Biträdesavtal
Parterna i detta biträdesavtal anges i Huvudavtalet (KLERI kundavtal), där KLERI är personuppgiftsbiträde och kunden är personuppgiftsansvarig. Parterna godkänner att Huvudavtalet har undertecknats elektroniskt via personuppgiftsbiträdets tjänst baserad på DocuSign, och att detta biträdesavtal utgör en bilaga till Huvudavtalet.
KLERI Personuppgiftsbiträdesavtal
1. Syftet med detta personuppgiftsbiträdesavtal
1.1 Detta avtal (”Personuppgiftsbiträdesavtalet”) fastställer parternas rättigheter och skyldigheter när Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning som en del av leveranserna under Huvudavtalet. Syftet med Personuppgiftsbiträdesavtalet är att säkerställa att parterna efterlever gällande dataskyddsregler.
Personuppgiftsbiträdesavtalet består av detta dokument samt Bilaga A, B, C och D.
1.2 Vid motstrid mellan Huvudavtalet och Personuppgiftsbiträdesavtalet har Personuppgiftsbiträdesavtalet företräde i frågor som specifikt rör behandling av personuppgifter. Vid motstrid mellan Personuppgiftsbiträdesavtalet och dess bilagor har bilagorna företräde.
1.3 Personuppgiftsbiträdesavtalets Bilaga A innehåller en närmare beskrivning av den behandling som ska utföras, inklusive ändamålet med behandlingen, kategorier av personuppgifter och registrerade, regler för radering och återlämning, parternas kontaktpersoner samt vilket eller vilka underliggande avtal som behandlingen av personuppgifter är kopplad till (se definitionen av Huvudavtalet nedan).
1.4 Bilaga B till personuppgiftsbiträdesavtalet innehåller villkor för användning av underbiträden samt en förteckning över godkända underbiträden.
1.5 Personuppgiftsbiträdesavtalets Bilaga C innehåller specifika instruktioner för behandling av personuppgifter under Huvudavtalet, däribland säkerhetsåtgärder och Personuppgiftsansvariges rätt till insyn och revision av Personuppgiftsbiträdet och eventuella underbiträden, samt sektorspecifika bestämmelser om behandling av personuppgifter.
1.6 Personuppgiftsbiträdesavtalets Bilaga D innehåller ändringar av standardtexten samt eventuella senare avtalade ändringar i personuppgiftsbiträdesavtalet.
2. Definitioner
Gällande integritetsregler: Den vid var tid gällande versionen av EU:s dataskyddsförordning (2016/679) (”dataskyddsförordningen”), samt lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) med tillhörande föreskrifter m.m., samt eventuell annan relevant lagstiftning som gäller behandling och skydd av personuppgifter och som anges i Bilaga C, punkt C.7.
Huvudavtalet: Ett eller flera avtal mellan Personuppgiftsansvarig och Personuppgiftsbiträde om tillhandahållande av tjänster som innebär behandling av personuppgifter, enligt närmare specifikation i Bilaga A. Personuppgiftsbiträdesavtalet kan omfatta flera underliggande avtal.
Underbiträde: Annan verksamhet som anlitas av Personuppgiftsbiträdet som underleverantör för behandling av personuppgifter enligt Huvudavtalet.
För personuppgiftsrelaterade begrepp som inte definieras i detta personuppgiftsbiträdesavtal gäller definitionerna i dataskyddsförordningens artikel 4.
3. Personuppgiftsansvariges skyldigheter och rättigheter
Personuppgiftsansvarig ansvarar för att behandlingen av personuppgifter sker i enlighet med gällande dataskyddsregler. I samband med detta ska personuppgiftsansvarig särskilt säkerställa att:
- Behandlingen av personuppgifter är ändamålsbestämd och baserad på en giltig rättslig grund;
- De registrerade har fått nödvändig information om behandlingen av personuppgifterna;
- Personuppgiftsansvarig har genomfört tillräckliga riskbedömningar; och
- Databehandlaren vid varje tidpunkt har tillräckliga instruktioner och information för att uppfylla sina skyldigheter enligt personuppgiftsbiträdesavtalet och gällande dataskyddsregler.
4. Personuppgiftsansvariges instruktioner till Personuppgiftsbiträdet
4.1 Personuppgiftsbiträdet ska behandla personuppgifterna i enlighet med gällande dataskyddsregler och den Personuppgiftsansvariges dokumenterade instruktioner, jfr punkt 4.2. Om annan behandling är nödvändig för att uppfylla förpliktelser som Personuppgiftsbiträdet är underställt enligt gällande rätt, ska Personuppgiftsbiträdet underrätta den Personuppgiftsansvarige så långt detta är tillåtet enligt lag, jfr dataskyddsförordningen artikel 28 (3) (a).
4.2 Den personuppgiftsansvariges instruktioner framgår av Huvudavtalet och Personuppgiftsbiträdesavtalet med bilagor. Personuppgiftsbiträdet ska omgående underrätta den personuppgiftsansvarige om denne anser att instruktionerna strider mot gällande dataskyddsregler, jfr. dataskyddsförordningen artikel 28 (3) (h).
4.3 Eventuella ändringar i instruktioner ska meddelas till Personuppgiftsbiträdet genom uppdatering av Bilaga D och ska implementeras av Personuppgiftsbiträdet senast vid den tidpunkt som parterna avtalar eller, om ingen konkret tidsfrist har avtalats, inom skälig tid. Personuppgiftsbiträdet kan kräva att Personuppgiftsansvarig täcker dokumenterade kostnader som uppstår i samband med implementeringen av sådana ändringar eller en proportionell justering av ersättningen enligt Huvudavtalet om den ändrade instruktionen innebär löpande extra kostnader för Personuppgiftsbiträdet. Detsamma gäller merkostnader till följd av ändringar i tillämplig dataskyddslagstiftning som rör den Personuppgiftsansvariges verksamhet.
5. Konfidentialitet och tystnadsplikt
5.1 Personuppgiftsbiträdet ska säkerställa att anställda och andra personer som har tillgång till personuppgifter är behöriga att behandla sådana personuppgifter för Personuppgiftsbiträdets räkning. Om en sådan behörighet upphör eller återkallas ska tillgången till personuppgifterna upphöra utan onödigt dröjsmål.
5.2 Personuppgiftsbiträdet får endast ge behörighet till personer som behöver tillgång till personuppgifterna för att kunna fullgöra Huvudavtalet, Personuppgiftsbiträdesavtalet samt eventuell annan behandling som krävs för att uppfylla de förpliktelser som Personuppgiftsbiträdet omfattas av enligt gällande rätt, se punkt 4 sista meningen.
5.3 Personuppgiftsbiträdet ska säkerställa att personer som är behöriga att behandla personuppgifter för den Personuppgiftsansvariges räkning omfattas av sekretess genom avtal eller lag. Sekretessplikten ska bestå även efter att avtalet och/eller anställningsförhållandet har upphört.
5.4 Databehandlaren ska på begäran från den personuppgiftsansvarige kunna dokumentera att berörda personer omfattas av ovan nämnda tystnadsplikt. 5.5 Vid upphörande av personuppgiftsbiträdesavtalet är databehandlaren skyldig att avveckla all åtkomst till personuppgifter som behandlas enligt avtalet.
6. Biträde till personuppgiftsansvarig
6.1 Personuppgiftsbiträdet ska på begäran bistå den personuppgiftsansvarige med att uppfylla de registrerades rättigheter enligt kapitel III i dataskyddsförordningen genom lämpliga tekniska eller organisatoriska åtgärder. Skyldigheten att bistå gäller dock endast i den utsträckning detta är möjligt och rimligt med hänsyn till karaktären och omfattningen av behandlingen av personuppgifter enligt huvudavtalet.
6.2 Personuppgiftsbiträdet ska utan dröjsmål vidarebefordra alla förfrågningar som Personuppgiftsbiträdet eventuellt tar emot från den registrerade rörande den registrerades rättigheter enligt gällande dataskyddsregler till Personuppgiftsansvarig. Sådana förfrågningar får endast besvaras av Personuppgiftsbiträdet när detta har godkänts skriftligen av Personuppgiftsansvarig.
6.3 Personuppgiftsbiträdet ska bistå den personuppgiftsansvarige med att uppfylla kraven avseende säkerhet vid behandling av personuppgifter enligt artiklarna 32–36 i dataskyddsförordningen, inklusive att bistå vid konsekvensbedömningar avseende dataskydd och förhandssamråd med Integritetsskyddsmyndigheten, med beaktande av arten av behandlingen och den information som personuppgiftsbiträdet har tillgång till under huvudavtalet.
6.4 Om Personuppgiftsbiträdet på Personuppgiftsansvariges begäran tillhandahåller bistånd enligt punkt 6.1 eller 6.3, och biståndet går utöver vad som krävs för att Personuppgiftsbiträdet ska uppfylla sina egna förpliktelser enligt gällande dataskyddsregler, har Personuppgiftsbiträdet rätt att få sina dokumenterade kostnader för biståndet täckta. Arbete debiteras i enlighet med prisbestämmelserna i Huvudavtalet.
7. Säkerhet vid behandlingen
7.1 Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att uppnå en tillfredsställande säkerhetsnivå med hänsyn till behandlingens art och omfattning, den tekniska utvecklingen, genomförandekostnader och aktuella risker för fysiska personers rättigheter och friheter. Personuppgiftsbiträdet ska som ett minimum vidta de åtgärder som anges i Bilaga C till personuppgiftsbiträdesavtalet.
7.2 Personuppgiftsbiträdet ska genomföra riskbedömningar för att säkerställa att en lämplig säkerhetsnivå upprätthålls vid varje tidpunkt. Personuppgiftsbiträdet ska i detta sammanhang säkerställa regelbunden testning, analys och utvärdering av säkerhetsåtgärderna, särskilt i syfte att säkerställa varaktig konfidentialitet, integritet, tillgänglighet och motståndskraft i behandlingssystem och tjänster, samt förmågan att snabbt återställa tillgängligheten till personuppgifterna vid incidenter.
7.3 Personuppgiftsbiträdet ska dokumentera riskbedömningen och säkerhetsåtgärderna samt göra dessa tillgängliga för den personuppgiftsansvarige på begäran. Vidare ska personuppgiftsbiträdet ge tillträde till sådan revision som avtalats mellan parterna, jfr punkt 11 i personuppgiftsbiträdesavtalet.
8. Anmälan om personuppgiftsincident
8.1 Personuppgiftsbiträdet ska utan onödigt dröjsmål skriftligen underrätta den Personuppgiftsansvarige om eventuella personuppgiftsincidenter, samt i övrigt tillhandahålla den hjälp och information som krävs för att den Personuppgiftsansvarige ska kunna anmäla incidenten till tillsynsmyndigheter i enlighet med gällande dataskyddslagstiftning.
8.2 Underrättelse enligt punkt 8.1 ska lämnas till kontaktpunkten för den personuppgiftsansvarige i enlighet med Bilaga C punkt C.9, och ska:
- Beskriv arten av personuppgiftsincidenten, inklusive, när så är möjligt, kategorier av och ungefärligt antal registrerade som berörs samt kategorier av och ungefärligt antal personuppgiftsposter som berörs,
- Innehålla namn och kontaktuppgifter till dataskyddsombudet eller en annan kontaktpunkt där mer information kan erhållas,
- Beskriv de sannolika konsekvenserna av personuppgiftsincidenten, och
- Beskriv de åtgärder som personuppgiftsbiträdet har vidtagit eller föreslår att vidta för att hantera personuppgiftsincidenten, inklusive, i förekommande fall, åtgärder för att mildra eventuella negativa effekter av incidenten.
Informasjonen kan vid behov lämnas stegvis utan ytterligare dröjsmål.
8.3 Personuppgiftsbiträdet är skyldigt att vidta alla åtgärder som rimligen kan krävas för att åtgärda och förhindra liknande personuppgiftsincidenter. Personuppgiftsbiträdet ska, i den mån det är möjligt, samråda med den personuppgiftsansvarige om vilka åtgärder som ska vidtas, inklusive att beakta den personuppgiftsansvariges eventuella förslag till åtgärder.
8.4 Personuppgiftsansvarig ansvarar för att underrätta Integritetsskyddsmyndigheten och de berörda registrerade om personuppgiftsincidenter. Personuppgiftsbiträdet får inte informera tredje part om personuppgiftsincidenter såvida inte annat krävs enligt tillämplig lag eller följer av uttryckliga skriftliga instruktioner från Personuppgiftsansvarig.
9. Användning av underbiträden
9.1 Personuppgiftsbiträdet får endast anlita ett underbiträde efter ett föregående generellt eller specifikt skriftligt godkännande från den personuppgiftsansvarige i enlighet med bilaga B till personuppgiftsbiträdesavtalet. En förteckning över godkända underbiträden framgår av bilaga B till personuppgiftsbiträdesavtalet.
9.2 Om Personuppgiftsbiträdet anlitar ett underbiträde för att utföra specifika behandlingar för den Personuppgiftsansvariges räkning, är Personuppgiftsbiträdet skyldigt att ingå ett skriftligt avtal med underbiträdet. Detta avtal ska ålägga underbiträdet motsvarande skyldigheter gällande skydd av personuppgifter som Personuppgiftsbiträdet själv är underställt enligt detta personuppgiftsbiträdesavtal. Se punkt 9.7 gällande användning av standardiserade tredjepartstjänster.
9.3 Personuppgiftsbiträdet får endast anlita underbiträden som vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen uppfyller kraven enligt gällande dataskyddslagstiftning. Personuppgiftsbiträdet ska genomföra kontroller av underbiträden för att verifiera att tillfredsställande åtgärder har vidtagits. Personuppgiftsbiträdet ska på begäran kunna uppvisa rapporter från sådana kontroller för den personuppgiftsansvarige.
9.4 Om Personuppgiftsansvarig motsätter sig ändringar i användningen av underbiträden enligt Bilaga B punkt B.1 i personuppgiftsbiträdesavtalet ska parterna i god tro förhandla i syfte att enas om en rimlig lösning för hur vidareleverans av tjänsterna enligt huvudavtalet ska genomföras, inklusive omfördelning av eventuella kostnader mellan parterna. Ändringen i användningen av underbiträden får inte genomföras förrän parterna har nått en överenskommelse.
9.5 Om Underbiträdet inte uppfyller sina förpliktelser avseende skydd av personuppgifter, ska Personuppgiftsbiträdet gentemot den Personuppgiftsansvarige ha fullt ansvar på samma sätt som om Personuppgiftsbiträdet själv utförde behandlingen.
9.6 Personuppgiftsbiträdet är skyldigt att på begäran förelägga avtal med underbiträden för den personuppgiftsansvarige. Detta gäller dock endast de delar av avtalet som är relevanta för behandlingen av personuppgifterna och med de begränsningar som eventuellt följer av lag eller förordning. Rent kommersiella villkor kan under inga omständigheter krävas att visas upp.
9.7 I den utsträckning Personuppgiftsbiträdet använder underbiträden som tillhandahåller standardiserade tredjepartstjänster som Personuppgiftsansvarig uttryckligen har godkänt ska levereras enligt underbiträdets standardvillkor i enlighet med Huvudavtalet, och som Personuppgiftsbiträdet följer upp för Personuppgiftsansvarigs räkning, kan parterna komma överens om att underbiträdets standardbiträdesavtal ska ligga till grund och göras gällande direkt gentemot Personuppgiftsansvarig som ett direkt personuppgiftsbiträdesförhållande (det vill säga inte som underbiträde), förutsatt att det uppfyller kraven i tillämplig dataskyddslagstiftning. Personuppgiftsbiträdet ska följa upp biträdesavtalet med underbiträdet för Personuppgiftsansvarigs räkning, såvida inget annat avtalats i det enskilda fallet.
10. Överföring av personuppgifter till länder utanför EES-området
10.1 Personuppgifter får endast överföras till ett land utanför EES-området (‘Tredjeland’) eller till en internationell organisation om Personuppgiftsansvarig skriftligen har godkänt en sådan överföring och villkoren i punkt 10.3 är uppfyllda. Med överföring avses bland annat att:
- behandla personuppgifter i datacenter eller liknande som är belägna i tredjeland, eller av personal som befinner sig i tredjeland (via fjärråtkomst);
- överlåta behandlingen av personuppgifter till underbiträde i tredjeland; eller
- överföra personuppgifter till en personuppgiftsansvarig i ett tredjeland eller till en internationell organisation.
10.2 Personuppgiftsbiträdet får likväl överföra personuppgifter om detta krävs enligt gällande rätt inom EES-området. I sådana fall ska Personuppgiftsbiträdet underrätta Personuppgiftsansvarig i den utsträckning detta är tillåtet enligt lag.
10.3 Överföring till tredjeland eller internationella organisationer får endast ske om det finns nödvändiga garantier för en adekvat skyddsnivå för personuppgifter i enlighet med gällande dataskyddsregler. Om inget annat avtalats mellan parterna får sådan överföring endast ske på grundval av:
- ett av EU-kommissionens beslut om adekvat skyddsnivå i enlighet med artikel 45 i dataskyddsförordningen; eller
- ett personuppgiftsbiträdesavtal som inkluderar standardavtalsklausuler i enlighet med artikel 46 (2) (c) eller (d) i dataskyddsförordningen (EU:s standardklausuler); eller
- bindande företagsbestämmelser (Binding Corporate Rules) i enlighet med artikel 47 i dataskyddsförordningen.
10.4 Den personuppgiftsansvariges eventuella godkännande av att personuppgifter överförs till ett tredjeland eller en internationell organisation ska framgå av personuppgiftsbiträdesavtalets bilaga B.
11. Allmänt om revision
11.1 Personuppgiftsbiträdet ska på begäran tillhandahålla den personuppgiftsansvarige all information som krävs för att visa att skyldigheterna enligt artikel 28 i dataskyddsförordningen och detta personuppgiftsbiträdesavtal har uppfyllts.
11.2 Personuppgiftsbiträdet ska möjliggöra och bidra till inspektioner och revisioner som genomförs av eller på uppdrag av den personuppgiftsansvarige. Personuppgiftsbiträdet ska även möjliggöra och bidra till inspektioner från relevanta tillsynsmyndigheter. Den personuppgiftsansvariges tillsyn av eventuella underbiträden ska ske via personuppgiftsbiträdet, såvida inget annat särskilt avtalats. Närmare rutiner för genomförande av revisioner framgår av bilaga C punkt C.5.
11.3 Om en revision visar avvikelser från förpliktelserna i gällande integritetspolicy eller personuppgiftsbiträdesavtalet ska personuppgiftsbiträdet snarast möjligt åtgärda avvikelsen. Den personuppgiftsansvarige kan kräva att personuppgiftsbiträdet tillfälligt stoppar hela eller delar av behandlingsaktiviteterna fram till dess att åtgärden har godkänts av den personuppgiftsansvarige.
11.4 Vardera Part står för sina egna kostnader i samband med en årlig revision. Om en revision visar på väsentliga brott mot förpliktelserna enligt gällande dataskyddsregler eller personuppgiftsbiträdesavtalet, ska personuppgiftsbiträdet dock ersätta personuppgiftsansvariges skäliga kostnader för revisionen.
12. Radering och återlämning av uppgifter
12.1 Vid upphörande av detta personuppgiftsbiträdesavtal är personuppgiftsbiträdet skyldigt att återlämna och radera alla personuppgifter som behandlas för den personuppgiftsansvariges räkning enligt personuppgiftsbiträdesavtalet i enlighet med bestämmelserna i Bilaga C punkt C.6. Detta gäller även eventuella säkerhetskopior.
12.2 Den personuppgiftsansvarige beslutar hur en eventuell återföring av personuppgifter ska ske. Den personuppgiftsansvarige kan kräva att återföringen sker i ett strukturerat, allmänt använt och maskinläsbart format. Den personuppgiftsansvarige ska täcka personuppgiftsbiträdets dokumenterade kostnader för återföringen, såvida detta inte ingår i ersättningen enligt huvudavtalet.
12.3 Om delad infrastruktur eller backup används där direkt radering inte är tekniskt möjlig, ska Personuppgiftsbiträdet säkerställa att personuppgifterna görs otillgängliga fram till dess att de skrivs över.
12.4 Personuppgiftsbiträdet ska skriftligen bekräfta för den personuppgiftsansvarige att radering eller anonymisering har utförts och ska på begäran kunna dokumentera hur detta har genomförts.
12.5 Närmare bestämmelser om radering och återlämning framgår av bilaga C.
13. Avtalsbrott och föreläggande om rättelse
13.1 Vid brott mot personuppgiftsbiträdesavtalet och/eller gällande dataskyddsregler kan den personuppgiftsansvarige och berörda tillsynsmyndigheter förelägga personuppgiftsbiträdet att med omedelbar verkan upphöra med hela eller delar av behandlingen av uppgifterna.
13.2 Om Personuppgiftsbiträdet inte fullgör sina skyldigheter enligt detta Personuppgiftsbiträdesavtal och/eller tillämplig dataskyddslagstiftning, ska detta anses utgöra ett avtalsbrott mot Huvudavtalet. De skyldigheter, tidsfrister, sanktioner och ansvarsbegränsningar som följer av Huvudavtalets reglering av Leverantörens avtalsbrott ska därmed tillämpas, såvida inte annat uttryckligen avtalats mellan parterna i Bilaga D.
14. Varaktighet och upphörande
14.1 Personuppgiftsbiträdesavtalet gäller från det att det har signerats av båda parter. Personuppgiftsbiträdesavtalet gäller så länge personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning. Det gäller även för eventuella personuppgifter som kan finnas hos personuppgiftsbiträdet eller någon av dennes underbiträden efter att huvudavtalet har upphört.
14.2 Reglerna om uppsägning i Huvudavtalet gäller i tillämpliga delar för Personuppgiftsbiträdesavtalet. Personuppgiftsbiträdesavtalet kan inte sägas upp så länge Huvudavtalet består, såvida det inte ersätts av ett nytt personuppgiftsbiträdesavtal.
15. Lagval och jurisdiktion
Avtalet lyder under norsk lag. Tvister ska lösas i enlighet med bestämmelserna i Huvudavtalet, inklusive eventuella bestämmelser om laga domstol.
Bilaga A: Information om behandlingen
16.1 Huvudavtalet och syftet med behandlingen av personuppgifter
Personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning är knuten till att tillhandahålla tjänster enligt beskrivningen i Huvudavtalet.
Behandlingen har följande syfte
- Tjänsteleverans
- Kundsupport
- Datalagring
16.2 Databiträdets behandling av personuppgifter för den Personuppgiftsansvariges räkning
Personuppgiftsbiträdets behandling av personuppgifter för den Personuppgiftsansvariges räkning omfattar (behandlingens art):
- Registrering, organisering och lagring av data.
16.3 Typer av personuppgifter
Behandlingen omfattar följande typer av personuppgifter om de registrerade:
Andre typer personuppgifter finns listade i Huvudavtalet.
Särskilda kategorier av personuppgifter enligt GDPR artikel 9 (1):
Ingen
Andre uppgifter med särskilt behov av skydd:
Inga
Övriga personuppgifter:
Personuppgiftsbiträdet sparar Personuppgiftsansvarigs företagsnamn samt anställdas namn och kontaktuppgifter för att kunna bistå vid behov av support. Kontorsadress, fakturaadress, organisationsnummer, kontonummer samt fakturamottagarens namn och kontaktuppgifter sparas för att kunna fakturera Personuppgiftsansvarig för tjänsterna i Huvudavtalet.
16.4 Kategorier av registrerade
Behandlingen omfattar följande kategorier av registrerade:
- Anställda hos den personuppgiftsansvarigee
Andre kategorier; och om information om särskilt sårbara grupper, såsom barn eller personer med funktionsnedsättning, ska behandlas, måste detta beskrivas explicit och separat i Huvudavtalet.
16.5 Behandlingens varaktighet
Personuppgiftsbiträdets behandling av personuppgifter enligt huvudavtalet kan påbörjas när personuppgiftsbiträdesavtalet har trätt i kraft. Behandlingen har följande varaktighet:
- Behandlingen är inte tidsbegränsad och pågår fram till dess att Huvudavtalet upphör att gälla.
Ved upphörande (av personuppgiftsbiträdesavtalet eller en specifik behandling) ska personuppgifter återlämnas och raderas i enlighet med punkt 12 i personuppgiftsbiträdesavtalet samt instruktionerna i Bilaga C.
Bilaga B: Villkor för personuppgiftsbiträdets användning och ändring av eventuella underbiträden
17.1 Personuppgiftsansvarigs godkännande av användning av underbiträden
Ved ingående av personuppgiftsbiträdesavtalet godkänner den personuppgiftsansvarige användningen av de underbiträden som anges i punkt 17.2. Observera att även moder-, syster- och dotterbolag till personuppgiftsbiträdet räknas som underbiträden om de bidrar till leveransen och behandlar personuppgifter.
For ändringar i användningen av underbiträden har dessutom följande avtalats:
Databehandlaren får använda underbiträden inom samma koncern (moder-, syster- eller dotterbolag) som är etablerade i ett land inom EES. Databehandlaren ska i förväg informera personuppgiftsansvarig om användningen av sådana underbiträden. (Detta alternativ kan kombineras med något av de andra alternativen.)
Personuppgiftsbiträdet får genomföra ändringar i användningen av underbiträden förutsatt att den personuppgiftsansvarige underrättas och ges möjlighet att invända mot ändringarna. En sådan underrättelse ska ha mottagits av den personuppgiftsansvarige senast 1 månad innan ändringen träder i kraft, såvida inget annat avtalats skriftligen mellan parterna. Observera att ändringar som innebär överföring av personuppgifter till länder utanför EES-området (tredjeland) under alla omständigheter kräver skriftligt godkännande enligt punkt 10 i personuppgiftsbiträdesavtalet.
Om den personuppgiftsansvarige invänder mot ändringen ska personuppgiftsbiträdet underrättas så snart som möjligt. Den personuppgiftsansvarige kan inte invända mot ändringen utan sakliga skäl.
Personuppgiftsbiträdet får endast genomföra ändringar i användningen av underbiträden efter specifikt och förhandsgivet skriftligt godkännande från den personuppgiftsansvarige. Underbiträdet får inte behandla personuppgifter enligt huvudavtalet förrän ett sådant godkännande har lämnats. Godkännande får inte nekas utan sakliga skäl.
17.2 Godkända underbiträden
Den personuppgiftsansvarige har godkänt användningen av de underbiträden som listas här.
Personuppgiftsbiträdet får inte använda en enskild underbiträde för annan behandling än vad som avtalats, eller låta ett annat underbiträde utföra den beskrivna behandlingen i andra fall än vad som följer av Bilaga B, punkt B.1 om byte av underbiträde.
Bilaga C: Instruktion för behandling av personuppgifter
18.1 Behandlingens omfattning och syfte
Personuppgifterna ska uteslutande behandlas i den omfattning och för de ändamål som beskrivs i
- Huvudavtalet
- Personuppgiftsbiträdesavtal med bilagor
Personuppgiftsbiträdet har inte förfoganderätt över personuppgifterna utöver vad som krävs för att fullgöra sina skyldigheter enligt personuppgiftsbiträdesavtalet, och får inte behandla dessa för egna ändamål.
18.2 Säkerhet vid behandlingen
18.2.1 Angivelse av säkerhetsnivå
Baserat på en konkret riskbedömning av omfattningen av personuppgifter som behandlas, typen av uppgifter och behandlingens karaktär, har det fastställts att behandlingen:
Kräver en hög säkerhetsnivå.
Krever inte en hög säkerhetsnivå. Motivering:
Behandlingen omfattar endast lagring av data, vilket inte inkluderar känsliga personuppgifter.
18.2.2 Ledningssystem för informationssäkerhet
Personuppgiftsbiträdet ska ha ett lämpligt ledningssystem för informationssäkerhet. Personuppgiftsbiträdet ska etablera och förvalta tillräckliga säkerhetsåtgärder för att säkerställa informationssäkerheten vid behandling av personuppgifter, däribland:
Säkerhetskrav enligt beskrivning i Huvudavtalet.
Säkerhetskrav enligt nedan:
Åtkomstkontroll och datakryptering
18.3 Dokumentation
Personuppgiftsbiträdet ska dokumentera de rutiner och åtgärder som vidtagits för att uppfylla kraven i gällande dataskyddsregler och personuppgiftsbiträdesavtalet, inklusive kraven på informationssäkerhet. Sådan dokumentation ska förvaras och hållas uppdaterad så länge personuppgiftsbiträdesavtalet gäller, och göras tillgänglig för den personuppgiftsansvarige eller tillsynsmyndigheter på begäran.
18.4 Överföring av personuppgifter – Plats för behandling och åtkomst
Behandling av de personuppgifter som avtalet omfattar får inte, utan den Personuppgiftsansvariges föregående skriftliga godkännande, utföras på eller med tillgång från andra platser än de som anges i Bilaga B.2. Med plats avses:
- Plats där det är möjligt att få tillgång till personuppgifterna (åtkomst)
- Plats där personuppgifter behandlas
- Plats där personuppgifterna lagras
Begränsningen ovan gäller inte Personuppgiftsbiträdets moder-, syster- och dotterbolag som är etablerade inom EES-området. Personuppgiftsbiträdet ska dock på begäran från den Personuppgiftsansvarige redogöra för var personuppgifterna vid varje givet tillfälle behandlas.
18.5 Rutiner för revision och tillsyn
For att kontrollera efterlevnad av gällande integritetspolicy och personuppgiftsbiträdesavtal har följande avtalats:
Personuppgiftsansvarig har rätt att utföra revisioner på Personuppgiftsbiträdets verksamhetsställe för att verifiera att Personuppgiftsbiträdet efterlever sina skyldigheter enligt detta personuppgiftsbiträdesavtal eller tillämplig dataskyddslagstiftning.
Sådana revisioner ska:
- Gensomförs efter rimligt förhandsmeddelande och högst en gång per år, såvida inte säkerhetsincidenter hos Personuppgiftsbiträdet eller andra särskilda omständigheter ger skäl för tätare revisioner;
- skall ske under normal arbetstid och inte störa personuppgiftsbiträdets verksamhet i onödan;
- Utförs av anställda hos personuppgiftsansvarig eller av en tredje part som godkänts av parterna och omfattas av tystnadsplikt.
Personuppgiftsbiträdet är skyldigt att tillhandahålla de resurser som rimligen kan krävas för att genomföra revisionen.
Personuppgiftsansvarig ska täcka kostnader för eventuella tredje parter som anlitas för att genomföra revisionen. I övrigt står parterna för sina egna kostnader vid genomförande av revisionen. Om revisionen visar på väsentliga brott mot förpliktelserna enligt gällande dataskyddsregler eller personuppgiftsbiträdesavtalet ska personuppgiftsbiträdet dock täcka den personuppgiftsansvariges rimliga kostnader för revisionen.
Databehandlaren ska anlita en extern revisor för att intyga att säkerhetsåtgärder har etablerats och fungerar enligt avsikt. En sådan revision ska:
- genomförs en gång om året,
- utförs i enlighet med erkända intygsstandarder, till exempel ISAE 3402.
- utförs av en oberoende tredjepart med tillräcklig kunskap och erfarenhet
Rapporterna ska på begäran läggas fram för den personuppgiftsansvarige.
Personuppgiftsbiträdet ska dessutom tillhandahålla den information och assistans som krävs för att den personuppgiftsansvarige ska kunna uppfylla sina skyldigheter enligt gällande dataskyddslagstiftning.
För standardiserade tredjepartstjänster som tillhandahålls av underbiträden kan tredjepartsrevisioner godtas, förutsatt att revisionen har utförts enligt allmänt vedertagna principer och av en certifierad revisor.
18.6 Radering och återlämning av personuppgifter vid avtalets upphörande
Parterna har kommit överens om följande gällande radering/återlämning av personuppgifter:
Alle personuppgifter som behandlas enligt detta personuppgiftsbiträdesavtal ska raderas utan onödigt dröjsmål och senast inom 90 kalenderdagar efter att huvudavtalet har upphört att gälla. Detsamma gäller all annan relevant information som förvaltas för den personuppgiftsansvariges räkning.
Alla personuppgifter som behandlas under detta personuppgiftsbiträdesavtal, samt all annan relevant information som förvaltas för den personuppgiftsansvariges räkning, ska återlämnas vid huvudavtalets upphörande.
Efter att återlämning har skett är personuppgiftsbiträdet skyldigt att radera alla personuppgifter och annan relevant information som förvaltas för den personuppgiftsansvariges räkning inom 30 kalenderdagar.
Återlämning ska ske på följande sätt: Export av data
18.7 Sektorspecifika bestämmelser om behandling av personuppgifter
Ingen.
18.8 Kontaktuppgifter
Ved säkerhetsincidenter, kontakta personuppgiftsbiträdets kundservice på +47 79 0050 00 eller hei@kleri.no. Se Huvudavtalet för ytterligare kontaktuppgifter
Bilaga D: Ändringar i personuppgiftsbiträdesavtalets standardtext och ändringar efter avtalets ingående
Ändringar i personuppgiftsbiträdesavtalets standardtext samt ändringar som sker efter avtalets ingående ska anges i Huvudavtalet.