PERSONUPPGIFTSBITRÄDESAVTAL
PERSONUPPGIFTSBITRÄDESAVTAL
Avtal enligt artikel 28.3, Allmänna dataskyddsförordningen EU 2016/6791
Detta Personuppgiftsbiträdesavtal är träffat mellan nedanstående parter
Personuppgiftsansvarig | Personuppgiftsbiträde |
Tomelilla kommun | |
Organisationsnummer | Organisationsnummer |
212000-0886 | |
Adress | Adress |
Xxxxxxx Xxxx 00, 000 00 Xxxxxxxxx |
1 BAKGRUND OCH SYFTE
1.1 Detta Personuppgiftsbiträdesavtal är en del av ett huvudavtal om tillhandahållandet av tjänster som ingåtts mellan parterna och ska läsas och förstås mot bakgrund av detta. Tjänsten som avses är
xxx. Personuppgiftsbiträdesavtalet reglerar Personuppgiftsbiträdets behandling av Personuppgifter för Personuppgiftsansvarigs räkning (nedan kallad behandling/en).
1.2 Detta Personuppgiftsbiträdesavtal syftar till att säkerställa de registrerades fri- och rättigheter när Personuppgiftsansvarig anlitar ett Personuppgiftsbiträde vid behandling av personuppgifter och till att uppfylla artikel 28.3 Allmänna Dataskyddsförordningen EU 2016/679, i det följande kallad Dataskyddsförordningen.
Behandling av personuppgifter | Åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller inte, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. |
Dataskyddslagstiftning | Avser sådan integritets- och personuppgiftslagstiftning samt all annan eventuell lagstiftning (inklusive förordningar och föreskrifter) som är tillämplig på den personuppgiftsbehandling |
1 Allmänna Dataskyddsförordningen EU 2016/679 föreskriver att det ska finnas ett skriftligt avtal om Personuppgiftsbiträdets behandling av personuppgifter för den Personuppgiftsansvariges räkning.
2 Jfr. artikel 4 Allmänna dataskyddsförordningen EU 2016/679
som sker under detta Avtal, inklusive nationell sådan lagstiftning och EU Lagstiftning, såsom denna kan komma att förändras över tid.
Loggning Personuppgiftsansvarig | Ett kontinuerligt insamlande av uppgifter om den befattning med personuppgifterna som utförs enligt avtalet och som kan knytas till en enskild fysisk person. Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. |
Personuppgiftsbiträde Personuppgifter Personuppgiftsincident Register Registrerad | Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Varje upplysning som avser en identifierad eller identifierbar fysisk person (registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online- identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. En strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Den som personuppgiften avser. |
Tredje land | En stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. |
3 BEHANDLING AV PERSONUPPGIFTER, ÄNDAMÅL OCH TYP AV PERSONUPPGIFTER
3.1 Personuppgiftsbiträdet får endast behandla den Personuppgiftsansvariges personuppgifter i enlighet med detta avtal och tillhörande skriftliga instruktioner för att fullgöra sitt uppdrag åt den Personuppgiftsansvarige.
4 PERSONUPPGIFTSANSVARIGES ANSVAR
4.1 Den Personuppgiftsansvarige åtar sig att säkerställa att det finns en laglig grund för aktuella behandlingar enligt punkt 3 och att utforma skriftliga instruktioner för att Personuppgiftsbiträdet och eventuella underbiträden ska kunna fullgöra sitt uppdrag enligt detta personuppgiftsbiträdesavtal (bilaga 1).
4.2 Den Personuppgiftsansvarige åtar sig att utan dröjsmål informera Personuppgiftsbiträdet om förändringar i behandlingen vilka påverkar Personuppgiftsbiträdets skyldigheter enligt Dataskyddslagstiftningen eller annan relevant lagstiftning.
4.3 Den Personuppgiftsansvarige ansvarar enbart för att informera den registrerade om de behandlingar som denne rent faktiskt och tekniskt hanterar och, för i det fall det krävs, inhämta samtycke från den registrerade, samt tillvarata de registrerades rätt till insyn och radering m.m.
5 PERSONUPPGIFTSBITRÄDETS ÅTAGANDEN
5.1 Personuppgiftsbiträdet förbinder sig att endast behandla personuppgifterna för de syften som anges i bilaga 1 och att följa Dataskyddslagstiftningen eller annan relevant lagstiftning med avseende på behandling av personuppgifter samt att hålla sig informerad om gällande rätt på området.
5.2 Personuppgiftsbiträdet ska vidta åtgärder för att skydda personuppgifterna mot alla slag av otillåtna behandlingar.
5.3 Personuppgiftsbiträdet åtar sig att säkerställa att samtliga personer som arbetar under dennes ledning följer vad som framgår av detta Personuppgiftsbiträdesavtal och vid var tid gällande instruktion från Personuppgiftsansvarig, samt att de informeras om relevant lagstiftning.
5.4 Personuppgiftsbiträdet ska på begäran från Personuppgiftsansvarig bistå denne vid konsekvensbedömningar och förhandssamråd samt att ta fram information inom ramen för gällande Huvudavtal. Personuppgiftsbiträdet ska på begäran från den Personuppgiftsansvarige bistå denne med att säkerställa att skyldigheterna enligt Dataskyddsförordningen, artiklarna 32–36, fullgörs och svara på begäran om utövande av den Registrerades rättigheter i enlighet med Dataskyddsförordningen, kap. III, med beaktande av typen av Behandling och den information som Personuppgiftsbiträdet har att tillgå. Personuppgiftsbiträdet ansvarar även för att informera den registrerade om de personuppgiftsbehandlingar som denne de facto genom sitt system praktiskt sköter insamlandet av, samt för att, i förekommande fall, inhämta den registrerades samtycke.
5.5 För det fall att Personuppgiftsbiträdet finner att Personuppgiftsansvarigas instruktioner, enligt bilaga 1, är otydliga, olagliga eller saknas, och som Personuppgiftsbiträdet bedömer är nödvändiga för att genomföra sina åtaganden ska denne, inom 36 timmar, informera Personuppgiftsansvarig om detta och invänta nya instruktioner.
6 SÄKERHETSÅTGÄRDER
6.1 Personuppgiftsbiträdet åtar sig att vidta alla lämpliga tekniska och organisatoriska säkerhetsåtgärder i enlighet med Dataskyddslagstiftningen eller annan relevant lagstiftning samt vidta eventuella åtgärder som framgår av instruktionerna3 för att skydda personuppgifterna.
6.2 I de fall Personuppgiftsbiträdet behandlar känsliga personuppgifter vilka omfattas av sekretess, samt därutöver sådana särskilda uppgifter som stadgas i Dataskyddsförordningen artikel 9, kan Personuppgiftsansvarig ställa ytterligare krav på säkerhetsåtgärder.
6.3 Personuppgiftsbiträdet ska ha rutiner och verktyg som förhindrar obehörig behandling av, eller obehörig åtkomst till, personuppgifter. Personuppgiftsbiträdet ska kunna spåra behandlingen av personuppgifter genom loggning. Dessa loggar ska omfattas av erforderliga skyddsåtgärder.
6.4 Personuppgiftbiträdet ska genom behörighetskontrollsystem endast ge åtkomst till personuppgifterna till sådana personer som arbetar under dennes ledning och som behöver personuppgifterna för att utföra sina arbetsuppgifter för fullgörande av avtalen mellan Personuppgiftsbiträdet och Personuppgiftsansvarig.
6.5 Personuppgiftsbiträdet åtar sig att kontinuerligt logga åtkomst till personuppgifter enligt detta avtal i den utsträckning det krävs enligt instruktionen (bilaga 1). Loggar får gallras först fem (5) år efter loggningstillfället om inte annat anges i instruktionerna.
6.6 Personuppgiftsbiträdet ska fortlöpande säkerställa att den tekniska och organisatoriska säkerheten i samband med Behandlingen medför en lämplig nivå av konfidentialitet, integritet, tillgänglighet och motståndskraft.
6.7 Personuppgiftsbiträdet ska, minst en gång per år, systematiskt testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa Behandlingens säkerhet.
7 SEKRETESS
7.1 Personuppgiftsbiträdet och den personal som arbetar under detta personuppgiftsbiträdesavtal ska vid behandling av personuppgifter iaktta såväl handlingssekretess som tystnadsplikt. Personuppgifter som hanteras inom ramen för detta avtal får inte nyttjas eller spridas för andra ändamål, vare sig direkt eller indirekt, om inte personuppgiftsansvarig skriftligen medgivit detta.
7.2. Personuppgiftsbiträdet ska tillse att samtliga anställda, konsulter och övriga som personuppgiftsbiträdet svarar för och som behandlar personuppgifterna, är bundna av en sekretessförbindelse. Detta krävs dock inte om dessa redan omfattas av en straffsanktionerad tystnadsplikt som följer av lag. Personuppgiftsbiträdet åtar sig även att tillse att det finns sekretessavtal med eventuella underbiträden samt sekretessförbindelser mellan underbiträdet och dess personal.
7.3 Personuppgiftsbiträdet ska skyndsamt underrätta personuppgiftsansvarig om eventuella kontakter med tillsynsmyndighet avseende behandling av personuppgifterna. Personuppgiftsbiträdet har inte rätt att företräda personuppgiftsansvarig eller agera för personuppgiftsansvarigs räkning gentemot tillsynsmyndigheter i frågor avseende sådan behandling.
3 Om huvudavtalet innebär att sekretessreglerade uppgifter ska göras tekniskt tillgängliga för en aktör som inte behöver ta del av uppgifterna i fråga, bör avtalet utformas så att det är osannolikt att tjänsteleverantören eller någon annan obehörig faktiskt kommer att ta del av uppgifterna. I en sådan situation bör uppgifterna inte betraktas som röjda i offentlighets- och sekretesslagens mening.
7.4 Om den registrerade, tillsynsmyndigheter eller tredje man begär information från personuppgiftsbiträdet som rör behandling av personuppgifter, ska personuppgiftsbiträdet informera personuppgiftsansvarig. Information får inte lämnas ut om behandlingen av personuppgifter till tredje man utan skriftligt medgivande från personuppgiftsansvarig. Personuppgiftsbiträdet ska bistå med förmedling av den informationen som omfattas av ett medgivande.
8 GRANSKNING, TILLSYN OCH REVISION
8.1 Personuppgiftsbiträdet ska utan dröjsmål, dock senast inom tre (3) dagar, på Personuppgiftsansvariges begäran, tillhandahålla all information, t.ex. tekniska och organisatoriska säkerhetsåtgärder som den Personuppgiftsansvarige behöver för att kunna granska och utöva sin insyn i Personuppgiftsbiträdets behandling av personuppgifter som följer av detta Personuppgiftsbiträdesavtal.
8.2 Personuppgiftsbiträdet åtar sig att minst en gång om året revidera säkerheten i personuppgiftsbehandlingen genom en intern revision för att kontrollera att Personuppgiftsbiträdets behandling av personuppgifter följer detta Personuppgiftsbiträdesavtal. Resultatet ska på begäran delges Personuppgiftsansvarig.
8.3 Personuppgiftsansvarig äger rätt att, själv eller genom annan av denne utsedd tredje part (som inte får vara en konkurrent till Personuppgiftsbiträdet) följa upp att Personuppgiftsbiträdet lever upp till den Personuppgiftsansvariges krav på Behandlingen, samt att denne förövrigt uppfyller Dataskyddslagstiftningens samtliga krav. Personuppgiftsbiträdet ska vid sådan uppföljning bistå Personuppgiftsansvarig eller den som utför granskningen med dokumentation, tillgång till lokaler, IT- system och andra tillgångar som behövs för att kunna följa upp Personuppgiftsbiträdets efterlevnad av detta Personuppgiftsbiträdesavtal.
8.4 Personuppgiftsbiträdet äger dock rätt att erbjuda alternativa tillvägagångssätt för uppföljning, exempelvis granskning genomförd av oberoende tredje part. Personuppgiftsansvarig ska i sådant fall äga rätt, men inte skyldighet att tillämpa detta alternativa tillvägagångssätt för uppföljning. Vid sådan revision eller kontroll ska Personuppgiftsbiträdet ge Personuppgiftsansvarig eller en tredje part den assistans som behövs för genomförandet.
8.5 Personuppgiftbiträdet ska bereda tillsynsmyndighet, eller annan myndighet som det rör eller kan vara av betydelse för Behandling av Personuppgifter, möjlighet att göra tillsyn på plats.
8.6 Personuppgiftsbiträdet ska även tillförsäkra Personuppgiftsansvarig motsvarande rättigheter i förhållande till anlitade Underbiträden.
9 RÄTTELSE OCH RADERING AV PERSONUPPGIFTER SAMT DRIFT OCH UNDERHÅLL
9.1 Personuppgiftsbiträdet åtar sig att utan dröjsmål vidta rättelse av felaktiga eller ofullständiga personuppgifter efter instruktioner från personuppgiftsansvarig. Efter det att personuppgiftsansvarig begärt rättelse som innebär borttagande av personuppgift får personuppgiftsbiträdet endast behandla personuppgiften som ett led i rättelseprocessen och åtar sig att vidta åtgärden utan dröjsmål, dock senast inom fem (5) dagar.
9.2 Om Personuppgiftsbiträdet avser att göra förändringar i sina system (uppgraderingar, felsökningar etc.) på sätt som kan förväntas påverka informationshanteringen ska Personuppgiftsbiträdet samråda med den Personuppgiftsansvarige om detta. Sådan information ska lämnas i god tid, dock senast 14 dagar, före förändringen.
10 PERSONUPPGIFTSINCIDENTER
10.1 Personuppgiftbiträdet åtar sig att bistå den Personuppgiftsansvarige med att fullgöra dennes skyldigheter vid en personuppgiftsincident. Personuppgiftbiträdet ska tillhandahålla stöd för att utreda misstankar om att någon obehörigen behandlat eller haft obehörig åtkomst till personuppgifterna. Personuppgiftsbiträdet ska ha förmåga att återställa tillgängligheten och tillgången till Personuppgifterna skyndsamt, dock senast inom fem (5) timmar, vid en fysisk eller teknisk incident enligt Dataskyddsförordningen, artikel 32. 1 c.
10.2 Vid personuppgiftsincidenter, samt risker för sådana, ska personuppgiftbiträdet skriftligen och skyndsamt, dock senast inom två (2) timmar från det att personuppgiftsbiträdet fick vetskap om incidenten, underrätta personuppgiftsansvarig om händelsen. Personuppgiftsbiträdet ska tillhandahålla Personuppgiftsansvarig en skriftlig beskrivning av personuppgiftsincidenten. En sådan ska redogöra för:
1. personuppgiftsincidentens art och, om möjligt, de kategorier och antalet registrerade som berörs samt kategorier och antalet personuppgiftsposter som berörs,
2. sannolika konsekvenserna av personuppgiftsincidenten, och
3. åtgärder som har vidtagits eller föreslagits samt åtgärder för att mildra personuppgiftensincidentens potentiella negativa effekter.
10.3 Om det inte är möjligt för Personuppgiftsbiträdet att tillhandahålla hela beskrivningen samtidigt, enligt punkt 10.2 i personuppgiftsbiträdesavtalet, får beskrivningen tillhandahållas i omgångar, snarast möjligt utan dröjsmål.
11 UNDERBITRÄDEN
11.1 Personuppgiftsbiträdet får inte anlita nya underbiträden utan att först ha inhämtat ett skriftligt godkännande från den Personuppgiftsansvarige. Personuppgiftsbiträdet ska, i förekommande fall, teckna avtal och säkerställa att underbiträdet omfattas av samma villkor som gäller personuppgiftsbiträdet. Personuppgiftsbiträdet ansvarar fullt ut för de underbiträden som anlitas gentemot personuppgiftsansvarige.
11.2 Om Personuppgiftsbiträdet avser att anlita Underbiträden ska denne tillhandahålla information om vilken typ av uppgifter och kategorier av registrerade ett visst Underbiträde ska befatta sig med samt dess kapacitet och förmåga att leva upp till sina skyldigheter enligt Dataskyddslagstiftningen och annan relevant lagstiftning med avseende på behandling av personuppgifter.
11.3 Personuppgiftsbiträdet ska på Personuppgiftsansvariges begäran översända en kopia på avtalet med underbiträdet.
11.4 Personuppgiftsbiträdet åtar sig även att informera Personuppgiftsansvarig om eventuella planer på att upphöra att använda sig av ett godkänt underbiträde.
12 ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJE LAND OCH LOKALISERING
12.1 Personuppgiftsbiträdet ska tillse att personuppgifterna behandlas (såsom hanteras och lagras) inom EU/ESS, om inte parterna kommer överens om något annat.
12.2 Personuppgiftsbiträdet äger endast rätt att överföra personuppgifter till tredje land, för exempelvis service, support, underhåll, utveckling, drift eller liknande hantering, om den
personuppgiftsansvarige på förhand skriftligen godkänt sådan överföring och utfärdat särskilda instruktioner (bilaga 1).
12.3 Överföring till Tredje land för Behandling enligt PUB-avtalet, punkten 13.2, får endast ske om den är förenlig med Dataskyddslagstiftningen och uppfyller de krav på Behandlingen vilka ställs i PUB-avtalet och Instruktioner.
13 ANSVAR FÖR SKADA
13.1 Personuppgiftsbiträdet åtar sig att hålla Personuppgiftsansvarig skadeslös för materiell eller immateriell direkt eller indirekt skada till följd av att Personuppgiftsansvarig är skyldig att utge skadestånd till någon enligt artikel 82 i Dataskyddsförordningen, om den Behandling av Personuppgifter som ligger till grund för skadeståndsersättningen har utförts av Personuppgiftsbiträdet eller ett underbiträde i strid med Dataskyddslagstiftningen eller annan relevant lagstiftning på området, detta Personuppgiftsbiträdesavtal eller instruktion från Personuppgiftsansvarig. Detta ska äga giltighet oberoende av om skadan förorsakats av personuppgiftsbiträdet, eller ett underbiträde, genom uppsåt eller av vårdslöshet.
13.2 Personuppgiftsbiträdet åtar sig att även i övrigt hålla Personuppgiftsansvarig skadeslös för det fall Personuppgiftsansvarig drabbas av direkt eller indirekt skada till följd av Personuppgiftsbiträdets behandling av Personuppgifter i strid med detta Personuppgiftsbiträdesavtal, oberoende av om skadan förorsakats av personuppgiftsbiträdet, eller ett underbiträde, genom uppsåt eller av vårdslöshet.
13.3 Om Personuppgiftsansvarig får kännedom om omständighet som kan leda till skadestånd eller betalningsansvar för Personuppgiftsbiträde ska Personuppgiftsansvarig omedelbart informera Personuppgiftsbiträdet om förhållande och aktivt arbeta tillsammans med Personuppgiftsbiträdet för att förhindra och minimera sådant skadestånd eller betalningsansvar.
14 LAGVAL OCH TVISTLÖSNING
14.1 För detta avtal gäller svensk rätt. Eventuell tolkning eller tvist i anledning av avtalet, som parterna inte kan lösa på egen hand, ska avgöras av svensk allmän domstol.
15 TILLÄGG, ÄNDRING ELLER UPPSÄGNING AV AVTAL
15.1 Tillägg och ändringar av detta Personuppgiftbiträdesavtal ska, för att vara giltiga, vara skriftliga och undertecknas av båda Parter.
15.2 Parterna har rätt att påkalla omförhandling av detta avtal och andra bilagor, för det fall att
1. motpartens ägarförhållanden ändras väsentligt, eller
2. tillämplig lagstiftning eller tolkningen av den, ändras på ett sätt som påverkar behandlingen av personuppgifter som omfattas av detta avtal, eller
3. anlitande av underbiträde inte godkänns av Personuppgiftsansvarig.
15.3 En begäran om ändring av endera parten innebär inte att Personuppgiftsbiträdesavtalet bryts utan endast att en omförhandling påbörjas.
15.4 Vardera Part har rätt att skriftligen säga upp avtalet om motparten gör sig skyldig till väsentligt brott mot bestämmelse i detta avtal, och underlåter att vidta rättelse inom trettio (30) dagar från mottagande av skriftlig begäran därom från den andra Parten.
Uppsägning av avtalet skall göras senast tre (3) månader före avtalets då gällande förfallodatum. Vid utebliven uppsägning förlängs avtalet per automatik och förfallodatum förlängs med ett (1) år.
15.5 Om den Personuppgiftsansvarige invänder mot ett ev. utbyte av underbiträde har denne rätt att säga upp tjänsten och erhålla återbetalning av erlagda avgifter för kvarvarande period.
16 AVTALSTID OCH UPPHÖRANDE AV BEHANDLING
16.1 Detta Personuppgiftsbiträdesavtal gäller tillsvidare och upphör först när Personuppgiftsbiträdet slutat behandla Personuppgifter för Personuppgiftsansvarigs räkning. När Personuppgiftsbiträdes- avtal upphör, oavsett orsak, ska samtliga Personuppgifter på begäran av Personuppgiftsansvarig överlämnas till Personuppgiftsansvarig i ett överenskommet standardiserat eller öppet format eller raderas.
16.2 Radering av personuppgifter ska ske omgående om inte annat överenskommits, dock senast inom 30 dagar. Vid överlämning av personuppgifter gäller samma tidsfrist efter det att överlämning skett. Detta gäller även annan tillhörande information såsom, instruktioner, systemlösningar, beskrivningar eller andra handlingar som Personuppgiftsbiträdet erhållit genom informationsutbyte enligt detta Personuppgiftsbiträdesavtal
16.3 Personuppgiftsbiträdet ska även lämna ut loggarna till den Personuppgiftsansvarige i överenskommet standardiserat eller öppet format om detta avtal upphör att gälla.
17 ÖVRIGT
17.1 Parterna ska utse var sin kontaktperson med ansvar för Parternas samarbete. Ändring av kontaktperson eller kontaktuppgifter ska skriftligen meddelas den andra parten.
17.2 Reglering av ersättning med anledning av detta Personuppgiftsbiträdesavtal och de eventuella merkostnader Personuppgiftsbiträdet har för att fullgöra sina skyldigheter enligt detta avtal regleras av huvudavtalet.
Biträdesavtal har upprättats i två (2) exemplar, varav Parterna har tagit var sitt.
För Personuppgiftsansvarig För Personuppgiftsbiträdet
Ort och datum Ort och datum
Underskrift Underskrift
Namnförtydligande Namnförtydligande
BILAGA 1 - INSTRUKTION FÖR HANTERING AV PERSONUPPGIFTER
Utöver vad som redan framgår av detta avtal ska personuppgiftsbiträdet även följa nedanstående instruktioner:
Ändamål Beskriv kortfattat syftet med de personuppgifter som biträdet kommer behandla. Beskriv var informationen kommer lagras. | Personuppgiftsbiträdet kommer att behandla Personuppgifter för ändamålet att tillhandahålla tjänsterna i enlighet med Huvudavtal/Leveransavtal som beskrivs under punkt 1 i detta avtal. Exempel på sådana tjänster är installation, konverteringar, support, felavhjälpning, integrationer etc. Behandlingen består endast undantagsvis av förändring av personuppgifter (addering, redigering eller radering) och då endast efter godkännande av Personuppgiftsansvarig. I de fall Personuppgiftbiträdet lagrar information åt personuppgiftsansvarig kommer detta att ske inom EU/EES |
Behandlingen omfattar följande typer av personuppgifter Ange vilka personuppgifter biträdet kommer ha åtkomst till. | Följande kategorier kan förekomma i behandlingen av personuppgifter. Personuppgifter som hanteras i den Personuppgiftsansvariges system/molntjänster oavsett var dessa driftas och där Personuppgiftbiträdet utför sina tjänster. Exempel på personuppgifter är namn, personnummer, adress, e-post, telefonnummer. Personuppgifter hänförliga till den Personuppgiftsansvariges personal, i huvudsak kontaktuppgifter som namn, befattning, e- post, telefonnummer. |
Behandlingen omfattar kategorier av registrerade personer Ange vilka kategorier av registrerade vars uppgifter personuppgiftsbiträdet har åtkomst till eller kommer behandla. | Personuppgiftsansvariges: Invånare, fastighetsägare, sakägare, sökande, berörda, elever, anhöriga etc. Anställda, arbetssökande, konsulter, användare i IT- systemet (AD-login) |
Ange särskilda hanteringskrav vad gäller personuppgiftsbehandlingen som utförs av personuppgiftsbiträdet. Lägg till förtydligande beskrivningar i förekommande fall till exempel avseende gallring | Personuppgifter kan komma att behandlas av Personuppgiftsbiträdet om det krävs för att tillhandahålla tjänsterna enligt Huvudavtal/Leveransavtal som beskrivs under punkt 1 i detta avtal. Detta kan, från tid till annan, inkludera till exempel: Upprätta fjärråtkomst till den Personuppgiftsansvariges system för att undersöka, assistera och åtgärda tekniska problem. Behandla supportärenden, samtal och andra supportförfrågningar från den Personuppgiftsansvarige. Installation, uppdatering och konfigurering av programvara samt systemintegrationer. Överföring av databas dumpar/filer med Personuppgifter till Personuppgiftsbiträdets miljö för felsökning eller konvertering. Dessa data kommer raderas efter utfört uppdrag. Drift av Personuppgiftsansvariges IT-miljö eller tillhandahållande av Molntjänster innehållande Personuppgifter. |
Personuppgiftsansvarig ska bestämma gallringstiderna och utföra gallring för personuppgifter. Personuppgiftsbiträdet utför endast gallring efter uttrycklig instruktion från Personuppgiftsansvarig. | |
Ange särskilda tekniska skyddsåtgärder vad gäller personuppgiftsbehandlingen som utförs av personuppgiftsbiträdet. | Personuppgiftsbiträdet har en informationssäkerhetspolicy, ledningssystem för informationssäkerhet och bedriver ett systematiskt informationssäkerhetsarbete i linje med standarden ISO/IEC 27001:2017 och ISO/IEC 27002:2017. |
Ange särskilda loggningskrav vad gäller personuppgiftsbehandlingen samt vilka som ska tillgång till dem. | Personuppgiftsbiträdet och Underbiträden ska ansvara för att: I de fall arbete utförs i Personuppgiftsansvariges miljö med personuppgifter gäller att: I Personuppgiftsbiträdets system logga väsentliga händelser som: Inloggning i Personuppgiftsansvariges miljö, med uppgifter om när, av vem, varför och på vems uppdrag samt vilka åtgärder som vidtagits. Om Personuppgiftsdata överförts till Personuppgiftbiträdet skall anledningen till detta anges och vem hos Personuppgiftsansvarige som beställt detta anges. När uppdraget är slutfört skall det loggas och eventuella överförda Personuppgiftsdata raderas. Personuppgiftsansvarig äger rätt att göra stickprovskontroller av dessa loggar. Att teknisk åtkomstloggning utförs och dess detaljeringsgrad är Personuppgiftsansvariges ansvar. Exempel på teknisk automatisk åtkomstloggning är vem som loggat in i systemet och när, vilka åtgärder som har vidtagits med uppgifter om en registrerad person. I de fall Personuppgiftsbiträdet driftar system eller tillhandahåller molntjänster med Personuppgifter åt Personuppgiftsansvarig gäller att: Loggning av väsentliga händelser och teknisk åtkomstloggning sker i enighet med specifikation i leveransavtalet för respektive drift och molntjänst. |
Överföring av personuppgifter till tredje land | Personuppgiftsbiträdet kommer inte överföra den Personuppgiftsansvariges Personuppgifter till tredje land såvida inte dokumenterade instruktioner från den Personuppgiftsansvarige givits om detta. |
Övriga instruktioner angående personuppgiftshanteringen som utförs av personuppgiftsbiträdet | Personuppgifter kan komma att behandlas av Personuppgiftsbiträdet om det krävs för att tillhandahålla tjänsterna enligt Huvudavtal/Leveransavtal som beskrivs under punkt 1 i detta avtal. Detta kan, från tid till annan, inkludera till exempel: |
1) Upprätta fjärråtkomst till den Personuppgiftsansvariges system för att undersöka, assistera och åtgärda tekniska problem. 2) Behandla supportärenden, samtal och andra supportförfrågningar från den Personuppgiftsansvarige. 3) Installation, uppdatering och konfigurering av programvara samt systemintegrationer. 4) Överföring av databas dumpar/filer med Personuppgifter till Personuppgiftsbiträdets miljö för felsökning eller konvertering. Dessa data kommer raderas efter utfört uppdrag. Drift av Personuppgiftsansvariges IT-miljö eller tillhandahållande av Molntjänster innehållande Personuppgifter. |
BILAGA 2 - LISTA ÖVER UNDERBITRÄDEN
För att utföra de tjänster som anges i Huvudavtal/Leveransavtal har Personuppgiftsansvarig rätt att använda följande underbiträden:
BILAGA 3 - LISTA MED PARTERNAS KONTAKTPERSONER GÄLLANDE DETTA XXXXX
För Personuppgiftsansvarig:
Namn | e-post | telefonnummer | Roll |
Personuppgiftsansvarig | |||
För Personuppgiftsbiträdet:
Namn | e-post | telefonnummer | Roll |
Avtalskontakt |