PERSONUPPGIFTSBITRÄDESAVTAL

Bakgrund

A. Parterna har kommit överens om att Personuppgiftsbiträdet ska behandla personuppgifter för Personuppgiftsansvariges räkning. Syftet med behandlingen och tjänsten för vilken sådan behandling sker beskrivs närmare i det avtal som Parterna har ingått för vilket detta Biträdesavtal utgör Bilaga 3 samt i Underbilaga 3.1.

B. Parterna är överens om att Personuppgiftsansvarig ska anses vara personuppgiftsansvarig och att Personuppgiftsbiträdet ska anses vara personuppgiftsbiträde såsom begreppen definieras i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (”GDPR”).

C. Mot bakgrund av ovanstående har Parterna ingått detta Biträdesavtal.

1. Personuppgiftsansvariges instruktioner

1.1 Personuppgiftsbiträdet åtar sig att behandla personuppgifter endast i enlighet med Underbilaga

3.1 samt med Personuppgiftsansvariges skriftliga instruktioner och i enlighet med GDPR. För det fall att Personuppgiftsbiträdet saknar nödvändiga instruktioner ska Personuppgiftsbiträdet informera Personuppgiftsansvarig därom och invänta de instruktioner som Personuppgiftsansvarig bedömer erfordras. Följaktligen åtar sig Personuppgiftsansvarig att hålla Personuppgiftsbiträdet skadeslöst för sådan skada som Personuppgiftsbiträdet lider som en direkt följd av att Personuppgiftsansvariges instruktioner leder till att Personuppgiftsbiträdet behandlar personuppgifter i strid med GDPR.

2. Personuppgiftsbiträdets åtaganden

2.1 Personuppgiftsbiträdet åtar sig särskilt att:

(a) ha en lämplig teknisk och organisatorisk säkerhet och vidta de säkerhetsåtgärder som framgår av artikel 32 i GDPR för att skydda de personuppgifter som behandlas under detta Biträdesavtal, vilket bland annat inbegriper att personer hos Personuppgiftsbiträdet med behörighet att behandla dessa personuppgifter åläggs lämplig sekretesskyldighet;

(b) bistå Personuppgiftsansvarige att uppfylla kraven avseende säkerhet som framgår av artikel 32-36 i GDPR, samt Personuppgiftsansvariges skyldigheter avseende individuella rättigheter i Kapitel III i GDPR uppfylls;

(c) till Personuppgiftsansvarige hänvisa den vars personuppgifter behandlas, Datainspektionen eller annan tredje man som begär information från Personuppgiftsbiträdet som rör behandling av personuppgifter. Personuppgiftsbiträdet skall utan dröjsmål informera Personuppgiftsansvarige om eventuella kontakter från Datainspektionen som rör eller kan vara av betydelse för behandling av personuppgifter,

(d) beroende på vad Personuppgiftsansvarige väljer radera, anonymisera eller återlämna alla personuppgifter till Personuppgiftsansvarige när Biträdesavtalet upphör, oavsett anledning därtill, inklusive att radera samtliga kopior vilka inte enligt GDPR måste sparas,

(e) i övrigt ge Personuppgiftsansvarige tillgång till sådan information som krävs för att Personuppgiftsansvarige ska kunna uppfylla sina skyldigheter såsom personuppgiftsansvarig gentemot Datainspektionen och/eller enskilda,

(f) inte överföra personuppgifterna till tredje land eller en internationell organisation såvida detta inte krävs enligt GDPR varvid Personuppgiftsbiträdet omedelbart ska informera Personuppgiftsansvarige, såvida sådan information inte är förbjuden.

2.2 Personuppgiftsbiträdet åtar sig vidare att alltid behandla personuppgifter i enlighet med GDPR. Detta inkluderar, men är inte begränsat till, att föra ett register över alla kategorier av behandlingar som utförs, att på begäran av en enskild eller Personuppgiftsansvarige tillhandahålla ett registerutdrag på genomförda behandlingar och att omedelbart informera Personuppgiftsansvarige om Personuppgiftsbiträdet misstänker att det föreligger en risk för att de enskildas fri och rättigheter kränks.

3. Ersättning

Personuppgiftsbiträdets ersättning för att behandla personuppgifter i enlighet med detta Biträdesavtal beskrivs närmare i det avtal som Parterna har ingått för vilket detta Biträdesavtal utgör Bilaga 3.