Personuppgiftsbiträdesavtal

1. Avtalets status och parter

Detta är en första mall till personuppgiftsbiträdesavtal enligt artikel 28 i dataskyddsförordningen. Den är inte ett redan ingånget biträdesavtal. Kunden och den identifierade leverantören ska godkänna avtalet skriftligen tillsammans med en ifylld behandlingsbilaga före behandling på kundens uppdrag.

Kunden är personuppgiftsansvarig för de behandlingar där kunden bestämmer ändamål och väsentliga medel. Leverantören är biträde endast för behandling som faktiskt sker för kundens räkning. Egen behandling för exempelvis bokföring och självständiga operatörsändamål omfattas inte automatiskt av biträdesrollen.

2. Behandling och instruktioner

Biträdet får endast behandla uppgifter enligt kundens dokumenterade instruktioner, inklusive instruktioner om överföringar utanför EU/EES. Om bindande rätt kräver annan behandling ska kunden informeras före behandlingen när det är tillåtet.

Instruktionerna ska avse mottagning av samtal, realtidsbehandling av ljud och de meddelande-/sammanfattningsfunktioner som har aktiverats. Ändamål, varaktighet, uppgiftskategorier och registrerade ska specificeras i bilagan. Uppgifter får inte användas för biträdets egna fristående ändamål. Biträdet ska informera kunden om en instruktion enligt biträdets uppfattning strider mot dataskyddsreglerna.

3. Sekretess och säkerhet

Personer som får åtkomst ska vara behöriga, omfattas av sekretess och bara få åtkomst i den utsträckning deras uppgift kräver. Biträdet ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32. De införda åtgärderna ska dokumenteras i bilagan och följas upp.

Säkerhetsåtgärder får inte försämras på ett sätt som sänker det avtalade skyddet. Test-, felsöknings- och supportåtkomst omfattas också av instruktioner, sekretess och uppgiftsminimering.

4. Underbiträden och överföringar

Underbiträden kräver kundens särskilda eller generella skriftliga förhandstillstånd. Bilagan ska ange godkända bolag, behandlingar och platser. Vid generellt tillstånd ska planerade tillägg eller byten meddelas i sådan tid att kunden har möjlighet att invända före förändringen. Parterna ska avtala om invändningstid och hantering av olösta invändningar.

Underbiträden ska omfattas av motsvarande dataskyddsskyldigheter. Biträdet behåller sitt ansvar gentemot kunden enligt tillämpliga regler. Överföring eller åtkomst utanför EU/EES får bara ske enligt kundens instruktioner och med ett giltigt överföringsstöd samt de ytterligare åtgärder som krävs. Publicerade leverantörsvillkor bevisar inte i sig att ett visst kundupplägg är godkänt.

5. Incidenter och hjälp till kunden

Biträdet ska utan onödigt dröjsmål underrätta kunden efter att ha fått vetskap om en personuppgiftsincident. Underrättelsen ska innehålla tillgänglig information om händelsen, berörda uppgifter och personer, sannolika följder och vidtagna eller planerade åtgärder. Information får kompletteras efter hand.

Biträdet ska med beaktande av behandlingens art och tillgänglig information hjälpa kunden med registrerades rättigheter och skyldigheter rörande säkerhet, incidenter, konsekvensbedömning och förhandssamråd. Kundens egen frist för myndighetsanmälan ska inte förväxlas med biträdets skyldighet att underrätta kunden.

6. Kontroll och avslut

Biträdet ska ge kunden den information som behövs för att visa att artikel 28 följs samt möjliggöra och bidra till granskning, inklusive inspektioner som utförs av kunden eller utsedd granskare. Former och sekretesskydd får avtalas utan att kundens lagstadgade granskningsrätt sätts ur spel.

När tjänsten upphör ska biträdet efter kundens val återlämna eller radera personuppgifter och befintliga kopior, om inte bindande rätt kräver lagring. Format, tidsfrister, säkerhetskopiors hantering och raderingsbekräftelse ska anges i bilagan. Sekretess gäller även efter avslut.

7. Bilaga som måste färdigställas

Ingen generell förhandsgodkännandelista eller obekräftad standardfrist fylls i automatiskt genom denna webbmall. Läs även integritetsinformationen.