PERSONUPPGIFTSBITRÄDESAVTAL

PERSONUPPGIFTSBITRÄDESAVTAL 1. BAKGRUND 1.1 Detta personuppgiftsbiträdesavtal ( Biträdesavtalet ) reglerar Personuppgiftsbiträdets (enligt definition nedan) behandling av personuppgifter för den Personuppgiftsansvariges (enligt definition nedan) räkning i enlighet med det avtal avseende tillhandahållande av Personuppgiftsbiträdets produkt som träffats mellan Personuppgiftsansvarig och Personuppgiftsbiträdet ("Avtalet"). 1.2 Genom att teckna Avtalet och/eller godkänna Bokios allmänna villkor ( Allmänna villkoren ) blir Personuppgiftsansvarig och Personuppgiftsbiträdet bundna av detta Biträdesavtal vilket utgör en integrerad del av Avtalet. 1.3 Personuppgiftsansvarig bestämmer ändamålen och medlen för behandlingen av personuppgifter under detta Biträdesavtal och är därmed personuppgiftsansvarig för sådan behandling. För det fall Personuppgiftsansvarig är ett huvudbiträde som agerar för den personuppgiftsansvariges räkning ska detta Biträdesavtal gälla på motsvarande sätt. 1.4 Perssonuppgiftsbiträdet behandlar personuppgifter under detta Biträdesavtal för den Personuppgiftsansvariges räkning och är därmed personuppgiftsbiträde för sådan behandling. 2. DEFINITIONER OCH TOLKNING 2.1 Begrepp i detta Biträdesavtal ska tolkas i enlighet med tillämplig dataskyddslagstiftning (härefter Tillämplig Dataskyddslagstiftning ). Med Tillämplig Dataskyddslagstiftning avses, om inte annat särskilt överenskommits, tillämplig nationell lagstiftning som implementerar direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter samt annan nationell lagstiftning eller europeisk reglering vilken, ersätter, kompletterar och/eller uppdaterar direktiv 95/46/EG, inklusive dataskyddsförordningen(2016/679) ( Dataskyddsförordningen ) och Datainspektionens bindande föreskrifter och beslut som är tillämpliga på behandlingen av personuppgifter inom ramen för Biträdesavtalet. 2.2 "Personuppgiftsansvarig" avser den part som definierats som kund enligt Avtalet. 2.3 "Personuppgiftsbiträde" avser den part som definierats som Bokio enligt Avtalet. 2.4 Begrepp med stor begynnelsebokstav i detta Biträdesavtal ska ha den innebörd som anges i de Allmänna villkoren. 1

2.5 Vid bristande överensstämmelse mellan Biträdesavtalet och Avtalet ska, avseende behandling av personuppgifter, bestämmelserna i Biträdesavtalet äga företräde Avtalet. 3. BILAGOR TILL BITRÄDESAVTALET 1. Specifikation för personuppgiftsbehandling 4. BEHANDLING AV PERSONUPPGIFTER 4.1 Instruktioner 4.1.1 Personuppgiftsansvarig är ansvarig för att behandling av personuppgifter sker i enlighet med Tillämplig Dataskyddslagstiftning. Personuppgiftsansvarig ansvarar för att Personuppgiftsbiträdet inte ska behandla andra kategorier av personuppgifter än sådana som anges i Bilaga 1 och i däri angiven omfattning. 4.1.2 Personuppgiftsbiträdet, och varje person som är behörig att utföra arbete för dess räkning, åtar sig att endast behandla personuppgifter i enlighet med Personuppgiftsansvarigs dokumenterade instruktioner, såvida inte Personuppgiftsbiträdet har en skyldighet enligt tillämplig lag att behandla personuppgifterna. I sådana fall ska Personuppgiftsbiträdet informera Personuppgiftsansvarig om detta innan behandlingen påbörjas, i den mån det är tillåtet enligt aktuell reglering. Parterna ska säkerställa att den andra Parten har rätt att behandla kontaktuppgifter, och eventuellt andra personuppgifter, till den första partens anställda om och i den utsträckning det behövs för att underlätta tillhandahållandet av Produkten. 4.1.3 Med undantag för det som framgår av punkten 4.1.2 ovan får Personuppgiftsbiträdet inte behandla personuppgifter för egna ändamål eller andra ändamål än de som framgår av Avtalet. Personuppgiftsbiträdet ska dock ha rätt att behandla personuppgifter i syfte att tillhandahålla, underhålla och lämna support i förhållande till Produkten. Personuppgiftsbiträdet ska även ha rätt att behandla personuppgifter i syfte att utveckla och förbättra Produkten, om det uttryckligen framgår av Bilaga 1. 4.1.4 Biträdesavtalet, inklusive Bilaga 1, utgör Personuppgiftsansvarigs samtliga instruktioner för behandlingen av personuppgifter under Biträdesavtalet, med undantag för de eventuella skriftliga instruktioner som Personuppgiftsansvarig under avtalstiden är skyldig att lämna för att kunna uppfylla Tillämplig Dataskyddslagstiftning. Andra eventuella ändringar ska överenskommas separat. Personuppgiftsbiträdet ska ha rätt till skälig ersättning vid ändrade skriftliga instruktioner. Personuppgiftsbiträdet ska omedelbart informera den Personuppgiftsansvarige om Personuppgiftsbiträdet anser att en instruktion strider mot Tillämplig Dataskyddslagstiftning. Om Personuppgiftsbiträdet meddelar Personuppgiftsansvarig inom rimlig tid att Personuppgiftsbiträdet har sakliga skäl för att motsätta sig Personuppgiftsansvarigs ändrade instruktioner för uppfyllandet av Tillämplig Dataskyddslagstiftning, ska endera Part ha rätt att skriftligen säga upp Avtalet till omedelbart upphörande. Om inte annat överenskommits ifråga om avgifter för förtida upphörande utan skäl, ska Personuppgiftsbiträdet återbetala eventuella avgifter som erlagts i förskott för icke utnyttjade produkter eller tjänster enligt Avtalet och Personuppgiftsansvarig 2

ska ersätta Personuppgiftsbiträdets kostnader för Produktens förtida upphörande. 4.2 Säkerhetsåtgärder 4.2.1 Personuppgiftsbiträdet ska implementera de organisatoriska och tekniska åtgärder som krävs enligt Tillämplig Dataskyddslagstiftning och som i övrigt framgår av Avtalet för att skydda de personuppgifter som behandlas. 4.2.2 Personuppgiftsansvarig svarar för att de i punkt 4.2.1 avtalade säkerhetsåtgärderna uppfyller Personuppgiftsansvarigs skyldigheter enligt Tillämplig Dataskyddslagstiftning om krav på säkerhet för de personuppgifter som behandlas. Om Personuppgiftsansvarig begär ändring av säkerhetsåtgärderna gäller för sådan begäran samma bestämmelser som gäller för Personuppgiftsansvarigs instruktioner enligt punkt 4.1.4. Vid Personuppgiftsbiträdets begäran om ändrade säkerhetsåtgärder gäller vad som följer av punkten 4.2.3. 4.2.3 Om Personuppgiftsbiträdet upptäcker att avtalade säkerhetsåtgärder enligt punkten 4.1.1 helt eller delvis strider mot Tillämplig Dataskyddslagstiftning ska Personuppgiftsbiträdet inom skälig tid skriftligen meddela Personuppgiftsansvarig om sin inställning och invänta Personuppgiftsansvarigs skriftliga instruktioner om lämpliga säkerhetsåtgärder enligt punkt 4.1.4. Om Personuppgiftsansvarig trots uppmaning inte lämnar nya instruktioner inom skälig tid ska Personuppgiftsbiträdet ha rätt att på Personuppgiftsansvarigs bekostnad vidta skäliga och nödvändiga säkerhetsåtgärder för att uppfylla Tillämplig Dataskyddslagstiftning. 4.2.4 Personuppgiftsbiträdet ska se till att samtliga personer med behörighet att behandla personuppgifter för vilka den Personuppgiftsansvarige ansvarar åtar sig att iaktta konfidentialitet eller om relevant omfattas av en lämplig lagstadgad tystnadsplikt innan sådana personer får behörighet att behandla personuppgifterna. 4.3 Skyldighet att bistå Personuppgiftsansvarig 4.3.1 Personuppgiftsbiträdet ska, utöver vad som följer av punkt 4.2 implementera lämpliga tekniska och organisatoriska åtgärder för att på Personuppgiftsansvarigs skriftliga begäran assistera Personuppgiftsansvarig i uppfyllandet av de registrerades rättigheter enligt kapitel III i Dataskyddsförordningen, såsom insyn och villkor, information och tillgång till personuppgifter, rättelse och radering och rätt att göra invändningar samt automatiserat individuellt beslutsfattande. Personuppgiftsbiträdets skyldighet enligt denna punkt ska endast gälla i den mån detta är möjligt och i den utsträckning som behandlingens art kräver det. 4.3.2 Personuppgiftsbiträdet ska, med beaktande av typen av behandling och den information som Personuppgiftsbiträdet har att tillgå, därutöver vara skyldig att på Personuppgiftsansvarigs skriftliga begäran bistå Personuppgiftsansvarig så att denne kan fullgöra de skyldigheter som Personuppgiftsansvarig har avseende säkerhet, personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd enligt Tillämplig Dataskyddslagstiftning. 3

4.3.3 Om annat inte skriftligen överenskommits, ska Personuppgiftsbiträdet ha rätt till skälig ersättning för det bistånd som Personuppgiftsbiträdet tillhandahåller Personuppgiftsansvarig enligt denna punkt 4.3. 5. UTLÄMNANDE AV PERSONUPPGIFTER 5.1 Personuppgiftsbiträdet ska inte till registrerad eller tredje part lämna ut eller annars röja personuppgifter som omfattas av Biträdesavtalet, om annat inte följer av Avtalet eller av lag, domstols- eller myndighetsbeslut. I de fall Personuppgiftsbiträdet måste lämna ut sådan information på grund av lag, domstols- eller myndighetsbeslut ska Personuppgiftsbiträdet, såvida detta inte är förbjudet enligt lag, domstols- eller myndighetsbeslut, meddela Personuppgiftsansvarig detta. 5.1.1 Personuppgiftsbiträdet ska utan oskäligt dröjsmål underrätta Personuppgiftsansvarig om en registrerad begär information som rör dess behandling av personuppgifter under Biträdesavtalet, samt hänvisa den registrerade till Personuppgiftsansvarig. Personuppgiftsbiträdet ska i enlighet med punkt 4.3 bistå Personuppgiftsansvarig med att besvara en sådan förfrågan. 5.1.2 Personuppgiftsbiträdet och dess företrädare är enligt Tillämplig Dataskyddslagstiftning skyldig att samarbeta med dataskyddsmyndigheten vid tillsynsåtgärder, om dataskyddsmyndigheten begär det. Personuppgiftsbiträdet åtar sig att utan oskäligt dröjsmål underrätta Personuppgiftsansvarig om förfrågningar från dataskyddsmyndigheten eller annan tillsynsmyndighet som specifikt rör dess behandling av personuppgifter under Biträdesavtalet. Personuppgiftsbiträdet ska inte ha rätt att företräda Personuppgiftsansvarig eller agera för Personuppgiftsansvarigs räkning vid sådana förfrågningar. Personuppgiftsbiträdet ska ha rätt till skälig ersättning vid sådant begärt samarbete som hänför sig specifikt till behandlingen av Personuppgiftsansvarigs personuppgifter och som inte är en följd av att Personuppgiftsbiträdet brutit mot sina åtaganden enligt Biträdesavtalet om behandlingen av personuppgifter. 6. UNDERBITRÄDEN 6.1 Personuppgiftsbiträdet har, om annat inte framgår av Avtalet, rätt att anlita underbiträden inom och utanför EU/EES för behandlingen av personuppgifter. Personuppgiftsbiträdet ska tillse att underbiträden är bundna av skriftliga avtal som ålägger dem samma skyldigheter vid behandlingen av personuppgifter som de skyldigheter som gäller enligt Biträdesavtalet. Om underbiträdet inte uppfyller de skyldigheter som följer av Biträdesavtalet, ska Personuppgiftsbiträdet vara fullt ansvarig gentemot Personuppgiftsansvarig för utförandet av underbiträdets skyldigheter. 6.1.1 Personuppgiftsbiträdet ska tillhandahålla en lista över vilka underbiträden som Personuppgiftsbiträdet anlitar från tid till annan på www.bokio.se/gdpr. Personuppgiftsbiträdet kommer genom att uppdatera hemsidan informera den Personuppgiftsansvarige i skälig tid innan Personuppgiftsbiträdet anlitar nya eller ersätter befintliga underbiträden. Personuppgiftsansvarig ska utan dröjsmål skriftligen invända mot sådana förändringar om den Personuppgiftsansvarige har rimliga skäl att tvivla på det nya underbiträdets förmåga att efterleva Tillämplig 4

Dataskyddslagstiftning. Den Personuppgiftsansvarige förstår och accepterar att sådan invändning kan resultera i att Personuppgiftsbiträdet inte kan uppfylla sina åtaganden enligt Avtalet i den utsträckning sådant åtagande är relaterat till underbiträdet i fråga. 7. TREDJELANDSÖVERFÖRINGAR Personuppgiftsbiträdet ska säkerställa att det finns en laglig grund för överföring av personuppgifter till, eller tillgängliggörande från, en plats utanför EU/EES, exempelvis genom användandet av EU-kommissionens standardavtalsklausuler för överföring av personuppgifter till tredje land eller bestämmelser som ersätter dessa. Personuppgiftsbiträdet ska ha rätt att ingå sådana standardavtalsklausuler med underbiträden för den personuppgiftsansvariges räkning. 8. UNDERRÄTTELSE VID DATAINTRÅNG 8.1 Personuppgiftsbiträdet ska utan onödigt dröjsmål underrätta den Personuppgiftsansvarige efter att ha fått vetskap om en personuppgiftsincident. 8.2 En sådan underrättelse ska, med beaktande av typen av behandling och den information som Personuppgiftsbiträdet har att tillgå: a) beskriva personuppgiftsincidentens art, och, om möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs, b) beskriva de sannolika konsekvenserna av personuppgiftsincidenten, samt c) beskriva de åtgärder som har vidtagits eller bör vidtas för att åtgärda personuppgiftsincidenten eller mildra dess potentiella negativa effekter. 8.3 Om och i den utsträckning det inte är möjligt att tillhandahålla informationen samtidigt, får informationen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål. 8.4 Om Personuppgiftsansvarig i strid med Tillämplig Dataskyddslagstiftning inte informerar den registrerade om en personuppgiftsincident och dataskyddsmyndigheten förelägger Personuppgiftsbiträdet att åtgärda bristen, ska Personuppgiftsansvarig ersätta Personuppgiftsbiträdets kostnader för att uppfylla dataskyddsmyndighetens beslut. 9. KONSEKVENSBEDÖMNING AVSEENDE DATASKYDD Personuppgiftsbiträdet ska, med beaktande av typen av behandling och den information som är tillgänglig för Personuppgiftsbiträdet, genom lämpliga tekniska och organisatoriska åtgärder bistå den Personuppgiftsansvarige med att fullgöra den Personuppgiftsansvariges skyldigheter avseende konsekvensbedömning avseende dataskydd samt föregående samråd enligt Tillämplig Dataskyddslagstiftning. 10. RÄTT TILL GRANSKNING 10.1 Personuppgiftsbiträdet ska, utöver vad som följer av Avtalet, ge 5

Personuppgiftsansvarig tillgång till all information som krävs för att visa att de skyldigheter som följer av Tillämplig Dataskyddslagstiftnings krav på personuppgiftsbiträden har fullgjorts samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av Personuppgiftsansvarig eller av Personuppgiftsansvarig utsedd revisor (vilken inte får vara en direkt eller indirekt konkurrent till Personuppgiftsbiträdet). I det fall Personuppgiftsansvarig önskar genomföra en inspektion ska Personuppgiftsansvarig informera Personuppgiftsbiträdet om detta i skälig tid i förväg och samtidigt specificera inspektionens innehåll och omfattning. Personuppgiftsbiträdets skäliga kostnader i samband med genomförande av sådan granskning får debiteras Personuppgiftsansvarig. 10.2 Personuppgiftsbiträdet ska omedelbart informera Personuppgiftsansvarig om Personuppgiftsbiträdet anser att information, inbegripet inspektioner, enligt punkt 10.1 inte krävs eller strider mot Tillämplig Dataskyddslagstiftning. Om annat inte följer av Avtalet, får inspektion endast göras om granskning enligt Tillämplig Dataskyddslagstiftning inte kan fullgöras genom Personuppgiftsbiträdets tillhandahållande av information. 10.3 En granskning enligt punkt 10.1 förutsätter att Personuppgiftsansvarig, eller av Personuppgiftsansvarig utsedd revisor, har träffat nödvändiga sekretessåtaganden och följer Personuppgiftsbiträdets säkerhetsbestämmelser på platsen där inspektionen ska genomföras samt att inspektionen genomförs utan att den riskerar att hindra Personuppgiftsbiträdets verksamhet eller skyddet för andra kunders information. Information som samlas in som en del av granskningen ska raderas efter fullgjord inspektion eller när den inte längre behövs för ändamålet med granskningen. 11. AVTALSTID Bestämmelserna i detta Biträdesavtal ska gälla så länge som Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning. 12. ÅTGÄRDER NÄR BEHANDLINGEN AV PERSONUPPGIFTER AVSLUTATS 12.1 När detta Biträdesavtal upphör ska Personuppgiftsbiträdet, beroende på vad den Personuppgiftsansvarige väljer, enligt den Personuppgiftsansvariges instruktion radera eller återlämna alla personuppgifter som behandlats enligt Biträdesavtalet inom trettio (30) dagar efter Avtalets upphörande, om inte lagring av personuppgifterna krävs enligt svensk eller europeisk lagstiftning. 12.2 På begäran av den Personuppgiftsansvarige ska Personuppgiftsbiträdet skriftligen bekräfta vilka åtgärder som vidtagits avseende personuppgifterna efter behandlingens avslutande enligt punkt 12.1 ovan. 13. ERSÄTTNING Utöver vad som annars följer av Biträdesavtalet, ska Personuppgiftsbiträdet ha rätt till skälig ersättning för att följa Personuppgiftsansvarigs skriftliga instruktioner om den begärda åtgärden inte specifikt framgår av Avtalet i övrigt. Om Personuppgiftsbiträdet har rätt till ersättning för utfört arbete ska Personuppgiftsbiträdets vid var tid gällande prislista gälla för sådant arbete. 6

14. ANSVAR 14.1 Part som blir föremål för krav från registrerade ska inom skälig tid skriftligen underrätta den andra Parten om framförda krav när det är sannolikt att krav mot andra Parten kan komma att framställas och låta den andra Parten få insyn i den registrerades och Partens handlingar i sådant mål och låta den andra Parten lämna synpunkter på detta. 14.2 Skadeståndskrav respektive regresskrav avseende skadestånd som utbetalats till registrerad enligt Tillämplig Dataskyddslagstiftning ska framställas av Part senast inom 6 månader från det att Part skadan uppstod respektive då Part utbetalat skadestånd till registrerad. 14.3 Utöver vad som anges i denna punkt 14 framgår begränsning av Parts ansvar under Biträdesavtalet av de Allmänna villkoren. 15. TILLÄMPLIG LAG OCH TVISTELÖSNING 15.1 Detta Biträdesavtal ska tolkas och tillämpas i enlighet med svensk rätt. 15.2 Tvist angående tolkning eller tillämpning av detta Biträdesavtal ska lösas i enlighet med de Allmänna villkoren. 7

Bilaga 1 Instruktioner för databehandlingen Beskrivning av behandlingen Ändamål Kategorier av personuppgifter Kategorier av registrerade Gallring Insamling av uppgifter, lagring av uppgifter, supporttjänster, utlämnande till tredje part på begäran av Personuppgiftsansvarig. Tillhandahållande av Produkten, förbättring av Produkten, tillhandahålla support i förhållande till Produkten. Namn, adress och andra kontaktuppgifter, bankuppgifter, uppgifter om lön och utlägg, uppgifter avseende kunder, kundnummer, köphistorik. Personuppgiftsansvarigs anställda, Personuppgiftsansvarigs kunder och dess anställda, anställda hos leverantörer. Gallring sker i enlighet med vad som anges i Avtalet. 8