Personuppgiftsbiträdesavtal. Tambur V FÖR SMARTA TILLTRÄDEN

Personuppgiftsbiträdesavtal Tambur V.20180507 FÖR SMARTA TILLTRÄDEN

Personuppgiftsbiträdesavtal Detta PERSONUPPGIFTSBITRÄDESAVTAL (detta Biträdesavtal ) är träffat mellan: Personuppgiftsansvarig: Organisationsnummer Telefon till företaget (även riktnr) Företagsnamn Utdelningsadress Postnummer Postadress och Personuppgiftsbiträde: Organisationsnummer 556137-5113 Företagsnamn UC AB Telefon till företaget (även riktnr) 08-670 90 00 Utdelningsadress Postnummer Postadress Årstaängsvägen 21 B 117 88 Stockholm Härefter också gemensamt kallade Parterna eller var för sig Part. 1. BAKGRUND 1.1 UC har utvecklat och tillhandahåller tjänsten Tambur till bostadsmarknadens aktörer för elektroniskt utbyte av information i samband med tillträden till bostäder. 1.2 Den Personuppgiftsansvarige är ett mäklarföretag som utgör den juridiska enhet till vilket en eller flera Mäklare är anknutna. 1.3 Villkoren för Mäklares användning av Tambur framgår av Användarvillkoren. 1.4 Avseende personuppgifter som Mäklare tillför Tambur är Mäklarföretaget personuppgiftsansvarig och UC personuppgiftsbiträde. 1.5 Detta Biträdesavtal reglerar den Personuppgiftsansvariges rättigheter och skyldigheter i egenskap av personuppgiftsansvarig och Personuppgiftsbiträdets rättigheter och skyldigheter i egenskap av personuppgiftsbiträde när Personuppgiftbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning. 2. DEFINITIONER 2.1 Begrepp i detta Biträdesavtal ska tolkas i enlighet med Tillämplig Dataskyddslagstiftning. 2.2 Med Användarvillkor menas UC:s vid var tid gällande och på webbplatsen för Tambur tillhandhållna användarvillkoren för Tambur. 2.3 Med Mäklare menas samtliga till den Personuppgiftsansvarige anknutna mäklare som är registrerade hos Fastighetsmäklarinspektionen och som under den Personuppgiftsansvariges firma, varumärke eller annat kännetecken genomför bostadsförmedling 2.4 Med Tillämplig Dataskyddslagstiftning menas: Före den 25 maj 2018 o Personuppgiftslagen (SFS 1998:204), tillhörande lagar, förordningar, samt författningar och riktlinjer från behörig tillsynsmyndighet. Från och med den 25 maj 2018 o Dataskyddsförordningen (förordning (EU) 2016/679), om inte annat följer av EU-lagstiftning eller svensk lag, samt tillhörande lagar, förordningar och författningar och riktlinjer från behörig tillsynsmyndighet. 2.5 Med Tambur menas den vid var tid aktuella tjänsten som UC tillhandahåller till bostadsmarknadens aktörer för elektroniskt utbyte av information. Den vid tidpunkten för Biträdesavtalets ingående gällande tjänstebeskrivningen framgår av Bilaga 3. Sida 2 av10

3. BILAGOR TILL BITRÄDESAVTALET 3.1 Instruktioner för databehandlingen Bilaga 1 På förhand godkända underbiträden Bilaga 2 Tjänstebeskrivning Tambur Bilaga 3 3.2 I händelse av motstridiga bestämmelser i detta huvuddokument och dess bilagor äger bestämmelserna i bilagorna företräde. Sinse mellan äger bilagorna företräde i den ordning de numrerats. 4. BEHANDLING AV PERSONUPPGIFTER 4.1 Personuppgiftsbiträdet förbinder sig att endast behandla personuppgifter enligt dokumenterade instruktioner från Personuppgiftsansvarig, såvida inte annat följer av Tillämplig Dataskyddslagstiftning. Den Personuppgiftsansvariges ursprungliga instruktioner till Personuppgiftsbiträdet om behandlingens föremål och varaktighet, behandlingens karaktär och ändamål, typ av personuppgifter och kategorier av registrerade anges i detta Biträdesavtal och i Bilaga 1. 4.2 Den Personuppgiftsansvarige bekräftar att Personuppgiftsbiträdets skyldigheter enligt detta Biträdesavtal, inklusive Bilaga 1, utgör de fullständiga instruktioner som ska följas av Personuppgiftsbiträdet. Alla ändringar i den Personuppgiftsansvariges instruktioner ska för att bli gällande, dokumenteras skriftligt och undertecknas av båda Parter. Den Personuppgiftsansvarige är skyldigt att inte, utan skriftlig överenskommelse, låta Personuppgiftsbiträdet överföra andra kategorier av personuppgifter, eller behandla personuppgifter om andra kategorier av registrerade, än vad som anges i Bilaga 1. 4.3 Den Personuppgiftsansvarige ansvarar för att behandlingen av personuppgifter som den Personuppgiftsansvarige ansvarar för, sker i enlighet med Tillämplig Dataskyddslagstiftning. 4.4 Den Personuppgiftsansvarige intygar att vardera Mäklare är behörig att använda Tambur inom ramen för den Personuppgiftsansvariges personuppgiftsansvar. 4.5 Personuppgiftsbiträdet ska omedelbart informera den Personuppgiftsansvarige om Personuppgiftsbiträdet anser att en instruktion från den Personuppgiftsansvarige avseende behandlingen av personuppgifter strider mot Tillämplig Dataskyddslagstiftning. 4.6 Personuppgiftsbiträdet ska, i den utsträckning som krävs enligt Tillämplig Dataskyddslagstiftning och enligt den Personuppgiftsansvariges skriftliga instruktioner i varje enskilt fall, bistå den Personuppgiftsansvarige vid fullgörandet av dennes skyldigheter enligt Tillämplig Dataskyddslagstiftning. 4.7 Anställda, konsulter och övriga medhjälpare hos Personuppgiftsbiträdet som arbetar med Tambur ska av Personuppgiftsbiträdet få information om den aktuella behandlingen av personuppgifter. 5. UTLÄMNANDE AV PERSONUPPGIFTER 5.1 Personuppgiftsbiträdet förbinder sig att inte utan föregående skriftligt medgivande från den Personuppgiftsansvarige utlämna eller på annat sätt göra personuppgifter som behandlas enligt detta Biträdesavtal tillgängliga för tredje part, om annat inte följer av svensk eller europeisk lag, domstols- eller myndighetsbeslut. 5.2 Om en registrerad begär information från Personuppgiftsbiträdet om behandlingen av dennes personuppgifter ska Personuppgiftsbiträdet utan onödigt dröjsmål hänskjuta sådan begäran till den Personuppgiftsansvarige. 5.3 Om behörig myndighet begär information från Personuppgiftsbiträdet om behandlingen av personuppgifter ska Personuppgiftsbiträdet utan onödigt dröjsmål informera den Personuppgiftsansvarige om detta. Personuppgiftsbiträdet får inte i något avseende handla för den Personuppgiftsansvariges räkning eller som ombud för denne, och får inte utan föregående medgivande från den Personuppgiftsansvarige överföra eller på annat sätt lämna ut personuppgifter eller andra uppgifter rörande behandlingen av personuppgifter till tredje part, om annat inte följer av svensk eller europeisk lag, domstols- eller myndighetsbeslut. 5.4 Om det enligt tillämpliga svenska eller europeiska lagar och regelverk begärs att Personuppgiftsbiträdet ska utlämna personuppgifter som Personuppgiftsbiträdet behandlar för den Personuppgiftsansvariges räkning, är Personuppgiftsbiträdet skyldigt att omgående meddela den Personuppgiftsansvarige om detta, om annat inte följer av aktuell lag, domstols- eller myndighetsbeslut, och att i samband med utlämnandet begära att uppgifterna behandlas med sekretess. 6. UNDERBITRÄDEN OCH TREDJELANDSÖVERFÖRINGAR 6.1 Personuppgiftsbiträdet får anlita de underbiträden som anges i Bilaga 2. Personuppgiftsbiträdet ska tillse att underbiträden är bundna av skriftliga avtal som ålägger dem motsvarande skyldigheter vid databehandlingen som de skyldigheter som gäller enligt detta Biträdesavtal. Personuppgiftsbiträdet får inte utan den Personuppgiftsansvariges medgivande överföra personuppgifter utanför EU/EES. 6.2 Om Personuppgiftsbiträdet avser att anlita ett nytt eller ersätta ett befintligt underbiträde för att behandla personuppgifter som omfattas av detta Biträdesavtal, ska Personuppgiftsbiträdet i förväg inhämta den Personuppgiftsansvariges medgivande. Om sådant medgivande inte lämnas inom trettio (30) kalenderdagar från sådan begäran om medgivande, har Personuppgiftsbiträdet rätt att säga upp Biträdesavtalet och att upphöra med att tillhandahålla Tambur till berörda Mäklare med omedelbar verkan. Sida 3 av10

7. DATASÄKERHET OCH SEKRETESS 7.1 Personuppgiftsbiträdet är skyldigt att fullgöra sina rättsliga förpliktelser avseende informationssäkerhet under tillämplig dataskyddslagstiftning och ska i samtliga fall vidta de tekniska och organisatoriska åtgärder som beskrivs i Bilaga 1 för att skydda de personuppgifter som behandlas. 7.2 Personuppgiftsbiträdet är skyldigt att säkerställa att endast sådan personal som direkt måste ha tillgång till personuppgifter för att kunna fullgöra Personuppgiftbiträdets skyldigheter enligt detta Biträdesavtal får tillgång till sådana uppgifter. Personuppgiftsbiträdet ska säkerställa att sådan personal omfattas av en lämplig sekretessförbindelse. 8. NOTIFIERINGAR VID PERSONUPPGIFTSINCIDENT 8.1 Personuppgiftsbiträdet ska inom 48 timmar efter att ha fått vetskap om en personuppgiftsincident underrätta den Personuppgiftsansvarige. 8.2 Personuppgiftsbiträdet ska bistå den Personuppgiftsansvarige med den information som rimligen kan krävas för att uppfylla dennes skyldighet att anmäla personuppgiftsincidenter. 9. RÄTT TILL GRANSKNING 9.1 Den Personuppgiftsansvarige ska, i sin egenskap av personuppgiftsansvarig, ha rätt att vidta erforderliga åtgärder för att verifiera att Personuppgiftsbiträdet kan fullgöra sina skyldigheter enligt detta Biträdesavtal och att Personuppgiftsbiträdet faktiskt har vidtagit de åtgärder som krävs för att säkerställa att dessa fullgörs. 9.2 Personuppgiftsbiträdet förbinder sig att tillhandahålla den Personuppgiftsansvarige all information som krävs för att visa att de skyldigheter som anges i detta Biträdesavtal efterlevs, samt att möjliggöra för och medverka till sådan granskning, inklusive kontroll på plats, som genomförs av den Personuppgiftsansvarige eller annan granskare som utsetts av denne, under förutsättning att de personer som utför granskningen ingår lämpliga sekretessavtal. 10. AVTALSTID 10.1 Bestämmelserna i detta Biträdesavtal ska gälla så länge som Personuppgiftsbiträdet behandlar personuppgifter för vilka den Personuppgiftsansvarige är personuppgiftsansvarig. 11. ÅTGÄRDER NÄR BEHANDLINGEN AV PERSONUPPGIFTER AVSLUTATS 11.1 När detta Biträdesavtal upphör ska Personuppgiftsbiträdet, beroende på vad den Personuppgiftsansvarige väljer, inom trettio (30) kalenderdagar radera eller återlämna alla personuppgifter som behandlats enligt Biträdesavtalet om inte lagring av personuppgifterna krävs enligt svensk eller europeisk lagstiftning. Om besked rörande valet inte lämnas till Personuppgiftbiträdet inom angiven tid, ska radering utföras 11.2 På begäran av den Personuppgiftsansvarige ska Personuppgiftsbiträdet skriftligen bekräfta vilka åtgärder som utförts avseende personuppgifterna efter behandlingens avslutande enligt punkt 11.1 ovan. 12. ERSÄTTNING 12.1 Personuppgiftsbiträdet har rätt till ersättning enligt Personuppgiftsbiträdets vid var tid gällande prislista för det arbete som utförts på grund av skyldigheterna i punkterna 4.6, 5 och 9 i detta Biträdesavtal. För arbete som utförts på grund av skyldigheterna i punkterna 8.2 och 11 har Personuppgiftsbiträdet ingen rätt till ersättning. Därutöver har Personuppgiftsbiträdet även rätt till ersättning enligt gällande prislista för övriga arbeten som Personuppgiftsansvarig kan komma att beställa. 13. ANSVAR OCH ANSVARSBEGRÄNSNINGAR 13.1 Om Part har blivit skyldig att erlägga skadestånd eller motsvarande till registrerade med anledning av den behandling av personuppgifter som omfattas av Biträdesavtalet, ska den Part som blivit skadeståndsskyldig ha rätt att utan begränsningar regressvist återkräva den del av skadeståndet som enligt Tillämplig Dataskyddslagstiftning är att hänföra till den andra Partens medverkan vid behandlingen. Skadeståndsskyldigheten innefattar även skälig andel av rättegångskostnaderna i eventuell rättegång med de registrerade. 13.2 Rätten till skadestånd enligt punkt 13.1 förutsätter att den Part som blivit föremål för krav från de registrerade vidtar åtgärder för att begränsa skadan samt skriftligen underrättar den andra Parten om framförda krav från de registrerade, när det är sannolikt att krav mot andra Parten enligt punkt 13.1 kan komma att framställas och att den andra Parten vid förhandlingar, förlikningar eller andra uppgörelser låter den andra Parten få insyn i och att den andra Partens synpunkter beaktas avseende de registrerades och den första Partens inlagor och annan skriftväxling. 13.3 Ingen Part ska vara skyldig att ersätta den andra Parten för eventuella administrativa sanktionsavgifter som den andra Parten har fått erlägga. Sida 4 av10

13.4 Parts ansvar för andra typer av skador med anledning av överträdelse av Biträdesavtalet än de som uttryckligen regleras av detta Biträdesavtal ska vara begränsat till direkta skador och ett maximalt belopp motsvarande fem (5) gånger det vid skadetillfället rådande prisbasbeloppet per kalenderår. 13.5 Parts rätt till skadestånd enligt denna punkt 13 förutsätter att krav på skadestånd till den andra Parten har framställts senast inom 6 månader från, a) såvitt avser skador enligt punkten 13.1 lagakraftvunnet beslut eller dom eller från ingången förlikning med registrerade, eller b) såvitt avser skada som omfattas av punkt 13.4, den senare tidpunkten av i) från skadans uppkomst eller ii) då den rimligen borde ha upptäckts av den skadelidande parten.. 14. BESTÄMMELSES OGILTIGHET 14.1 Om någon bestämmelse i Biträdesavtalet eller del därav är ogiltig, ska detta inte innebära att Biträdesavtalet i dess helhet är ogiltigt utan i stället ska Biträdesavtalet eller aktuell bestämmelse skäligen jämkas. 15. LAGVAL OCH TVISTLÖSNING 15.1 Biträdeavtalet regleras av svensk rätt. 15.2 Tvist i anledning av Biträdeavtalet ska avgöras av allmän domstol med Stockholms tingsrätt som första instans. 16. MEDDELANDE 16.1 Meddelanden ska ske genom bud, rekommenderat brev eller elektroniskt meddelande till Parternas nedan angivna, eller senare meddelade, adresser. KONTAKTPERSON FÖR UC: Produktägare Tambur kundservice@uc.se UC AB Årstaängsvägen 21 B 117 88 Stockholm KONTAKTPERSON FÖR MÄKLARFÖRETAGET: Kontaktperson E-post kontaktperson Telefon kontaktperson (även riktnr) Företagsnamn Utdelningsadress Postnummer Postadress 17. ÖVRIGT 17.1 Vid undertecknande av detta Biträdesavtal upphör tidigare, mellan Parterna, ingångna personuppgiftsbiträdesavtal och andra överenskommelser avseende personuppgiftsbehandling. Sida 5 av10

UNDERTECKNANDE Detta Biträdesavtal har upprättats i två likalydande exemplar av vilka Parterna tagit var sitt. Personuppgiftsansvarig 1 Ort och datum Personuppgiftsbiträde UC AB Ort och datum Underskrift Underskrift Namnförtydligande Namnförtydligande Titel Titel Personuppgiftsansvarig 2 Ort och datum Underskrift Namnförtydligande Titel Sida 6 av10

Bilaga 1 Bilaga 1 - Instruktioner för databehandlingen Tjänster För följande tjänster agerar UC Personuppgiftsbiträde: Tambur, tjänst för utbyte av information mellan fastighetsmäklare och Banker. Ändamål Ange alla ändamål för vilka personuppgifterna ska behandlas av Personuppgiftsbiträdet Tambur är ett systemstöd för att behandla uppgifter som behövs för informationsutbyte mellan fastighetsmäklare, banker och andra berörda parter i samband med bostadsaffärer. Kategorier av uppgifter Ange vilka personuppgifter som ska behandlas av Personuppgiftsbiträdet Kategorier av registrerade Ange för vilka kategorier av registrerade som Personuppgiftsbiträdet kommer att behandla personuppgifter om. Behandlingsaktiviteter Ange vilka behandlingsaktiviteter som kommer att utföras av Personuppgiftsbiträdet. Uppgifter som kan komma att behandlas är personnummer, namn, adress, telefonnummer, e-post, fastighetsbeteckning, lägenhetsbeteckning, bankkontonummer samt övriga personuppgifter som förekommer i bostadsaffärer. Även annan information som kan förekomma i fritextfält och uppladdade dokument, och som behövs för bostadsaffärer, kan komma att behandlas. Köpare och säljare som har anlitat Mäklare, till den delen de utgörs av fysiska personer och/eller är enskilda näringsidkare. I förekommande fall även medlåntagare. UC tar emot, bearbetar, lagrar och gallrar information. Utöver dessa behandlingar kan personuppgiftsbiträdet även utföra andra behandlingar för att uppfylla detta Biträdesavtal samt Användarvillkoren. Behandlingstid Plats för behandling av personuppgifterna Ange alla platser där personuppgifter kommer att behandlas av Personuppgiftsbiträdet. Avslutade ärenden samt pågående ärenden utan aktivitet gallras efter 13 månader. Inom EU/EES Sida 7 av10

Informationssäkerhet Tekniska och organisatoriska säkerhetsåtgärder Denna information beskriver de generella principer som tillämpas inom UC-koncernen ( UC ) för att möta kraven i Tillämplig Dataskyddslagstiftning. 1) Riskbedömning avseende dataskydd UC genomför regelbundna riskanalyser. De produkter och tjänster som behandlar personuppgifter har genomgått erforderliga konsekvensbedömningar. Genom att utveckla olika tjänster baserade på ändamål, kontrollerar UC att personuppgifter behandlas i enlighet med det ändamål de samlats in för. UC samråder löpande med tillämplig myndighet rörande hanteringen och behandlingen av personuppgifter. 2) Säkerhetsåtgärder UC:s säkerhetsarbete bedrivs utifrån ett anpassat ramverk baserat på säkerhetsstandarderna ISO/IEC 27000 och CIS Critical Security Controls för Internet Security (http:// www.cisecurity.org/critical-controls.cfm). De lokaler som används för behandling av personuppgifter av UC eller UC:s samarbetspartners skyddas av passersystem och larm. Kameraövervakning tillämpas där det anses lämpligt. Detta gäller såväl kontorslokaler som datahallar. UC har lagt ut IT-driften hos strategiska samarbetspartners som är certifierade enligt ISO 27001 och vars kontorslokaler och datahallar uppfyller omfattande säkerhetskrav. Logisk åtkomst till personuppgifter är individuellt spårbar och begränsas med hjälp av behörighetssystem. UC loggar på individnivå behandlingar av personuppgifter för att möjliggöra utredning vid misstanke om otillåten behandling. Formella rutiner tillämpas för tillägg, ändring och borttag av behörigheter för såväl fysisk som logisk åtkomst. Nätverkstrafik och användarbeteende analyseras i syfte att identifiera och möjliggöra snabb åtgärd vid indikationer på riskbeteende och/eller dataintrång. a) pseudonymisering samt kryptering av personuppgifter UC nyttjar pseudonymisering och/eller kryptering av personuppgifter där det är lämpligt utifrån en samlad bedömning av risk, krav om funktionalitet, övriga vidtagna säkerhetsåtgärder och kostnad. b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingsystemen och tjänsterna UC:s produkter och tjänster utvecklas, förvaltas och driftas i enlighet med processer och rutiner som syftar till att effektivt hantera risker relaterade konfidentialitet, integritet och tillgänglighet. UC har en säkerhetspolicy med tillhörande riktlinjer som tydligt definierar roller och ansvar. Varje produkt/tjänst som behandlar personuppgifter är klassad och kartlagd utifrån standardkontroller rörande konfidentialitet, integritet och tillgänglighet. c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident För att hantera risken att personuppgifter eller de eller de produkter/tjänster som hanterar personuppgifter blir otillgängliga tillämpar UC ett ramverk för hantering av incidenter och kontinuitet. Såväl data som systemkonfigurationer kan vid behov återskapas från säkerhetskopior enligt fastslagna rutiner. d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet UC genomför regelbundna kontroller av åtkomst till personuppgifter i syfte att följa upp rutinerna för säkerhetsadministration. Återställningstester genomförs regelbundet för att kontrollera att säkerhetskopior och återställningsplaner fungerar. Vidare tillämpar UC, i samarbete med specialiserade säkerhetspartners, ett program för identifiering av tekniska sårbarheter. Detta program innefattar olika typer av säkerhetstester och monitorering som kan variera över tid beroende på bedömd riskbild. Överföringar av personuppgifter mellan UC:s externa parter omfattas av avtalade skyddsåtgärder. När användning av personuppgifter inte längre är nödvändig för det ursprungliga ändamålet gallras de. Såväl automatiserade som manuella gallringsrutiner tillämpas. Personuppgifternas säkerhet UC implementerar följande säkerhetsåtgärder som baseras sig på kraven som ställs i Tillämplig Dataskyddslagstiftning. Sida 8 av10

Bilaga 2 Bilaga 2 - På förhand godkända underbiträden Namn Plats för behandling (land) Behandlingsaktiviteter CGI Sverige AB, 556637-2191 (EU/EES) Tar emot, bearbetar, lagrar och gallrar Softronic AB, 556249-0192 (EU/EES) Tar emot och bearbetar RedBridge AB, 556645-8617 (EU/EES) Tar emot, bearbetar, lagrar och gallrar Sida 9 av10

Bilaga 3 Bilaga 3 - Tjänstebeskrivning Tambur Tambur är ett systemstöd för att förenkla tillträdesprocessen vid bostadsaffärer. Tambur är utvecklad av UC i samarbete med bolånebankerna och mäklarnas branschorganisationer. I Tambur samlas den information som behöver utbytas mellan banker och mäklare inför tillträdet. Dessutom finns en tidsboknings-, påminnelse- och kommunikationsfunktion mellan parterna (mäklare/banker). Åtkomst till Tambur ges via en webbportal som är tillgänglig via Internet eller genom funktioner erhållna via så kallade mäklarsystem. UC ansvarar ej för mäklarsystemens implementation gentemot Tambur men förespråkar dess användning via ett mäklarsystem. Funktioner i Tambur finns beskrivna under Användarsupport där det finns en processkarta, användarmanual, FAQ samt instruktionsfilmer. Sida 10 av10