PERSONUPPGIFTSBITRÄDESAVTAL
Avtal enligt artikel 28.3 i Allmänna dataskyddsförordningen EU 2016/6791
[Gulmarkerad text inom hakparenteser tas bort innan Personuppgiftsbiträdesavtalet upprättas.]
1PARTER, PARTERNAS STÄLLNING, KONTAKTUPPGIFTER OCH KONTAKTPERSONER
Personuppgiftsansvarig |
Personuppgiftsbiträde |
[Ange organisationens fullständiga namn] |
[Ange organisationens fullständiga namn] |
Organisationsnummer |
Organisationsnummer |
[Ange organisationens organisationsnummer] |
[Ange organisationens organisationsnummer] |
Postadress |
Postadress |
[Ange organisationens postadress] |
[Ange organisationens postadress] |
Kontaktperson för administration av detta personuppgiftsbiträdesavtal |
Kontaktperson för administration av detta personuppgiftsbiträdesavtal |
Namn: [Ange kontaktpersonens för- och efternamn] E-post: [Ange kontaktpersonens e-postadress] Tfn: [Ange kontaktpersonens telefonnummer] |
Namn: [Ange kontaktpersonens för- och efternamn] E-post: [Ange kontaktpersonens e-postadress] Tfn: [Ange kontaktpersonens telefonnummer] |
Kontaktperson för parternas samarbete om dataskydd |
Kontaktpersoner för parternas samarbete om dataskydd |
Namn: [Ange kontaktpersonens för- och efternamn] E-post: [Ange kontaktpersonens e-postadress] Tfn: [Ange kontaktpersonens telefonnummer] |
Namn: [Ange kontaktpersonens för- och efternamn] E-post: [Ange kontaktpersonens e-postadress] Tfn: [Ange kontaktpersonens telefonnummer] |
Affärsavtal/Huvudavtal som detta personuppgiftsbiträdesavtal gäller och diarienummer |
|
|
|
2DEFINITIONER
2.1Utöver de begrepp som definieras i löptext, i detta personuppgiftsbiträdesavtal, ska dessa definitioner, oavsett om de används i plural eller singular, i bestämd eller obestämd form, ha nedanstående innebörd när de anges med versal som begynnelsebokstav.
Behandling
En åtgärd eller kombination av åtgärder beträffande Personuppgifter eller uppsättningar av Personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring
Dataskyddslagstiftning
Avser all integritets- och personuppgiftslagstiftning, samt annan lagstiftning, förordningar och föreskrifter), som är tillämplig på den Behandling som sker enligt detta PUB-avtal, inklusive nationell sådan lagstiftning och EU-lagstiftning
Personuppgiftsansvarig
Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamål och medlen för Behandlingen av Personuppgifter.
Instruktion
De skriftliga instruktioner som närmare anger föremål, varaktighet, art och ändamål, typ av Personuppgifter samt kategorier av Registrerade och särskilda behov som omfattas av Behandlingen.
Logg
Loggning är ett kontinuerligt insamlande av uppgifter om den Behandling av Personuppgifter som utförs enligt detta PUB-avtal och som kan knytas till en enskild fysisk person.
Loggning
Loggning är ett kontinuerligt insamlande av uppgifter om den Behandling av Personuppgifter som utförs enligt detta PUB-avtal och som kan knytas till en enskild fysisk person.
Personuppgiftsbiträde
Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som Behandlar Personuppgifter för den Personuppgiftsansvariges räkning
Personuppgift
Varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.
Personuppgiftsincident
En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de Personuppgifter som överförts, lagrats eller på annat sätt Behandlats.
Registrerad
Fysisk person vars Personuppgifter Behandlas.
Tredje land
En stat som inte ingår i Europeiska unionen (EU) eller inte är ansluten till Europeiska ekonomiska samarbetsområdet (EES).
Underbiträde
Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som i egenskap av underleverantör till Personuppgiftsbiträdet Behandlar Personuppgifter för Personuppgiftsansvariges räkning.
3BAKGRUND OCH SYFTE
3.1Med detta Personuppgiftsbiträdesavtal jämte Instruktioner och en eventuell förteckning över Underbiträden (nedan gemensamt ”PUB-avtalet”) reglerar den Personuppgiftsansvarige Personuppgiftsbiträdets Behandling av Personuppgifter åt den Personuppgiftsansvarige. PUB-avtalets syfte är att säkerställa den Registrerades fri- och rättigheter vid Behandlingen, i enlighet med vad som stadgas i artikel 28.3 i Allmänna dataskyddsförordningen EU 2016/679 (”Dataskyddsförordningen”).
3.2När PUB-avtalet utgör ett av flera avtalsdokument inom ramen för ett annat avtal benämns det andra avtalet ”Huvudavtalet” i PUB-avtalet.
3.3För det fall något av det som stadgas i avsnitt 1, punkt 3.2, avsnitt 15 eller 16, punkt 17.6, avsnitt 18–20 eller 22 i PUB-avtalet regleras på annat sätt i Huvudavtalet, ska Huvudavtalets reglering ha företräde.
3.4Hänvisningar i PUB-avtalet till nationell eller unionsrättslig lagstiftning, avser vid var tid tillämpliga bestämmelser.
4BEHANDLING AV PERSONUPPGIFTER OCH SPECIFIKATION
4.1Den Personuppgiftsansvarige utser härmed Personuppgiftsbiträdet att utföra Behandlingen för den Personuppgiftsansvariges räkning enligt vad som stadgas i detta PUB-avtal.
4.2Den Personuppgiftsansvarige ska ge skriftliga Instruktioner till Personuppgiftsbiträdet om hur det ska utföra Behandlingen.
4.3Personuppgiftsbiträdet får endast utföra Behandlingen i enlighet med PUB-avtalet och vid var tid gällande Instruktioner.
5DEN PERSONUPPGIFTSANSVARIGES ANSVAR
5.1Den Personuppgiftsansvarige ansvarar för att det vid var tid
finns laglig grund för Behandlingen och för att utforma korrekta
Instruktioner med hänsyn till Behandlingens art så att
Personuppgiftsbiträdet och eventuellt Underbiträde kan
fullgöra sitt eller sina uppdrag enligt detta PUB-avtal och
Huvudavtal i förekommande fall.
5.2Den Personuppgiftsansvarige ska utan onödigt dröjsmål informera Personuppgiftsbiträdet om förändringar i Behandlingen vilka påverkar Personuppgiftsbiträdets skyldigheter enligt Dataskyddslagstiftningen.
5.3Den Personuppgiftsansvarige ansvarar för att informera Registrerade om Behandlingen och för att tillvarata Registrerades rättigheter enligt Dataskyddslagstiftningen samt vidta varje annan åtgärd som åligger den Personuppgiftsansvarige enligt Dataskyddslagstiftningen.
6PERSONUPPGIFTSBITRÄDETS ÅTAGANDEN
6.1Personuppgiftsbiträdet förbinder sig att endast utföra Behandlingen i enlighet med PUB-avtalet och för de specifika ändamål som anges i Instruktioner samt att följa Dataskyddslagstiftningen. Personuppgiftsbiträdet förbinder sig även att fortlöpande hålla sig informerad om gällande rätt på området.
6.2Personuppgiftsbiträdet ska vidta åtgärder för att skydda Personuppgifterna mot alla slag av Behandlingar som inte är förenliga med PUB-avtalet, Instruktioner och Dataskyddslagstiftningen.
6.3Personuppgiftsbiträdet åtar sig att säkerställa att samtliga fysiska personer som arbetar under dess ledning följer PUB-avtalet och Instruktioner samt att de fysiska personerna informeras om relevant lagstiftning.
6.4Personuppgiftsbiträdet ska på begäran från den Personuppgiftsansvarige bistå denne med att säkerställa att skyldigheterna enligt artikel 32–36 i Dataskyddsförordningen fullgörs och svara på begäran om utövande av den Registrerades rättigheter i enlighet med Dataskyddsförordningen, kap. III, med beaktande av typen av Behandling och den information som Personuppgiftsbiträdet har att tillgå.
6.5För det fall att Personuppgiftsbiträdet finner att Instruktioner är otydliga, i strid med Dataskyddslagstiftningen eller saknas och Personuppgiftsbiträdet bedömer att nya eller kompletterande Instruktioner är nödvändiga för att genomföra sina åtaganden ska Personuppgiftsbiträdet utan dröjsmål informera den Personuppgiftsansvarige, tillfälligt upphöra med Behandlingen och invänta nya Instruktioner, om inte parterna kommer överens om annat.
6.6För det fall att den Personuppgiftsansvarige förser Personuppgiftsbiträdet med nya eller ändrade Instruktioner ska Personuppgiftsbiträdet, utan onödigt dröjsmål från mottagandet, meddela den Personuppgiftsansvarige huruvida genomförandet av de nya Instruktionerna föranleder förändrade kostnader för Personuppgiftsbiträdet.
7SÄKERHETSÅTGÄRDER
7.1Personuppgiftsbiträdet ska vidta alla lämpliga tekniska och organisatoriska säkerhetsåtgärder som krävs enligt Dataskyddslagstiftningen för att förhindra Personuppgiftsincidenter, genom att säkerställa att Behandlingen uppfyller kraven i Dataskyddsförordningen och att den Registrerades rättigheter skyddas.
7.2Personuppgiftsbiträdet ska fortlöpande säkerställa att den tekniska och organisatoriska säkerheten i samband med Behandlingen medför en lämplig nivå av konfidentialitet, integritet, tillgänglighet och motståndskraft.
7.3Eventuella tillkommande eller ändrade krav på skyddsåtgärder från den Personuppgiftsansvarige, efter parternas tecknande av PUB-avtalet, ska betraktas som nya Instruktioner enligt PUB-avtalet.
7.4Personuppgiftbiträdet ska genom behörighetskontrollsystem endast ge åtkomst till Personuppgifterna för sådana fysiska personer som arbetar under Personuppgiftsbiträdets ledning och som behöver åtkomsten för att kunna utföra sina arbetsuppgifter.
7.5Personuppgiftsbiträdet åtar sig att kontinuerligt Logga åtkomst till Personuppgifterna enligt PUB-avtalet i den utsträckning det krävs enligt Instruktionen. Loggar får gallras först fem (5) år efter Loggningstillfället om inte annat anges i Instruktionen. Loggar ska omfattas av erforderliga skyddsåtgärder, i enlighet med Dataskyddslagstiftningen.
7.6Personuppgiftsbiträdet ska systematiskt testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa Behandlingens säkerhet.
8SEKRETESS/TYSTNADSPLIKT
8.1Personuppgiftsbiträdet och samtliga fysiska personer som arbetar under dess ledning ska vid Behandlingen iaktta såväl sekretess som tystnadsplikt. Personuppgifterna får inte nyttjas eller spridas för andra ändamål, varken direkt eller indirekt, såvida inte annat avtalats.
8.2Personuppgiftsbiträdet ska tillse att samtliga fysiska personer som arbetar under dess ledning, vilka deltar i Behandlingen, är bundna av sekretessförbindelse avseende Behandlingen. Detta krävs dock inte om dessa redan omfattas av en straffsanktionerad tystnadsplikt som följer av lag. Personuppgiftsbiträdet åtar sig även att tillse att det finns sekretessavtal med Underbiträdet samt sekretessförbindelser mellan Underbiträdet och samtliga fysiska personer som arbetar under dess ledning, vilka deltar i Behandlingen.
8.3Personuppgiftsbiträdet ska skyndsamt underrätta den Personuppgiftsansvarige om eventuella kontakter med tillsynsmyndighet avseende Behandlingen. Personuppgiftsbiträdet har inte rätt att företräda den Personuppgiftsansvarige eller agera för den Personuppgiftsansvariges räkning gentemot tillsynsmyndigheter i frågor avseende Behandlingen.
8.4Om den Registrerade, tillsynsmyndighet eller tredje man begär information från Personuppgiftsbiträdet vilken rör Behandlingen, ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige om saken. Information om Behandlingen får inte lämnas till den Registrerade, tillsynsmyndighet eller tredje man utan skriftligt medgivande från den Personuppgiftsansvarige, såvida det inte framgår av tvingande lag att information ska lämnas. Personuppgiftsbiträdet ska bistå med förmedling av den informationen som omfattas av ett medgivande eller lagkrav.
9GRANSKNING, TILLSYN OCH REVISION
9.1Personuppgiftsbiträdet ska utan onödigt dröjsmål som en del av sina garantier, enligt artikel 28.1 i Dataskyddsförordningen, på den Personuppgiftsansvariges begäran kunna redovisa vilka tekniska och organisatoriska säkerhetsåtgärder som används för att Behandlingen ska uppfylla kraven enligt PUB-avtalet och artikel 28.3.h i Dataskyddsförordningen.
9.2Personuppgiftsbiträdet ska minst en (1) gång om året granska säkerheten avseende Behandlingen genom en egenkontroll för att säkerställa att Behandlingen följer PUB-avtalet. Resultatet av sådan egenkontroll ska på begäran delges den Personuppgiftsansvarige.
9.3Den Personuppgiftsansvarige äger rätt att, själv eller genom annan av denne utsedd tredje part (som inte får vara en konkurrent till Personuppgiftsbiträdet), följa upp att Personuppgiftsbiträdet uppfyller PUB-avtalets, Instruktionernas och Dataskyddslagstiftningens krav. Personuppgiftsbiträdet ska vid sådan granskning bistå den Personuppgiftsansvarige, eller den som utför granskningen i den Personuppgiftsansvariges ställe, med dokumentation, tillgång till lokaler, IT-system och andra tillgångar som behövs för att kunna granska Personuppgiftsbiträdets efterlevnad av PUB-avtalet, Instruktioner och Dataskyddslagstiftningen. Den Personuppgiftsansvarige ska säkerställa att personal som genomför granskningen är underkastade sekretess eller tystnadsplikt enligt lag eller avtal.
9.4Personuppgiftsbiträdet äger alternativt till vad som stadgas i punkterna 9.2–9.3, rätt att erbjuda andra tillvägagångssätt för granskning av Behandlingen, exempelvis granskning genomförd av oberoende tredje part. Den Personuppgiftsansvarige ska i sådant fall äga rätt, men inte skyldighet, att tillämpa detta alternativa tillvägagångssätt för granskning. Vid sådan granskning ska Personuppgiftsbiträdet ge den Personuppgiftsansvarige eller en tredje part den assistans som behövs för utförandet av granskningen.
9.5Personuppgiftbiträdet ska bereda tillsynsmyndighet, eller annan myndighet som har laglig rätt till det, möjlighet att göra tillsyn enligt myndighetens begäran i enlighet med vid var tid gällande lagstiftning, även om sådan tillsyn annars skulle stå i strid med bestämmelserna i PUB-avtalet.
9.6Personuppgiftsbiträdet ska tillförsäkra den Personuppgiftsansvarige rättigheter gentemot Underbiträdet vilka motsvarar den Personuppgiftsansvariges samtliga rättigheter gentemot Personuppgiftsbiträdet enligt avsnitt 9 i PUB-avtalet.
10HANTERING AV RÄTTELSER OCH RADERING M.M.
10.1För det fall den Personuppgiftsansvarige begärt rättelse eller radering på grund av Personuppgiftsbiträdets felaktiga Behandling ska Personuppgiftsbiträdet vidta lämplig åtgärd utan onödigt dröjsmål, senast inom trettio (30) dagar, från det att Personuppgiftsbiträdet mottagit erforderlig information från den Personuppgiftsansvarige. När den Personuppgiftsansvarige begärt radering får Personuppgiftsbiträdet endast utföra Behandling av den aktuella Personuppgiften som ett led i processen för rättelse eller radering.
10.2Om tekniska och organisatoriska åtgärder (t.ex. uppgraderingar eller felsökningar) vidtas av Personuppgiftsbiträdet i Behandlingen, vilka kan påverka Behandlingen, ska Personuppgiftsbiträdet skriftligt informera den Personuppgiftsansvarige om detta i enlighet med vad som stadgas om meddelanden i avsnitt 18 i PUB-avtalet. Informationen ska lämnas i god tid innan åtgärderna vidtas.
11PERSONUPPGIFTSINCIDENTER
11.1Personuppgiftsbiträdet ska ha förmåga att återställa tillgängligheten och tillgången till Personuppgifterna i rimlig tid vid en fysisk eller teknisk incident enligt artikel 32.1.c i Dataskyddsförordningen.
11.2Personuppgiftbiträdet åtar sig att med beaktande av Behandlingens art, och den information som Personuppgiftsbiträdet har att tillgå, bistå den Personuppgiftsansvarige med att fullgöra dennes skyldigheter vid en Personuppgiftsincident beträffande Behandlingen. Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran även bistå med att utreda misstankar om eventuell obehörigs Behandling och/eller åtkomst till Personuppgifterna.
11.3Vid Personuppgiftsincident, vilken Personuppgiftbiträdet fått vetskap om, ska Personuppgiftsbiträdet utan onödigt dröjsmål skriftligen underrätta den Personuppgiftsansvarige om händelsen. Personuppgiftsbiträdet ska, med beaktande av typen av Behandling och den information som Personuppgiftsbiträdet har att tillgå, tillhandahålla den Personuppgiftsansvarige en skriftlig beskrivning av Personuppgiftsincidenten.
11.4Beskrivningen ska redogöra för:
Personuppgiftsincidentens art och, om möjligt, de kategorier och antalet Registrerade som berörs samt kategorier och antalet personuppgiftsposter som berörs,
de sannolika konsekvenserna av Personuppgiftsincidenten, och
åtgärder som har vidtagits eller föreslagits samt åtgärder för att mildra Personuppgiftincidentens potentiella negativa effekter.
11.5Om det inte är möjligt för Personuppgiftsbiträdet att tillhandahålla hela beskrivningen samtidigt, enligt punkten 11.3 i PUB-avtalet, får beskrivningen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.
12UNDERBITRÄDE
12.1Personuppgiftsbiträdet äger rätt att anlita den eller de Underbiträden som framgår av bilagd förteckningen över Underbiträden, bilaga 2.
12.2Personuppgiftsbiträdet åtar sig att teckna ett skriftligt avtal med Underbiträdet som reglerar den Behandling som Underbiträdet utför å den Personuppgiftsansvariges vägnar samt att endast anlita Underbiträden som ger tillräckliga garantier. Underbiträdet ska genomföra lämpliga tekniska och organisatoriska åtgärder så att Behandlingen uppfyller kraven i Dataskyddslagstiftningen. I fråga om dataskydd ska avtalet ålägga Underbiträdet samma skyldigheter som åläggs Personuppgiftsbiträdet i detta PUB-avtal.
12.3Personuppgiftsbiträdet ska i avtalet med Underbiträdet säkerställa att den Personuppgiftsansvarige har rätt att säga upp Underbiträdet och instruera Underbiträdet att exempelvis radera eller återlämna Personuppgifterna om Personuppgiftsbiträdet har upphört att existera i faktisk eller rättslig mening eller hamnat på obestånd.
12.4Personuppgiftsbiträdet ansvarar fullt ut för Underbiträdets Behandling gentemot den Personuppgiftsansvarige. Personuppgiftsbiträdet ska skyndsamt underrätta den Personuppgiftsansvarige om Underbiträdet underlåter att uppfylla sina skyldigheter i PUB- avtalet.
12.5Personuppgiftsbiträdet äger rätt att anlita nya underbiträden och ersätta befintliga underbiträden om inte annat anges i Instruktionen.
12.6När Personuppgiftsbiträdet avser att anlita ett nytt eller ersätta ett befintligt Underbiträde ska Personuppgiftsbiträdet säkerställa Underbiträdets kapacitet och förmåga att uppfylla sina skyldigheter enligt Dataskyddslagstiftningen. Personuppgiftsbiträdet ska skriftligen meddela den Personuppgiftsansvarige om
Underbiträdets namn, organisationsnummer och säte (adress och land),
vilken typ av uppgifter och kategorier av Registrerade som behandlas, och
var Personuppgifterna ska behandlas.
12.7Den Personuppgiftsansvarige äger rätt att inom trettio (30)
dagar från dag för meddelande enligt punkten 12.6
invända mot Personuppgiftsbiträdets anlitande av ett nytt
Underbiträde och att, med anledning av sådan invändning, säga upp
detta PUB-avtal att upphöra i enlighet med vad stadgas i
PUB-avtalet, punkten 16.4.
12.8Personuppgiftsbiträdet ska vid var tid föra en korrekt och uppdaterad förteckning över de Underbiträden som anlitas för Behandling av Personuppgifter för den Personuppgiftsansvariges räkning samt göra denna förteckning tillgänglig för den Personuppgiftsansvarige. Av förteckningen ska särskilt framgå i vilket land Underbiträdet behandlar Personuppgifterna och vilka typer av Behandlingar som Underbiträdet utför.
12.9När Personuppgiftsbiträdet slutar använda ett Underbiträde ska Personuppgiftsbiträdet skriftligen meddela den Personuppgiftsansvarige om detta. Personuppgiftsbiträdet ska när ett avtal upphör säkerställa att Underbiträdet raderar eller återlämnar Personuppgifterna.
12.10Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran översända en kopia av det avtal som reglerar Underbiträdets Behandling av Personuppgifter och förteckningen över Underbiträden enligt punkten 12.1.
13LOKALISERING OCH ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJE LAND
13.1Personuppgiftsbiträdet ska säkerställa att Personuppgifterna hanteras och lagras inom EU/EES av en fysisk eller juridisk person som är etablerad inom EU/EES, om inte PUB-avtalets parter kommer överens om något annat.
13.2Personuppgiftsbiträdet äger endast rätt att överföra Personuppgifter till Tredje land för Behandling (t.ex. service, support, underhåll, utveckling, drift eller liknande hantering) om den Personuppgiftsansvarige på förhand skriftligen godkänt sådan överföring och utfärdat Instruktioner för detta ändamål.
13.3Överföring till Tredje land för Behandling enligt PUB-avtalet, punkten 13.2, får endast ske om den är förenlig med Dataskyddslagstiftningen och uppfyller de krav på Behandlingen vilka ställs i PUB-avtalet och Instruktioner.
14ANSVAR FÖR SKADA I SAMBAND MED BEHANDLING
14.1Vid ersättning för skada i samband med Behandling som, genom fastställd dom eller förlikning, ska utgå till den Registrerade på grund av överträdelse av bestämmelse i PUB-avtalet, Instruktioner och/eller tillämplig bestämmelse i Dataskyddslagstiftningen ska artikel i 82 i Dataskyddsförordningen tillämpas.
14.2Sanktionsavgifter enligt artikel 83 i Dataskyddsförordningen, eller 6 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ska bäras av den av PUB-avtalets parter som påförts en sådan avgift.
14.3Om endera part får kännedom om omständighet som kan leda till skada för motparten ska parten utan onödigt dröjsmål informera motparten om förhållandet och aktivt arbeta tillsammans med motparten för att förhindra och minimera sådan skada.
14.4Oaktat vad som sägs i Huvudavtalet gäller detta PUB-avtal, punkterna 14.1 och 14.2, före andra regler om fördelning mellan parterna av krav sinsemellan såvitt avser Behandlingen.
15PUB-AVTALETS TECKNANDE, AVTALSTID OCH UPPSÄGNING
15.1PUB-avtalet gäller från och med den tidpunkt PUB-avtalet undertecknats av båda parter och tillsvidare. Parterna äger ömsesidig rätt att säga upp PUB-avtalet att upphöra med trettio (30) dagars varsel.
16ÄNDRINGAR OCH UPPSÄGNING MED OMEDELBAR VERKAN M.M.
16.1Endera part i PUB-avtalet äger rätt att påkalla omförhandling av PUB-avtalet om motpartens ägarförhållanden ändras väsentligt eller om tillämplig lagstiftning, eller tolkningen av den, ändras på ett för Behandlingen avgörande sätt. Påkallande av omförhandling enligt första meningen innebär inte att PUB-avtalet till någon del upphör att gälla utan endast att en omförhandling om PUB-avtalet ska påbörjas.
16.2Tillägg till, och ändringar i, PUB-avtalet ska vara skriftliga och undertecknade av båda parter.
16.3När någon av parterna får kännedom om att motparten agerar i strid med PUB-avtalet och/eller Instruktioner ska parten utan dröjsmål meddela motparten om agerandet. Därefter äger parten rätt att med omedelbar verkan upphöra att utföra sina förpliktelser enligt PUB-avtalet till den tidpunkt motparten förklarat att agerandet upphört och förklaringen accepterats av den part som påtalat agerandet.
16.4Om den Personuppgiftsansvarige invänder mot Personuppgiftsbiträdets anlitande av ett nytt underbiträde, enligt detta PUB-avtal, punkten 12.7, har den Personuppgiftsansvarige rätt att säga upp PUB-avtalet att upphöra med omedelbar verkan.
17ÅTGÄRDER VID PUB-AVTALETS UPPHÖRANDE
17.1Efter uppsägning av PUB-avtalet ska Personuppgiftsbiträdet utan onödigt dröjsmål, beroende på vad den Personuppgiftsansvarige väljer, antingen radera och intyga för den Personuppgiftsansvarige att det är utfört, eller återlämna
alla Personuppgifter som Behandlats för den Personuppgiftsansvariges räkning och
all tillhörande information såsom Loggar, Instruktioner, systemlösningar, beskrivningar och andra handlingar som Personuppgiftsbiträdet erhållit genom informationsutbyte enligt PUB-avtalet.
17.2I samband med återlämning ska Personuppgiftsbiträdet även radera befintliga kopior av Personuppgifter och tillhörande information.
17.3Skyldigheten att radera eller återlämna Personuppgifter eller tillhörande information gäller inte om lagring av Personuppgifterna eller informationen krävs enligt unionsrätten eller relevant nationell rätt där Behandling får utföras enligt PUB-avtalet.
17.4Om Personuppgifter eller tillhörande information återlämnas ska det ske i ett allmänt använt och standardiserat format, om parterna inte har kommit överens om något annat format.
17.5Till dess att uppgifterna raderas eller återlämnas ska Personuppgiftsbiträdet säkerställa efterlevnaden av PUB-avtalet.
17.6Återlämning eller radering enligt PUB-avtalet ska vara utförd senast trettio (30) kalenderdagar räknat från tidpunkten för uppsägningen av PUB-avtalet, om inte annat anges i Instruktionen. Behandling av Personuppgifter som Personuppgiftsbiträdet utför därefter är att betrakta som otillåten Behandling.
17.7Bestämmelser om sekretess/tystnadsplikt i avsnitt 8 ska fortsätta gälla även om PUB-avtalet i övrigt upphör att gälla.
18MEDDELANDEN INOM RAMEN FÖR DETTA PUB-AVTAL OCH INSTRUKTIONER
18.1Meddelanden om PUB-avtalet och dess administration inklusive uppsägning ska skickas via e-post eller på något annat av parterna överenskommet sätt till respektive parts kontaktperson för PUB-avtalet.
18.2Meddelanden om parternas samarbete om dataskydd gällande Behandlingen ska skickas via e-post eller på något annat av parterna överenskommet sätt till respektive parts kontaktperson för parternas samarbete om dataskydd.
18.3Ett meddelande ska anses ha kommit fram till mottagaren senast en (1) arbetsdag efter att meddelandet har skickats.
19KONTAKTPERSONER
19.1Parterna ska utse var sin kontaktperson för PUB-avtalet.
19.2Parterna ska utse var sin kontaktperson för parternas samarbete om dataskydd.
20ANSVAR FÖR UPPGIFTER OM PARTERNA OCH KONTAKTPERSONER SAMT KONTAKTUPPGIFTER
20.1Varje part ansvarar för att de uppgifter som anges i avsnitt 1 i PUB-avtalet alltid är aktuella och korrekta.
20.2Ändring av uppgifter i avsnitt 1 ska meddelas motparten enligt punkt 18.1 i PUB-avtalet.
21LAGVAL OCH TVISTER
21.1Vid tolkning och tillämpning av PUB-avtalet gäller svensk rätt med undantag för lagvals-reglerna. Tvister med anledning av PUB-avtalet ska avgöras av behörig svensk domstol.
22PARTERNAS UNDERTECKNANDEN AV PUB-AVTALET
22.1Detta PUB-avtal tillhandahålls antingen i digitalt format för elektroniskt undertecknande eller i pappersformat för egenhändigt undertecknande. I sistnämnda fall upprättas avtalet i två likalydande exemplar, varav parterna erhåller varsitt.
22.2Om PUB-avtalet undertecknas elektroniskt lämnas signatursidan utan avseende.
_____________
Personuppgiftsansvarig
[Ange organisationens fullständiga namn]
Ort och datum: [Ange ort och datum för signatur]
______________________________________
Namnförtydligande
______________________________________
Signatur
Personuppgiftsbiträde
[Ange organisationens fullständiga namn]
Ort och datum: [Ange ort och datum för signatur]
______________________________________
Namnförtydligande
______________________________________
Signatur
Versionshantering |
||||
Dokument |
Version |
Datum |
Ändringar |
Ansvarig |
Xxxxx, Xxxxxx 1, Bilaga 2 |
2.0 |
2022-12-21 |
1, 2, 3.1, 3.3, 5.1, 6.1, 6.5, 10.2, 12.2, 12.3, 12.4, 12.5, 12.7, 12.8, 12.9, 12.10, 14.3, 15, 16, 17, 18, 19, 20, 21, 22 |
HA, EW, FS (SKR) |
Avtal |
2.1 |
2023-04-06 |
Ändrat i hänvisning i 16.4 till 12.7 |
HA,PR (SKR) |
Avtal |
2.0 |
2023-09-27 |
Tillägg om diarienumret till affärsavtal/huvudavtal |
MC (RV) |
Bilaga 2 |
1.1 |
2023-09-27 |
Modul 1 Redogör ifall biträdet ingår i en koncern
Modul 1 och 2 tillägg av organisationsnummer
Ändamål som biträdet eller koncern behandlar personuppgifter |
MC (RV) |
Bilaga 1 - [Mall för] Personuppgiftsansvariges Instruktion för Behandling av Personuppgifter
[Gulmarkerad text inom hakparenteser tas bort inför att Personuppgiftsbiträdesavtal upprättas.]
[Observera att om Personuppgiftsbiträdet ska utföra flera Behandlingar av Personuppgifter åt den Personuppgiftsansvarige för olika ändamål, t.ex. dels tillhandahålla ett IT-system, dels tillhandahålla support och service avseende systemet, ska Instruktionen specificera vad som gäller för respektive Behandling.]
Utöver vad som redan framgår av Personuppgiftsbiträdesavtalet ska Personuppgiftsbiträdet även följa nedanstående Instruktion:
1. Ändamålet, föremålet och arten |
1 a. Föremålet för Personuppgiftsbiträdets Behandling av Personuppgifter åt den Personuppgiftsansvarige är att: [Ange övergripande det huvudsakliga syftet med Personuppgiftsbiträdets Behandling av Personuppgifter åt den Personuppgiftsansvarige, t.ex. tillhandahållande av ett HR-verktyg för löneadministration, en molntjänst för lagring av verksamhetsdata eller ett system för övervakning av inpassering till kontorslokaler.] 1 b. Ändamålet med Personuppgiftsbiträdets Behandling av Personuppgifter åt den Personuppgiftsansvarige är att: [Ange ändamålet med Behandlingen, dvs. varför Personuppgiftsbiträdet ska Behandla Personuppgifterna åt den Personuppgiftsansvarige - vad är syftet med Behandlingen? Exempel på ändamål är att administrera utbetalning av löner och andra förmåner till medarbetare, att lagra informationstillgångar på ett säkert och kostnadseffektivt sätt eller att motverka olovlig inpassering i kontorslokaler. Beskrivningen ska vara så pass fullständig att externa parter (t.ex. en tillsynsmyndighet) kan förstå innehållet och riskerna med den Behandling som anförtrotts Personuppgiftsbiträdet.] 1 c. Personuppgiftsbiträdets Behandling av Personuppgifter på uppdrag av den Personuppgiftsansvarige avser huvudsakligen följande behandlingsåtgärder (Behandlingens art eller natur): [Ange Behandlingens art, dvs. vilka behandlingsåtgärder som Personuppgiftsbiträdet ska utföra åt den Personuppgiftsansvarige. Exempel på behandlingsåtgärder är insamling, lagring, läsning, strukturering, överföring osv.] |
2. Behandlingen omfattar följande typer av Personuppgifter |
Personuppgiftsbiträdet har rätt att behandla följande typer av Personuppgifter för den Personuppgiftsansvariges räkning: [Ange vilka typer av Personuppgifter som Personuppgiftsbiträdet har rätt att behandla åt den Personuppgiftsansvarige, t.ex. namn, e-postadress, postadress, telefonnummer, medlemsnummer, IP-adress, bilder, rörliga bilder, hälsouppgifter osv.] |
3. Behandlingen omfattar vissa kategorier av Registrerade |
Personuppgiftsbiträdet har rätt att Behandla Personuppgifter avseende följande kategorier av Registrerade: [Ange vilka kategorier av Registrerade som Personuppgiftsbiträdet har rätt att behandla Personuppgifter om, t.ex. anställda, konsulter, patienter, brukare, närstående, elever, vårdnadshavare osv.] |
4. Ange särskilda hanteringskrav vad gäller Behandling av Personuppgifter som utförs av Personuppgiftsbiträdet |
Personuppgiftsbiträdet ska iaktta följande hanteringskrav vid Behandlingen av Personuppgifter åt den Personuppgiftsansvarige: [Exempel på hanteringskrav är att personuppgifter ska gallras efter en viss angiven tidsperiod eller att säkerhetskopior inte får sparas längre än en viss angiven tidsperiod. Även krav på rutiner kring behörighetshantering kan anges här.] |
5. Ange de särskilda tekniska och organisatoriska säkerhetsåtgärder som gäller för Personuppgiftsbiträdets Behandling av Personuppgifter |
Personuppgiftbiträdet ska vidta följande säkerhetsåtgärder vid Behandlingen av Personuppgifterna: [För att den Personuppgiftsansvarige ska kunna bedöma vilka säkerhetsåtgärder som Personuppgiftsbiträdet behöver vidta, behöver Personuppgiftsbiträdet redovisa teknisk dokumentation och systemspecifikation avseende aktuell tjänst eller system som klargör hur Personuppgifter hanteras och skyddas inom ramen för tjänsten eller systemet. Relevant information kan även framgå av Personuppgiftsbiträdets integritetspolicy (Privacy Policy). Utifrån dokumentationen kan den Personuppgiftsansvarige bedöma vilka åtgärder som ev. behöver anpassas eller kompletteras med för att uppnå en tillräcklig skyddsnivå för Personuppgifterna i syfte att bevara skyddet för Registrerades personliga integritet. Den här informationen kan mycket väl framgå av en särskild bilaga. Samtliga tekniska och organisatoriska säkerhetsåtgärder som den Personuppgiftsansvarige kräver att Personuppgiftsbiträdet vidtar ska anges i detta avsnitt, ev. med hänvisning till en eller flera bilagor. Kravens närmare innehåll och utformning fastställs utifrån den Personuppgiftsansvariges risk- och sårbarhetsanalyser, t.ex. informationssäkerhetsklassning eller konsekvensbedömning avseende dataskydd enligt artikel 35 i dataskyddsförordningen, samt genom dialog med Personuppgiftsbiträdet. Säkerhetsåtgärderna ska vara dimensionerade efter Behandlingens art, omfattning och ändamål samt riskerna för de Registrerades integritet. Åtgärderna kan exempelvis anges under följande underrubriker: Organisatoriska säkerhetsåtgärder, Säkerhetsåtgärder avseende personer, Fysiska säkerhetsåtgärder och Tekniska säkerhetsåtgärder (se ISO/IEC 27002). Organisatoriska säkerhetsåtgärder kan avse krav gällande t.ex. ansvarsfördelning och roller, styrande dokument, risk- och incidenthantering, revision och annan uppföljning osv. Säkerhetsåtgärder gällande personer kan avse krav på t.ex. sekretessåtagande, utbildning, arbete på distans, incidentrapportering osv. Fysiska säkerhetsåtgärder kan avse krav avseende t.ex. utrustning, inpassering, övervakning av lokaler, lokalisering och skydd av hårdvara osv. Tekniska säkerhetsåtgärder kan avse krav på t.ex. pseudonymisering av data, kryptering, systemövervakning samt tekniska metoder för säkerställande av sekretess, tillgänglighet, robusthet, återställande efter säkerhetsincident, loggning osv.] |
6. Ange särskilda krav på Loggning vad gäller Behandling av Personuppgifter samt vilka som ska ha tillgång till dem |
Personuppgiftsbiträdet ska iaktta följande krav avseende loggning av användaraktivitet och logghantering: [Kraven kan t.ex. avse vad som ska framgå av loggarna, vilka som får ha tillgång till dem och hur länge de ska sparas.] |
7. Lokalisering och överföring av Personuppgifter till Tredje land |
Personuppgiftsbiträdet ska iaktta följande krav avseende lokalisering av Personuppgifter: Personuppgiftsbiträdet har endast rätt att behandla Personuppgifterna på följande plats/er:
Om den Personuppgiftsansvarige inte har gett anvisningar om överföring av Personuppgifter till ett Tredje land i Instruktionen, har Personuppgiftsbiträdet inte rätt att göra en sådan överföring. Personuppgiftsbiträdet ska iaktta följande krav avseende överföring av Personuppgifter till Tredje land:
|
8. Behandlingens varaktighet |
[Ange tidsperioden, eller de kriterier som används för att fastställa tidsperioden, under vilken Personuppgiftsbiträdet får Behandla Personuppgifter åt den Personuppgiftsansvarige. Till exempel kan man hänvisa till Personuppgiftsbiträdesavtalets varaktighet.] |
9. Övriga Instruktioner angående Behandling av Personuppgifter som utförs av Personuppgiftsbiträdet |
[Lägg vid behov till ytterligare Instruktioner för Personuppgiftsbiträdets Behandling av Personuppgifter åt den Personuppgiftsansvarige utöver de som framgår ovan. Instruktionerna kan t.ex. avse förfarandet vid den Personuppgiftsansvariges granskningar och inspektioner av Personuppgiftsbiträdets Behandling av Personuppgifter enligt avsnitt 9 i PUB-avtalet.] |
Bilaga 2 – [Mall för] Lista över godkända Underbiträden
[Gulmarkerad text inom hakparenteser tas bort inför att Personuppgiftsbiträdesavtal upprättas.]
Personuppgiftsbiträdet redogör för följande om bolaget ingår i en koncern.
Bolag/ organisation och organisationsnummer |
Adress och kontaktuppgifter |
Lokalisering av Personuppgifter (adress, land) |
Typer av Personuppgifter som koncernen kan ha insyn och tillgång till |
[Ange firma (namn) på det bolag eller annan organisation som anlitas.] |
[Ange Underbiträdets postadress samt namn, telefonnr och e-postadress till kontaktperson.] |
[Ange var Underbiträdet Behandlar Personuppgifter.] |
[Ange vilka typer av Personuppgifter som Underbiträdet Behandlar.] |
Den Personuppgiftsansvarige godkänner att Personuppgiftsbiträdet anlitar nedanstående Underbiträden för Behandling av Personuppgifter.
Bolag/ organisation och organisations-nummer |
Adress och kontaktuppgifter |
Lokalisering av Personuppgifter (adress, land) |
Typer av Personuppgifter som Behandlas av Underbiträdet |
Ändamål med Underbiträdets Behandling |
Behandlingstid |
Ytterligare information om Underbiträdets Behandling av Personuppgifter |
[Ange firma (namn) på det bolag eller annan organisation som anlitas.] |
[Ange Underbiträdets postadress samt namn, telefonnr och e-postadress till kontaktperson.] |
[Ange var Underbiträdet Behandlar Personuppgifter.] |
[Ange vilka typer av Personuppgifter som Underbiträdet Behandlar.] |
[Ange ändamålet med Underbiträdets Behandling.] |
[Ange under vilken tidsperiod som Underbiträdets Behandling sker.] |
[Infoga ev. länk till ytterligare information om Underbiträdets Behandling av Personuppgifter, t.ex. Privacy Policy eller information om säkerhetsåtgärder.] |
[Ange firma (namn) på det bolag eller annan organisation som anlitas.] |
[Ange Underbiträdets postadress samt namn, telefonnr och e-postadress till kontaktperson.] |
[Ange var Underbiträdet Behandlar Personuppgifter.] |
[Ange vilka typer av Personuppgifter som Underbiträdet Behandlar.] |
[Ange ändamålet med Underbiträdets Behandling.] |
[Ange under vilken tidsperiod som Underbiträdets Behandling sker.] |
[Infoga ev. länk till ytterligare information om Underbiträdets Behandling av Personuppgifter, t.ex. Privacy Policy eller information om säkerhetsåtgärder.] |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
1 Allmänna dataskyddsförordningen EU 2016/679 föreskriver att det ska finnas ett skriftligt avtal om Personuppgiftsbiträdets Behandling av Personuppgifter för Den personuppgiftsansvariges räkning.