Innovation, forskning och utveckling i skola och förskola
...Innovation, forskning och utveckling i skola och förskola
Personuppgiftsbiträdesavtal
Personuppgiftsansvarig (Medlem) och Personuppgiftsbiträdet (Ifous, organisationsnummer 802535-1795) benämns var och en som ”Part” och tillsammans som ”Parterna”.
1. Bakgrund och syfte
Parterna har ingått ett huvudavtal rörande medlemskap enligt vilket Personuppgiftsbiträdet bl.a. ska tillhandahålla regelbunden forskningsbevakning och ge Personuppgiftsansvarig tillgång till forsknings- och utvecklingstjänster (FoU-aktiviteter) som erbjuds av Personuppgiftsbiträdet. Inom ramen för uppdraget kommer Personuppgiftsbiträdet att få tillgång till och behandla personuppgifter för den Personuppgiftsansvariges räkning. För sådan behandling av personuppgifter gäller detta biträdesavtal. Närmare om Personuppgiftsbiträdes uppdrag framgår i huvudavtalet till vilket detta Personuppgiftsbiträdesavtal utgör en bilaga. I händelse av motstridig lydelse mellan bestämmelserna i Personuppgiftsbiträdesavtalet och huvudavtalet, ska biträdesavtalet äga företräde om inte Parterna uttryckt annat.
Enligt bestämmelser EU:s dataskyddsförordning ska det finnas ett skriftligt avtal mellan Personuppgiftsansvarig och Personuppgiftsbiträde avseende den behandling av personuppgifter som Personuppgiftsbiträdet ska utföra för den Personuppgiftsansvariges räkning.
Detta Personuppgiftsbiträdesavtal mellan Personuppgiftsansvarige och Personuppgiftsbiträdet (nedan ”Parterna”) reglerar de skyldigheter som Personuppgiftsbiträdet har när personuppgifter behandlas för Personuppgiftsansvariges räkning. Syftet är att säkerställa att Personuppgiftsbiträdet behandlar personuppgifterna i enlighet med Personuppgiftsansvariges instruktioner och Tillämplig lag varmed avses Dataskyddsförordningen samt Datainspektionens och relevanta EU-organs föreskrifter, ställningstaganden och rekommendationer inom personuppgiftsområdet.
2. Definitioner
Begreppen ”Personuppgiftsansvarig”, ”Personuppgiftsbiträde”, ”Personuppgift”, ”Registrerade” samt andra begrepp i detta Personuppgiftsbiträdesavtal, som är relaterade till personuppgifter, ska tolkas och tillämpas i enlighet med vad som följer av Dataskyddsförordningen.
3. Behandling av personuppgifter
Detta Personuppgiftsbiträdesavtal gäller för all behandling av personuppgifter under Huvudavtalet som utförs av Personuppgiftsbiträdet för Personuppgiftsansvarigs räkning. Personuppgiftsbiträdet och personer som agerar för Personuppgiftsbiträdets räkning får behandla personuppgifter endast i enlighet med Personuppgiftsbiträdesavtalet och de ytterligare skriftliga instruktioner som Personuppgiftsansvarig från tid till annan lämnar.
...Innovation, forskning och utveckling i skola och förskola
Personuppgiftsbiträdet ska bara behandla personuppgifterna för ändamålet att uppfylla sina åtaganden i enlighet med Huvudavtalet. Om Personuppgiftsbiträdet saknar instruktioner eller är osäker på ändamålet med behandlingen som bedöms vara nödvändigt för att genomföra en viss uppgift som innebär eller kan innebära behandling av Personuppgifter, ska Personuppgiftsbiträdet, utan dröjsmål, informera Personuppgiftsansvarig om detta och därefter invänta vidare instruktioner från Personuppgiftsansvarig.
Personuppgiftbiträdet åtar sig, vad avser behandlingen av personuppgifter, att följa tillämplig lag. Personuppgiftsbiträdet ska själv hålla sig informerad om tillämplig lag.
Personuppgiftsbiträdets åtaganden att följa tillämplig lag ska i alla avseenden tolkas i enlighet med beskaffenheten på Personuppgiftsbiträdets tillhandahållna tjänster och innebär normalt sett att Personuppgiftsbiträdet inte själv samlar in personuppgifter eller använder personuppgifterna för annat bruk än för uppfyllelse av avtalad leverans enligt Huvudavtalet. Personuppgiftsbiträdet ska i vilket fall inte, utan föreläggande från relevant myndighet eller tvingande lagstiftning:
a) samla in eller lämna ut personuppgifter från eller till någon tredje part om inte annat skriftligen överenskommits,
b) ändra metod för behandling,
c) kopiera eller återskapa personuppgifter,
d) eller på något annat sätt behandla personuppgifter för andra ändamål än de som anges i Huvudavtalet.
Personuppgiftsbiträdet ska vidta alla åtgärder som krävs enligt artikel 32 i Dataskyddsförordningen.
Personuppgiftsbiträdet ska vara Personuppgiftsansvarig behjälplig genom lämpliga tekniska och organisatoriska åtgärder, så att Personuppgiftsansvarig kan fullgöra sig skyldighet dels som Personuppgiftsansvarig enligt tillämplig lag och dels avseende de registrerades rättigheter i enlighet med kapitel III i Dataskyddsförordningen. Personuppgiftsbiträdet ska bistå den personuppgiftsansvarige med att tillse att skyldigheterna enligt artiklarna 32-36 i Dataskyddsförordningen fullgörs, med beaktande av typen av behandling och den information som Personuppgiftsbiträdet har att tillgå.
4. Register över personuppgiftsbehandling
Personuppgiftsbiträdet eller dennes företrädare ska föra ett register över alla kategorier av behandling av personuppgifter som utförs för den Personuppgiftsansvariges räkning. Av registret ska åtminstone framgå
a) namn och kontaktuppgifter för Personuppgiftsbiträdet eller de av denne anlitade personuppgiftsbiträdena, för den Personuppgiftsansvarige och för den Personuppgiftsansvariges eller Personuppgiftsbiträdets företrädare samt dataskyddsombudet,
b) de kategorier av behandling av personuppgifter som Personuppgiftsbiträdet utför för den Personuppgiftsansvarige,
c) om överföringar av personuppgifter sker till tredjeland eller en internationell organisation, jämte uppgift om vilket tredjeland eller internationell organisation det är fråga om,
...Innovation, forskning och utveckling i skola och förskola
d) dokumentation över vilka lämpliga säkerhetsåtgärder som vidtagits, om överföring sker till sådant tredjeland som inte omfattas av beslut enligt tillämpliga bestämmelser om adekvat skyddsnivå eller lämpliga skyddsåtgärder samt
e) om möjligt, en allmän beskrivning av vidtagna tekniska och organisatoriska säkerhetsåtgärder som ska vidtas enligt tillämpliga rättsliga krav.
Personuppgiftsbiträdet ska på begäran av den Personuppgiftsansvarige eller behörig tillsynsmyndighet tillhandahålla ett registerutdrag med innehåll enligt ovan.
Om en Registrerad under utövandet av sina rättigheter begär ett registerutdrag avseende behandlingen av dennes personuppgifter, ska Personuppgiftsbiträdet på begäran av den Registrerade eller den Personuppgiftsansvarige tillhandahålla registerutdrag avseende sådan behandling med innehåll och på sätt enligt tillämpliga rättsliga krav.
5. Säkerhet och sekretess
Personuppgiftsbiträdet ska implementera tekniska och organisatoriska skyddsåtgärder i enlighet med tillämplig lag eller i annat fall upprätta lämpliga tekniska och organisatoriska åtgärder i syfte att skydda personuppgifter mot obehörig eller olovlig förstörelse eller oavsiktlig förlust av, förändring av, otillåtet yppande av eller tillgång till personuppgifter, i huvudsak när behandlingen innefattar spridning av uppgifter över nätverk och mot all annan olovlig form av behandling. Vid bedömning av lämplig säkerhetsnivå ska särskilt hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande eller obehörig åtkomst till personuppgifter.
Personuppgiftsbiträdet ska säkerställa att behörighetsstyrningen är korrekt och att konfidentialitet iakttas.
Personuppgiftsbiträdet ska tillse att samtliga anställda, konsulter och övriga som Personuppgiftsbiträdet svarar för och som behandlar personuppgifterna är bundna av ett ändamålsenligt sekretessåtagande samt att de är informerade om hur behandling av personuppgifterna får ske. Personuppgiftsbiträdet ansvarar för att de personer som har åtkomst till personuppgifterna är informerade om hur de får behandla dem i enlighet med instruktioner från Personuppgiftsansvarig.
Sekretessåtagandet gäller även under tid efter det att Personuppgiftsbiträdesavtalet i övrigt upphört att gälla, dock längst till och med sådan tidpunkt som gäller enligt särskilt tillämpliga rättsliga krav.
Personuppgiftsbiträdet får inte utan (i) Personuppgiftsansvariges skriftliga samtycke i förväg, och (ii) att säkerställa att sådan överföring sker i överensstämmelse med tillämplig lagstiftning, överföra personuppgifter till land utanför EU/EES-området eller till land som inte omfattas av undantagen till förbud mot överföring till tredje land enligt Tillämplig lag.
Detta förbud omfattar även teknisk support, underhåll och liknande tjänster.
6. Revision och begäran av information
Personuppgiftsbiträdet ska utan dröjsmål informera Personuppgiftsansvarig om eventuella kontakter med Datainspektionen eller annan myndighet som rör eller kan vara av betydelse för behandling av personuppgifter. Personuppgiftsbiträdet äger ej rätt att företräda Personuppgiftsansvarig eller på annat sätt agera för Personuppgiftsansvarigs räkning
...Innovation, forskning och utveckling i skola och förskola
gentemot Datainspektionen eller annan tredje man utan skriftligt medgivande från Personuppgiftsansvarig.
Personuppgiftsansvarig äger rätt att själv eller genom tredje man genomföra revision gentemot Personuppgiftsbiträdet eller på annat sätt kontrollera att Personuppgiftsbiträdets behandling av personuppgifter följer detta Personuppgiftsbiträdesavtal. Vid sådan revision eller kontroll ska Personuppgiftsbiträdet ge Personuppgiftsansvarig den assistans som behövs för genomförande av den aktuella åtgärden. Personuppgiftsbiträdet äger rätt till ersättning från Personuppgiftsansvarige för styrkta skäliga direkta kostnader som Personuppgiftsbiträdet åsamkas till följd av sådan revision eller kontroll.
Personuppgiftsbiträdet ska ge den Personuppgiftsansvarige tillgång till all information som krävs för att visa att behandling av personuppgifter uppfyller tillämpliga rättsliga krav jämte de villkor som enligt detta Personuppgiftsbiträdesavtal gäller för personuppgiftsbehandling. För det fall att Registrerade, Datainspektionen eller annan tredje man begär information från någon av Parterna som på något sätt innefattar personuppgifter ska Parterna samverka och utbyta information i nödvändig utsträckning.
Personuppgiftsbiträdet får inte lämna ut personuppgifter eller någon annan information om behandlingen av personuppgifter utan skriftligt medgivande från Personuppgiftsansvarige, såvida inte föreläggande från relevant myndighet eller tvingande lagstiftning finns.
7. Personuppgiftsbiträdets anlitande av annan
Personuppgiftsbiträdet får inte anlita annat personuppgiftsbiträde för behandling av personuppgifter för den Personuppgiftsansvariges räkning utan skriftligt godkännande från den Personuppgiftsansvarige.
Om Personuppgiftsbiträdet anlitar ett annat personuppgiftsbiträde för behandlingen av personuppgifter, ska Personuppgiftsbiträdet ålägga det andra personuppgiftsbiträdet samma skyldigheter i fråga om dataskydd som gäller för Personuppgiftsbiträdet enligt detta Personuppgiftsbiträdesavtal. Personuppgiftsbiträdet ska vidare tillse att sådant personuppgiftsbiträde respekterar och följer de villkor som gäller i detta Personuppgiftsbiträdesavtal och i övrigt följer de skyldigheter som följer av tillämpliga rättsliga krav.
Om Personuppgiftsbiträdet i enlighet med detta Personuppgiftsbiträdesavtal anlitar personuppgiftsbiträden, ska Personuppgiftsbiträdet tillse att dennes avtal med dessa utformas så att personuppgiftsbiträdena blir bundna av detta Personuppgiftsbiträdesavtal och de i avtalet angivna kraven jämte tillämpliga rättsliga krav. Om det andra personuppgiftsbiträdet inte fullgör sina skyldigheter i fråga om dataskydd ska Personuppgiftsbiträdet vara fullt ansvarig gentemot den Personuppgiftsansvarige för utförandet av det andra personuppgiftsbiträdets skyldigheter.
De anlitade personuppgiftsbiträdena ska vid var tid vara kända av Personuppgiftsbiträdet och vid anmodan från den Personuppgiftsansvarige redovisas till denne. Den Personuppgiftsansvarige eller av denne anlitad annan part har rätt till
assistans från Personuppgiftsbiträdet vid kontroll eller revision avseende behandling av personuppgifterna som utförs genom av denne anlitade personuppgiftsbiträden.
8. Personuppgiftsincident
...Innovation, forskning och utveckling i skola och förskola
För det fall Personuppgiftsbiträdet misstänker alternativt upptäcker någon säkerhetsöverträdelse så som obehörig åtkomst, förstörelse, ändring eller liknande av personuppgifter, eller om Personuppgiftsbiträdet av någon annan anledning inte kan uppfylla åtaganden i detta Personuppgiftsbiträdesavtal, ska Personuppgiftsbiträdet omedelbart undersöka incidenten och vidta lämpliga åtgärder för att läka incidenten och förhindra en upprepning.
Personuppgiftsbiträdet ska utan onödigt dröjsmål efter att ha fått vetskap om incidenten tillhandahålla Personuppgiftsansvarig en beskrivning av incidenten och därefter löpande förse Personuppgiftsansvarig med information om incidenten i takt med att information blir tillgängligt för Personuppgiftsbiträdet. Beskrivningen av incidenten ska åtminstone
a) beskriva personuppgiftsincidentens art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgifter som berörs,
b) förmedla namnet på och kontaktuppgifterna till dataskyddsombudet eller andra kontaktpunkter där mer information kan erhållas,
c) beskriva de sannolika konsekvenserna av personuppgiftsincidenten, och
d) beskriva de åtgärder som den Personuppgiftsansvariga har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.
Personuppgiftsbiträdet ska informera Personuppgiftsansvarige om Personuppgiftsbiträdet får kännedom om att personuppgifter behandlas i strid med Personuppgiftsansvariges instruktioner eller detta Personuppgiftsbiträdesavtal.
Om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska Personuppgiftsbiträdet före det att behandlingen utförs vara Personuppgiftsansvarig behjälplig vid en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter.
9. Skadelöshetsförbindelse
För det fall Registrerade, Datainspektionen eller annan tredje man väcker krav mot någon av Parterna avseende Personuppgiftsbiträdets eller av denne anlitat personuppgiftsbiträdes behandling av personuppgifter ska Personuppgiftsbiträdet hålla Personuppgiftsansvarig skadelös från alla krav som orsakats av Personuppgiftsbiträdets eller av denne anlitat personuppgiftsbiträdes överträdelse av Personuppgiftsbiträdesavtalet. Oaktat vad som anges i Huvudavtalet och dess Bilagor gäller denna förpliktelse före andra regler om fördelning mellan Parterna av krav sinsemellan såvitt avser behandling av personuppgifter.
10. Ersättning
Personuppgiftsbiträdet har inte rätt till ersättning under detta Personuppgiftsbiträdesavtal, utom i de fall som uttryckligen framgår i detta Personuppgiftbiträdesavtal.
Personuppgiftsbiträdets rätt till ersättning är i övrigt uteslutande reglerat i Huvudavtalet.
11. Personuppgiftsbiträdesavtalets giltighetstid
...Innovation, forskning och utveckling i skola och förskola
Detta Personuppgiftsbiträdesavtal träder ikraft på dagen för dess undertecknande och gäller så länge som Personuppgiftsbiträdet behandlar personuppgifter under Huvudavtalet.
12. Upphörande av behandling av personuppgifter
Vid upphörande av behandling av personuppgifter enligt Personuppgiftsbiträdesavtalet ska Personuppgiftbiträdet radera alla personuppgifter eller lämna tillbaka dem till personuppgiftsansvarige på sådant sätt som angivits av Personuppgiftsansvarige och i enlighet med Personuppgiftsansvariges instruktioner samt säkerställa att inga personuppgifter eller kopior därav är kvar i Personuppgiftsbiträdes besittning.
13. Ändringar och tillägg
Personuppgiftsansvarig får, i den mån så erfordras för att krav som följer av Tillämplig lag ska kunna tillgodoses, ändra innehållet i detta Personuppgiftsbiträdesavtal. Sådan ändring träder ikraft senast trettio (30) dagar efter att Personuppgiftsansvarig översänt meddelandet om ändring till Personuppgiftsbiträdet. För det fall Personuppgiftsbiträdet inte accepterar den aktuella ändringen, äger Personuppgiftsansvarig rätt att omedelbart säga upp alla avtal med Personuppgiftsbiträdet enligt vilka Personuppgiftsbiträdet ska behandla personuppgifter.
Andra ändringar av och tillägg till detta Personuppgiftsbiträdesavtal ska vara skriftliga och undertecknade av båda Parterna för att vara bindande.
14. Tillämplig lag och tvist
Tvist avseende tolkning eller tillämpning av Personuppgiftsbiträdesavtalet ska slutligt avgöras enligt vad som anges rörande tvist i Huvudavtalet.
...Innovation, forskning och utveckling i skola och förskola
Bilaga 1 – Instruktion för hantering av Personuppgifter
Utöver vad som redan framgår av detta avtal ska Personuppgiftsbiträdet även följa nedanstående instruktioner:
1. Ändamålen för behandlingen
Personuppgiftsbiträdet kommer att behandla personuppgifter för ändamålet att ge information om och tillgång till Ifous utbud av tjänster som man som medlem har rätt till.
2. Kategorier av behandling
Följande kategorier kan förekomma i behandlingen av personuppgifter:
· Registerhållning av grunduppgifter för medlemskap
· Informationsutskick via mejl och post
· Utskick av forskningsmagasin digitalt och per post
· Fakturering av medlemskapsavgift
3. Kategorier av registrerade
Kategorierna av registrerade inkluderar personal hos Personuppgiftsansvarig.
4. Kategorier av personuppgifter
Personuppgiftsbiträdet kommer under avtalet behandla följande typer av personuppgifter:
· Namn
· Kontaktuppgifter
· Yrkesroll
· Organisationstillhörighet
5. Plats för behandling
Personuppgiftsbiträdet är skyldig att se till att all behandling av personuppgifter under biträdesavtalet som utförs av Personuppgiftsbiträdet, på egen hand eller via underbiträden, sker inom EU/EES.
6. Särskilda säkerhetskrav
...Innovation, forskning och utveckling i skola och förskola
Personuppgiftsbiträdet och ev. underbiträden ska vidta tekniska, administrativa och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripande:
· pseudonymisering och kryptering av personuppgifter,
· förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos informationssystemet,
· förmågan att återställa tillgänglighet och tillgång till personuppgifter i rimlig tid vid en fysisk eller teknisk incident,
· ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet,
· de specifika krav som har tagits fram vid genomförande av informationsklassning.
7. Gallring
De personuppgifter som Personuppgiftsbiträdet behandlar inom ramen för huvudavtalet gallras av Personuppgiftsbiträdet senast ett (1) år efter avtalsperiodens slut.
...Innovation, forskning och utveckling i skola och förskola
Bilaga 2 – Underbiträden
Personuppgiftsbiträdet använder sig vid avtalets tecknande av följande underbiträden för fullgörande av behandling av personuppgifter under biträdesavtalet:
olag | Land | Typ av behandling |
OUnited Professionals AB xx.xx: 556916-7041 | Sverige | Fakturahantering Bokföring |
ultiNet Interactive AB xx.xx: 556272-2594 | Sverige | Hantering av e-postregister istribution av digitala nyhetsbrev |
owy Information AB xx.xx: 556130-6183 | Sverige | Prenumerationshantering |
perton XX xx.xx: 556766-0039 | Irland | Digital prenumerationshantering |
etAccept XX xx.xx: 559023-1402 | Tyskland USA (Följer EU SSC) | Digital avtalssignering |
lesforce | Frankrike Tyskland | Fakturering |
oregate XX xx.xx: 556623-6179 | Sverige | Dokumenthantering Molnlagring Filöverföring |
nline partner – Google G ite | USA (Följer EU SSC) | Mejlhantering Digitalt samarbete |