att utföra sina förpliktelser enligt pub-avtalet till den tidpunkt motparten förklarat att agerandet upphört och förklaringen accepterats av den part som påtalat agerandet.

19.4 Om den personuppgiftsansvarige invänder mot personuppgiftsbiträdets anlitande av ett nytt underbiträde, enligt detta pub-avtal, punkten 14.6, har den personuppgiftsansvarige rätt att säga upp pub-avtalet att upphöra med omedelbar verkan.

20. Åtgärder vid pub-avtalets upphörande

20.1 Vid uppsägning av pub-avtalet ska den personuppgiftsansvarige utan onödigt dröjsmål begära att personuppgiftsbiträdet överlämnar samtliga personuppgifter till den personuppgiftsansvarige eller raderar dem, enligt dennes önskemål samt säkerställer att inga personuppgifter eller kopior därav är kvar i personuppgiftsbiträdes besittning. Om personuppgifterna överlämnas ska det ske i ett öppet och standardiserat format. Med samtliga personuppgifter avses alla personuppgifter vilka har omfattats av behandlingen samt annan tillhörande information såsom loggar, instruktioner, systemlösningar, beskrivningar och andra handlingar som personuppgiftsbiträdet erhållit genom informationsutbyte enligt pub-avtalet.

20.2 Överlämning och radering enligt pub-avtalet, punkten 20.1, ska vara utförda senast trettio (30) dagar räknat från den tidpunkt uppsägning gjorts enligt detta pub-avtal, punkten 18.1.

20.3 Behandling som utförs av personuppgiftsbiträdet efter den tidpunkt som stadgas i punkten 20.2 är att betrakta som en otillåten behandling.

20.4 Bestämmelser om sekretess/tystnadsplikt i punkten 8 enligt detta pub-avtal ska fortsätta gälla även om pub-avtalet i övrigt upphör av gälla.

21. Meddelanden inom ramen för detta pub-avtal och instruktioner

21.1 Meddelanden om pub-avtalet och dess administration inklusive uppsägning ska skickas till respektive parts kontaktperson för pub-avtalet.

21.2 Meddelanden om parternas samarbete om dataskydd, gällande behandlingen, ska skickas till respektive parts kontaktperson för parternas samarbete om dataskydd.

21.3 Meddelanden inom ramen för pub-avtalet och instruktioner ska skickas skriftligt. Ett meddelande ska anses ha kommit fram till mottagaren senast en (1) arbetsdag efter att meddelandet har skickats.

22. Kontaktpersoner

22.1 Parterna ska utse var sin kontaktperson för pub-avtalet.

22.2 Parterna ska utse var sin kontaktperson för parternas samarbete om dataskydd.

23. Ansvar för uppgifter om parterna och kontaktpersoner samt kontaktuppgifter

23.1 Varje part ansvarar för att de uppgifter som anges i punkten 1 i pub-avtalet alltid är aktuella. Ändring av uppgifter i punkten 1 ska meddelas skriftligen enligt punkten 21.1 i pub-avtalet.

24. Parternas undertecknande av pub-avtalet

24.1 Detta pub-avtal tillhandahålls antingen i digitalt format för elektroniskt tecknande eller i pappersformat för tecknande med penna. Om pub-avtalet tillhandahålls i digitalt format utgår punkter 24.2–24.3.

24.2 Den personuppgiftsansvariges undertecknande av pub-avtalet.

_________________________

Ort och datum

_________________________

Behörig firmatecknare för

Personuppgiftsansvarig

_________________________

Namnförtydligande

24.3 Personuppgiftsbiträdets undertecknande av pub-avtalet

_________________________

Ort och datum

_________________________

Behörig firmatecknare för

Personuppgiftsbiträdet

_________________________

Namnförtydligande

Bilaga 1. Instruktion

1.1 Utöver vad som redan framgår av personuppgiftsbiträdesavtalet ska personuppgiftsbiträdet även följa nedanstående instruktion:

1. Ändamål, föremålet och arten

[Beskriv kortfattat ändamål, föremålet för behandlingen och arten av behandling avseende de personuppgifter som personuppgiftsbiträdet/biträdena kommer behandla.

Exempel 1;

Samtliga personuppgifter i systemet xxx i supportsyfte och för tekniskt underhåll och säkerhetskopiering.]

2. Behandlingen omfattar följande typer av personuppgifter

[Ange vilka personuppgifter personuppgiftsbiträdet/biträdena kommer ha åtkomst till.

Exempel 1l;

Personuppgifter i systemet utgörs av:

Användarnamn
Personnummer
Xxx
Xxx

Personuppgiftsbiträdet/biträdena ansvarar också för att via teknisk integration föra över följande uppgifter till system:

Xxx
Xxx]

3. Behandlingen omfattar kategorier av registrerade

[Ange vilka kategorier av registrerade vars personuppgifter personuppgiftsbiträdet/biträdena har åtkomst till eller kommer behandla.

Exempel 1;

Anställda
Arbetssökande
Konsulter
Patienter
Xxxxxx
Xxxxxxxxxxxxxx]

4. Ange särskilda hanteringskrav vad gäller behandling av personuppgifter som utförs av personuppgiftsbiträdet/biträdena

[Lägg till förtydligande beskrivningar i förekommande fall, till exempel avseende gallring.

Exempel 1;

Personuppgifter ska gallras efter x år.
Säkerhetskopior får inte sparas längre än x år.
Biträdet får endast publicera information på webbplats x som innehåller förnamn.

Exempel 2;

Se Huvudavtal punkt x.x]

5. Ange särskilda tekniska och organisatoriska säkerhetsåtgärder vad gäller behandling av personuppgifter som utförs av personuppgiftsbiträdet/biträdena

[Lägg till förtydligande beskrivningar i förekommande fall.

Exempel 1;

Biträdet ska uppfylla de krav som anges utifrån den personuppgiftsansvariges informationsklassning samt redovisa status för dessa på begäran.

Exempel 2;

Se Huvudavtal punkt x.x]

6. Ange särskilda krav på loggning vad gäller behandling av personuppgifter samt vilka som ska ha tillgång till dem

[Lägg till förtydligande beskrivningar i förekommande fall.

Exempel 1;

Av loggar ska framgå;
Historik över förändring av ett betyg för enskild elev samt vem som genomfört förändringen.

Exempel 2;

Inga särskilda krav utöver vad som framgår av Huvudavtalet.]

7. Lokalisering och överföring av personuppgifter till tredje land

[Lägg till förtydligande beskrivningar i förekommande fall.

Exempel 1;

Personuppgifterna får endast behandlas av ett biträde etablerat inom unionen.

Exempel 2;

Endast personuppgifter om personal, elever och vårdnadshavare relaterade till supportärenden i form av kontaktuppgifter (namn, telefonnummer och e-postadress) får föras över till biträdets underleverantör.

Exempel 3;

Endast följande personuppgifter får överföras till tredje land:
Användares skostorlek
Användares förnamn]

8. Övriga instruktioner angående behandling av personuppgifter som utförs av biträdet/biträdena

[Lägg till förtydligande beskrivningar i förekommande fall.

Exempel 1;

Upprätta fjärråtkomst till den personuppgiftsansvariges system för att undersöka och åtgärda tekniska problem; och
Publicering av pseudonymiserad statistik om antalet ansökningar som genomförts i systemet samt förväntad väntetid för handläggning på angiven webbplats.

Exempel 2;

Pub-avtalets punkt 7.3 är gäller inte för denna tjänst.

Exempel 3;

Pub-avtalets punkt 20.1 kompletteras med följande
”Personuppgiftsbiträdet ska även lämna ut loggarna till den Personuppgiftsansvarige i xml-format om detta pub-avtal upphör att gälla”.

Bilaga 2. Godkända underbiträden

2.1 Nedan listas de underbiträden som personuppgiftsbiträdet har anlitat för genomförande av uppdraget enligt detta personuppgiftsbiträdesavtal.

Namn	Kontaktuppgifter	Plats för behandling	Vilken typ av tjänst underbiträdet ska utföra

IR7VrjT37Z6.docx 1 (15)

Document Metadata

Table of Contents

Mall Personuppgifts-biträdesavtal (pub-avtal)

Document Metadata