Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") har ingåtts mellan Teamhub AB, org.nr. 556978-5420 ("Personuppgiftsbiträdet" eller "Teamhub") och den kund som har ingått ett separat avtal med Teamhub avseende tillhandahållande av Teamhubs tjänster ("Huvudavtalet") ("Personuppgiftsansvarig" eller "Kunden").

Biträdesavtalet reglerar Personuppgiftsbiträdets behandling av personuppgifter för Personuppgiftsansvarigs räkning i samband med tillhandahållandet av tjänsterna enligt Huvudavtalet.

1. DEFINITIONER

"Personuppgift" avser varje upplysning som avser en identifierad eller identifierbar fysisk person.

"Behandling" avser varje åtgärd eller kombination av åtgärder beträffande personuppgifter, oberoende av om de utförs automatiserat eller ej.

"Registrerad" avser den fysiska person vars personuppgifter behandlas.

"Dataskyddslagstiftning" avser EU:s dataskyddsförordning (GDPR) samt kompletterande svensk lagstiftning.

"Underbiträde" avser tredje part som Personuppgiftsbiträdet anlitar för att behandla personuppgifter för Personuppgiftsansvarigs räkning.

2. BEHANDLINGENS OMFATTNING

2.1 Personuppgiftsbiträdet ska behandla personuppgifter endast i enlighet med Personuppgiftsansvarigs dokumenterade instruktioner, såvida inte behandling krävs enligt unionsrätten eller svensk rätt. I sådana fall ska Personuppgiftsbiträdet informera Personuppgiftsansvarig om det rättsliga kravet innan behandlingen påbörjas, om inte sådan information är förbjuden enligt lag.

2.2 Personuppgiftsbiträdet ska behandla följande kategorier av personuppgifter:

• Namn och kontaktuppgifter (e-post, telefonnummer, adress)
• Användaruppgifter (användarnamn, lösenord i krypterad form)
• Anställningsinformation
• Tidrapporteringsdata
• Projektdata och arbetsrelaterad information
• Positionsdata (vid användning av GPS-funktioner)

2.3 Behandlingen avser Personuppgiftsansvarigs anställda och andra användare som får tillgång till Tjänsten via Personuppgiftsansvarigs konto.

3. PERSONUPPGIFTSBITRÄDETS SKYLDIGHETER

3.1 Personuppgiftsbiträdet ska:

• a) endast behandla personuppgifterna i enlighet med Personuppgiftsansvarigs dokumenterade instruktioner;
• b) säkerställa att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lämplig lagstadgad tystnadsplikt;
• c) vidta alla åtgärder som krävs enligt artikel 32 i GDPR avseende säkerhet vid behandling;
• d) respektera villkoren för anlitande av underbiträden enligt punkt 5;
• e) med hänsyn till behandlingens art, bistå Personuppgiftsansvarig genom lämpliga tekniska och organisatoriska åtgärder vid fullgörandet av Personuppgiftsansvarigs skyldighet att svara på begäranden om utövande av de registrerades rättigheter;
• f) bistå Personuppgiftsansvarig med att säkerställa efterlevnad av skyldigheterna enligt artiklarna 32-36 i GDPR;
• g) efter Personuppgiftsansvarigs val, radera eller återlämna alla personuppgifter till Personuppgiftsansvarig efter det att tillhandahållandet av tjänsterna avslutats, och radera befintliga kopior såvida inte lagring av personuppgifterna krävs enligt lag; och
• h) ge Personuppgiftsansvarig tillgång till all information som krävs för att visa att skyldigheterna enligt artikel 28 i GDPR har fullgjorts samt möjliggöra och bidra till granskningar, inbegripet inspektioner.

3.2 Personuppgiftsbiträdet ska omedelbart underrätta Personuppgiftsansvarig om Personuppgiftsbiträdet anser att en instruktion strider mot Dataskyddslagstiftningen.

4. TEKNISKA OCH ORGANISATORISKA SÄKERHETSÅTGÄRDER

4.1 Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet:

• a) kryptering av personuppgifter vid överföring och lagring;
• b) förmåga att säkerställa fortlöpande konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen;
• c) förmåga att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid fysisk eller teknisk incident;
• d) förfarande för regelbunden testning, undersökning och utvärdering av effektiviteten hos de tekniska och organisatoriska åtgärderna; och
• e) åtkomstkontroller och behörighetshantering.

4.2 Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet risker för oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till de personuppgifter som behandlas.

5. UNDERBITRÄDEN

5.1 Personuppgiftsansvarig ger härmed sitt generella godkännande till att Personuppgiftsbiträdet anlitar underbiträden för behandling av personuppgifter.

5.2 Personuppgiftsbiträdet ska informera Personuppgiftsansvarig om eventuella planer på att anlita nya underbiträden eller ersätta befintliga underbiträden och därigenom ge Personuppgiftsansvarig möjlighet att göra invändningar mot sådana förändringar.

5.3 När Personuppgiftsbiträdet anlitar ett underbiträde ska ett avtal ingås som ålägger underbiträdet samma skyldigheter i fråga om dataskydd som de som fastställs i detta Biträdesavtal.

5.4 Personuppgiftsbiträdet förblir fullt ansvarigt gentemot Personuppgiftsansvarig för underbiträdets fullgörande av sina skyldigheter.

6. ÖVERFÖRING TILL TREDJE LAND

6.1 Personuppgiftsbiträdet får endast överföra personuppgifter till ett land utanför EU/EES om:

• a) EU-kommissionen har beslutat att det tredje landet säkerställer en adekvat skyddsnivå;
• b) lämpliga skyddsåtgärder har vidtagits i enlighet med artikel 46 i GDPR, såsom EU-kommissionens standardavtalsklausuler; eller
• c) något av undantagen i artikel 49 i GDPR är tillämpligt.

6.2 Personuppgiftsbiträdet ska på begäran informera Personuppgiftsansvarig om eventuella överföringar till tredje land och de skyddsåtgärder som vidtagits.

7. PERSONUPPGIFTSINCIDENTER

7.1 Personuppgiftsbiträdet ska utan onödigt dröjsmål underrätta Personuppgiftsansvarig efter att ha fått vetskap om en personuppgiftsincident.

7.2 Underrättelsen ska minst innehålla:

• a) en beskrivning av personuppgiftsincidentens art;
• b) de kategorier av och det ungefärliga antalet registrerade som berörs;
• c) de sannolika konsekvenserna av personuppgiftsincidenten; och
• d) en beskrivning av de åtgärder som har vidtagits eller föreslås för att hantera incidenten.

7.3 Personuppgiftsbiträdet ska bistå Personuppgiftsansvarig vid anmälan till tillsynsmyndigheten och vid kommunikation med registrerade vid behov.

8. REGISTRERADES RÄTTIGHETER

8.1 Personuppgiftsbiträdet ska bistå Personuppgiftsansvarig vid hantering av begäranden från registrerade avseende:

• a) rätt till tillgång;
• b) rätt till rättelse;
• c) rätt till radering;
• d) rätt till begränsning av behandling;
• e) rätt till dataportabilitet; och
• f) rätt att invända mot behandling.

8.2 Om Personuppgiftsbiträdet tar emot en begäran direkt från en registrerad ska Personuppgiftsbiträdet utan onödigt dröjsmål vidarebefordra begäran till Personuppgiftsansvarig.

9. GRANSKNING OCH KONTROLL

9.1 Personuppgiftsbiträdet ska på begäran ge Personuppgiftsansvarig tillgång till all information som krävs för att visa att skyldigheterna i detta Biträdesavtal och Dataskyddslagstiftningen efterlevs.

9.2 Personuppgiftsbiträdet ska möjliggöra och bidra till granskningar, inklusive inspektioner, som utförs av Personuppgiftsansvarig eller av en revisor som bemyndigats av Personuppgiftsansvarig. Sådana granskningar ska ske efter skälig förvarning och under Personuppgiftsbiträdets normala kontorstid.

10. ANSVAR

10.1 Parterna ansvarar gentemot varandra enligt Dataskyddslagstiftningen och tillämplig svensk rätt.

10.2 Om en part åläggs skadeståndsskyldighet gentemot en registrerad eller drabbas av en administrativ sanktionsavgift till följd av att den andra parten har brutit mot Dataskyddslagstiftningen eller detta Biträdesavtal, har den drabbade parten rätt till ersättning från den andra parten motsvarande dennes del av ansvaret.

11. AVTALSTID OCH UPPHÖRANDE

11.1 Detta Biträdesavtal gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för Personuppgiftsansvarigs räkning enligt Huvudavtalet.

11.2 Vid Huvudavtalets upphörande ska Personuppgiftsbiträdet, enligt Personuppgiftsansvarigs val, radera eller återlämna alla personuppgifter till Personuppgiftsansvarig och radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt lag.

11.3 Bestämmelser i detta Biträdesavtal som till sin natur är avsedda att fortsätta gälla efter avtalets upphörande ska fortsätta gälla.

12. ÄNDRINGAR

12.1 Ändringar av och tillägg till detta Biträdesavtal ska vara skriftliga och undertecknade av behöriga företrädare för båda parter för att vara giltiga.

13. TILLÄMPLIG LAG OCH TVISTER

13.1 Detta Biträdesavtal ska tolkas och tillämpas i enlighet med svensk rätt.

13.2 Tvister som uppstår i anledning av detta Biträdesavtal ska avgöras av svensk domstol, varvid Stockholms tingsrätt ska vara första instans.

14. KONTAKTUPPGIFTER

Vid frågor om detta Biträdesavtal eller behandlingen av personuppgifter, kontakta:

Teamhub AB
Vendevägen 89
182 32 Danderyd
Sverige

E-post: info@goteamhub.com