Juridiska dokument

Begrepp som definieras i Dataskyddsreglerna, såsom exempelvis "personuppgiftsansvarig", "personuppgiftsbiträde", "personuppgift", "behandling", "personuppgiftsincident" och "registrerad", ska tolkas och tillämpas i enlighet med Dataskyddsreglerna.

Definitioner som framgår av Tjänsteavtalet ska ha samma betydelse i detta Personuppgiftsbiträdesavtal om inte annat framgår. Därutöver ska följande definitioner ha följande betydelse när de anges med stor begynnelsebokstav:

"GDPR" avser Europaparlamentets och Rådets Förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

"Dataskyddsreglerna" avser (a) GDPR och ersättande rättsakter, (b) tillämplig svensk lag avseende dataskydd, och till (a) och (b) hörande förordningar och föreskrifter som utfärdats av Tillsynsmyndighet och som är tillämpliga på Kundens verksamhet.

"Tillsynsmyndighet" avser Integritetsskyddsmyndigheten (IMY) och annan behörig tillsynsmyndighet som med stöd av lag utövar tillsyn över Kundens verksamhet.

Kunden är personuppgiftsansvarig för behandlingen av de personuppgifter som Personuppgiftsbiträdet behandlar för Kundens räkning. Som personuppgiftsansvarig ansvarar Kunden för att uppfylla sina skyldigheter enligt Dataskyddsreglerna, inklusive men inte begränsat till att säkerställa att behandlingen är laglig och att informera registrerade om behandlingen. Utgångspunkten är att Kunden ansvarar för behandlingen av de personuppgifter som registrerade lämnar i samband med Kampanjer.

Personuppgiftsbiträdet ska vid behandling av personuppgifter för Kundens räkning, följa Dataskyddsreglerna och detta Personuppgiftsbiträdesavtal. Personuppgiftsbiträdet ska endast behandla personuppgifter för Kundens räkning i enlighet med detta Personuppgiftsbiträdesavtal och Kundens dokumenterade instruktioner. Behandling får även ske om sådan behandling krävs enligt Dataskyddsreglerna eller enligt en medlemsstats nationella rätt som Personuppgiftsbiträdet eller dess underbiträde omfattas av.

I den utsträckning Personuppgiftsbiträdet behandlar personuppgifter för egna ändamål ska personuppgiftsbiträdet betraktas som personuppgiftsansvarig för sådan behandling och ansvarar själv för att uppfylla skyldigheter enligt Dataskyddsreglerna. Sådan behandling för egna ändamål omfattas inte av detta Personuppgiftsbiträdesavtal.

Kunden har rätt att löpande instruera Personuppgiftsbiträdet skriftligen gällande Personuppgiftsbiträdets behandling av personuppgifter som sker för Kundens räkning, varvid Personuppgiftsbiträdet har motsvarande skyldighet att följa sådana instruktioner, förutsatt att sådana instruktioner är dokumenterade, nödvändiga och förenliga med Dataskyddsreglerna.

Kundens dokumenterade instruktioner utgörs huvudsakligen av detta Personuppgiftsbiträdesavtal och tillhörande bilagor, Kundens inställningar i och användning av funktioner i Tjänsten, samt eventuella skriftliga instruktioner som Kunden lämnar till Personuppgiftsbiträdet.

Om Kunden förser Personuppgiftsbiträdet med nya eller ändrade instruktioner har Personuppgiftsbiträdet rätt till skälig ersättning om nya eller ändrade instruktioner medför ökade kostnader eller tekniska förändringar för Personuppgiftsbiträdet.

Personuppgiftsbiträdet har rätt att, enligt Kundens dokumenterade instruktioner, överföra eller göra personuppgifter tillgängliga för sådan tredjepartsleverantör som Kunden själv har ingått avtal med och som behandlar personuppgifter under Kundens ansvar. Personuppgiftsbiträdet ansvarar inte för sådan tredjepartsleverantörs behandling av personuppgifter efter det att uppgifterna överförts i enlighet med Kundens instruktioner. Kunden ansvarar för att säkerställa att överföringen är förenlig med Dataskyddsreglerna, inklusive att nödvändiga personuppgiftsbiträdesavtal eller andra rättsliga arrangemang finns på plats med den aktuella tredjepartsleverantören. Personuppgiftsbiträdet ansvarar för säker överföring fram till överlämnandet. Personuppgiftsbiträdet ansvarar inte för brister i säkerheten hos tredjepartsleverantörens system. Vid överföring enligt denna punkt ansvarar Kunden för att förutsättningarna för överföring till tredjeland är uppfyllda.

Personuppgifter får överföras till tredjeland i enlighet med kapitel V GDPR, i första hand till länder med adekvat skyddsnivå enligt artikel 45 GDPR, och i andra hand med tillämpning av lämpliga skyddsåtgärder enligt artikel 46 GDPR, såsom standardavtalsklausuler.

Personuppgifter får enbart behandlas av underbiträden som kan ge tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i Dataskyddsreglerna. Personuppgiftsbiträdet ska även ingå ett skriftligt avtal med underbiträdet som reglerar den behandling som underbiträdet utför å Kundens vägnar. I fråga om dataskydd ska avtalet i allt väsentligt ålägga underbiträdet samma skyldigheter som åläggs personuppgiftsbiträdet i detta Personuppgiftsbiträdesavtal.

Personuppgiftsbiträdet ska på begäran tillhandahålla Kunden en uppdaterad förteckning som visar vilka underbiträden som anlitats för behandlingen av personuppgifter under detta Personuppgiftsbiträdesavtal. Förteckningen ska innefatta underbiträdens företagsnamn, den behandling som utförs samt var behandlingen äger rum.

Personuppgiftsbiträdet ska i rimlig utsträckning bistå Kunden med att uppfylla registrerades rättigheter enligt Dataskyddsreglerna. Detta kan exempelvis avse begäran om tillgång till, rättelse eller radering av personuppgifter. Personuppgiftsbiträdet har rätt till skälig ersättning för sitt bistånd och arbete enligt denna punkt, inkluderat eventuell ersättning till underbiträden.

Personuppgiftsbiträdet åtar sig att skriftligen informera Kunden om varje personuppgiftsincident som rör behandlingen av personuppgifter under detta Personuppgiftsbiträdesavtal utan onödigt dröjsmål och senast inom sjuttiotvå (72) timmar från att personuppgiftsincidenten upptäcktes av Personuppgiftsbiträdet. Personuppgiftsbiträdet ska även i rimlig utsträckning bistå Kunden i arbetet med att hantera personuppgiftsincidenten, exempelvis genom att ge Kunden tillgång till all den information som Personuppgiftsbiträdet har tillgång till.

Personuppgiftsbiträdet har rätt till skälig ersättning för sitt bistånd och arbete enligt denna punkt 9, inkluderat eventuell ersättning till underbiträden.

Kunden har rätt att, på ett sätt som är proportionerligt och nödvändigt, granska Personuppgiftsbiträdets verksamhet och databehandlingsutrustning i syfte att säkerställa att Personuppgiftsbiträdet, samt eventuella underbiträden, uppfyller sina åtaganden enligt detta Personuppgiftsbiträdesavtal och Dataskyddsreglerna. Kunden ska meddela Personuppgiftsbiträdet minst fjorton (14) dagar innan Kunden genomför sådan granskning och granskningen ska utföras på ett sätt som medför minsta möjliga störning för Personuppgiftsbiträdets verksamhet. Granskning ska i första hand ske genom tillhandahållande av relevant dokumentation, rapporter, certifieringar eller revisionsutlåtanden. Fysisk inspektion får endast ske om detta är nödvändigt och efter särskild överenskommelse. Personuppgiftsbiträdet åtar sig att tillhandahålla den information och/eller den assistans som Kunden begär i samband med en granskning. Personuppgiftsbiträdet har rätt till skälig ersättning för utfört arbete för tillhandahållandet av sådan information eller assistans, inkluderat eventuell ersättning till underbiträden.

Personuppgiftsbiträdet ska tillåta de inspektioner som Tillsynsmyndighet kan kräva för säkerställandet av en korrekt behandling av personuppgifter under detta Personuppgiftsbiträdesavtal. Personuppgiftsbiträdet ska följa av Tillsynsmyndighet fattade beslut om åtgärder för att uppfylla säkerhetskrav enligt Dataskyddsreglerna.

Utöver andra sekretessåtaganden som gäller mellan Personuppgiftsbiträdet och Kunden, åtar sig Personuppgiftsbiträdet att inte lämna ut personuppgifter eller annan information om behandlingen av personuppgifter under detta Personuppgiftsbiträdesavtal, till tredje man utan uttrycklig instruktion från Kunden. Sekretessåtagandet är inte tillämpligt i förhållande till underbiträden med vilka det finns underbiträdesavtal med enligt punkt 7 ovan.

Personuppgiftsbiträdet ska se till att varje person inom Personuppgiftsbiträdet organisation är föremål för sekretessåtagande som motsvarar punkten ovan och som i övrigt uppfyller kraven i Dataskyddsreglerna.

Vid ersättning för skada i samband med behandling av personuppgifter som, genom fastställd dom eller förlikning, ska utgå till den registrerade på grund av överträdelse av bestämmelse i Personuppgiftsbiträdesavtalet, Kundens instruktioner och/eller bestämmelse i Dataskyddsreglerna, ska artikel 82 i GDPR tillämpas. Part ska slutligt bära den del av ersättningen som motsvarar dennes faktiska ansvar för överträdelsen.

Sanktionsavgifter enligt artikel 83 i GDPR, eller 6 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ska bäras av den av Personuppgiftsbiträdesavtalets parter som påförts en sådan avgift.

Om endera parten får kännedom om omständighet som kan leda till skada för motparten ska parten utan onödigt dröjsmål informera motparten om förhållandet och aktivt arbeta tillsammans med motparten för att förhindra och minimera sådan skada.

Vid upphörande av Personuppgiftsbiträdets behandling av personuppgifter, oavsett orsak, ska Personuppgiftsbiträdet i enlighet med Kundens instruktioner, antingen (i) på skriftlig instruktion av Kunden, överföra alla personuppgifter till Kunden på sådant sätt som framgår av Kundens skäliga instruktioner eller (ii) permanent radera personuppgifter samt radera befintliga kopior. Om Kunden inte instruerat Personuppgiftsbiträdet inom trettio (30) dagar kommer Personuppgiftsbiträdet att radera personuppgifterna.

Personuppgiftsbiträdet får anonymisera personuppgifter (i) löpande under Personuppgiftsbiträdesavtalets giltighetstid i syfte att framställa aggregerad statistik eller analys för Kunden samt (ii) som ett alternativ till radering enligt ovan. Denna anonymisering ska anses ske i enlighet med Kundens instruktioner som fastställs i detta Personuppgiftsbiträdesavtal. Efter anonymisering får de anonymiserade uppgifterna behandlas av Personuppgiftsbiträdet utan att omfattas av detta Personuppgiftsbiträdesavtal eller Dataskyddsreglerna.

Anonymisering ska genomföras på ett sådant sätt att uppgifterna efter anonymiseringen inte längre utgör personuppgifter och inte rimligen kan återskapas eller återidentifieras. Efter genomförd anonymisering ska eventuella kvarvarande identifierade uppgifter raderas. De anonymiserade uppgifterna får inte sammanföras med andra datamängder i syfte att analysera enskilda Registrerade. Personuppgiftsbiträdet ska på begäran kunna redogöra för de anonymiseringstekniker som använts.

Om Dataskyddsreglerna ändras, eller om Tillsynsmyndighet utfärdar riktlinjer, beslut eller föreskrifter kring tillämpningen av Dataskyddsreglerna som föranleder att detta Personuppgiftsbiträdesavtal inte uppfyller de krav som ställs på ett personuppgiftsbiträdesavtal, ska part ha rätt att skriftligen begära omförhandling av detta Personuppgiftsbiträdesavtal för att tillgodose sådana nya, ändrade eller förtydligade krav. För det fall parterna inte inom nittio (90) dagar från sådan begäran enats om ett nytt personuppgiftsbiträdesavtal har respektive part rätt att säga upp Tjänsteavtalet och Personuppgiftsbiträdesavtalet med trettio (30) dagars uppsägningstid. Sådan uppsägning ska göras skriftligen och inom trettiodagarsperioden för att vara giltig.

Personuppgiftsbiträdet har i övrigt rätt att begära ändringar av detta Personuppgiftsbiträdesavtal. Sådana ändringar träder i kraft trettio (30) dagar från det att Personuppgiftsbiträdet skriftligen meddelade Kunden om ändringarna. Om Kunden inte vill acceptera det nya uppdaterade personuppgiftsbiträdesavtalet ska Kunden skriftligen meddela Personuppgiftsbiträdet inom trettiodagarsperioden. Personuppgiftsbiträdet har då rätt att antingen låta det gällande Personuppgiftsbiträdesavtalet kvarstå oförändrat, alternativt säga upp Tjänsteavtalet, varvid Kunden har rätt att återfå eventuella avgifter som därutöver erlagts i förskott. Under eventuell uppsägningstid ska det gällande Personuppgiftsbiträdesavtalet kvarstå oförändrat. Om Kunden inte lämnar något meddelande ska Kunden anses ha accepterat det nya personuppgiftsbiträdesavtalet.

Personuppgifter behandlas av Personuppgiftsbiträdet under den tid Tjänsteavtalet gäller och därefter endast i den utsträckning som följer av Kundens instruktioner och Personuppgiftsbiträdesavtalet.

Personuppgifter ska raderas eller anonymiseras när de inte längre är nödvändiga för de ändamål som anges i punkt 4 eller när Kunden annars instruerar att uppgifterna ska tas bort.

Personuppgiftsbiträdet är inte skyldigt att avgöra om eller när gallring och radering ska ske. Gallring och radering sker i stället i enlighet med Kundens instruktioner och Kundens inställningar i Tjänsten.

Vid upphörande av Personuppgiftsbiträdets behandling gäller bestämmelserna i Personuppgiftsbiträdesavtalet, inklusive anonymisering som alternativ till radering.