Personuppgiftsbiträdesavtal

Personuppgiftsbiträdet iP.1 Networks AB (556671-1536) (Nedan kallad "Personuppgiftsbiträdet") Personuppgiftsansvarig Kunden (Nedan kallad "Personuppgiftsansvarig")

Personuppgiftsbiträdet och den personuppgiftsansvarige har undertecknat (nedan kallat "Huvudavtal"). Avtalet gäller oavsett om Kunden agerar som personuppgiftsansvarig eller som personuppgiftsbiträde gentemot egen personuppgiftsansvarig. iP.1 agerar därmed som personuppgiftsbiträde eller underbiträde beroende på Kundens roll i förhållande till den personuppgiftsansvarige. För att uppnå Huvudavtalets mål är det nödvändigt att Personuppgiftsbiträdet behandlar nedan definierade personuppgifter som insamlats och tillhandahållits av den Personuppgiftsansvarige. I detta avtal fastställs villkoren för hur dessa personuppgifter ska behandlas. Med ”personuppgifter” avses all information som anknyter till en identifierad eller identifierbar fysisk person (nedan kallad ”den registrerade”). En identifierbar person avser en fysisk person som direkt eller indirekt kan identifieras, särskilt på grundval av identifieringsuppgifter såsom namn, personbeteckning, lokaliseringsuppgifter, online-identifikatorer eller en eller flera fysiska, fysiologiska, genetiska, mentala, ekonomiska eller sociala faktorer som kännetecknar honom eller henne. Med "behandling av personuppgifter" avses verksamhet eller verksamheter som är riktade mot personuppgifter eller datauppsättningar som innehåller personuppgifter, antingen genom automatiserad databehandling eller manuellt, såsom insamling, sparande, organisering, analysering, lagring, modifiering eller ändring, sökning, efterfrågning, användning, utlämnande av information genom överföring, spridning eller på annat sätt göra tillgänglig, samordning eller sammanställning, begränsning, radering eller förstöring av data. Med "tredje land" avses en stat som inte ingår i Europeiska Unionen (EU) eller inte är ansluten till Europeiska Ekonomiska Samarbetsområdet (EES). I det avtalsförhållande som avses i detta avtal är den Personuppgiftsansvarige den part som fastställer uppgifterna och som definierar ändamål och metoder för behandling av personuppgifter, och Personuppgiftsbiträdet en teknisk aktör som behandlar personuppgifter som en del av Huvudavtalet för den Personuppgiftsansvariges räkning.

Den Personuppgiftsansvarige

a. ansvarar för insamlingen av personuppgifter,

b. behandlar personuppgifterna lagenligt, noggrant och i enlighet med god databehandlingssed, och agerar

annars också på ett sådant sätt att skyddet av de registrerades privatliv och andra grundläggande rättigheter

som tryggar skyddet av privatlivet inte begränsas utan rättslig motivering,

c. definierar ändamål och metoder att behandla personuppgifter och ger skriftliga instruktioner till Personuppgiftsbiträdet om behandlingen av personuppgifter. Ändamålet med behandlingen av personuppgifter ska visa i vilken typ av uppdrag personuppgifterna behandlas;

d. ansvarar för att de registrerade förses med alla meddelanden och all information som krävs enligt lag gällande behandlingen av personuppgifter,

e. ansvarar för förverkligandet av de registrerades rättigheter,

f. — ser till att överföringen av personuppgifter till Personuppgiftsbiträdet och behandlingen av personuppgifter i enlighet med detta avtal är lagenlig under hela avtalets giltighetstid,

g. säkrar att, om hen i detta avtal representerar sina koncernbolag eller tredje parter, har hen rätt att förbinda sig till detta avtal och ge Personuppgiftsbiträdet rätt att behandla personuppgifterna i enlighet med detta avtal och Huvudavtalet,

h. — bekräftar och ansvarar för att behandlingen av personuppgifter enligt detta avtal efterlevs med de rättsliga

kraven, inklusive kraven om informationssäkerhet,

i. bekräftar att den har gett Personuppgiftsbiträdet all nödvändig information så att Personuppgiftsbiträdet kan uppfylla de skyldigheter som åläggs den genom detta avtal i enlighet med kraven i dataskyddslagstiftningen, och

j. ansvarar för att korrigeringar, raderingar och ändringar av personuppgifterna utan dröjsmål ges till Personuppgiftsbiträdet.

Personuppgiftsbiträdet

a. behandlar personuppgifter endast för de ändamål som anges i Huvudavtalet och detta avtal, och bara i den utsträckning som krävs för den i uppdraget angivna tjänsten som tillhandahålls av för att uppfylla Huvudavtalets ändamål och endast under detta avtals giltighetstid, med förbehåll för obligatorisk lagstiftning. Personuppgiftsbiträdet har inte rätt att i sin egen verksamhet använda de personuppgifter som hen tagit emot, att lämna ut dem, att behandla dem, ej heller kombinera uppgifterna med något material som den har, förutom i den utsträckning och i utförandet av det uppdrag som avses i Huvudavtalet,

b. behandlar personuppgifterna lagenligt, noggrant och i enlighet med god databehandlingssed, och agerar annars också på ett sådant sätt att skyddet av de registrerades privatliv och andra grundläggande rättigheter som tryggar skyddet av privatlivet inte begränsas utan rättslig motivering,

c. behandlar och verifierar att en person som arbetar för den och har tillgång till personuppgifter, endast behandlar personuppgifterna i enlighet med dokumenterade, lagenliga och rimliga instruktioner som utfärdats av den Personuppgiftsansvarige. Undantag kan göras om det krävs enligt gällande tvingande lagstiftning, men i sådana fall måste Personuppgiftsbiträdet utan dröjsmål informera den Personuppgiftsansvarige om undantaget, förutsatt att sådan information inte är förbjuden enligt gällande lag,

d. _ ser till att personuppgifter endast behandlas av personer vars arbetsuppgifter förutsätter det, och att ifrågavarande personer har åtagit sig att iaktta tystnadsplikt eller är bundna av lämplig lagenlig sekretess,

e. vidtar alla lagenliga säkerhetsåtgärder som är nödvändiga för personuppgiftsbiträden i enlighet med det som närmare överenskommits i detta avtal,

f. bistår, i möjligaste mån och med hänsyn till behandlingens art, den Personuppgiftsansvarige med lämpliga tekniska och organisatoriska åtgärder för att fullgöra kundens skyldighet att svara på förfrågningar som rör

utövandet av de registrerades rättigheter,

g. hjälper, med beaktande av behandlingens art och Personuppgiftsbiträdets tillgängliga information, den Personuppgiftsansvarige att säkerställa att de lagenliga skyldigheter som åläggs den Personuppgiftsansvarige som innefattar, men inte begränsas till informationssäkerhetsåtgärder, konsekvensbedömning, incidentrapportering samt förhandssamråd, fullgörs. Personuppgiftsbiträdet är skyldig att bistå den Personuppgiftsansvarige endast enligt tillämplig lagstiftning i den utsträckning som anges i de skyldigheter som åläggs Personuppgiftsbiträdet,

h. — beaktar de korrigeringar, raderingar och ändringar av uppgifterna som tillhandahålls av den Personuppgiftsansvarige i behandlingen av personuppgifter utan onödigt dröjsmål,

i. förstör eller returnerar, under detta avtal eller när det upphört, till den Personuppgiftsansvarige, i enlighet med kundens val och instruktioner, alla personuppgifter och raderar befintliga kopior, med förbehåll för obligatorisk lagstiftning. Metoderna för förstörande och returnering kan avtalas separat mellan parterna;

j. . underhåller nödvändiga rapporter eller register över behandlingsåtgärder och gör all sådan information tillgänglig för den Personuppgiftsansvarige som visar att Personuppgiftsbiträdet uppfyller sina skyldigheter enligt detta avtal och tillämplig lag,

k. _ tillåter granskningar som utförts av den Personuppgiftsansvariges eller den Personuppgiftsansvariges auktoriserade revisor och deltar i dem enligt vad som närmare överenskommits i detta avtal,

I... meddelar den Personuppgiftsansvarige om Personuppgiftsbiträdet anser att de anvisningar som utfärdats av den Personuppgiftsansvarige bryter mot gällande lagstiftning,

m. . underrättar den Personuppgiftsansvarige om Personuppgiftsbiträdet anser att det finns brister i den Personuppgiftsansvariges verksamhetsmetoder och hjälper vid behov den Personuppgiftsansvarige att rätta till praxis. Personuppgiftsbiträdet har rätt att fakturera de åtgärder och kostnader som uppstår i de ovannämnda hjälp-, korrigerings- och svarsåtgärderna, för stöd vid revisionen samt ändringarna i kundens anvisningar.

n. — bereder tillsynsmyndighet eller annan myndighet som har laglig rätt till det, möjlighet att göra tillsyn enligt myndighetens begäran i enlighet med vid var tid gällande lagstiftning, även om sådan tillsyn annars skulle stå i strid med bestämmelserna i Huvudavtalet eller detta avtal. Den Personuppgiftsansvarige ska omedelbart informeras om detta.

Personuppgiftsbiträdet kan som regel använda underbiträden vid behandlingen av personuppgifter på grundval av detta avtal. Med “underbitrade” avses en person som behandlar personuppgifter i enlighet med detta avtal, helt eller delvis för Personuppgiftsbiträdets räkning och på uppdrag av denne.

De underbiträden som ska användas i behandlingen har meddelats den Personuppgiftsansvarige före undertecknandet av detta avtal. Personuppgiftsbiträdet ska informera den Personuppgiftsansvarige om alla planerade ändringar som gäller tillägg eller byte av underbiträden och därigenom ge den Personuppgiftsansvarige möjlighet att invända mot sådana ändringar.

Personuppgiftsbiträdet ingår ett skriftligt behandlingsavtal med underbiträdet och kräver att alla underbiträden följer de skyldigheter som ålagts Personuppgiftsbiträdet i detta avtal gällande dataskydd eller skyldigheter som garanterar en likvärdig nivå av dataskydd. underbiträden behandlar personuppgifter endast i enlighet med ett skriftligt avtal. Personuppgiftsbiträdet ansvarar för sina underbiträders åtgärder som för sina egna.

Personuppgiftsbiträdet har rätt att överföra personuppgifter till tredje land som Europeiska kommissionen har konstaterat garanterar en tillräcklig nivå av dataskydd, endast med den Personuppgiftsansvariges skriftliga samtycke på förhand. Om uppgifterna överförs till tredje land, ingår Personuppgiftsbiträdet ett avtal med nödvändiga parter om överföring av personuppgifter i enlighet med kraven i gällande lag. Avtalet om överföring av personuppgifter utformas enligt de standardavtalsklausuler som godkänts av Europeiska kommissionen. Som ett alternativ till användningen av standardavtalsklausuler kan överföringen ske på grundval av andra överföringskriterier som antagits genom tillämplig lagstiftning. I händelse av konflikt mellan standardavtalsklausulerna eller någon annan rättslig överföringsprincip och detta avtal eller Huvudavtal, har standardklausulerna och alternativa överförings-principer alltid företräde framom detta avtal och Huvudavtalet.

Den Personuppgiftsansvarige har rätt att granska Personuppgiftsbiträdets databehandlingsaktiviteter enligt detta avtal. Personuppgiftsbiträdet ska bistå vid revisionen och enligt bästa förmåga delta i den. Den Personuppgiftsansvarige kan bemyndiga en extern revisor att utföra en revision, men sådana revisorer får inte vara Personuppgiftsbiträdets konkurrenter. Parterna skall i god tid enas om tidpunkten när revisionen ska utföras och andra detaljer. Revisionen ska utföras på ett sätt som inte hindrar Personuppgiftsbiträdets åtaganden gentemot tredje man. Alla den Personuppgiftsansvariges representanter och externa revisorer som deltar i revisionen måste underteckna sedvanligt sekretessavtal till förmån för Personuppgiftsbiträdet. Den Personuppgiftsansvarige ansvarar för alla kostnader som uppstår i revisionen. Personuppgiftsbiträdet har också rätt att fakturera den Personuppgiftsansvarige för medverkan i revisionen och annat extra arbete från revisionen.

Personuppgiftsbiträdet förbinder sig

a. att hemlighålla alla personuppgifter som den mottagit av den Personuppgiftsansvarige,

b. att säkerställa att de personer som har rätt att behandla personuppgifter är bundna av tystnadsplikt, samt

c. att säkerställa att personuppgifter inte överförs till tredje part utan föregående skriftligt medgivande från den

Personuppgiftsansvarige såvida inte Personuppgiftsbiträdet är skyldig att lämna ut uppgifterna på grundval av tvingande lagstiftning eller en myndighetsorder.

Om den registrerade eller en myndighet lämnar en begäran om personuppgifter, måste Personuppgiftsbiträdet så snart som rimligtvis är möjligt, meddela den Personuppgiftsansvarige om en sådan begäran innan han eller hon svarar på begäran eller vidtar andra åtgärder rörande personuppgifterna. Om den behöriga myndigheten kräver ett omedelbart svar, informerar Personuppgiftsbiträdet den Personuppgiftsansvarige om begäran så fort som möjligt efter att begäran har besvarats, om inte annat gäller enligt tvingande lag.

Ansvarsbegränsningar enligt Huvudavtalet tillämpas också på detta avtal. Om ansvarsbegränsningarna inte överenskommits i Huvudavtalet, ska de bestämmelser som överenskommits i detta kapitel gälla. Personuppgiftsbiträdet är ansvarig för direkta skador som uppkommit på grund av brott mot detta avtal eller brott mot dataskyddslagstiftningen och som åsamkats den Personuppgiftsansvarige. Personuppgiftsbiträdet ansvarar inte för indirekta skador, såsom inkomstbortfall, förlorad omsättning eller marknad, avbrott i produktionen eller tjänsten, utebliven vinst eller andra jämförbara skador. Om den registrerade lämnar in ett ersättningsanspråk till parten på grundval av behandlingen av personuppgifter, ska den andra parten utan dröjsmål informeras. Om Personuppgiftsbiträdet måste betala skadeersättning åt den registrerade, ska den Personuppgiftsansvarige ersätta Personuppgiftsbiträdet för den uppkomna förlusten i den mån detta inte beror på Personuppgiftsbiträdet eller underlåtenhet att följa avtalsvillkoren. Det maximala ansvarsbeloppet for Personuppgiftsbiträdet är dock alltid högst ett halvt (½) Prisbasbelopp för en olyckshändelse, såvida inte ett annat maximibelopp uttryckligen avtalats. En olycka anses vara en olyckshändelse, även om den har påverkats av att samma fel upprepats och även om den påverkar flera räkenskapsperioder. Avtalsbrott, fel eller försummelse leder inte till någon annan påföljd för Personuppgiftsbiträdet än det som angetts ovan. Alla anspråk gentemot Personuppgiftsbiträdet ska utan dröjsmål framföras skriftligt. Om ett fel eller en brist upptäcks eller framträder omedelbart, skall anspråket framställas genast och senast inom trettio (30) dagar efter observationen. Om ett specificerat anspråk inte har framförts till Personuppgiftsbiträdet inom sex (6) månader från det att skadan konstaterats, betalas ingen ersättning. Dessutom betalas ingen ersättning ut om anspråket görs efter mer än tre (3) år efter ett visst fel eller en viss brist. I samtliga fall ansvarar båda parter för de administrativa sanktioner som tillsynsmyndigheten eller den behöriga domstolen har ålagt den, och som i enlighet med ifrågavarande tillsynsmyndighet eller domstol är resultatet av att den berörda parten inte uppfyllt de krav eller skyldigheter som den ålagts genom dataskyddslagstiftningen.

. ee Oo

IP.1 Networks AB får endast behandla personuppgifter för de ändamål som uppgetts i Tjänsteavtalet eller i skriftligt tilläggsavtal som hänvisar till detta avtal och inte för något annat ändamål än vad som är nödvändigt för fullgörande av Tjänsteavtalet. Personuppgifter kommer att behandlas för att fullgöra användning av tjänster som beskrivs i Tjänsteavtalet. Fullgörandet kan bestå av att till exempel skicka SMS och enkäter, samt att vid åberopat behov kunna genomföra kundadministration och kundvård. För att kunna hålla personuppgifterna uppdaterade och korrekta, kan personuppgifterna inhämtas via kommersiella och offentliga register. Behandling av personuppgifter kan även komma att ske för att Personuppgiftsansvarige skall kunna uppfylla förpliktelser enligt lagar och förordningar, till exempel gällande säkerhet. För mer information om de personuppgifter som överförs och hantering av personuppgifter hänvisas till Integritetspolicy.

Personuppgiftsbiträdet behandlar följande personuppgiftskategorier:

• Namn

• —Organisationsuppgifter

• —Organisationsnummer

• Adressuppgifter

• Telefonnummer

• E-post

Dessutom behandlar Personuppgiftsbiträdet följande personuppgiftskategorier:

• Den Personuppgiftsansvarige har möjlighet att lagra känslig data i iP.1 system vid skickande av SMS eller lagring av kontaktdata utanför iP.1 Networks AB kontroll. Detta innefattar men är inte begränsat till följande punkter:

• Religion

• Politisk tillhörighet

• — Patientdata

Personuppgiftsbiträdet genomför och upprätthåller lämpliga tekniska och organisatoriska åtgärder för att säkerställa en adekvat säkerhetsnivå vid behandlingen av personuppgifter och för att skydda personuppgifterna från otillåten och olaglig behandling och oavsiktlig förlust, förstörelse, skada, förändring eller utlämning, med särskild hänsyn till den senaste tekniken och kostnaderna för utförandet, behandlingens art, omfattning, sammanhang och ändamål samt riskerna som avser fysiska personers rättigheter och friheter, med varierande sannolikhet och allvar.

Den Personuppgiftsansvarige är skyldig att säkerställa att Personuppgiftsbiträdet informeras om alla frågor som rör de personuppgifter som tillhandahållits av den Personuppgiftsansvarige (såsom riskbedömningar och behandling av särskilda personuppgiftskategorier), som påverkar de tekniska och organisatoriska åtgärderna enligt detta avtal. Informationssäkerhetsarrangemangen bedöms, granskas och uppdateras regelbundet.

Personuppgiftsbiträdet verifierar sin informationssäkerhet och den lagliga behandlingen av personuppgifter genom följande åtgärder.

Med ”personuppgiftsincident” avses ett brott mot informationssäkerheten som leder till oavsiktlig eller olaglig förstörelse, försvinnande, ändring, olovlig överlåtelse eller åtkomst av personuppgifter som överförts, lagrats eller på annat sätt behandlats. Personuppgiftsbiträdet ska utan dröjsmål meddela den Personuppgiftsansvarige om personuppgiftsincidenten, när Personuppgiftsbiträdet eller det underbiträde som använts har fått kännedom om överträdelsen. Om inte parterna kommit överens om något annat, ska anmälan göras till den kontaktperson som den Personuppgiftsansvarige separat angett.

Personuppgiftsbiträdet ska utan dröjsmål tillhandahålla den Personuppgiftsansvarige information om de omständigheter personuppgiftsincidenten lett till samt andra relaterade faktum som är tillgängliga för Personuppgiftsbiträdet i enlighet med den Personuppgiftsansvariges rimliga begäran.

I den mån informationen i fråga är tillgänglig för Personuppgiftsbiträdet ska meddelandet till den Personuppgiftsansvarige åtminstone innehålla:

a. en beskrivning av personuppgiftsincidenten, inklusive i möjligaste mån, grupper och uppskattat antal berörda registrerade, samt grupper och uppskattat antal personuppgiftstyper,

b. namn och kontaktuppgifter för den person som ansvarar för dataskyddet hos Personuppgiftsbiträdet,

c. en beskrivning av de sannolika konsekvenserna av informationssäkerhetsöverträdelsen, samt

d. en beskrivning av de åtgärder som Personuppgiftsbiträdet föreslår ska genomföras och/eller har genomfört på grund av personuppgiftsincidenten, vid behov också inklusive åtgärder för att mildra eventuella skadeverkningar. Om och i den mån det inte är möjligt att överlämna de uppgifter som anges ovan samtidigt, kan informationen överlämnas i etapper utan onödigt dröjsmål.

Avtalstiden är bunden till Huvudavtalets giltighetstid och upphör automatiskt när Huvudavtalet upphör av någon orsak. Personuppgiftsbiträdets rätt och skyldighet att behandla personuppgifter upphör att gälla när avtalet upphör. Om en part i detta avtal bryter mot detta avtal, har den andra parten rätt att säga upp Huvudavtalet och detta avtal, om parten som har brutit mot avtalet efter en skriftlig begäran från den andra parten inte inom sju (7) dagar har rättat till sitt förfarande och sörjt för att alla åtgärder vidtas för att undvika, åtgärda och ersätta konsekvenserna av överträdelsen. Skyldigheter som till sin natur är avsedda att fortsätta att gälla oberoende av när detta avtal upphör, till exempel tystnadsplikt, fortsätter att gälla oberoende av detta avtals upphörande.

Tvister om detta Avtal ska i första hand lösas genom samråd mellan Parterna. Om ingen för Parterna ömsesidigt tillfredsställande lösning kan nås genom samråd, avgörs tvisten i allmän domstol med Skaraborgs tingsrätt som första instans.

Svensk lag ska tillämpas på detta Avtal.