Bilaga 5 Personuppgiftsbiträdesavtal

Bilaga 5 Personuppgiftsbiträdesavtal

DENNA BILAGA (”Bilaga 5”) hör till det samverkansavtal som träffats mellan Svedala kommun, genom socialnämnden, org. nr. 212000-1074 (”Svedala”) och Trelleborgs kommun, genom arbetsmarknadsnämnden, org. nr. 212000-1199 (”Trelleborg”) den 2021-06-28 avseende ekonomiskt bistånd och arbetsmarknadsinsatser (”Avtalet”).

Svedala och Trelleborg är nedan var för sig benämnda ”Part” samt gemensamt ”Parterna”.

1 UPPDRAGET OCH PERSONUPPGIFTER

1.1 Avtalets syfte är bland annat att Trelleborg ska utföra samtliga uppgifter som enligt lag åvilar Svedala vad gäller handläggning av ekonomiskt bistånd, samt genom att Trelleborg anordnar, utför och följer upp arbetsmarknadsinsatser gentemot sökande av ekonomiskt bistånd för Svedalas räkning, (”Uppdraget”). Genom Uppdraget ska Xxxxxxxxxx verka för att sökande når en snabbare väg mot självförsörjning.

1.2 Svedala är personuppgiftsansvarig för de uppgifter som uppkommer inom ramen för Uppdraget. Trelleborg agerar personuppgiftsbiträde åt Svedala i enlighet med vad som föreskrivs i personuppgiftsbiträdesavtalet här i Bilaga 6, se nedan.

2 PERSONUPPGIFTSBITRÄDESAVTAL

Avtal enligt artikel 28.3 i Allmänna dataskyddsförordningen EU 2016/6791

2.1 Parter, Parternas ställning, kontaktuppgifter och kontaktpersoner

Personuppgiftsansvarig	Personuppgiftsbiträde
Svedala kommun, genom socialnämnden	Trelleborgs kommun, genom arbetsmarknadsnämnden
Organisationsnummer	Organisationsnummer
212000-1074	212000-1199
Postadress	Postadress
233 80 SVEDALA	231 83 TRELLEBORG
Kontaktperson för administration av detta personuppgiftsbiträdesavtal	Kontaktperson för administration av detta personuppgiftsbiträdesavtal
Xxxx: Xxxxxxx Xxxxxx E-post: xxxxxxx.xxxxxx@xxxxxxx.xx Tfn: 000-000 00 00	Namn: Xxxxxxx Xxxxxxxxxxxx E-post: xxxxxxx.xxxxxxxxxxxx@xxxxxxxxxx.xx Tfn: 0000-00 00 00
Kontaktperson för Parternas samarbete om dataskydd	Kontaktpersoner för Parternas samarbete om dataskydd
Namn: Xxxxxx Xxxxxxxxx E-post: xxxxxx.xxxxxxxxx@xxxxxxx.xx Tfn: 000-000 00 00	Namn: Xxxxx Xxxxxx E-post: xxxxx.xxxxxx@xxxxxxxxxx.xx Tfn: 0000-00 00 00

1 Allmänna dataskyddsförordningen EU 2016/679 föreskriver att det ska finnas ett skriftligt avtal om Personuppgiftsbiträdets Behandling av Personuppgifter för Den personuppgiftsansvariges räkning.

2.2 Definitioner

Utöver de begrepp som definieras i löptext, i detta personuppgiftsbiträdesavtal, ska dessa definitioner oavsett om de används i plural eller singular, i bestämd eller obestämd form, ha nedanstående innebörd när de anges med versal som begynnelsebokstav.

Behandling	En åtgärd eller kombination av åtgärder beträffande Personuppgifter eller uppsättningar av Personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.
Dataskyddslagstiftning	a) Avser all integritets- och personuppgiftslagstiftning, samt all annan eventuell lagstiftning (inklusive förordningar och föreskrifter), som är tillämplig på den Behandling som sker enligt detta PUB- avtal, inklusive nationell sådan lagstiftning och EU- lagstiftning.
Personuppgiftsansvarig	b) Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamål och medlen för Behandlingen av Personuppgifter.
Instruktion	De skriftliga instruktioner som framgår av Bilaga A och som närmare anger föremål, varaktighet, art och ändamål, typ av Personuppgifter samt kategorier av Registrerade och särskilda behov som omfattas av Behandlingen.
Personuppgiftsbiträde	c) Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som Behandlar Personuppgifter för den Personuppgiftsansvariges räkning.
Personuppgift	Varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.
Personuppgiftsincident	En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de Personuppgifter som överförts, lagrats eller på annat sätt Behandlats.
Registrerad	Fysisk person vars Personuppgifter Behandlas.
Tredje land	En stat som inte ingår i Europeiska unionen (EU) eller inte är ansluten till Europeiska ekonomiska samarbetsområdet (EES).
Underbiträde	d) Fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som i egenskap av underleverantör till Personuppgiftsbiträdet Behandlar Personuppgifter för Personuppgiftsansvariges räkning.

2.3 Bakgrund och syfte

2.3.1 Parterna har träffat Avtalet avseende Personuppgiftsbiträdets tillhandahållande av tjänster till Personuppgiftsansvarig avseende handläggning av ekonomiskt bistånd samt hantering och uppföljning av arbetsmarknadsinsatser gentemot sökande av ekonomiskt bistånd. De tjänster som tillhandahålls enligt Avtalet kommer att innebära att Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning.

2.3.2 Med detta Personuppgiftsbiträdesavtal jämte Instruktioner (Bilaga A) och en förteckning över Underbiträden (Bilaga B) (nedan gemensamt ”PUB-avtalet”) reglerar den Personuppgiftsansvarige Personuppgiftsbiträdets Behandling av Personuppgifter åt den Personuppgiftsansvarige. PUB-avtalets syfte är att säkerställa den Registrerades fri- och rättigheter vid Behandlingen, i enlighet med vad stadgas i artikel 28.3 i Allmänna dataskyddsförordningen EU 2016/679 (”Dataskyddsförordningen”).

2.3.3 Detta PUB-avtal ska anses utgöra en del av Avtalet. Om bestämmelserna i Avtalet och detta PUB-avtal är oförenliga, ska bestämmelserna i detta PUB-avtal tillämpas och ges företräde.

2.3.4 Hänvisningar i PUB-avtalet till nationell eller unionsrättslig lagstiftning, avser vid var tid tillämpliga bestämmelser.

2.4 Behandling av personuppgifter och specifikation

2.4.1 Den Personuppgiftsansvarige utser härmed Personuppgiftsbiträdet att utföra Behandlingen för den Personuppgiftsansvariges räkning enligt vad som stadgas i detta PUB-avtal. Personuppgiftsbiträdet får endast utföra Behandlingen i enlighet med PUB-avtalet och vid var tid gällande Instruktioner, såvida inte annat följer av tillämplig Dataskyddslagstiftning.

2.4.2 Den Personuppgiftsansvariges Instruktioner till Personuppgiftsbiträdet om behandlingens föremål och varaktighet, behandlingens karaktär och ändamål, typ av personuppgifter och kategorier av registrerade anges i detta PUB-avtal och i Bilaga A.

2.4.3 Ändringar i den Personuppgiftsansvariges Instruktioner ska förhandlas separat, inklusive eventuella därav föranledda ändringar i Personuppgiftsbiträdets ersättning, och ska dokumenteras skriftligt och undertecknas av Xxxxxxxx för att vara gällande.

2.5 Den personuppgiftsansvariges ansvar

2.5.1 Den Personuppgiftsansvarige ansvarar för att det vid var tid finns laglig grund för Behandlingen och för att utforma korrekta Instruktioner så att Personuppgiftsbiträdet och eventuellt Underbiträde kan fullgöra sitt eller sina uppdrag enligt detta PUB-avtal och Xxxxxxx i förekommande fall.

2.5.2 Den Personuppgiftsansvarige ansvarar för att informera Registrerade om Behandlingen och för att tillvarata Registrerades rättigheter enligt Dataskyddslagstiftningen samt vidta varje annan åtgärd som åligger den Personuppgiftsansvarige enligt Dataskyddslagstiftningen.

2.6 Personuppgiftsbiträdets åtaganden

2.6.1 Personuppgiftsbiträdet förbinder sig att endast utföra Behandlingen i enlighet med PUB-avtalet och Instruktioner samt att följa Dataskyddslagstiftningen. Personuppgiftsbiträdet förbinder sig även att fortlöpande hålla sig informerad om gällande rätt på området.

2.6.2 Personuppgiftsbiträdet ska vidta åtgärder för att skydda Personuppgifterna mot alla slag av Behandlingar som inte är förenliga med PUB-avtalet, Instruktioner och Dataskyddslagstiftningen.

2.6.3 Personuppgiftsbiträdet åtar sig att säkerställa att samtliga fysiska personer som arbetar under dess ledning följer PUB-avtalet och Instruktioner samt att de fysiska personerna informeras om relevant lagstiftning.

2.6.4 Personuppgiftsbiträdet ska på begäran från den Personuppgiftsansvarige bistå denne med att säkerställa att skyldigheterna enligt artikel 32–36 i Dataskyddsförordningen fullgörs och svara på begäran om utövande av den Registrerades rättigheter i enlighet med Dataskyddsförordningen, kap. III, med beaktande av typen av Behandling och den information som Personuppgiftsbiträdet har att tillgå.

2.6.5 För det fall att Personuppgiftsbiträdet finner att Instruktioner är otydliga, i strid med Dataskyddslagstiftningen eller saknas och Personuppgiftsbiträdet bedömer att nya eller kompletterande Instruktioner är nödvändiga för att genomföra sina åtaganden ska Personuppgiftsbiträdet utan dröjsmål informera den Personuppgiftsansvarige, tillfälligt upphöra med Behandlingen och invänta nya Instruktioner.

2.7 Säkerhetsåtgärder

2.7.1 Personuppgiftsbiträdet ska vidta alla lämpliga tekniska och organisatoriska säkerhetsåtgärder som krävs enligt Dataskyddslagstiftningen för att förhindra Personuppgiftsincidenter, genom att säkerställa att Behandlingen uppfyller kraven i Dataskyddsförordningen och att den Registrerades rättigheter skyddas.

2.7.2 Personuppgiftsbiträdet ska fortlöpande säkerställa att den tekniska och organisatoriska säkerheten i samband med Behandlingen medför en lämplig nivå av konfidentialitet, integritet, tillgänglighet och motståndskraft.

2.7.3 Eventuella tillkommande eller ändrade krav på skyddsåtgärder från den Personuppgiftsansvarige ska hanteras i enlighet med punkten 2.4.3 ovan.

2.7.4 Personuppgiftsbiträdet ska genom behörighetskontrollsystem endast ge åtkomst till Personuppgifterna för sådana fysiska personer som arbetar under Personuppgiftsbiträdets ledning och som behöver åtkomsten för att kunna utföra sina arbetsuppgifter.

2.7.5 Personuppgiftsbiträdet ska systematiskt testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa Behandlingens säkerhet.

2.8 Sekretess och tystnadsplikt

2.8.1 Personuppgiftsbiträdet och samtliga fysiska personer som arbetar under dess ledning ska vid Behandlingen iaktta såväl sekretess som tystnadsplikt.

Personuppgifterna får inte nyttjas eller spridas för andra ändamål, vare sig direkt eller indirekt, såvida inte annat avtalats.

2.8.2 Personuppgiftsbiträdet ska tillse att samtliga fysiska personer som arbetar under dess ledning, vilka deltar i Behandlingen, är bundna av sekretessförbindelse avseende Behandlingen. Detta krävs dock inte om dessa redan omfattas av en straffsanktionerad tystnadsplikt som följer av lag. Personuppgiftsbiträdet åtar sig även att tillse att det finns sekretessavtal med Underbiträdet samt sekretessförbindelser mellan Underbiträdet och samtliga fysiska personer som arbetar under dess ledning, vilka deltar i Behandlingen.

2.8.3 Personuppgiftsbiträdet ska skyndsamt underrätta den Personuppgiftsansvarige om eventuella kontakter med tillsynsmyndighet avseende Behandlingen. Personuppgiftsbiträdet har inte rätt att företräda den Personuppgiftsansvarige eller agera för den Personuppgiftsansvariges räkning gentemot tillsynsmyndigheter i frågor avseende Behandlingen.

2.8.4 Om den Registrerade, tillsynsmyndighet eller tredje man begär information från Personuppgiftsbiträdet vilken rör Behandlingen, ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige om saken. Information om Behandlingen får inte lämnas till den Registrerade, tillsynsmyndighet eller tredje man utan skriftligt medgivande från den Personuppgiftsansvarige, såvida det inte framgår av tvingande lag att information ska lämnas. Personuppgiftsbiträdet ska bistå med förmedling av den informationen som omfattas av ett medgivande eller lagkrav.

2.9 Granskning, tillsyn och revision

2.9.1 Personuppgiftsbiträdet ska utan onödigt dröjsmål som en del av sina garantier, enligt artikel 28.1 i Dataskyddsförordningen, på den Personuppgiftsansvariges begäran kunna redovisa vilka tekniska och organisatoriska säkerhetsåtgärder som används för att Behandlingen ska uppfylla kraven enligt PUB-avtalet och artikel 28.3.h i Dataskyddsförordningen.

2.9.2 Den Personuppgiftsansvarige äger rätt att, själv eller genom annan av denne utsedd tredje part (som inte får vara en konkurrent till Personuppgiftsbiträdet), följa upp att Personuppgiftsbiträdet uppfyller PUB-avtalets, Instruktionernas och Dataskyddslagstiftningens krav. Personuppgiftsbiträdet ska vid sådan granskning bistå den Personuppgiftsansvarige, eller den som utför granskningen i den Personuppgiftsansvariges ställe, med dokumentation, tillgång till lokaler, IT-system och andra tillgångar som behövs för att kunna granska Personuppgiftsbiträdets efterlevnad av PUB-avtalet, Instruktioner och Dataskyddslagstiftningen. Den Personuppgiftsansvarige ska säkerställa att personal som genomför granskningen är underkastade sekretess eller tystnadsplikt enligt lag eller avtal.

2.9.3 Personuppgiftsbiträdet äger alternativt till vad som stadgas i punkterna 2.9.2– 2.9.3, rätt att erbjuda andra tillvägagångssätt för granskning av Behandlingen, exempelvis granskning genomförd av oberoende tredje part. Den Personuppgiftsansvarige ska i sådant fall äga rätt, men inte skyldighet, att tillämpa detta alternativa tillvägagångssätt för granskning. Vid sådan granskning ska Personuppgiftsbiträdet ge den Personuppgiftsansvarige eller en tredje part den assistans som behövs för utförandet av granskningen.

2.9.4 Personuppgiftsbiträdet ska bereda tillsynsmyndighet, eller annan myndighet som har laglig rätt till det, möjlighet att göra tillsyn enligt myndighetens begäran i enlighet med vid var tid gällande lagstiftning, även om sådan tillsyn annars skulle stå i strid med bestämmelserna i PUB-avtalet.

2.9.5 Personuppgiftsbiträdet ska tillförsäkra den Personuppgiftsansvarige rättigheter gentemot Underbiträdet vilka motsvarar den Personuppgiftsansvariges samtliga rättigheter gentemot Personuppgiftsbiträdet enligt punkten 2.9 i PUB-avtalet.

2.10 Hantering av rättelser och radering m.m.

2.10.1 För det fall den Personuppgiftsansvarige begärt rättelse eller radering på grund av Personuppgiftsbiträdets felaktiga Behandling ska Personuppgiftsbiträdet vidta lämplig åtgärd utan onödigt dröjsmål, senast inom trettio (30) dagar, från det att Personuppgiftsbiträdet mottagit erforderlig information från den Personuppgiftsansvarige. När den Personuppgiftsansvarige begärt radering får Personuppgiftsbiträdet endast utföra Behandling av den aktuella Personuppgiften som ett led i processen för rättelse eller radering.

2.10.2 Om tekniska och organisatoriska åtgärder (t.ex. uppgraderingar eller felsökningar) vidtas av Personuppgiftsbiträdet i Behandlingen, vilka kan väntas påverka Behandlingen, ska Personuppgiftsbiträdet skriftligt informera den Personuppgiftsansvarige om detta i enlighet med vad stadgas om meddelanden i punkten 19 i PUB-avtalet. Informationen ska lämnas i god tid innan åtgärderna vidtas.

2.11 Personuppgiftsincidenter

2.11.1 Personuppgiftsbiträdet ska ha förmåga att återställa tillgängligheten och tillgången till Personuppgifterna i rimlig tid vid en fysisk eller teknisk incident enligt artikel 32.1.c i Dataskyddsförordningen.

2.11.2 Personuppgiftsbiträdet åtar sig att med beaktande av Behandlingens art, och den information som Personuppgiftsbiträdet har att tillgå, bistå den Personuppgiftsansvarige med att fullgöra dennes skyldigheter vid en Personuppgiftsincident beträffande Behandlingen. Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran även bistå med att utreda misstankar om eventuell obehörigs Behandling och/eller åtkomst till Personuppgifterna.

2.11.3 Vid Personuppgiftsincident, vilken Personuppgiftsbiträdet fått vetskap om, ska Personuppgiftsbiträdet utan onödigt dröjsmål skriftligen underrätta den Personuppgiftsansvarige om händelsen. Personuppgiftsbiträdet ska, med beaktande av typen av Behandling och den information som Personuppgiftsbiträdet har att tillgå, tillhandahålla den Personuppgiftsansvarige en skriftlig beskrivning av Personuppgiftsincidenten.

Beskrivningen ska redogöra för:

1. Personuppgiftsincidentens art och, om möjligt, de kategorier och antalet Registrerade som berörs samt kategorier och antalet personuppgiftsposter som berörs,

2. de sannolika konsekvenserna av Personuppgiftsincidenten, och

3. åtgärder som har vidtagits eller föreslagits samt åtgärder för att mildra Personuppgiftincidentens potentiella negativa effekter.

2.11.4 Om det inte är möjligt för Personuppgiftsbiträdet att tillhandahålla hela beskrivningen samtidigt, enligt punkten 2.11.3 i PUB-avtalet, får beskrivningen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.

2.12 Underbiträde

2.12.1 Personuppgiftsbiträdet äger rätt att anlita den eller de Underbiträden som framgår av bilagd förteckning över Underbiträden, Bilaga B.

2.12.2 Personuppgiftsbiträdet åtar sig att teckna ett skriftligt avtal med Underbiträdet som reglerar Behandlingen som Underbiträdet utför å den Personuppgiftsansvariges vägnar samt att endast anlita Underbiträden som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder så att Behandlingen uppfyller kraven i Dataskyddsförordningen. I fråga om dataskydd ska avtalet ålägga Underbiträdet samma skyldigheter som åläggs Personuppgiftsbiträdet i detta PUB-avtal.

2.12.3 Personuppgiftsbiträdet ansvarar fullt ut för Underbiträdets Behandling gentemot den Personuppgiftsansvarige.

2.12.4 Personuppgiftsbiträdet äger rätt att anlita nya underbiträden och ersätta befintliga underbiträden under förutsättning att den Personuppgiftsansvarige inte invänder mot sådant nytt underbiträde enligt punkten 2.12.6 nedan.

2.12.5 När Personuppgiftsbiträdet avser att anlita ett nytt eller ersätta ett befintligt Underbiträde ska Personuppgiftsbiträdet säkerställa Underbiträdets kapacitet och förmåga att uppfylla sina skyldigheter enligt Dataskyddslagstiftningen. Personuppgiftsbiträdet ska skriftligen meddela den Personuppgiftsansvarige om

1. Underbiträdets namn, organisationsnummer och säte (adress och land),

2. vilken typ av uppgifter och kategorier av Registrerade som behandlas, och

3. var Personuppgifterna ska behandlas.

2.12.6 Den Personuppgiftsansvarige äger rätt att inom trettio (30) dagar från dag för meddelande enligt punkten 2.12.5 invända mot Personuppgiftsbiträdets anlitande av ett nytt underbiträde. Personuppgiftsbiträdet ska förse den Personuppgiftsansvarige med den information som den Personuppgiftsansvarige skäligen kan begära för att bedöma om efterlevnad av skyldigheterna enligt detta PUB-avtal och Dataskyddslagstiftning kan säkerställas om det föreslagna underbiträdet anlitas. Om efterlevnaden av dessa skyldigheter, enligt den Personuppgiftsansvariges befogade bedömning, inte möjliggörs genom det föreslagna underbiträdet får Personuppgiftsbiträdet inte anlita det föreslagna underbiträdet.

2.12.7 När Personuppgiftsbiträdet upphör med att anlita Underbiträdet ska Personuppgiftsbiträdet skriftligen meddela den Personuppgiftsansvarige om att det upphör med att anlita Underbiträdet.

2.12.8 Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran översända en kopia av det avtal som reglerar Behandling av Underbiträdets Behandling av Personuppgifter enligt punkten 2.12.2.

2.13 Lokalisering och överföring av personuppgifter till tredje land

2.13.1 Personuppgiftsbiträdet ska säkerställa att Personuppgifterna hanteras och lagras inom EU/EES av en fysisk eller juridisk person som är etablerad inom EU/EES, om inte PUB-avtalets Parter kommer överens om något annat.

2.13.2 Personuppgiftsbiträdet äger endast rätt att överföra Personuppgifter till Tredje land för Behandling (t.ex. service, support, underhåll, utveckling, drift eller liknande hantering) om den Personuppgiftsansvarige på förhand skriftligen godkänt sådan överföring och utfärdat Instruktioner för detta ändamål.

2.13.3 Överföring till Tredje land för Behandling enligt PUB-avtalet, punkten 2.13.2, får endast ske om den är förenlig med Dataskyddslagstiftningen och uppfyller de krav på Behandlingen vilka ställs i PUB-avtalet och Instruktioner.

2.14 Ansvar för skada i samband med behandling

2.14.1 Vid ersättning för skada i samband med Behandling som, genom fastställd dom eller förlikning, ska utgå till den Registrerade på grund av överträdelse av bestämmelse i PUB-avtalet, Instruktioner och/eller tillämplig bestämmelse i Dataskyddslagstiftningen ska artikel i 82 i Dataskyddsförordningen tillämpas.

2.14.2 Sanktionsavgifter enligt artikel 83 i Dataskyddsförordningen, eller 6 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ska bäras av den av PUB-avtalets Parter som påförts en sådan avgift.

2.14.3 Om endera Part får kännedom om omständighet som kan leda till skada för motparten ska Parten omedelbart informera motparten om förhållandet och aktivt arbeta tillsammans med motparten för att förhindra och minimera sådan skada.

2.14.4 Oaktat vad sägs i Avtalet gäller detta PUB-avtal, punkterna 2.14.1 och 2.14.2, före andra regler om fördelning mellan Parterna av krav sinsemellan såvitt avser Behandlingen.

2.15 Lagval och tvistlösning

2.15.1 För detta avtal gäller svensk rätt. Eventuell tolkning eller tvist i anledning av PUB- avtalet, som Parterna inte kan lösa på egen hand, ska avgöras i enlighet med bestämmelserna i Avtalet.

2.16 PUB-avtalets avtalstid

2.16.1 Bestämmelserna i detta PUB-avtal ska gälla så länge som Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning i enlighet med Avtalet.

2.17 Ändringar m.m.

2.17.1 Endera Part i PUB-avtalet äger rätt att påkalla omförhandling av PUB-avtalet om motpartens ägarförhållanden ändras väsentligt eller om tillämplig lagstiftning, eller tolkningen av den, ändras på ett för Behandlingen avgörande sätt. Påkallande av omförhandling enligt första meningen innebär inte att PUB-avtalet till någon del upphör att gälla utan endast att en omförhandling om PUB-avtalet ska påbörjas.

2.17.2 Tillägg till, och ändringar i, PUB-avtalet och/eller Instruktion ska vara skriftliga och undertecknade av båda Parter.

2.17.3 När någon av Parterna får kännedom om att motparten agerar i strid med PUB- avtalet och/eller Instruktioner ska Parten utan dröjsmål meddela motparten om agerandet. Därefter äger Parten rätt att med omedelbar verkan upphöra att utföra sina förpliktelser enligt PUB-avtalet till den tidpunkt motparten förklarat att agerandet upphört och förklaringen accepterats av den Part som påtalat agerandet.

2.18 Åtgärder när personuppgiftsbehandlingen avslutas

2.18.1 När Avtalet upphör att gälla ska den Personuppgiftsansvarige utan onödigt dröjsmål begära att Personuppgiftsbiträdet överlämnar samtliga Personuppgifter till den Personuppgiftsansvarige eller raderar dem, enligt dennes önskemål. Om Personuppgifterna överlämnas ska det ske i ett öppet och standardiserat format. Med samtliga Personuppgifter avses alla Personuppgifter vilka har omfattats av Behandlingen samt annan tillhörande information såsom loggar, Instruktioner, systemlösningar, beskrivningar och andra handlingar som Personuppgiftsbiträdet erhållit genom informationsutbyte enligt PUB-avtalet.

2.18.2 Överlämning och radering enligt PUB-avtalet, punkten 2.18.1, ska vara utförda senast trettio (30) dagar räknat från den tidpunkt då Avtalet upphört att gälla.

2.18.3 Behandling som utförs av Personuppgiftsbiträdet efter den tidpunkt som stadgas i punkten 2.18.2 är att betrakta som en otillåten Behandling.

2.18.4 Bestämmelser om sekretess/tystnadsplikt i punkten 2.8 enligt detta PUB-avtal ska fortsätta gälla även om PUB-avtalet i övrigt upphör av gälla.

2.19 Meddelanden inom ramen för detta PUB-avtal och instruktioner

2.19.1 Meddelanden om PUB-avtalet och dess administration ska skickas till respektive Parts kontaktperson för PUB-avtalet.

2.19.2 Meddelanden om Xxxxxxxxx samarbete om dataskydd, gällande Behandlingen, ska skickas till respektive Parts kontaktperson för Xxxxxxxxx samarbete om dataskydd.

2.19.3 Meddelanden inom ramen för PUB-avtalet och Instruktioner ska skickas skriftligt. Ett meddelande ska anses ha kommit fram till mottagaren senast en (1) arbetsdag efter att meddelandet har skickats.

2.20 Kontaktpersoner

2.20.1 Parterna ska utse var sin kontaktperson för PUB-avtalet.

2.20.2 Parterna ska utse var sin kontaktperson för Parternas samarbete om dataskydd.

2.21 Ansvar för uppgifter om Parterna, kontaktpersoner samt kontaktuppgifter

2.21.1 Varje Part ansvarar för att de uppgifter som anges i punkten 2.1 i PUB-avtalet alltid är aktuella. Ändring av uppgifter i punkten 2.1 ska meddelas skriftligen enligt punkten 2.19.1 i PUB-avtalet.

PUB-avtalet har upprättats i två originalexemplar, varav Parterna tagit var sitt.

Ort:		Ort:
Datum:		Datum:
SVEDALA KOMMUN		TRELLEBORGS KOMMUN
Xxxxx Xxxxxx Hallrup		Xxxx Xxxxxxxxx Xxxxx

Bilaga A Instruktion

Ändamål Ange alla ändamål för vilka personuppgifterna ska behandlas av Personuppgiftsbiträdet	Tillhandahållande av tjänster enligt Xxxxxxx.
Kategorier av uppgifter Ange vilka personuppgifter som ska behandlas av Personuppgiftsbiträdet	Namn, personnummer, kontaktuppgifter, adress, uppgifter om ekonomi, studier, familjeförhållanden, hälsa (fysisk och psykisk), politisk åskådning, religiös åskådning, medborgarskap, uppgifter ur belastningsregistret.
Kategorier av registrerade Ange för vilka kategorier av registrerade som Personuppgiftsbiträdet kommer att behandla personuppgifter	Sökande av ekonomiskt bistånd i Svedala kommun.
Behandlingsaktiviteter Ange vilka behandlingsaktiviteter som kommer att utföras av Personuppgiftsbiträdet.	Personuppgiftsbiträdet kommer att ta emot, registrera, lagra, framta, överföra, använda och radera personuppgifter i enlighet med vad som framgår av Avtalet och den Personuppgiftsansvariges instruktioner
Plats för behandling av personuppgifterna Ange alla platser där personuppgifter kommer att behandlas av Personuppgiftsbiträdet.	Sverige.
Informationssäkerhet	Personuppgifterna kommer registreras, lagras och hanteras genom Personuppgiftsbiträdets egna databaser, och ärendehanteringssystem samt i andra system som Personuppgiftsansvarige hänvisar till. Systemet som Personuppgiftsbiträde använder i behandlingen av personuppgifter måste leva upp till BITS 2006:1. Loggkontroller av Personuppgiftsbiträdets IT-system görs av Personuppgiftsbiträdet, loggkontroller av Personuppgiftsansvariges IT-system görs av Personuppgiftsansvarige. Loggkontroller skall göras regelbundet.
Instruktioner avseende gallring	Personuppgiftsbiträdet ska tillämpa 12 kap. SoL vid gallring av uppgifter. Gallring av uppgifter kring

arbetsmarknadsinsatser sker i enlighet med gällande dokument-/informationshanteringsplan.

Bilaga B

På förhand godkända underbiträden

Underbiträde	Plats för behandlingen
Sokigo AB, org. nr. 556550-6309	Sverige
Tieto Sweden AB, org. nr.556052-7466	Sverige