Personuppgiftsbiträdesavtal

Transkript

1 Personuppgiftsbiträdesavtal mellan (nedan kallad Personuppgiftsansvarig eller Kund) och UniCarriers Europe AB, org.nr , Mölnlycke (nedan kallad Personuppgiftsbiträde eller Leverantör) Personuppgiftsansvarig och Personuppgiftsbiträde benämns här nedan gemensamt Parterna eller var för sig Part. 1. Uppdragets art och avtalets syfte Parterna har den ingått ett instruktörsavtal enligt vilken Leverantören ska bistå Kunden med utbildningstjänster, vilket i huvudsak omfattar att tillhandahålla Kunden utbildningsmaterial, fortbildning, tillgång till uppdaterat läromedel och på Kundens önskan en kompetensdatabas för att kunna intyga de registrerades kompetenser och utbildningar samt utfärda utbildningsbevis (Uppdragsavtalet). Uppdraget medför att Leverantören behandlar personuppgifter för Kundens räkning. Uppdragsavtalet löper tills vidare. Syftet med detta avtal är att reglera parternas rättigheter och skyldigheter som följer med uppdraget att behandla personuppgifter, för att på så vis säkerställa att personuppgifterna behandlas i enlighet med de bestämmelser som följer av EU:s dataskyddsförordning (GDPR) och eventuell senare lagstiftning som ersätter eller kompletterar dessa. 2. Personuppgiftsbehandlingens ändamål och omfattning Syftet med behandlingen av personuppgifter är att: - kommunicera med Kunden och uppfylla Uppdragsavtalets villkor. - upprätta och tillhandahålla en kompetensdatabas vars innehåll ej är känsliga persondata. Kompetensdatabasen krävs för att kunna intyga de registrerades kompetenser och utbildningar samt administrera kringtjänster. - kunna administrera och utfärda utbildningsbevis. Kategorier av registrerade och kategorier av personuppgifter som kan förekomma inom ramen för behandlingen av personuppgifter, framgår av Bilaga 1 till detta avtal.

2 3. Den Personuppgiftsansvariges skyldigheter Den Personuppgiftsansvarige ska utan onödigt dröjsmål anmäla till Personuppgiftsbiträdet alla förhållanden som kan medföra behov av förändringar i det sätt som Personuppgiftsbiträdet behandlar personuppgifterna. Vidare skall den Personuppgiftsansvarige inte tillhandahålla mer personuppgifter än vad som är nödvändigt för Personuppgiftsbiträdet för att uppfylla sina åtaganden enligt detta avtal. 4. Personuppgiftsbiträdets skyldigheter 4.1 Säkerhetsåtgärder Personuppgiftsbiträdet ska etablera lämpliga tekniska och organisatoriska åtgärder för att säkerställa att personuppgifterna behandlas i enlighet med kraven i dataskyddslagstiftningen och villkoren i Uppdragsavtalet och detta avtal. Säkerhetsåtgärderna ska minst motsvara den nivå som behöriga tillsynsmyndigheter normalt kräver för motsvarande behandlingar. Åtgärderna ska vara dokumenterade och ska utan onödigt dröjsmål lämnas till den Personuppgiftsansvarige på begäran. 4.2 Instruktioner Personuppgiftsbiträdet får endast behandla personuppgifterna på uppdrag av den Personuppgiftsansvarige för dennes räkning och endast för det ändamål som framgår av punkten 2 ovan. Personuppgiftsbiträdet är skyldig att följa de instruktioner som den Personuppgiftsansvarige gett i Uppdragsavtalet och i detta avtal. Personuppgiftsbiträdet ska säkerställa att var och en som utför arbete under dennes överinseende och som får tillgång till personuppgifterna som omfattas av detta personuppgiftsbiträdesavtal, endast behandlar dessa i enlighet med givna instruktioner. Om Personuppgiftsbiträdet anser att den Personuppgiftsansvariges instruktioner står i strid med tillämplig dataskyddslagstiftning, ska Personuppgiftsbiträdet skyndsamt underrätta den Personuppgiftsansvarige om detta. Personuppgiftsbiträdet har dock inte rätt att avbryta uppdraget av den anledningen. 4.3 Utlämnande av personuppgifter och användningen av underbiträden Personuppgiftsbiträdet får inte överföra eller ge åtkomst till personuppgifterna som omfattas av detta personuppgiftsbiträdesavtal till en extern part utan den Personuppgiftsansvariges uttryckliga förhandstillstånd, i annat fall än när det föreligger en lagstadgad skyldighet för Personuppgiftsbiträdet att göra det. Om en sådan lagstadgad skyldighet föreligger, ska Personuppgiftsbiträdet underrätta den Personuppgiftsansvarige om det, innan personuppgiftsbehandlingen påbörjas, under förutsättning att en sådan information inte är förbjuden enligt lag. Personuppgiftsansvarig ger härmed Personuppgiftsbiträdet ett allmänt förhandstillstånd att anlita underbiträden. Personuppgifter får behandlas av ett underbiträde under förutsättning att Personuppgiftsbiträdet ingår ett skriftligt avtal, eller annan rättsakt enligt unionsrätten, där underbiträdet åläggs motsvarande skyldigheter i fråga om

3 dataskydd som Personuppgiftsbiträdet åläggs enligt detta biträdesavtal. Personuppgiftsbiträdet ska särskilt tillse att Artikel 28.2 och 28.4 i GDPR beaktas vid anlitande av underbiträden och tillse att underbiträden ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i GDPR. Personuppgiftsbiträdet ska på Personuppgiftsansvarigs begäran informera Personuppgiftsansvarig om vilka underbiträden som anlitats av Personuppgiftsbiträdet för att behandla personuppgifter och lämna den ytterligare specificerade information om sådant underbiträdes behandling som Personuppgiftsansvarig skäligen kan begära enligt dataskyddsreglerna. Om ett nytt underbiträde tillkommer, eller vid byte av underbiträde, ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige om detta, minst 14 dagar innan förändringen sker, och ge Personuppgiftsansvarige möjlighet att invända mot förändringen. En eventuell invändning skall lämnas utan onödigt dröjsmål. För det fall att förändringen inte kan godtas av den Personuppgiftsansvarige, ska följande gälla om inte Parterna kommer överens om annat. Kan Personuppgiftsbiträdet hantera personuppgifter på något annat sätt, men som innebär högre kostnader, skall dialog hållas om detta är ett acceptabelt alternativ. Personuppgiftsbiträdet har i sådant fall rätt till full ersättning för samtliga extra kostnader som uppkommer på grund av detta. Bägge Parterna har också rätt att säga upp detta biträdesavtal och/eller relevanta delar av Uppdragsavtalet helt eller delvis med trettio (30) dagars uppsägningstid. 4.4 Krav på lokalisering och överföring av personuppgifter till tredjeland Personuppgiftsbiträdet ska se till att personuppgifterna endast lagras och i övrigt behandlas inom EU/EES om inte parterna skriftligen kommer överens om något annat. För det fall behandling kommer att utföras utanför EU/EES skall den Part som överför personuppgifterna tillse att laglig grund enligt gällande dataskyddsregler för sådan överföring föreligger. 4.5 Tystnadsplikt och behörigheter Personuppgiftsbiträdet ska säkerställa att personer med behörighet att behandla personuppgifterna enligt detta avtal har åtagit sig att iaktta sekretess för sådan behandling eller omfattas av en lämplig lagstadgad tystnadsplikt. Tystnadsplikten ska gälla för all information som behandlas av Personuppgiftsbiträdet enligt detta Personuppgiftsbiträdesavtal, och även efter det att detta avtal har upphört att gälla. Åtagandet gäller inte information som Personuppgiftsbiträdet föreläggs utge till myndighet eller enligt dataskyddsregler eller annan lagstadgad skyldighet. Åtkomst till personuppgifterna ska begränsas till sådana personer som behöver dem för att kunna utföra sina arbetsuppgifter.

4 4.6 Incidentrapportering Personuppgiftsbiträdet ska skyndsamt underrätta den Personuppgiftsansvarige om säkerhetsincidenter som har medfört eller sannolikt kan leda till oavsiktlig eller olovlig förstörelse, förlust, ändring, obehörigt utlämnande av eller åtkomst till personuppgifterna. Alla sådana incidenter ska dokumenteras av Personuppgiftsbiträdet och dokumentationen ska överlämnas utan oskäligt dröjsmål till den Personuppgiftsansvarige på begäran. I de fall en incident ska rapporternas till tillsynsmyndigheten, ska Personuppgiftsbiträdet samarbeta med och skyndsamt bistå den Personuppgiftsansvarige med all information som efterfrågas. 4.7 Bistånd för att fullgöra skyldigheter gentemot de registrerade Personuppgiftsbiträdet ska bistå den Personuppgiftsansvarige att fullgöra sina skyldigheter gentemot de registrerade när dessa utövar sina rättigheter enligt dataskyddslagstiftningen, exempelvis rätten till insyn, rättelse, radering, dataportabilitet etc. Detta ska ske utan oskäligt dröjsmål och utan krav på ytterligare ekonomisk kompensation, om inte parterna kommer överens om annat. 4.8 Radering av personuppgifter Under löpande avtalstid signalerar den Personuppgiftsansvariges användare att personuppgifter ska raderas. De ska därefter förstöras, skrivas över eller på annat sätt raderas av Personuppgiftsbiträdet snarast och utan oskäligt dröjsmål. När Uppdragsavtalet har avslutats ska Parterna utan onödig fördröjning föra dialog för att besluta hur alla personuppgifter som omfattats av Uppdragsavtalet ska hanteras. Väljer Personuppgiftsansvarige att alla eller delar av personuppgifterna skall raderas eller återlämnas åligger det denna att informera de registrerade om förändringen och dess konsekvenser. 4.9 Revision Personuppgiftsbiträdet ska se till att den Personuppgiftsansvarige eller en extern granskare som den Personuppgiftsansvarige utser har möjlighet att revidera att Personuppgiftsbiträdet och dennes underleverantörer efterlever alla bestämmelser om behandlingen av personuppgifter enligt detta avtal Personuppgiftsansvarig har rätt att på egen bekostnad, själv eller genom oberoende tredje part, med skälig framförhållning kontrollera att Personuppgiftsbiträdet följer detta avtal, inbegripet att få tillgång till lokaler och utrustning samt information, i den mån det är tekniskt möjligt och skäligen erfordras för kontrollen.

5 4.9.2 Personuppgiftsansvarig eller den som denne bemyndigat att utföra kontrollen ska på Personuppgiftsbiträdets begäran föregående kontrollen ingå ett sekretessavtal enligt Personuppgiftsbiträdets instruktion. Information som rör andra kunder eller som utgör affärshemlighet hos Personuppgiftsbiträdet, eller som i övrigt omfattas av konfidentialitet enligt avtal eller lag kan komma att undantas av Personuppgiftsbiträdet Personuppgiftsbiträdet ska bistå Personuppgiftsansvarig och lämna Personuppgiftsansvarig den assistans som skäligen behövs för att kontrollen ska kunna genomföras Information som samlats in av Personuppgiftsansvarig, eller tredje part i samband med kontroll som avses i denna punkt, ska raderas när den inte längre behövs för ändamålet med kontrollen Personuppgiftsbiträdet ska härutöver tillåta de inspektioner som behörig myndighet eller annan part har rätt att utföra enligt tillämplig lag Avslut på grund av oförmåga eller misskötsel Den Personuppgiftsansvariga kan när som helst, genom skriftligt meddelande till Personuppgiftsbiträdet, välja att tillfälligt avbryta eller helt avsluta Uppdragsavtalet och detta Personuppgiftsbiträdesavtal med omedelbar verkan och utan skyldighet att utge kompensation till Personuppgiftsbiträdet om det är så att den Personuppgiftsansvariga har skälig anledning att tro att Personuppgiftsbiträdet är oförmöget att eller har misslyckats med att möta de skyldigheter som framgår av denna paragraf (4). 5. Ansvarsbegränsningar Om Personuppgiftsansvarige ställer krav som går utöver de krav som dataskyddsregler eller detta avtal uppställer på Personuppgiftsbiträdet ska Personuppgiftsbiträdet ha rätt till full ersättning för arbete och kostnader som uppstår till följd av dessa krav. Personuppgiftsbiträdet ska även ha rätt till ersättning för arbete och kostnader som beror på instruktioner för behandlingen från Personuppgiftsansvarige som går utöver de funktioner och den säkerhetsnivå som Personuppgiftsbiträdet normalt erbjuder sina kunder, t ex sådant som kräver att Personuppgiftsbiträdet gör specialanpassningar för Personuppgiftsansvariges räkning. Samtligt arbete som Personuppgiftsbiträdet har rätt till ersättning för enligt ovan ska ersättas i enlighet med Personuppgiftsbiträdet vid var tid gällande timpriser, om inte Parterna skriftligen överenskommit annat. Kostnader ska ersättas med Personuppgiftsbiträdets faktiska kostnader. 6. Rätt till omförhandling Båda Parter har rätt att påkalla omförhandling av detta avtal inklusive instruktioner och andra bilagor, för det fall att tillämplig lagstiftning eller tolkningen av den, ändras på ett sätt som påverkar behandlingen av personuppgifter som omfattas av detta avtal. Personuppgiftsbiträdet har inte rätt att avbryta uppdraget endast av den anledningen att rätten till omförhandling åberopas eller att en omförhandling påbörjas.

6 7. Lagval och jurisdiktion 5.1 Detta personuppgiftsbiträdesavtal ska tolkas enligt svensk lagstiftning. 5.2 Tvister enligt detta avtal ska avgöras av svensk allmän domstol om inte Parterna kommer överens om annat. 8. Avtalstid Detta personuppgiftsbiträdesavtal gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning. Detta Avtal har upprättats i två likalydande exemplar, varav parterna tagit var sitt. Mölnlycke den För UniCarriers Europe AB För Lennart Lövdahl Chef Kompetens- & Utbildningscenter Namnförtydligande och befattning