Personuppgiftsbiträdesavtal

1. Parter och omfattning

1.1 Avtalet gäller mellan kunden, som är personuppgiftsansvarig, och Sverum AB, som är personuppgiftsbiträde. Organisationsnummer och kontaktuppgifter står i avtalet om tjänsten (huvudavtalet).

1.2 Avtalet är en del av huvudavtalet och gäller så länge Sverum AB behandlar personuppgifter för kundens räkning, även efter att huvudavtalet har upphört.

1.3 Vid motstridighet gäller detta avtal före huvudavtalet i frågor om behandling av personuppgifter.

2. Definitioner

2.1 Begrepp som personuppgift, behandling, registrerad, personuppgiftsincident och underbiträde har samma betydelse som i Europaparlamentets och rådets förordning (EU) 2016/679 (dataskyddsförordningen).

2.2 Tjänsten är Sverum, den webbaserade tjänsten för säkra projektrum som beskrivs i huvudavtalet.

3. Behandling och instruktioner

3.1 Sverum AB behandlar personuppgifter endast enligt kundens dokumenterade instruktioner. Instruktionerna är detta avtal med bilaga 1, huvudavtalet och de val kunden gör i tjänstens inställningar.

3.2 Sverum AB behandlar inte personuppgifterna för egna ändamål och tar inte del av innehållet i kundens handlingar, utöver vad som krävs för att tillhandahålla tjänsten, avhjälpa fel på kundens begäran eller uppfylla lag.

3.3 Anser Sverum AB att en instruktion strider mot dataskyddsförordningen eller annan dataskyddsbestämmelse informerar Sverum AB kunden utan dröjsmål.

3.4 Kunden ansvarar för att behandlingen har stöd i dataskyddsförordningen, för att de registrerade informeras och för den bedömning som lässpårning i tjänsten kräver.

4. Sekretess

4.1 Sverum AB säkerställer att de som har behörighet att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

4.2 Behörighet ges bara till personer som behöver den för sitt arbete, och bara i den omfattning som behövs.

4.3 Begär en myndighet ut personuppgifter informerar Sverum AB kunden, om det inte är förbjudet enligt lag, och lämnar inte ut uppgifterna utan rättslig skyldighet.

5. Säkerhet

5.1 Sverum AB vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i dataskyddsförordningen. Åtgärderna beskrivs i bilaga 2 och i säkerhetsbeskrivningen.

5.2 Sverum AB får ändra åtgärderna så länge skyddsnivån inte sänks.

6. Underbiträden

6.1 Kunden ger ett allmänt förhandstillstånd till att Sverum AB anlitar underbiträden. Underbiträdena när avtalet ingås står i bilaga 3.

6.2 Sverum AB informerar kunden minst 30 dagar innan ett underbiträde läggs till eller byts ut. Kunden kan invända inom den tiden. Kan parterna inte enas har kunden rätt att säga upp huvudavtalet till den dag ändringen träder i kraft, utan kostnad för tiden därefter.

6.3 Sverum AB ålägger varje underbiträde samma skyldigheter som i detta avtal genom ett skriftligt avtal, och ansvarar mot kunden för underbiträdets behandling.

7. Överföring till tredjeland

7.1 Personuppgifterna behandlas och lagras i Sverige. Sverum AB överför inte personuppgifter till ett land utanför EU/EES.

7.2 Väljer kunden att logga in via en egen identitetsleverantör, till exempel Microsoft eller Google, sker inloggningen enligt kundens eget avtal med den leverantören. Den behandlingen omfattas inte av detta avtal.

8. Bistånd

8.1 Sverum AB bistår kunden, i den mån det är möjligt och med hänsyn till behandlingens art, att uppfylla de registrerades rättigheter, i första hand genom funktioner i tjänsten.

8.2 Sverum AB bistår kunden med att uppfylla skyldigheterna i artiklarna 32-36 i dataskyddsförordningen, bland annat vid konsekvensbedömningar och förhandssamråd.

8.3 Begär en registrerad något direkt av Sverum AB hänvisas den registrerade till kunden.

8.4 Bistånd utöver det som ingår i tjänsten får debiteras enligt huvudavtalet.

9. Personuppgiftsincidenter

9.1 Sverum AB underrättar kunden utan onödigt dröjsmål, och senast inom 24 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör kundens personuppgifter.

9.2 Underrättelsen beskriver, i den mån uppgifterna finns, incidentens art, berörda kategorier och ungefärligt antal registrerade och uppgifter, sannolika konsekvenser och vidtagna eller föreslagna åtgärder. Uppgifter som inte finns direkt lämnas så snart de finns.

9.3 Sverum AB dokumenterar incidenten och bistår kunden med anmälan till Integritetsskyddsmyndigheten och med information till de registrerade.

10. Granskning

10.1 Sverum AB ger kunden den information som behövs för att visa att skyldigheterna i detta avtal och i artikel 28 i dataskyddsförordningen uppfylls.

10.2 Kunden, eller en oberoende granskare som kunden utser och som har tystnadsplikt, får genomföra en granskning efter överenskommelse om tid och omfattning, i regel högst en gång per år och oftare vid en incident. Granskningen får inte äventyra andra kunders säkerhet eller uppgifter. Kunden står för sina egna kostnader.

11. Radering och upphörande

11.1 När huvudavtalet upphör kan kunden under 30 dagar exportera sina uppgifter. Därefter raderar Sverum AB kundens personuppgifter, om inte lag kräver att de sparas.

11.2 Filer i ett projekt som stängs blir oläsbara genom att projektets nyckel förstörs. Loggboken för ett projekt sparas så länge projektet finns och raderas med det.

11.3 Säkerhetskopior sparas i högst 30 dagar. Personuppgifter i säkerhetskopior raderas därför senast 30 dagar efter att de raderats i tjänsten.

11.4 Sverum AB bekräftar raderingen skriftligt på kundens begäran.

12. Ansvar, ändringar och tvist

12.1 Ansvaret för skada till följd av behandling av personuppgifter följer artikel 82 i dataskyddsförordningen. I övrigt gäller huvudavtalets ansvarsbegränsningar.

12.2 Sverum AB får ändra detta avtal med 30 dagars varsel, om ändringen inte sänker skyddet för personuppgifterna. Ändringar som krävs av lag eller av beslut från en tillsynsmyndighet får göras med kortare varsel.

12.3 Svensk lag gäller för avtalet. Tvister avgörs av allmän domstol i Sverige.

Bilaga 1: Behandlingen

Bilaga 2: Säkerhetsåtgärder

Åtgärderna beskrivs utförligt i säkerhetsbeskrivningen, som är en del av denna bilaga. I sammandrag:

• Kryptering per projekt och per fil, med nycklar i flera nivåer. Krypterad överföring.
• Inloggning utan lösenord, tvåfaktor för gäster och ny inloggning för känsliga åtgärder.
• Behörighet per projekt, roll och mapp, kontrollerad vid varje anrop, och återkallning i realtid.
• Visning med vattenmärke, styrd nedladdning och spårbara kopior.
• En kedjad loggbok som verifieras varje timme.
• Kryptografisk destruktion när ett projekt stängs, med intyg.
• Krypterade säkerhetskopior i Sverige som provåterställs varje månad.
• Behörighet för personal enligt behov, och inga kunddata i utveckling och test.

Bilaga 3: Underbiträden

Godkännande

Biträdesavtalet ingås genom att Kundens administratör eller ägare godkänner det i Tjänsten, i samband med avtalet och de allmänna villkoren. Godkännandet sker elektroniskt och loggas med tidpunkt och version. Ingen fysisk underskrift krävs.