Detta Personuppgiftsbiträdesavtal (”Personuppgiftsbiträdesavtalet”) gäller mellan Datakliniken i Eslöv AB, Traktorvägen 1, 241 38 Eslöv, org.nr. 556526-9551 (”Leverantören”) och (”Kunden”) som valt att ingå detta Personuppgiftsbiträdesavtal med Leverantören.

1 Allmänt

1.1 Detta Personuppgiftsbiträdesavtal utgör en integrerad del av avtal som ingåtts mellan Leverantören och Kunden.

1.2 Leverantören kommer vid fullföljande av avtalet att behandla Personuppgifter för Kundens räkning såsom Kundens personuppgiftsbiträde. Kunden är personuppgiftsansvarig för behandlingen av Personuppgifterna.

1.3 Om någon annan tillsammans med Kunden är personuppgiftsansvarig för de aktuella Personuppgifterna ska Kunden informera Leverantören om detta.

1.4 Syftet med Personuppgiftsbiträdesavtalet är att Kunden och Leverantören ska uppfylla vid var tid gällande krav på Personuppgiftsbiträdesavtal och förpliktelser enligt Dataskyddsregler inom ramen för de tjänster Leverantören utför åt Kunden.

2 Definitioner

”Dataskyddsregler” – avser Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) med tillhörande genomförandeförfattningar samt all annan eventuell lagstiftning (inklusive förordningar och föreskrifter) som är tillämplig på Behandling av Personuppgifter, såsom denna kan komma att förändras över tid.

”Personuppgifter” – avser nedan all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet och som behandlas för Personuppgiftsansvarigs räkning.

”Registrerad” – avser den fysiska person som Personuppgift avser.

”Tillsynsmyndighet” – avser den eller de tillsynsmyndigheter som har behörighet att bedriva tillsyn över behandling av Personuppgifter eller anses vara berörd tillsynsmyndighet enligt Dataskyddsregler, t.ex. Datainspektionen.

”Underbiträde” – avser den som behandlar Personuppgifter som underleverantör åt Leverantören.

3 Ansvar

3.1 Kunden är personuppgiftsansvarig för samtliga Personuppgifter som Leverantören behandlar för Kundens räkning. Kunden ansvarar därmed för att gällande dataskyddregler följs. Kunden åtar sig att utan dröjsmål informera Leverantören om förändringar i behandling av Personuppgifter vilka påverkar Leverantörens skyldigheter enligt gällande dataskyddslagstiftning eller annan relevant lagstiftning.

3.2 Leverantören åtar sig att endast behandla Personuppgifter på uppdrag av Kunden i enlighet med Personuppgiftsbiträdesavtalet och enligt vid var tid gällande dokumenterade instruktioner från Kunden.
Leverantören ska utan dröjsmål underrätta Kunden om instruktioner avseende Leverantörens behandling av Personuppgifter är otillräckliga eller felaktiga eller om Leverantören misstänker eller upptäcker att Kundens instruktioner strider mot gällande dataskyddslagstiftning.

4 Säkerhet

4.1 Leverantören ska vid behandling av Personuppgifter vidta alla lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken och för att skydda Personuppgifter från obehörig eller olaglig behandling, oavsiktlig eller olaglig förlust, förstöring eller ändring eller obehörigt röjande av eller åtkomst till sådana Personuppgifter.

4.2 Leverantören ska utan onödigt dröjsmål, dock inte senare än tjugofyra (24) timmar, skriftligen underrätta Kunden om en misstanke om eller konstaterad personuppgiftsincident som kan leda till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till Personuppgifter.

4.3 Leverantören ska vid behandling av Personuppgifter bistå Kunden med genomförande av konsekvensbedömningar avseende dataskydd, förhandssamråd med behörig tillsynsmyndighet, samt utformning av lämpliga tekniska och organisatoriska åtgärder, i den mån detta krävs under Gällande dataskyddslagstiftning.

5 Utlämnande av Personuppgifter

5.1 Om det till Leverantören kommer in en begäran från registrerad, behörig tillsynsmyndighet eller annan tredje man som rör behandling av Personuppgifter ska Leverantören utan dröjsmål vidarebefordra begäran till Kunden. Leverantören och de personer som arbetar under ledning av Leverantören får inte lämna ut Personuppgifter eller annan information om behandling av Personuppgifter utan uttrycklig instruktion från Kunden eller om utlämnandet krävs enligt lag.

5.2 Leverantören ska utan onödigt dröjsmål bistå Kunden i relation till en begäran från Registrerad, om utlämning, rättelse, radering, blockering eller överföring av Personuppgifter, inklusive att tillhandahålla all relevant information och dokumentation, i den mån och utsträckning detta krävs under gällande dataskyddslagstiftning. Leverantören ska inte utföra någon åtgärd med följden att Kunden anses handla i strid med gällande dataskyddslagstiftning.

5.3 Leverantören ska utan dröjsmål informera Kunden om eventuella kontakter med behörig tillsynsmyndighet som rör, eller kan vara av betydelse för, Kundens behandling av Personuppgifter.

6 Underbiträden

6.1 Som en del av leveransen av tjänster till Kunden kan Leverantören använda sig av underleverantörer i rollen Underbiträde inom eller utanför EU. Leverantören ska säkerställa att Underbiträden samtycker till att åta sig ansvar som motsvarar de skyldigheter som anges i detta avtal.

6.2 Kunden kan när som helst begära en fullständig översikt och mer detaljerad information om de Underbiträden som är involverade i leverans av tjänsten från Leverantören.

6.3 Om Underbiträde finns utanför EU ska Leverantören säkerställa att det finns lämpliga skyddsåtgärder på plats enligt Gällande dataskyddslagstiftning, t.ex. standardiserade dataskyddsbestämmelser som antagits av EU-kommissionen eller bindande företagsbestämmelser, som omfattar behandling av Personuppgifter.

7 Rätt till insyn

7.1 Leverantören ska utan dröjsmål, på Kundens begäran, tillhandahålla all information som Kunden behöver för att kunna granska och utöva sin insyn i Leverantörens behandling av Personuppgifter som följer av Personuppgiftsbiträdesavtalet.

7.2 Leverantören ska tillåta de inspektioner som behörig tillsynsmyndighet under gällande dataskyddslagstiftning kan kräva för säkerställandet av en korrekt behandling av Personuppgifter. Leverantören ska följa av behörig tillsynsmyndighets fattade beslut om åtgärder för att uppfylla Gällande dataskyddslagstiftning.

8 Sekretess

8.1 Leverantören och de personer som arbetar under ledning av Leverantören ska vid behandling av Personuppgifter iaktta sekretess, såväl handlingssekretess som tystnadsplikt. Leverantören åtar sig att tillse att samtliga personer med behörighet att behandla Personuppgifter ska ingå särskild sekretessförbindelse eller upplysas om att tystnadsplikt föreligger enligt lag eller avtal.

8.2 Åtagandet i punkt 8.1 ovan gäller inte information som Leverantören föreläggs utge till myndighet eller enligt Dataskyddsregler eller annan lagstadgad skyldighet. Sekretessåtagandet gäller även efter att Personuppgiftsbiträdesavtalet upphört att gälla utan begränsning i tid.

9 Ersättning

9.1 Leverantören ska ha rätt till full ersättning från Kunden för samtligt arbete och samtliga kostnader som uppstår till följd av fullgörande av de instruktioner för behandling av personuppgifter som Kunden ger Leverantören. Leverantören ska även ha rätt till ersättning för sitt arbete med anledning av sina åtagande enligt punkten 5. Samtligt arbete som Leverantören har rätt till ersättning för enligt denna punkt ska ersättas i enlighet med Leverantörens vid var tid gällande timpriser.

10 Ansvar

10.1 Om Leverantören, den som arbetar under Leverantörens ledning eller av Leverantören anlitat Underbiträde behandlar Personuppgifter i strid med detta Personuppgiftsbiträdesavtal eller de lagenliga anvisningar som Kunden har lämnat, ska Leverantören med beaktande av de ansvarsbegränsningar som följer Avtalet, ersätta Kunden för den direkta skada som Kunden har orsakats på grund av den felaktiga behandlingen, inklusive skadestånd och administrativa sanktionsavgifter som Kunden behövt erlägga till tredje man. Leverantörens ansvar enligt denna punkt 10.1 alltid vara begränsat till ett belopp motsvarande de avgifter som Kunden erlagt till Leverantören, dock ej avseende hårdvara, under en period om tolv (12) månader innan skadan uppstod.

10.2 Om Kunden, den som arbetar under Kundens ledning eller av Kunden anlitad tredje part orsakar Leverantören skada som beror på otydliga, bristfälliga eller otillåtna instruktioner från Kunden, bristfällig information från Kunden om vilka kategorier av uppgifter som behandlas (t.ex. om känsliga Personuppgifter behandlas utan att Kunden informerat Leverantören om detta) eller som annars beror på brott mot detta Personuppgiftsbiträdesavtal, ska Kunden ersätta Leverantören för sådan skada, inklusive skadestånd och administrativa sanktionsavgifter som Leverantören behövt erlägga till tredje man.

10.3 Leverantörens ersättningsskyldigheter avseende krav och skador enligt denna punkt 10 gäller under förutsättning att Kunden utan onödigt dröjsmål skriftligen underrättar Leverantören om krav som framställts mot Kunden och att Kunden låter Leverantören kontrollera försvaret av kravet och ensam fatta beslut om eventuell förlikning.

11 Ändringar av Personuppgiftsbiträdesavtalet

11.1 Ändringar av och tillägg till Personuppgiftsbiträdesavtalet ska för att vara bindande vara skriftligen avfattade och behörigen undertecknade av Parterna.

11.2 Denna punkt 11 förhindrar inte att Kunden kan ändra eller utfärda ytterligare instruktioner i enlighet med vad som framgår av Personuppgiftsbiträdesavtalet.

12 Avtalstid

12.1 Personuppgiftsbiträdesavtalet gäller från dess undertecknande och så länge som Leverantören behandlar Personuppgifter för Kundens räkning.

13 Tillämplig lag

13.1 För Personuppgiftsbiträdesavtalets tolkning och tillämpning gäller svensk lag.