C. Mot bakgrund av ovanstående har Parterna ingått detta Avtal.

Transkript

1 BILAGA 1 - PERSONUPPGIFTSBITRÄDESAVTAL Detta personuppgiftsbiträdesavtal ( Avtalet ) har träffats mellan [Avtalspart 1], org.nr [nummer], med adress [adress], ( Personuppgiftsbiträde ) och [Avtalspart 2], org.nr [nummer], med adress [adress], ( Personuppgiftsansvarig ), (var och en Part och gemensamt Parterna ). Bakgrund A. Parterna har kommit överens om att Personuppgiftsbiträdet ska behandla personuppgifter för Personuppgiftsansvariges räkning. Syftet med behandlingen och tjänsten för vilken sådan behandling sker beskrivs närmare i Underbilaga 1. B. Parterna är överens om att Personuppgiftsansvarig ska anses vara personuppgiftsansvarig och att Personuppgiftsbiträdet ska anses vara personuppgiftsbiträde såsom begreppen definieras i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG ( GDPR ). C. Mot bakgrund av ovanstående har Parterna ingått detta Avtal. 1. Personuppgiftsansvariges instruktioner Personuppgiftsbiträdet åtar sig att behandla personuppgifter endast i enlighet med Personuppgiftsansvariges skriftliga instruktioner, Bilaga 1, och i enlighet med GDPR. Följaktligen åtar sig Personuppgiftsansvarig att hålla Personuppgiftsbiträdet skadeslöst för sådan skada som Personuppgiftsbiträdet lider som en direkt följd av att Personuppgiftsansvariges instruktioner leder till att Personuppgiftsbiträdet behandlar personuppgifter i strid med GDPR. För det fall att Personuppgiftsbiträdet saknar nödvändiga instruktioner ska Personuppgiftsbiträdet informera Personuppgiftsansvarig därom och invänta de instruktioner som Personuppgiftsansvarig bedömer erfordras. 2. Personuppgiftsbiträdets åtaganden 2.1 Personuppgiftsbiträdet åtar sig särskilt att: (a) (b) (c) ha en lämplig teknisk och organisatorisk säkerhet och vidta de säkerhetsåtgärder som framgår av artikel 32 i GDPR för att skydda de personuppgifter som behandlas under detta Avtal, vilket bland annat inbegriper att personer hos Personuppgiftsbiträdet med behörighet att behandla dessa personuppgifter åläggs lämplig sekretesskyldighet; bistå Personuppgiftsansvarige att uppfylla kraven avseende säkerhet som framgår av artikel i GDPR, samt Personuppgiftsansvariges skyldigheter avseende individuella rättigheter i Kapitel III i GDPR uppfylls; till Personuppgiftsansvarige hänvisa den vars personuppgifter behandlas, Datainspektionen eller annan tredje man som begär information från Personuppgiftsbiträdet som rör behandling av personuppgifter.

2 Personuppgiftsbiträdet skall utan dröjsmål informera Personuppgiftsansvarige om eventuella kontakter från Datainspektionen som rör eller kan vara av betydelse för behandling av personuppgifter, 2 / 6 (d) (e) (f) beroende på vad Personuppgiftsansvarige väljer radera, anonymisera eller återlämna alla personuppgifter till Personuppgiftsansvarige när Avtalet upphör, oavsett anledning därtill, inklusive att radera samtliga kopior vilka inte enligt GDPR måste sparas, i övrigt ge Personuppgiftsansvarige tillgång till sådan information som krävs för att Personuppgiftsansvarige ska kunna uppfylla sina skyldigheter såsom personuppgiftsansvarig gentemot Datainspektionen och/eller enskilda, inte överföra personuppgifterna till tredje land eller en internationell organisation såvida detta inte krävs enligt GDPR varvid Personuppgiftsbiträdet omedelbart ska informera Personuppgiftsansvarige, såvida sådan information inte är förbjuden. 2.2 Personuppgiftsbiträdet åtar sig vidare att alltid behandla personuppgifter i enlighet 3. Ansvar med GDPR. Detta inkluderar, men är inte begränsat till, att föra ett register över alla kategorier av behandlingar som utförs, att på begäran av en enskild eller Personuppgiftsansvarige tillhandahålla ett registerutdrag på genomförda behandlingar och att omedelbart informera Personuppgiftsansvarige om Personuppgiftsbiträdet misstänker att det föreligger en risk för att de enskildas fri och rättigheter kränks. 3.1 Ingen av Parterna ansvarar gentemot den andra Parten under några omständigheter för indirekt skada som t ex utebliven vinst, minskad omsättning, förlust och förvanskning av data, hinder att uppfylla förpliktelser mot tredje part eller utebliven nytta av behandlingen eller Avtalet i övrigt. 3.2 Parternas totala ansvar under Avtalet avseende en eller flera händelser ska inte i något fall överstiga [*] procent av belopp motsvarande Personuppgiftsansvariges sammanlagda erlagda ersättning till Personuppgiftsbiträdet det senaste kalenderåret. 4. Avtalstid 5. Övrigt Avtalet gäller från dess undertecknande och så länge som Personuppgiftsbiträdet Behandlar Personuppgifter. Avtalet kan sägas upp av vardera Part genom skriftligt meddelande till den andra Parten med sex (6) månaders uppsägningstid. 5.1 Fortsatta förpliktelser När detta Avtal upphör, oavsett anledning därtill, ska följande bestämmelser vara fortsatt bindande för Parterna; punkt 6. (Fortsatta förpliktelser) och punkt 7.5 (Tillämplig lag och tvistelösning).

3 5.2 Ändringar och tillägg Alla ändringar och tillägg till detta Avtal ska vara skriftliga (med uttrycklig hänvisning till detta Avtal) och behörigen undertecknade av vardera Part. 3 / Underbiträde 5.4 Personuppgiftsbiträdet har rätt att anlita underbiträden för behandling av personuppgifter för Personuppgiftsansvariges räkning. Personuppgiftsbiträdet åtar sig att informera Personuppgiftsansvarige angående Personuppgiftsbiträdets eventuella planer på att anlita och/eller ersätta ett underbiträde, så att den Personuppgiftsansvariga har möjlighet att göra invändningar mot sådana förändringar. Personuppgiftsbiträdet godkänner härmed underbiträden i Underbilaga Om Personuppgiftsbiträdet anlitar underbiträden för behandling av personuppgifter för Personuppgiftsansvariges räkning är Personuppgiftsbiträdet fullt ansvarig gentemot den Personuppgiftsansvarige för underbiträdet agerande och behandlingar. 5.6 Tillämplig lag och tvistelösning Svensk materiell rätt ska gälla för detta Avtal Tvist angående tolkning eller tillämpning av detta Avtal ska slutligt avgöras genom skiljedom administrerat vid Stockholms Handelskammares Skiljedomsinstitut ( Institutet ). Skiljeförfarandets säte ska vara Göteborg Institutets Regler för förenklat skiljeförfarande ska gälla om inte Institutet med beaktande av målets svårighetsgrad, tvisteföremålets värde och övriga omständigheter bestämmer att Regler för Stockholms Handelskammares Skiljedomsinstitut ska tillämpas på förfarandet. I sistnämnda fall ska Institutet också bestämma om skiljenämnden ska bestå av en eller tre skiljemän Parterna förbinder sig, utan begränsningar i tiden, att inte avslöja förekomsten av eller innehållet i skiljedom i anledning av detta Avtal eller information om förhandlingar, skiljeförfarande eller medling i anledning av detsamma. Vad som föreskrivs i denna punkt 7.9 gäller inte såvida annat följer av lag, annan författning, myndighets bud, börsregler eller god sed på aktiemarknaden eller annars erfordras för doms verkställighet. Detta Avtal har upprättats i två likalydande exemplar varav Parterna tagit var sitt.

4 4 / 6 [AVTALSPART 1] [AVTALSPART 2]

5 Underbilaga 1 Syftet med behandlingen 1. Instruktion 1.1 Personuppgiftsbiträdet åtar sig att följa de instruktioner som anges i denna Bilaga 1, vilka kan komma att ändras och/eller kompletteras genom skriftligt meddelande från Personuppgiftsansvarig till Personuppgiftsbiträdet. 1.2 [Ange eventuella instruktioner] Föremål för behandling Varaktighet Art Ändamål Typ av personuppgifter Kategorier registrerade 7.1

6 Underbilaga 2 - Underbiträden