Personuppgiftsbiträdesavtal

Personuppgiftsbiträdesavtal - WiseGent

Parter

Personuppgiftsansvarig och Personuppgiftsbiträde benämns nedan gemensamt "Parterna" och var för sig "Part". Gäller från den dag Kunden accepterar Huvudavtalet och detta Biträdesavtal elektroniskt, till exempel genom registrering, order, avtalad onboarding eller annan dokumenterad accept.

1. Bakgrund och syfte

Parterna har ingått, eller avser att ingå, ett avtal om Leverantörens tillhandahållande av WiseGent, en molnbaserad SaaS-plattform för städ- och serviceföretag ("Huvudavtalet").

Inom ramen för Huvudavtalet behandlar Leverantören personuppgifter för Kundens räkning. Detta Biträdesavtal reglerar sådan behandling och syftar till att uppfylla kraven i GDPR, särskilt artikel 28, samt annan tillämplig dataskyddslagstiftning.

Vid konflikt mellan Huvudavtalet och Biträdesavtalet ska Biträdesavtalet ha företräde i frågor som rör behandling av personuppgifter för Kundens räkning.

2. Definitioner

Begrepp som används i Biträdesavtalet och som definieras i GDPR ska ha samma betydelse som i GDPR, om inte annat uttryckligen anges.

Med "Underbiträde" avses en tredje part som Leverantören anlitar för att behandla personuppgifter för Kundens räkning.

Med "Tillämplig dataskyddslagstiftning" avses GDPR, lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning samt föreskrifter och beslut från behörig tillsynsmyndighet.

3. Föremål, varaktighet och instruktioner

Föremålet för behandlingen, behandlingens art och ändamål, typer av personuppgifter och kategorier av registrerade anges i Bilaga 1.

Biträdesavtalet gäller så länge Leverantören behandlar personuppgifter för Kundens räkning enligt Huvudavtalet.

Leverantören får endast behandla personuppgifter enligt Kundens dokumenterade instruktioner, detta Biträdesavtal inklusive bilagor samt skriftliga uppdateringar som Parterna kommer överens om.

Om Leverantören anser att en instruktion strider mot Tillämplig dataskyddslagstiftning ska Leverantören utan onödigt dröjsmål informera Kunden.

Om Leverantören enligt unionsrätt eller nationell rätt måste behandla personuppgifter utanför Kundens instruktioner ska Leverantören informera Kunden om kravet innan behandlingen, om sådan information inte är förbjuden enligt lag.

4. Personuppgiftsbiträdets skyldigheter

Leverantören ska:

• behandla personuppgifter endast enligt Kundens dokumenterade instruktioner;
• säkerställa att personer med behörighet att behandla personuppgifter omfattas av lämplig konfidentialitetsförpliktelse;
• vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32 GDPR, med utgångspunkt i Bilaga 2;
• respektera villkoren för anlitande av Underbiträden enligt punkt 6;
• bistå Kunden, med hänsyn till behandlingens art, med att hantera registrerades rättigheter enligt GDPR;
• bistå Kunden med skyldigheter enligt artiklarna 32-36 GDPR i den utsträckning Leverantören har relevant information;
• på Kundens val radera eller återlämna personuppgifter efter avslutad behandling enligt punkt 12;
• tillhandahålla information som behövs för att visa efterlevnad av artikel 28 GDPR och bidra till granskningar enligt punkt 9.

5. Konfidentialitet

Leverantören ska säkerställa att anställda, konsulter och andra personer som behandlar personuppgifter under Leverantörens ansvar omfattas av avtalad konfidentialitet eller lagstadgad tystnadsplikt.

Konfidentialitetsåtagandet gäller även efter att Biträdesavtalet upphört.

6. Underbiträden

Kunden ger Leverantören ett allmänt skriftligt förhandsgodkännande att anlita de Underbiträden som anges i Bilaga 2, i den mån respektive funktion eller integration används för Kunden.

Leverantören ska informera Kunden om planerade tillägg eller utbyte av Underbiträden minst trettio (30) dagar i förväg, så att Kunden kan göra invändningar.

Om Kunden har sakliga skäl att invända ska Parterna samarbeta för att hitta en kommersiellt rimlig lösning. Om lösning inte nås får Kunden säga upp den del av Huvudavtalet som påverkas av Underbiträdet.

Leverantören ska genom skriftligt avtal ålägga Underbiträdet dataskyddsskyldigheter som motsvarar skyldigheterna i detta Biträdesavtal.

Leverantören ansvarar gentemot Kunden för Underbiträdets behandling i enlighet med artikel 28.4 GDPR.

7. Säkerhet vid behandlingen

Leverantören ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Åtgärderna anges på en övergripande nivå i Bilaga 2 och ska anpassas efter tjänstens art, tillgänglig teknik och den faktiska risken.

Säkerhetsåtgärder som kräver stöd från tredje part, exempelvis kryptering, loggning, stark autentisering eller fysisk säkerhet, tillämpas i den utsträckning de är tillgängliga och kontrollerbara i respektive system eller leverantörsmiljö.

8. Personuppgiftsincidenter

Leverantören ska utan onödigt dröjsmål underrätta Kunden efter att Leverantören fått kännedom om en personuppgiftsincident som rör Kundens personuppgifter. Underrättelse ska normalt ske inom tjugofyra (24) timmar efter bekräftad incident när det är praktiskt möjligt.

Underrättelsen ska, i den mån informationen är tillgänglig, innehålla incidentens art, berörda kategorier av registrerade och personuppgiftsposter, sannolika konsekvenser, vidtagna eller föreslagna åtgärder samt kontaktpunkt för vidare information.

Om all information inte kan lämnas samtidigt ska information lämnas successivt utan onödigt dröjsmål.

Leverantören ska bistå Kunden med den information Kunden rimligen behöver för att uppfylla sina skyldigheter enligt artiklarna 33-34 GDPR.

9. Granskning, revision och inspektion

Leverantören ska på Kundens begäran tillhandahålla information som är nödvändig för att visa att skyldigheterna enligt artikel 28 GDPR och detta Biträdesavtal uppfylls.

Granskningar ska aviseras skriftligen minst trettio (30) dagar i förväg, genomföras under normal kontorstid och på ett sätt som inte oskäligt stör Leverantörens verksamhet eller andra kunders sekretess och säkerhet.

Kunden står för egna kostnader. Leverantören har rätt till skälig ersättning för sin tid och sina kostnader, om granskningen inte föranleds av en personuppgiftsincident som Leverantören orsakat.

Kunden kan godta att Leverantören tillhandahåller relevanta tredjepartsintyg, säkerhetsdokumentation eller sammanfattningar i stället för platsrevision, om detta ger tillräcklig insyn i den aktuella behandlingen.

10. Överföring till tredjeland

Personuppgifter får endast överföras utanför EU/EES om överföringen sker enligt kapitel V GDPR, exempelvis genom beslut om adekvat skyddsnivå, EU-kommissionens standardavtalsklausuler eller annan laglig överföringsmekanism med nödvändiga kompletterande åtgärder.

Leverantören eftersträvar behandling inom EU/EES för primär drift och lagring. Eventuella tredjelandsmoment, till exempel support, loggning, e-postleverans eller globala molntjänster, anges i Bilaga 2.

11. Bistånd till Kunden

Leverantören ska, med beaktande av behandlingens art och tillgänglig information, bistå Kunden med:

• begäran från registrerade enligt artiklarna 12-22 GDPR;
• säkerhet vid behandling enligt artikel 32 GDPR;
• hantering av personuppgiftsincidenter, inklusive anmälan enligt artikel 33 GDPR och kommunikation till registrerade enligt artikel 34 GDPR;
• konsekvensbedömningar enligt artikel 35 GDPR;
• förhandssamråd med tillsynsmyndighet enligt artikel 36 GDPR, när sådant är relevant.

Leverantören har rätt till skälig ersättning för bistånd som går utöver Leverantörens obligatoriska skyldigheter enligt artikel 28 GDPR och som inte beror på Leverantörens avtalsbrott.

12. Återlämnande och radering

Vid Biträdesavtalets upphörande ska Leverantören, enligt Kundens skriftliga val, antingen återlämna eller radera personuppgifter som behandlats för Kundens räkning.

Radering eller återlämning av aktiv kunddata ska ske inom trettio (30) dagar från Biträdesavtalets upphörande, om inte annat skriftligen avtalats eller lagring krävs enligt lag.

Personuppgifter som finns i säkerhetskopior, tekniska loggar eller revisionsloggar raderas genom ordinarie rotations- och gallringscykler. Sådana kopior används inte aktivt för andra ändamål och skyddas mot obehörig åtkomst. Activity logs gallras normalt efter 180 dagar och säkerhetskopior kan bevaras enligt backupcykel upp till tjugofyra (24) månader.

Leverantören ska på begäran skriftligen bekräfta att radering har genomförts i enlighet med denna punkt.

13. Ansvar och skadestånd

Parternas ansvar och skadeståndsskyldighet enligt Biträdesavtalet regleras av Huvudavtalet och Tillämplig dataskyddslagstiftning.

Vid brist på reglering i Huvudavtalet gäller artikel 82 GDPR och allmänna principer enligt svensk rätt.

Vardera Part ansvarar för administrativa sanktionsavgifter som åläggs Parten av tillsynsmyndighet, om inte annat följer av tvingande lag.

14. Ändringar och tillägg

Ändringar och tillägg till Biträdesavtalet ska vara skriftliga för att vara bindande.

Om lagstiftning, praxis eller tjänstens faktiska behandling ändras ska Parterna i god tro anpassa Biträdesavtalet i nödvändig utsträckning.

15. Tillämplig lag och tvist

Svensk rätt ska tillämpas på Biträdesavtalet, utan tillämpning av lagvalsregler.

Tvister med anledning av Biträdesavtalet ska avgöras enligt den tvistlösningsordning som anges i Huvudavtalet. Om Huvudavtalet saknar sådan reglering ska tvist avgöras av svensk allmän domstol med Stockholms tingsrätt som första instans.