Bilaga - Personuppgiftsbiträdesavtal

Bilaga - Personuppgiftsbiträdesavtal

ĞƚƚĂ ĂǀƚĂů ƌĞŐůĞƌĂƌ ĨƂƌŚĊůůĂŶĚĞƚ ŵĞůůĂŶ ƉĞƌƐŽŶƵ

͟eWrsonuppgiftsbiträdet͟, Ecuni AB.

DĞĚ ͞WĞƌƐŽŶƵƉƉŐEŝcuĨniƚABƐfďör ŝdeƚavƌKćunĚdeĞn aƚvt͟ala deĂtjǀänƐsteĞrnƐa.

DĞĚ ͟WĞƌƐŽŶƵƉƉŐŝĨƚƐĂŶƐǀĂƌŝŐ͟ ĂǀƐĞƐ <ƵŶĚĞŶ͘

För frågor kring Ecuni behandling av personuppgifter och aktuella gällande avtal samt villkor hänvisas till xxxxx://xxx.xxxxx.xx/xxxxxxx/ och xxxxx://xxx.xxxxx.xx/xxxxxxx/xxxxxxxxxxxxxxxxx.

1 Inledning

1.1 Parterna bekräftar att de är behöriga Ăƚƚ ŝŶŐĊ ĚĞƚƚĂ ƉĞƌƐŽŶƵƉƉŐŝĨƚƐď en integrerad ĚĞů Ăǀ ĚĞƚͬĚĞ ƚũćŶƐƚĞĂǀƚĂů ƐŽŵ ƚĞĐŬŶĂƚƐ ŵ

Detta Avtal reglerar behandlingen av Personuppgifter med anledning av vid var tid gällande Tjänsteavtal.

1.2 Ecuni agerar i enlighet med Ecunis integritetspolicyn som finns tillgänglig på xxxxx://xxx.xxxxx.xx/xxxxxxx/xxxxxxxxxxxxxxxxx/.

2 Definitioner

2.1 Definitionen av Personuppgifter, Särskilda kategorier av Personuppgifter (Känsliga Personuppgifter), Behandling av Personuppgifter, Registrerad, Personuppgiftsansvarig och Personuppgiftsbiträdet är densamma som används i gällande dataskyddslagstiftning, inklusive den allmänna dataskyddsförordningen (GDPR ʹGeneral Data Protection Regulation), gällande i detta Avtal samt i Europa från den 25 maj 2018 samt vid varje tidpunkt gällande nationell kompletterande

lagstiftning, tilůƐĂŵŵĂŶƐ ŶĞĚĂŶW ĞŬƌĂƐůŽůŶĂƵƚƉ Ɖ͟Ő'ŝćĨůƚůƐĂůŶĂĚŐĞƐ ƚŝĨƚŶŝŶŐ͘͟

2.2 I denna bilaga benämns WĞƌƐŽŶƵƉƉŐŝĨƚƐĂŶeƐůǀůĂĞƌƌŝ Ő͟ WƐĂŽƌŵƚ Ğ͟Ŷ<͟Ƶ͕Ŷ ĚĞŶ͟ Personuppgiftsbiträdet som ͟Ecuni͟ ĞůůĞƌ ͟WĂƌƚĞŶ͟͟W ĂŽƌĐƚŚĞ ƌŬŶŽĂů͟ů͘ĞŬƚŝǀƚ Ɛ

3 Omfattning

3.1 Avtalet reglerar Behandling av Personuppgifter utförd av Xxxxx på uppdrag av Xxxxxx och beskriver hur Ecuni ska säkerställa dataskydd, genom tekniska och organisatoriska åtgärder enligt Gällande Dataskyddslagstiftning.

3.2 Syftet med Ecuni Behandling av Personuppgifter på uppdrag av Xxxxxx är att uppfylla åtaganden enligt Tjänsteavtalet.

3.3 Detta Avtal har företräde framför eventuella motstridiga bestämmelser om Behandling av Personuppgifter i Tjänsteavtal eller i andra avtal som ingåtts mellan Parterna.

4 Ecunis skyldigheter

4.1 Ecuni får endast Behandla Personuppgifter på uppdrag av och i enlighet med Xxxxxxx dokumenterade instruktioner. Genom att ingå detta Avtal instruerar Kunden Ecuni att Behandla Personuppgifter på följande sätt:

I) endast i enlighet med gällande svensk lag,

II) för att uppfylla förpliktelserna enligt Tjänsteavtal,

III) som vidare specificerat genom Kundens normala användning av Xxxxx tjänster och

IV) på så sätt som anges i detta Avtal.

4.2 Enligt Xxxxxx bedömning finns ingen gällande lagstiftning som förhindrar att Xxxxx följer de ovan angivna instruktionerna. Xxxxx ska, efter att ha blivit medveten om det, informera Xxxxxx i de fall Xxxxxxx instruktioner eller behandling, enligt Xxxxxx förmenande, strider mot gällande dataskyddslagstiftning.

4.3 Vilka kategorier av Registrerade och Personuppgifter som omfattas av Behandling i detta Avtal framgår i detta dokument.

4.4 Ecuni ska säkerställa konfidentialitet, integritet och tillgänglighet av Personuppgifter enligt Gällande Personuppgiftslagstiftning.

Xxxxx ska löpande genomföra systematiska, organisatoriska och tekniska åtgärder för att säkerställa en lämplig säkerhetsnivå, med hänsyn tagen till den senaste tekniken och implementationskostnader i förhållande till den risk som Behandlingen innebär, och typen av Personuppgifter som ska skyddas.

4.5 Ecuni ska bistå Xxxxxx med lämpliga tekniska och organisatoriska åtgärder, så långt det är möjligt med hänsyn tagen till typ av Behandling och den informationen som är tillgänglig för Xxxxx, för att uppfylla Xxxxxxx skyldigheter enligt gällande dataskyddslagstiftning avseende förfrågningar från Registrerade och allmänt dataskydd enligt dataskyddsförordningen artikel 32-36.

4.6 Om Kunden behöver information om säkerhetsåtgärder, dokumentation eller annan information om hur Ecuni Behandlar Personuppgifter, och sådana förfrågningar innebär mer information än den standardinformation som tillhandahålls av Xxxxx för att följa gällande dataskyddslagstiftning som Personuppgiftsbiträde, och det innebär mer arbete för Ecuni, kan Ecuni debitera Kunden för sådana ytterligare tjänster.

4.7 Xxxxx och personal anställd av Xxxxx ska säkerställa konfidentialitet av Personuppgifter som Behandlas under detta Avtal. Detta villkor gäller även efter att Avtalet upphört att gälla.

4.8 Ecuni ska, genom att skyndsamt och utan onödigt dröjsmål meddela Kunden, göra det möjligt för Xxxxxx att uppfylla de rättsliga krav som gäller för information till relevanta dataskyddsmyndigheter och Registrerade rörande personuppgiftsincidenter.

4.9 Vidare ska Ecuni, i den utsträckning det är praktiskt möjligt och lagligt, meddela Kunden om

I) förfrågningar om utlämnande av Personuppgifter som erhållits från en Registrerad

II) förfrågningar från myndigheter, till exempel rättsvårdande myndigheter, om utlämnande av Personuppgifter

4.10 Ecuni får inte svara direkt på förfrågningar från Registrerade utan medgivande från Kunden. Ecuni får inte delge innehåll rörande Avtalet till myndigheter som t.ex. Polisen, inklusive Personuppgifter, med undantag för vad som är lagstadgat, exempelvis genom domstolsbeslut eller motsvarande beslut.

4.11 Ecuni har inte kontroll över huruvida och hur Kunden väljer att använda sig av eventuella tredjepartsintegrationer via av Ecuni tillhandahållet API, via direkt databaskoppling eller liknande. Ansvaret för eventuell behandling av Personuppgifter via integrationer med tredje part åligger uteslutande Kunden.

5 Kundens skyldigheter

5.1 Genom att godkänna detta Avtal bekräftar Kunden att Kunden:

ͻ ǀŝĚ ĂŶǀćŶĚŶŝŶtŐillh anĂdaǀhå llsĚavĞE cuƚni eũnćligtŶTƐjänƚsteĞavƌta l, BƐehŽanŵdla

Personuppgifter i enlighet med kraven i gällande dataskyddslagstiftning.

ͻ ŚĂƌ ƌćƚƚƐůŝŐ ŐutlƌämƵnaŶdĚe a ktĂueƚllaƚPe rs onĞupŚpgĂiftŶernĚa ůtillĂEc unŽi (ĐinkŚlusive eventuella underbiträden som Ecuni använder).

ͻ ćƌ ĞŶƐĂŵƚ ĂŶƐiǀntĂegrƌiteŝteŐn, innĨehƂålƌlet , tƌillfŝörlŬitliƚghŝetŐenŚocĞh lƚagĞenŶlig͕heten av de Personuppgifter som lämnats till Ecuni.

ͻ ŚĂƌ aƵllaƉevƉenĨtuLJellůa oůblƚiga toriska krav och skyldigheter att anmäla hos eller få tillstånd från relevanta myndigheter för Behandlingen av Personuppgifter.

ͻ ŚĂƌ ĨƵůůŐũŽƌƚtill haƐndŝahŶållĂa r eleƐvaŬntLJinůforĚmŝatiŐonŚtiĞll RƚegĞistƌre radĂe ƚavƚseende Behandling av Personuppgifter enligt Gällande Personuppgiftslagstiftning.

ͻ ŝŶƐƚćŵEcŵunĞi hƌar lämŝn atĂgaƚraƚnti er avseende implementeringen av tekniska och organisatoriska säkerhetsåtgärder som är tillräckliga för att skydda Registrerades integritet och Personuppgifter.

ͻ dǀanŝvändning av de tjänster som tillhandahålls av Ecuni under Tjänsteavtal inte överför några Känsliga Personuppgifter, eller uppgifter som rör fällande domar i brottmål och överträdelser till Ecuni. Sker sådan överföring kan inte Ecuni hållas ansvarig för felaktig behandling av dessa Känsliga Personuppgifter.

ͻ ƐŬĂtt håƵllaƉetƉt uƌppćdaterat register över de typer och kategorier av Personuppgifter som denne Behandlar.

6 Användande av underbiträden och överföring av data

6.1 Som en del av leveransen av tjänster till Kunden enligt Tjänsteavtal och detta Avtal, kan Ecuni använda sig av underleverantörer i rollen underbiträde. Sådana underbiträden kan vara systerbolag till Ecuni AB eller externa underleverantörer (tredje part) inom eller utanför EU. Xxxxx ska säkerställa att underleverantörer genom avtal samtycker till att åta sig ansvar som motsvarar de skyldigheter som anges i detta Avtal.

6.2 Nuvarande underleverantörer med tillgång till Personuppgifter publiceras på Ecuni hemsida xxxxx://xxx.xxxxx.xx/xxxxxxx/xxxxxxxxxxxxxxxxx/ vilka genom detta Avtal har accepterats som underbiträden av Kunden.

6.3 Kunden kan när som helst begära en fullständig översikt och mer detaljerad information om de underleverantörer som är involverade i leverans av tjänsten enligt Tjänsteavtalet.

6.4 Om underleverantörerna finns utanför EU ska Ecuni säkerställa att överföring sker enligt Gällande Personuppgiftslagstiftning.

Kunden ger härmed Ecuni behörighet och befogenhet för att säkerställa lämpliga rättsliga grunder för överföring av Personuppgifter utanför EU på Kundens uppdrag, t.ex. genom att för Kundens räkning godkänna EU-standardavtalsklausuler eller överföra Personuppgifter i enlighet med EU/US Privacy Shield.

6.5 Kunden ska underrättas innan ändringar sker rörande underleverantörer som Behandlar Personuppgifter. Om ny underleverantör bevisligen inte efterlever gällande dataskyddslagstiftning och underleverantören fortsatt inte efterlever gällande dataskyddslagstiftning, efter att Xxxxx har fått rimlig tid på sig att säkerställa att underleverantören efterlever regelverket, kan Xxxxxx säga upp Xxxxxxx.

Sådan uppsägning kan innebära rätt att säga upp Tjänsteavtal, helt eller delvis, enligt de uppsägningsklausuler som finns i respektive Tjänsteavtal. En viktig del av sådana bedömningar ska vara i vilken mån underleverantörens Behandling av Personuppgifter är en nödvändig del av de tjänster som tillhandahålls enligt Tjänsteavtal.

En ändring av underleverantör ska inte i sig att betraktas som ett brott mot Tjänsteavtal.

6.6 Genom att godkänna detta Avtal accepterar Xxxxxx att Xxxxx använder sig av underleverantörer på så sätt som beskrivs ovan.

7 Säkerhet

7.1 Ecuni har åtagit sig att tillhandahålla en hög säkerhetsnivå i sina produkter och tjänster. Ecuni tillhandahåller säkerhetsnivån genom organisatoriska, tekniska och fysiska säkerhetsåtgärder, i enlighet med kraven på informationssäkerhet som beskrivs i dataskyddsförordningen artikel 32.

Vidare syftar det interna dataskyddsramverk Ecuni använder till att skydda konfidentialitet, integritet, korrekthet och åtkomst av Personuppgifter. Följande åtgärder är av särskild betydelse för detta:

ͻ <ůĂƐƐŝĨŝĐĞƌŝŶförŐa tt sĂäkǀer stäWllaĞgeƌnoƐmŽföŶranƵdeƉt ƉavŐsäŝkeĨrheƚtsĞåtgƌärder som motsvarar riskbedömning.

ͻ hƚǀćƌĚĞƌŝŶŐ kryĂptǀer ingĂocŶhǀpsćeuŶdoĚnyŶmiŝseŶrinŐg s omĂrǀiskreducerande faktorer.

ͻ ĞŐƌćŶƐŶgŝtilŶl PŐers onĂupǀpg iftƚerŝtilůl důe sŐomĊbŶehöver tillgång för att fullgöra skyldigheterna i detta Avtal eller Tjänsteavtal.

ͻ nŶdaǀndće av system som upptäcker, återställer, förhindrar och rapporterar personuppgiftsincidenter.

ͻ 'ĞöŶraŽndŵe Ĩav säkerhetsanalyser för att bedöma kvaliteten i nuvarande tekniska och organisatoriska åtgärder för att skydda Personuppgifter, med beaktande av kraven i gällande dataskyddslagstiftning.

8 Revisionsrättigheter

8.1 Kunden har rätt att genomföra årlig revision av Ecuni uppfyllande av villkoren i Avtalet. Om lagstiftningen kräver det kan Kunden begära revisioner oftare. Då tjänsterna är baserade på fleranvändarmiljöer ger Kunden Ecuni befogenhet, att av säkerhetsskäl, bestämma att revision ska utföras av en neutral tredjepartsrevisor som Ecuni väljer.

8.2 Om det begärda revisionsområdet är upptaget i en granskningsrapport som utförts av en kvalificerad tredjepartsrevisor inom de föregående tolv månaderna, och Ecuni bekräftar att det inte finns några kända väsentliga förändringar i de åtgärder som granskats, accepterar Xxxxxx denna granskningsrapport istället för att begära en ny revision av åtgärder som redan granskats.

8.3 Om Xxxxxx inte accepterar den av Ecuni valda neutrala tredjepartsrevisorn, kan Xxxxxx tillsammans med Xxxxx välja en annan neutral tredjepartsrevisor.

8.4 Kunden står för eventuella kostnader som uppstår i samband med begärda revisioner. Hjälp från Ecuni som överstiger standardtjänsten som tillhandahålls av Ecuni och/eller Ecunis underleverantörer för att följa gällande dataskyddslagstiftning, kommer att debiteras.

9 Varaktighet och uppsägning

9.1 Detta Avtal är giltigt så länge som Ecuni Behandlar Personuppgifter på uppdrag av Xxxxxx enligt gällande Tjänsteavtal.

9.2 Avtalet upphör automatiskt när Tjänsteavtalet upphör att gälla. När Xxxxxxx upphör kommer Xxxxx att radera eller återlämna Personuppgifter som Behandlas på uppdrag av Xxxxxx, i enlighet med gällande klausuler i respektive Tjänsteavtal. Om inte annat avtalats skriftligen ska kostnaden för sådana åtgärder baseras på;

I) timtaxa för Ecuni tid och

II) komplexiteten i den begärda processen.

9.3 Ecuni kan behålla Personuppgifter efter att Xxxxxxx har upphört, i den utsträckning det krävs enligt lag, med samma typ av tekniska och organisatoriska säkerhetsåtgärder som beskrivs i detta Avtal.

10 Ansvar

10.1 Ansvaret för överträdelse av villkoren i detta avtal, ska regleras av ansvarsklausuler i respektive Tjänsteavtal mellan Parterna.

Detta gäller även för eventuella överträdelser som begåtts av Xxxxx underleverantörer. 11 Tillämplig lag och jurisdiktion

11.1 Detta Avtal är underkastat tillämplig lag och den jurisdiktion som anges i respektive Tjänsteavtal mellan Parterna.

12 Kategorier av Personuppgifter och Registrerade

12.1 Då Xxxxx tjänster medger att Kunden Behandlar godtyckligt data inom tjänsterna är det inte möjligt att generellt redovisa de kategorier av Registrerade och Personuppgifter som omfattas av Behandling.

Denna information åligger Kunden att registrera.

12.2 Kunden får inte överföra några Känsliga Personuppgifter till Ecuni. Sker sådan överföring kan inte Ecuni hållas ansvarig för felaktig behandling av dessa Känsliga Personuppgifter. Känsliga Personuppgifter definieras i Gällande Personuppgiftslagstiftning, d.v.s.:

ͻ ƌĂƐ ĞůůĞƌ ĞƚŶŝƐŬƚrel igiƵösƌellƐerƉfilƌosoƵfiŶsk Őöv͕ert ygƉelsŽe,ůŝƚŝƐŬĂ ĊƐŝŬƚĞƌ͕ ͻ ƵƉƉŐŝĨƚĞƌ Žŵ ŚćůƐĂ͕

ͻ ƵƉƉŐŝĨƚĞƌ Žŵ ĞŶs exuƉelĞl läƌggƐniŽngŶ, Ɛ ƐĞdžƵĂůůŝǀ ĞůůĞƌ

ͻ ŵĞĚůĞŵƐŬĂƉ ŝ ĨĂĐŬĨƂƌĞŶŝŶŐ͕

ͻ ŐĞŶĞƚŝƐŬĂ ƵƉƉŐuŝppĨgiƚfteĞr fƌör atĞt eůntyůdiĞgtƌide ntďifiŝeraŽeŵn fĞysƚiskƌpeŝrsƐonŬ. Ă

12.3 Inte heller får Kunden överföra personuppgifter som rör fällande domar i brottmål och överträdelser.

13 Översikt över nuvarande underleverantörer

13.1 Aktuella underleverantörer till Ecuni som har tillgång till Kundens Personuppgifter redovisas på xxxxx://xxx.xxxxx.xx/xxxxxxx/xxxxxxxxxxxxxxxxx/

14 Tillämplig lag

14.1 Detta avtal regleras av svensk lag. Tvister skall avgöras i svensk domstol, företrädesvis vid Stockholms tingsrätt.