Personuppgiftsbiträdesavtal Larminstallatörer (bilaga 2)
Personuppgiftsbiträdesavtal Larminstallatörer (bilaga 2)
Definitioner
Affärsavtalet: Det avtal som tecknats mellan Larminstallatören och Securitas gällande Larminstallatörens arbete för Securitas räkning.
PuB-avtalet: Detta avtal gällande personuppgiftsbehandling.
Larminstallatör: Det företag som på uppdrag av Securitas installerar larm för Securitas räkning hos en Larmkund och som är part i Avtalet.
Larmkund: Kund hos Securitas som tecknar avtal avseende larmutrustning, larmförmedling och larm- utryckningsavtal (alla delar eller någon del).
Securitas: Securitas Sverige AB
Inledning
Avtalet gäller behandling av de personuppgifter Larminstallatören samlar in för Securitas räkning hos en Larmkund eller potentiell Larmkund.
Larminstallatören är personuppgiftsbiträde avseende de personuppgifter som samlas in på uppdrag av Securitas.
I och med den nya lagstiftningen om behandling av personuppgifter ställs högre krav än tidigare på såväl personuppgiftsbiträde som personuppgiftsansvarig. Avtalet innehåller bestämmelser Larminstallatören måste uppfylla för att inte bryta mot Avtalet och lagstiftningen om personuppgifter i övrigt.
Behandling av personuppgifter
Larminstallatören agerar som personuppgiftsbiträde för Securitas ändamål när personuppgifter samlas in och en kontakt förmedlas för upprättande av larmförmedling och larmutryckningsavtal efter överenskom- melse med Larmkund.
Larminstallatören får för Securitas ändamål endast hantera följande personuppgifter:
Namn, kontaktuppgifter (telefon, e-post) och organisationsnummer. För privatperson eller för enskild firma får även personnummer förmedlas.
Personuppgifterna får inte hanteras i tredjeland (dvs utanför EU).
Både Securitas och Larminstallatören är vidare, var och en, personuppgiftsansvarig för den andra partens uppgifter om anställda och andra kontaktpersoner som uppges inför, efter och under utförande av uppdra- get och uppgifter som behövs i avtalsrelation för att prestera enligt det här samarbetsavtalet samt förmed- ling av provision.
Det får förtydligas att Larminstallatören är personuppgiftsansvarig för de kunduppgifter som har lämnats av Larmkunden till Larminstallatören och som berör Larmkundens och Larminstallatörens avtalsrelation avseende installation.
Larminstallatören ansvarar för att informera de registrerade (kunden) om att Larminstallatören samlar in Kundens personuppgifter för Securitas räkning, ändamål och utifrån vilken rättslig grund det sker samt att dessa lämnas vidare till Securitas för att upprätta vidare affär.
Larminstallatören får i rollen som personuppgiftsbiträde inte behandla andra personuppgifter än vad som anges i PuB-avtalet och inte på annat sätt än vad som anges i PuB-avtalet.
Larminstallatören ska hålla sig uppdaterad på och efterleva tillämplig lag och förbinder sig att endast behandla personuppgifter i enlighet med dataskyddsförordningen och dokumenterade instruktioner.
Tekniska och organisatoriska åtgärder
Larminstallatören ska vidta de åtgärder som krävs enligt vid var tidpunkt tillämplig lag avseende lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas för Securitas räkning. Larminstallatören ska se till att det finns styrning av behörighet och att begränsa åtkomsten av personuppgifterna för personal i så stor utsträckning som möjligt. Larminstallatören ska på begäran av Securitas redovisa de tekniska och organisatoriska åtgärder som vidtagits enligt denna punkt.
Tystnadsplikt och information om behandling
Larminstallatören ska tillse att alla personer som har åtkomst till de personuppgifter som omfattas av PuB- avtalet tecknar ett särskilt avtal om tystnadsplikt gällande dessa personuppgifter. Detta särskilda avtal ska på begäran visas upp eller skickas till Securitas. Larminstallatören ska vidare informera de personer som har åtkomst till de personuppgifter som omfattas av PuB-avtalet om hur de får behandla personuppgifterna.
Konsekvensbedömning och förhandssamråd avseende dataskydd
Larminstallatören ska bistå Securitas med hjälp att utföra konsekvensbedömning och förhandssamråd där så erfordras enligt Dataskyddsförordningen.
Incidentrapportering
Larminstallatören ska se till att det finns lämpliga tekniska och praktiska förutsättningar för att upptäcka misstänkta personuppgiftsincidenter. På begäran av Securitas ska dessa uppgifter redovisas.
Inspektion och granskningar
Larminstallatören ska ge Securitas tillgång till lämplig information som krävs för att verifiera att de skyldig- heter som anges i PuB-avtalet efterlevs.
Anlitande av underbiträden
Larminstallatören får inte utan Securitas skriftliga godkännande överlåta till eller anlita ett annat personupp- giftsbiträde för att utföra personuppgiftsbehandlingen.
Om sådant godkännande lämnats av Securitas ska det andra personuppgiftsbiträdet åläggas samma skyl- digheter i fråga om dataskydd som fastställts i det här PuB-avtalet och framför allt ge tillräckliga garantier om att genomföra tekniska och organisatoriska åtgärder så att behandlingen uppfyller kraven enligt data- skyddsförordningen.
Övrigt
Larminstallatören ska bistå Securitas med de åtgärder som är nödvändiga, utifrån Larminstallatörens skyldigheter enligt art 28 och art 32-36 i Dataskyddsförordningen. Larminstallatören ska bistå med beak- tande av typen av behandling och i den information som de som personuppgiftsbiträde har att tillgå.
Överföring av personuppgiftsdata till underbiträden eller EU/ESS
Larminstallatören får inte för Securitas ändamål överföra till, eller behandla personuppgifterna utanför EU/ ESS utan samtycke från Securitas.
Ansvar
Vid ersättning för skada som, genom fastställd dom eller annat beslut, utgått till registrerad på grund av överträdelse av någon bestämmelse i detta avtal, instruktion från Personuppgiftsansvarig eller tillämplig dataskyddsbestämmelse ska artikel 82 Dataskyddsförordningen tillämpas.
Sanktionsavgifter enligt artikel 83 i Dataskyddsförordningen eller 6 kap. 2 § lag (2018:218) med komplet- terande bestämmelser till EU:s dataskyddsförordning ska bäras av den Part som påförts en sådan avgift såvida den sanktionsgrundande orsaken inte är hänförlig till ett avtalsbrott eller lagbrott, en teknisk eller administrativ brist eller försummelse hos den andra Parten. Den andra Parten ska då bära den del av avgif- ten som är hänförlig till avtalsbrottet, bristen eller försummelsen.
Om Part får kännedom om omständighet som kan leda till skadestånd eller betalningsansvar för den andra Parten ska Parterna omedelbart informera varandra därom och aktivt verka för och vidta lämpliga åtgärder för att förhindra och minimera sådant skadestånd eller betalningsansvar.
Hävning
Om Larminstallatören inte följer sina åtaganden enligt Xxxxxxx och inte vidtar rättelse efter att Securitas påtalat bristen, har Securitas rätt att, 30 dagar efter att bristen påtalats häva Xxxxxxx. Eftersom Avtalet är grundläggande även för Affärsavtalet har Securitas i händelse av detta, även rätt att häva Affärsavtalet, då detta inte kan utföras utan Avtalet.
Upphörande av behandling
Personuppgifterna som samlats in för Securitas räkning ska raderas utan dröjsmål efter att dessa förmed- lats. Observera dock att Larminstallatören enligt ovan är personuppgiftsansvarig för vissa uppgifter rörande Larmkunden och att dessa måste hanteras av Xxxxxxxxxxxxxxxxx enligt gällande lagar gällande personupp- gifter.
Tvist
Lösning av tvist sker i enlighet med bestämmelserna i Affärsavtalet.