Personuppgiftsbiträdesavtal

1 Parter och bakgrund

1.1 Avtalet gäller mellan den kund som använder Sievert ("Personuppgiftsansvarig", "du") och [Bolagsnamn AB], org.nr [XXXXXX-XXXX], [gatuadress, postnummer, ort] ("Personuppgiftsbiträdet", "Sievert").

1.2 Sievert tar fram en databok ur en SIE-fil som du laddar upp. SIE-filen kan innehålla personuppgifter. Avtalet reglerar hur Sievert behandlar dessa uppgifter för din räkning.

1.3 Avtalet ingås genom att du godkänner Allmänna villkor för Sievert och gäller så länge Sievert behandlar personuppgifter för din räkning.

2 Definitioner och omfattning

2.1 Begrepp som personuppgifter, behandling, registrerad, personuppgiftsincident och tillsynsmyndighet har samma betydelse som i dataskyddsförordningen (EU) 2016/679 ("GDPR").

2.2 Behandlingens ändamål, art, kategorier av registrerade och personuppgifter samt lagringstid framgår av Bilaga 1.

2.3 Du ska inte ladda upp filer som innehåller särskilda kategorier av personuppgifter (art. 9 GDPR) eller uppgifter om lagöverträdelser (art. 10 GDPR) utöver vad som oundvikligen följer av en normal bokföringsexport.

3 Personuppgiftsansvarigs ansvar

3.1 Du ansvarar för att behandlingen har rättslig grund, att de registrerade har fått information enligt GDPR och att dina instruktioner följer gällande dataskyddsregler.

4 Instruktioner

4.1 Sievert behandlar personuppgifterna endast enligt dina dokumenterade instruktioner. Avtalet, Bilaga 1 och de val du gör i tjänsten utgör dina fullständiga instruktioner.

4.2 Om Sievert anser att en instruktion strider mot GDPR eller annan dataskyddslag informerar vi dig utan dröjsmål.

4.3 Om unionsrätt eller svensk rätt kräver att Sievert behandlar uppgifterna på annat sätt informerar vi dig om kravet innan behandlingen, om inte lagen förbjuder det.

5 Sekretess

5.1 Sievert säkerställer att personer som har tillgång till personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

6 Säkerhet

6.1 Sievert vidtar lämpliga tekniska och organisatoriska åtgärder enligt art. 32 GDPR. Åtgärderna beskrivs i Bilaga 2.

6.2 Sievert får ändra åtgärderna om skyddsnivån inte sänks.

7 Underbiträden

7.1 Du ger Sievert ett allmänt tillstånd att anlita underbiträden. Gällande underbiträden anges i Bilaga 3.

7.2 Sievert informerar om planerade tillägg eller byten av underbiträden genom att publicera dem på webbplatsen minst [30 dagar] innan ändringen. Du kan invända av sakliga skäl. Om vi inte kan lösa invändningen har du rätt att få din databok raderad.

7.3 Sievert ingår skriftliga avtal med underbiträden som ger samma skydd som detta avtal, och ansvarar fullt ut gentemot dig för underbiträdenas fullgörande.

8 Överföring till tredjeland

8.1 Personuppgifter överförs till ett land utanför EU/EES endast om överföringen uppfyller kraven i kapitel V GDPR, till exempel genom ett beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler.

9 Personuppgiftsincidenter

9.1 Sievert underrättar dig utan onödigt dröjsmål, och senast inom [36 timmar], efter att ha fått kännedom om en personuppgiftsincident som rör dina uppgifter.

9.2 Underrättelsen ska, i den mån uppgifterna finns tillgängliga, beskriva incidentens art, kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser och de åtgärder som vidtagits eller föreslås.

9.3 Underrättelsen skickas till den e-postadress du angav vid beställningen.

10 Bistånd

10.1 Sievert hjälper dig, med beaktande av behandlingens art, att besvara begäranden från registrerade och att fullgöra dina skyldigheter enligt art. 32–36 GDPR.

10.2 Om en registrerad vänder sig direkt till Sievert hänvisar vi den registrerade till dig.

10.3 Bistånd utöver vad som ingår i tjänstens normala funktion ersätts enligt Sieverts vid var tid gällande timpris [ange belopp].

11 Radering

11.1 SIE-filen raderas automatiskt när databoken har skapats, eller senast [24 timmar] efter uppladdning. Databoken raderas efter [30 dagar]. Du kan ladda ner databoken som Excel-fil innan den raderas.

11.2 Du kan när som helst begära att databoken raderas tidigare. Kopior i säkerhetskopior raderas inom [30 dagar].

12 Insyn och revision

12.1 Sievert ger dig tillgång till den information som krävs för att visa att avtalet följs.

12.2 Du får genomföra granskningar, själv eller genom en oberoende granskare under tystnadsplikt, efter skriftligt meddelande minst [30 dagar] i förväg. Granskningen bekostas av dig och får inte störa driften i onödan.

13 Ansvar

13.1 Ansvar för skada enligt art. 82 GDPR fördelas enligt den artikeln. I övrigt gäller ansvarsbegränsningen i Allmänna villkor, i den mån den är förenlig med GDPR.

14 Avtalstid och ändringar

14.1 Avtalet gäller så länge Sievert behandlar personuppgifter för din räkning. Avsnitt 5 gäller även därefter.

14.2 Ändringar som krävs till följd av ändrad lagstiftning eller beslut av tillsynsmyndighet får Sievert genomföra genom att publicera ett uppdaterat avtal.

14.3 Svensk lag gäller. Tvister avgörs enligt Allmänna villkor.

Bilaga 1. Instruktion för behandling

Bilaga 2. Säkerhetsåtgärder

• Krypterad överföring med TLS [1.2 eller senare].
• Kryptering av lagrade filer och databaser [AES-256].
• Automatisk radering av SIE-filer och databöcker enligt Bilaga 1.
• Åtkomst till databoken endast via unik, svårgissad länk [med giltighetstid].
• Behörighetsstyrning enligt principen om minsta behörighet, med flerfaktorsautentisering för personal.
• Loggning av administrativ åtkomst [och regelbunden granskning av loggar].
• Separering av kunders uppgifter.
• Rutiner för incidenthantering och regelbunden säkerhetsuppdatering av system.
• [Penetrationstest före lansering och därefter årligen.]

Bilaga 3. Underbiträden