Personuppgifts­biträdesavtal

1. Roller och instruktioner

Kunden är personuppgiftsansvarig och AlfaTelefoni Sverige AB (559187-0935), Stadiongatan 60, 217 62 Malmö, Sverige är personuppgiftsbiträde för de behandlingar som specificerats. Biträdet får bara behandla personuppgifter enligt dokumenterade instruktioner från kunden, även beträffande överföringar, om inte lag kräver annat. Kunden informeras om sådana lagkrav före behandlingen om det inte är förbjudet.

Biträdet ska omedelbart informera kunden om en instruktion enligt biträdets bedömning strider mot GDPR eller annan tillämplig dataskyddsrätt.

2. Behandlingsbilaga

Följande ska fyllas i och godkännas före start:

• Parternas bolags- och kontaktuppgifter samt ansvariga kontaktpersoner.
• Ändamål, behandlingens art, varaktighet och vilka system som omfattas.
• Kategorier av registrerade, exempelvis kundens besökare och kontaktpersoner.
• Uppgiftstyper, exempelvis namn, företagskontakt, meddelanden och nödvändiga tekniska uppgifter.
• Lagringstider, gallring, åtkomst, exporter och hur uppgifter lämnas tillbaka.
• Namngivna underbiträden, deras uppgifter och länder samt eventuell överföringsgrund.
• Konkreta tekniska och organisatoriska säkerhetsåtgärder.

Känsliga personuppgifter eller uppgifter om lagöverträdelser ingår inte utan särskild skriftlig instruktion och lämpliga skyddsåtgärder.

3. Sekretess och säkerhet

Behöriga personer ska omfattas av sekretess och endast ha åtkomst som behövs för arbetsuppgiften. Biträdet ska tillämpa säkerhetsåtgärder som är lämpliga för riskerna, inklusive behörighetsstyrning, säker överföring, hantering av sårbarheter, incidentrutiner och överenskommen återställningsförmåga. Åtgärderna ska dokumenteras i bilagan och följas upp.

4. Underbiträden och överföringar

Endast godkända underbiträden får anlitas. Vid ett generellt skriftligt tillstånd ska kunden i förväg informeras om planerade tillägg eller ersättningar och få möjlighet att invända innan ändringen genomförs. Tidsfrist och hantering av invändningar ska anges i bilagan.

Underbiträden ska genom avtal åläggas motsvarande dataskyddsskyldigheter. Webbklart ansvarar gentemot kunden för underbiträdets fullgörande av dessa skyldigheter. Överföringar utanför EU/EES får bara ske enligt dokumenterade instruktioner och med giltig rättslig mekanism och nödvändiga kompletterande skyddsåtgärder.

5. Bistånd och incidenter

Biträdet ska, med hänsyn till behandlingens art, bistå kunden med begäranden från registrerade, säkerhet, konsekvensbedömningar och samråd med tillsynsmyndighet. En personuppgiftsincident ska rapporteras till kunden utan onödigt dröjsmål efter att biträdet fått kännedom om den. Tillgänglig information om art, berörda uppgifter, sannolika konsekvenser, kontaktperson och vidtagna åtgärder lämnas och kompletteras löpande.

6. Kontroll och avtalets slut

Biträdet ska tillhandahålla information som behövs för att visa att skyldigheterna följs och möjliggöra granskningar, inklusive inspektioner, av kunden eller en av kunden utsedd granskare. Praktisk planering ska ske så att andra kunders säkerhet och uppgifter skyddas utan att kundens kontrollrätt sätts ur spel.

När uppdraget upphör ska uppgifter enligt kundens val återlämnas eller raderas, och befintliga kopior raderas om inte lag kräver fortsatt lagring. Format, frister, hantering av säkerhetskopior och bekräftelse ska anges i bilagan. Mallens innehåll begränsar inte rättigheter eller skyldigheter som följer av tvingande lag.