Personuppgiftsbiträdesavtal

Definitionerna i de allmänna villkoren gäller även för detta personuppgiftsbiträdesavtal (”Biträdesavtalet”). Dessutom gäller följande:

• Personuppgiftsansvarig – den som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter, här Kunden.
• Personuppgiftsbiträde – den som behandlar personuppgifter för den personuppgiftsansvariges räkning, här AltitudeHR (”Biträdet”).
• Behandling – varje åtgärd eller kombination av åtgärder som vidtas med personuppgifter, oavsett om den utförs automatiserat eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning, ändring, användning, utlämning, sammanställning, begränsning, radering eller förstöring.
• Personuppgifter – varje upplysning som direkt eller indirekt kan hänföras till en identifierad eller identifierbar levande fysisk person.
• Personuppgiftsincident – en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring, eller obehörigt röjande av eller obehörig åtkomst till personuppgifter.
• Underbiträde – annat personuppgiftsbiträde som Biträdet anlitar för att utföra behandling för Kundens räkning.
• Dataskyddsförordningen – Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR) samt kompletterande svensk lagstiftning.

Biträdesavtalet upprättas för att uppfylla kraven i artikel 28 i dataskyddsförordningen och är ett komplement till parternas avtal om tjänsten AltitudeHR (”Huvudavtalet”).

Huvudavtalet reglerar vad Biträdet ska utföra för Kundens räkning. Biträdet behandlar personuppgifter endast i den utsträckning som krävs för att fullgöra Huvudavtalet och enligt Kundens dokumenterade instruktioner, som framgår av Huvudavtalet, detta Biträdesavtal och de inställningar Kunden gör i tjänsten. Om Biträdet anser att en instruktion strider mot dataskyddsförordningen ska Biträdet omedelbart informera Kunden.

Biträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska ge en säkerhetsnivå som minst motsvarar tillämplig lag och som är lämplig med hänsyn till:

• de tekniska möjligheter som finns,
• kostnaderna för att genomföra åtgärderna,
• de särskilda risker som behandlingen medför, och
• hur känsliga de behandlade personuppgifterna är.

Vid bedömningen ska särskild hänsyn tas till risken för oavsiktlig eller olaglig förstöring, förlust eller ändring och för obehörigt röjande av eller obehörig åtkomst till personuppgifterna. Biträdets åtgärder omfattar bland annat:

• kryptering av personuppgifter vid överföring och lagring,
• logisk separation av varje kunds data i samtliga lager av tjänsten,
• behörighetsstyrning enligt principen om minsta möjliga behörighet, inklusive stöd för tvåfaktorsautentisering,
• loggning av åtkomst och ändringar i en logg som skyddas mot ändring,
• regelbunden säkerhetskopiering och testad återställning,
• säker utveckling med kodgranskning, sårbarhetsskanning och återkommande säkerhetstester.

Biträdet ska säkerställa att anställda, konsulter och andra som behandlar personuppgifterna för Biträdets räkning omfattas av en lämplig tystnadsplikt, endast har åtkomst till personuppgifterna i den utsträckning som krävs för deras arbetsuppgifter och är informerade om hur personuppgifterna får behandlas enligt Kundens instruktioner.

Biträdet ska underrätta Kunden utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident. Underrättelsen ska, i den mån uppgifterna finns tillgängliga, innehålla en beskrivning av incidenten, vilka kategorier och ungefär hur många registrerade och personuppgifter som berörs, sannolika konsekvenser samt vilka åtgärder som vidtagits eller föreslås.

Biträdet ska bistå Kunden så att Kunden kan fullgöra sina skyldigheter att anmäla incidenten till Integritetsskyddsmyndigheten (IMY) inom 72 timmar och, i förekommande fall, informera de registrerade.

Biträdet ska genom lämpliga tekniska och organisatoriska åtgärder bistå Kunden så att Kunden kan fullgöra sina skyldigheter när registrerade utövar sina rättigheter enligt kapitel III i dataskyddsförordningen, till exempel rätten till registerutdrag, rättelse och radering. Förfrågningar som Biträdet tar emot direkt från registrerade vidarebefordras till Kunden.

Biträdet ska även, med hänsyn till behandlingens art och den information Biträdet har tillgång till, bistå Kunden med konsekvensbedömningar och förhandssamråd med tillsynsmyndighet.

Kunden har rätt att, själv eller genom en oberoende tredje part som omfattas av tystnadsplikt, granska att Biträdets behandling följer detta Biträdesavtal. Granskning ska meddelas minst trettio (30) dagar i förväg, genomföras under ordinarie arbetstid och utan att onödigt störa Biträdets verksamhet. Biträdet ska ge den hjälp som krävs för granskningen och tillhandahålla all information som behövs för att visa att skyldigheterna i artikel 28 är uppfyllda.

Om registrerade, Integritetsskyddsmyndigheten eller annan tredje part begär information om behandlingen ska parterna samarbeta och utbyta den information som behövs. Ingen part får lämna ut personuppgifter eller information om behandlingen utan den andra partens samtycke, utom när det följer av tvingande lag eller myndighetsbeslut.

Kunden ger genom detta Biträdesavtal ett allmänt förhandsgodkännande till att Biträdet anlitar underbiträden. Biträdet ska ingå skriftliga avtal med varje underbiträde som ålägger underbiträdet samma skyldigheter som Biträdet har enligt detta Biträdesavtal. Biträdet ansvarar gentemot Kunden för underbiträdets behandling som för sin egen.

Biträdet ska på begäran lämna en aktuell förteckning över underbiträden, vilken behandling de utför och var de är geografiskt belägna, samt kopia av de delar av underbiträdesavtalen som behövs för att visa att Biträdet uppfyllt sina skyldigheter.

Biträdet ska informera Kunden minst trettio (30) dagar innan ett nytt underbiträde anlitas eller ett befintligt ersätts. Kunden har rätt att på sakliga grunder invända mot ändringen. Om parterna inte kan enas har Kunden rätt att säga upp Huvudavtalet till den dag ändringen träder i kraft.

Personuppgifter lagras och behandlas inom EU/EES. Överföring till land utanför EU/EES får endast ske med Kundens skriftliga godkännande och om det finns stöd för överföringen enligt kapitel V i dataskyddsförordningen, till exempel ett beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler med nödvändiga kompletterande skyddsåtgärder.

Biträdet ska hålla Kunden skadeslös om Kunden drabbas av skada, sanktionsavgift eller annan kostnad som kan hänföras till att Biträdet behandlat personuppgifter i strid med dataskyddsförordningen, Kundens instruktioner eller detta Biträdesavtal. Ansvarsbegränsningarna i Huvudavtalet gäller, i den utsträckning tvingande lag inte föreskriver annat.

När Huvudavtalet upphör ska Biträdet, enligt Kundens val, återlämna samtliga personuppgifter i ett vanligt förekommande maskinläsbart format och därefter radera dem, eller radera dem direkt. Radering ska ske senast trettio (30) dagar efter avtalets upphörande, på samtliga medier där de lagras, om inte lag kräver fortsatt lagring. Uppgifter i säkerhetskopior skrivs över enligt Biträdets ordinarie rutiner och behandlas inte på annat sätt i väntan på det.

Biträdesavtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning.

• Känsliga personuppgifter, till exempel om sjukfrånvaro, ska endast vara åtkomliga för Användare som Kunden särskilt gett behörighet.
• AI-funktioner får endast behandla personuppgifter inom ramen för den inloggade Användarens behörigheter. Personuppgifter får inte användas för att träna AI-modeller som tillhandahålls av tredje part.
• Biträdet får endast få åtkomst till Kundens data när det krävs för support, felsökning eller drift, och sådan åtkomst loggas.

Biträdesavtalet ska tolkas och tillämpas i enlighet med svensk lag. Tvister avgörs enligt tvistlösningsbestämmelsen i Huvudavtalet.