PUB-avtal

Här är standardtexten i vårt personuppgiftsbiträdesavtal. Kundens uppgifter och underskrifter (de streckade raderna) fylls i när avtalet skickas för signering. Se även översikten över PUB-avtalet.

Research Automators standardavtal för personuppgiftsbiträden. Det gäller när kunden (personuppgiftsansvarig) låter RA behandla personuppgifter i undersökningsprojekt eller i SaaS-tjänsten Survey Automator.

Parter

Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") har ingåtts mellan parterna nedan, i det följande "Personuppgiftsansvarig" respektive "RA" eller "Personuppgiftsbiträdet", samt var för sig benämnda "Part" och tillsammans "Parterna".

1. Bakgrund och syfte

1.1 RA är verksam inom två huvudområden:

• dels leverantör av undersökningstjänster baserade på RA:s systemplattform för enkäter,
• dels leverantör av Software as a Service avseende en systemplattform för enkäter som tillhandahålls som en molntjänst och av supporttjänster i anslutning till utnyttjande av molntjänsten.

1.2 Personuppgiftsansvarig har anlitat RA såsom personuppgiftsbiträde att på Personuppgiftsansvarigs vägnar

• samla in, temporärt lagra och bearbeta personuppgifter i olika undersökningsprojekt,

och/eller

• i form av en molntjänst tillhandahålla en systemplattform för enkäter som möjliggör insamling, temporär lagring och rapportframställning genom beräkningar och aggregeringar av personuppgifter. I uppdraget ingår att ge support för molntjänstens nyttjande, vilket kan innebära övertagande av operativa uppgifter i olika undersökningsprojekt som normalt utförs av Personuppgiftsansvarig.

1.3 Parterna har överenskommit att i detta Biträdesavtal reglera behandlingen av personuppgifter enligt nedan.

2. Definitioner

Gällande dataskyddslagstiftning. Enligt personuppgiftslagen (1998:204) och personuppgiftsförordningen (1998:1191) som bygger på rådsdirektivet (95/46/EG) samt den allmänna dataskyddsförordningen (EU) 2016/679 ("GDPR") som ersätter dessa sistnämnda rättsakter per den 25 maj 2018, samt tillämpliga vägledande uttalanden och tillsynsbeslut från behöriga nationella och europeiska dataskyddsmyndigheter och annan tillämplig dataskyddslagstiftning, i det följande kallad "Gällande dataskyddslagstiftning", ska all behandling av personuppgifter av ett personuppgiftsbiträde för den Personuppgiftsansvarigs räkning regleras genom avtal.

Detta Biträdesavtal ska tolkas och tillämpas i enlighet med Gällande dataskyddslagstiftning.

Behandling avser en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

Personuppgifter avser varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Personuppgiftsincident avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats och i övrigt behandlas.

Standardavtalsvillkor avser villkor för skydd av personuppgifter överförda till tredje land i enlighet med rådsdirektiv 95/46/EG eller den allmänna dataskyddsförordningen (EU) 2016/679 när denna blir tillämplig.

Underbiträde avser sådant personuppgiftsbiträde som anlitas av RA och som behandlar personuppgifter för Personuppgiftsansvarigs räkning.

Projektbilaga. Mall för projektbilaga finns i två versioner:

• Projektbilaga – standard, som gäller alla projekt där Personuppgiftsansvarig efterfrågat undersökningstjänster eller support i SaaS-tjänsten från RA och som initieras genom accept av offert, och däri referens till detta avtal, och där inte en projektspecifik projektbilaga upprättats av Personuppgiftsansvarig och kvitterats av RA. Standard projektbilaga och dess kan laddas ner här: https://researchautomators.se/projektbilaga-till-pub-avtal-standard/
• Projektbilaga – projektspecifik, som endast avser ett visst angivet projekt. Om det önskas av Personuppgiftsansvarig att en projektspecifik projektbilaga upprättas och signeras för att frångå de förifyllda förutsättningar och instruktioner som listas i standardversionen ovan, åligger det Personuppgiftsansvarig att kontakta RA och be om detta. Samma mall till projektbilaga används då men med andra val.

Projektbilagan avser definiera de förutsättningar och instruktioner relaterade till gällande dataskyddslagstiftning som personuppgiftsbiträdet behöver vid genomförande av andra tjänster än Software-as-a-Service-tjänster. Projektbilagan avser inte reglera de kommersiella villkor som ska gälla.

3a. Personuppgiftsansvarigs ansvar, uppgifter om ändamål och personuppgifter

Personuppgiftsansvarig ansvarar under detta Biträdesavtal särskilt för:

3a.1 att behandlingen är tillåten enligt Gällande dataskyddslagstiftning,

3a.2 att förse RA endast med sådana personuppgifter som är nödvändiga för ändamålet med behandlingen,

3a.3 att via projektbilaga eller på annat sätt förse RA med skriftliga instruktioner och övriga anvisningar avseende ändamålet, omfattningen, arten och varaktighet av behandlingen samt kategorier av registrerade i den utsträckning som är nödvändig för att RA ska kunna uppfylla sina skyldigheter enligt detta Biträdesavtal och Gällande dataskyddslagstiftning,

3a.4 att i supportinstruktioner från Personuppgiftsansvarig beakta att RA i supportarbetet inte är insatt i de särskilda skyddsåtgärder som kan vara motiverade på grund av ändamål och informationsinnehåll i de projekt som berörs av supportinstruktionerna.

3a.5 Vid beställning av RA:s medverkan med support i en undersökning ansvarar Personuppgiftsansvarig vidare för att särskilt påpeka om

• behandlingen kan komma att omfatta personuppgifter som anges i artikel 9 i gällande dataskyddslagstiftning (särskilt känsliga personuppgifter, såsom ras, sexuell läggning etc.),
• behandlingen kan komma att avse barn under 16 år.

3a.6 att tillse att varje användare av SaaS-tjänsten endast nyttjar det egna, personliga användarnamnet vid inloggning till systemet.

3a.7 att tillse att RA skriftligen meddelas när en viss användare inte längre ska ha tillgång till systemet, så att RA kan inaktivera inloggningsmöjligheten.

3b. Särskilda ansvar vid hantering av känsliga personuppgifter

3b.1 Personuppgiftsansvarig ansvarar fullt ut för att endast samla in, behandla och lagra sådana personuppgifter i Tjänsten som är förenliga med tillämplig dataskyddslagstiftning, inklusive GDPR. Detta innefattar ett eget ansvar för att bedöma laglig grund och nödvändiga säkerhetsåtgärder vid behandling av känsliga personuppgifter enligt artikel 9 i GDPR (t.ex. hälsodata, religiös övertygelse, politiska åsikter).

3b.2 Research Automators Sweden AB (RA) ansvarar inte för att övervaka, kontrollera eller validera vilken typ av personuppgifter som samlas in och lagras av Personuppgiftsansvarig i Tjänsten. Om Personuppgiftsansvarig väljer att samla in känsliga personuppgifter sker detta under Personuppgiftsansvariges eget ansvar och på egen risk.

3b.3 Vid behandling av känsliga personuppgifter åtar sig Personuppgiftsansvarig att:

• säkerställa att korrekt rättslig grund föreligger,
• säkerställa att lämpliga tekniska och organisatoriska skyddsåtgärder tillämpas,
• anonymisera och dataminimera informationen,
• dokumentera riskanalyser och eventuella krav på kompletterande säkerhetsåtgärder.

4. RA:s ansvar

4.1 RA garanterar att RA och samtliga Underbiträden besitter nödvändig kapacitet och förmåga att fullgöra sina skyldigheter enligt detta Biträdesavtal och Gällande dataskyddslagstiftning samt att RA föreslår sådana tekniska och organisatoriska åtgärder som kan vara lämpliga för det aktuella ändamålet. RA ska vidta alla åtgärder för säkerhet i samband med Behandling för Personuppgiftsansvarigs räkning som krävs enligt artikel 32 GDPR (gällande "säkerhet i samband med behandlingen").

4.2 De personuppgifter som RA får åtkomst till får endast behandlas i syfte att fullgöra de skyldigheter som framgår av Biträdesavtalet inklusive Personuppgiftsansvarigs instruktioner i enlighet därmed, gällande personuppgiftslagstiftning och annan tvingande lag. Om RA ska behandla personuppgifter för andra ändamål ska det ske enligt skriftliga instruktioner utfärdade av Personuppgiftsansvarig, och anses inkorporerade i detta Biträdesavtal.

4.3 Vid behandling av personuppgifter enligt detta Biträdesavtal ansvarar RA särskilt för att endast behandla personuppgifter i enlighet med Personuppgiftsansvarigs dokumenterade instruktioner.

4.4 RA ska tillse att Behandlingen av personuppgifter utförs inom EU/EES eller ett tredjeland dit överföring är tillåtet på grundval av att det finns ett beslut från EU om adekvat skyddsnivå i förhållande till landet.

4.5 RA ska tillse att endast personal som behöver ha tillgång till personuppgifterna för att fullgöra sina supportåtaganden har tillgång till dessa, samt att tillse att sådan personal har erforderlig utbildning och i tillräcklig mån har instruerats att hantera personuppgifterna på ett ändamålsenligt sätt.

4.6 RA ska behandla personuppgifter med sekretess, samt tillse att samtliga personer med behörighet att behandla personuppgifterna hos RA eller anlitade underbiträden har ingått särskild sekretessförbindelse eller upplysts om att särskild tystnadsplikt föreligger enligt gällande rätt.

4.7 RA ska utan oskäligt dröjsmål informera Personuppgiftsansvarig om RA kontaktas av behörig tillsynsmyndighet eller annan tredje part i syfte att få tillgång till Personuppgiftsansvarigs personuppgifter som RA, eller i förekommande fall Underbiträdet, har tillgång till.

4.8 RA ska utan onödigt dröjsmål efter att ha fått vetskap om en incident underrätta Personuppgiftsansvarig om förekomsten av en inträffad personuppgiftsincident. En sådan underrättelse ska innehålla all nödvändig och tillgänglig information som Personuppgiftsansvarig behöver för att kunna vidta lämpliga förebyggande- och motåtgärder samt uppfylla sina skyldigheter avseende anmälan av personuppgiftsincidenter till behörig tillsynsmyndighet.

4.9 RA ska bistå Personuppgiftsansvarig att fullgöra sina skyldigheter enligt Gällande dataskyddslagstiftning, särskilt vad gäller utförandet av konsekvensbedömningar avseende dataskydd och förhandssamråd samt medverka till utredning av inträffade personuppgiftsincidenter med behöriga tillsynsmyndigheter och med att i övrigt fullgöra skyldigheter enligt artiklarna 32–36 GDPR samt genom tekniska och organisatoriska åtgärder, med tanke på behandlingens art, med att fullgöra skyldigheter avseende utövande av registrerades rättigheter enligt kapitel III GDPR.

4.10 RA ska skriftligen och i förväg informera Personuppgiftsansvarig om planerade förändringar av behandlingsförfarandet, däribland tekniska och organisatoriska förändringar som direkt eller indirekt kan påverka skyddet av personuppgifterna och RA:s efterlevnad av Gällande personuppgiftslagstiftning.

4.11 RA ska utan oskäligt dröjsmål efter avslutad tjänst antingen radera personuppgifterna alternativt återlämna personuppgifterna till Personuppgiftsansvarig, såtillvida inte fortsatt lagring av personuppgifterna krävs enligt unionsrätten eller nationell rätt. Denna skyldighet gäller inte när ett sådant förfarande är oförenligt med gällande rätt eller Personuppgiftsansvarig specifikt givit andra instruktioner angående radering.

5. Anlitande av underbiträde

5.1 De underbiträden som kan komma att anlitas för tjänstens utförande finns förtecknade i en lista som finns publicerad här: https://researchautomators.se/underbitraden/

RA är skyldig att upprätthålla biträdesavtal med dessa som ålägger dessa de skyldigheter i fråga om dataskydd som gäller enligt artikel 28 i gällande dataskyddslagstiftning.

Vid behov av tillägg av nya underbiträden som uppfyller kraven enligt gällande personskyddslagstiftning skickar RA ut ett meddelande till Personuppgiftsansvarig med uppgifter om det nya underbiträdet och uppgift om motiv för förändringen, varefter det nya underbiträdet kan anlitas i enlighet med detta avtal om Personuppgiftsansvarig inte inom en månad från att meddelande sänds till företagets kontaktperson redovisat invändningar mot att anlita underentreprenören samt skälen för invändningen.

Om Personuppgiftsansvarig motsätter sig anlitandet av nytt underbiträde av rimliga skäl som rör skyddet av personuppgifterna ska parterna i god tro diskutera kommersiellt rimliga alternativa lösningar. Om ingen lösning kan uppnås kommer RA inte anlita angivet underbiträde och kan då omedelbart säga upp den tjänst som blir beroende av underbiträdet.

5.2 Personuppgiftsbiträdet ska på Personuppgiftsansvarigs begäran översända en kopia på avtalet som undertecknats av både Personuppgiftsbiträdet och underbiträdet.

6. Inbyggt dataskydd och dataskydd som standard

6.1 RA ska använda IT-infrastrukturlösningar med en säker datorhall med

• hög säkerhet mot fysiskt intrång och med strikt kontroll och loggning av besökande personal samt med heltäckande övervakningskameror,
• klimatanläggning som kontinuerligt kan tillhandahålla lämpligt klimat för en serverpark,
• virtualiserade servrar med uppsättning som förhindrar att andra än behörig personal kommer åt vår data,
• säkerhetssystem för att kunna återställa data vid förlust av normal funktion i en hårddisk.

6.2 All mobil datorutrustning som används i RA:s verksamhet för behandling av personuppgifter ska ha krypterade hårddiskar.

6.3 Åtkomst till RA:s verksamhetskritiska system och till alla servrar ska kräva tvåvägsautentisering.

6.4 RA:s plattform ska underlätta för användarna av SaaS-tjänsten att arbeta i enlighet med GDPR och göra det enkelt att skydda personuppgifter och rensa dessa när så krävs.

7. Revision

7.1 RA ska möjliggöra och bidra till granskningar, inbegripet inspektioner, som får genomföras av Personuppgiftsansvarig eller av en oberoende tredje part som utsetts av denne.

7.2 RA har därför en skyldighet att på Personuppgiftsansvarigs begäran, eller av en oberoende tredje part som utsetts av denne, ge tillgång till sådana upplysningar och handlingar som är nödvändiga för att Personuppgiftsansvarig ska kunna utöva effektiv kontroll av RA:s åtgärder enligt föregående stycke.

8. Sekretess

8.1 RA förbinder sig att inte sprida information till utomstående avseende sådan behandling av personuppgifter som omfattas av detta Biträdesavtal eller annan information som RA mottagit i egenskap av personuppgiftsbiträde till Personuppgiftsansvarig. Vad som sägs ovan gäller inte om RA är ålagd av behörig myndighet eller domstol att utlämna informationen i fråga.

9. Ansvar för skada och extraordinära insatser

9.1 Har en registrerad person riktat anspråk mot Personuppgiftsansvarig på ersättning för skada eller om en behörig myndighet utfärdar administrativa avgifter med anledning av personuppgiftsbehandling i uppenbar strid med detta Biträdesavtal, inklusive Personuppgiftsansvarigs instruktioner, ska RA hålla Personuppgiftsansvarig skadeslös motsvarande dennes (eller dess Underbiträdes) ansvar för överträdelsen och andra direkta kostnader till följd av personuppgiftsbehandlingen.

9.2 Personuppgiftsansvarig ska ersätta RA för sådana anspråk på ersättning från registrerad person eller administrativa avgifter utfärdade av en behörig myndighet gentemot RA, till följd av a) Personuppgiftsansvarigs underlåtenhet att tillförsäkra en laglig behandling eller b) Personuppgiftsansvarigs instruktioner i strid med Gällande dataskyddslagstiftning, eller c) Personuppgiftsansvarigs underlåtenhet att uppfylla andra uttryckliga skyldigheter enligt detta Biträdesavtal.

9.3 Part som får anspråk på ersättning eller administrativa avgifter riktat mot sig enligt 9.1 och 9.2 till följd av den andra Partens avtalsbrott eller överträdelse av Gällande personuppgiftslagstiftning ska utan oskäligt dröjsmål informera den andra Parten därom. Båda Parter är skyldiga att vidta skäliga åtgärder för att begränsa skadeverkningarna av det inträffade.

9.4 Av Personuppgiftsansvarig beordrade extraordinära insatser enligt punkterna 4.4, 4.10, 7.1 och 7.2 ska ersättning till RA utgå med 50 % av den timtaxa som normalt används för tillkommande arbeten samt med verklig kostnad för insatser av underbiträden, som orsakats av den beordrade extraordinära insatsen.

10. Underrättelser

Vid inträffad eller befarad personuppgiftsincident ska Personuppgiftsbiträdet rapportera till den som för Personuppgiftsansvarigs räkning undertecknat detta avtal.

11. Tillämplig lag

Detta Biträdesavtal ska tolkas och tillämpas i enlighet med svensk rätt. Tvist med anledning av Biträdesavtalet ska avgöras i allmän domstol, med Stockholms tingsrätt som första instans.

12. Giltighet

Detta Biträdesavtal gäller från dess undertecknande och tills RA:s behandling av de aktuella personuppgifterna upphör, vilket ska anses vara fallet först när RA raderat personuppgifterna i enlighet med avsnitt 4.11.

13. Övrigt

Vi förbehåller oss rätten att ändra eller uppdatera detta avtal. Eventuella ändringar meddelas Kunden skriftligen minst tre (3) månader innan de träder i kraft. Om Kunden inte accepterar ändringarna har Kunden rätt att säga upp avtalet till upphörande vid tidpunkten då ändringarna träder i kraft. Om Kunden fortsätter att använda tjänsten efter ändringarnas ikraftträdande anses ändringarna accepterade.

Underskrifter

Detta Biträdesavtal signeras digitalt.