GDPR

PERSONUPPGIFTSBITRÄDESAVTAL

PARTER

Avtalstecknande kund till EkoEnergi i Lomma AB, (nedan kallad Personuppgiftsansvarig) och Bolagets namn, org.nr, (nedan kallad Personuppgiftsbiträde) har denna dag ingått följande Personuppgiftsbiträdesavtal (nedan kallat Avtal).

DEFINITIONER

Begrepp och definitioner i detta Avtal ska ha motsvarande betydelse som i Europaparlamentets och Rådets förordning (EU) 2016/679 (nedan kallad dataskyddsförordningen) samt tolkas och tillämpas i enlighet med Tillämplig dataskyddslagstiftning. Detta innebär bland annat följande:

Behandling Tillämplig	avser en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.
dataskyddslagstiftning	avser Europaparlamentets och Rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG och de nationella lagar som stiftas till följd av denna förordning. ”Tillämplig dataskyddslagstiftning” inkluderar även bindande vägledningar, utlåtanden, rekommendationer och beslut från tillsynsmyndigheter, domstol eller annan myndighet.
Personuppgiftsansvarig	den som på egen hand eller tillsammans med andra, fastställer ändamål och medel för behandlingen av personuppgifterna.
Personuppgiftsbiträde	avser den som behandlar personuppgifter på uppdrag av den Personuppgiftsansvarige
Personuppgifter	varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifikator som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.
Personuppgiftsincident	avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

INNEHÅLL OCH SYFTE

Den Personuppgiftsansvarige och Personuppgiftsbiträdet har ingått ett avtal (nedan kallat

Licensavtal) angående de tjänster som Personuppgiftsbiträdet ska tillhandahålla den

Personuppgiftsansvarige. Med anledning av detta Licensavtal kommer Personuppgiftsbiträdet att behandla personuppgifter för Personuppgiftsansvariges räkning. Detta Avtal har upprättats för att bland annat uppfylla kravet i artikel 28 i dataskyddsförordningen om att det ska finnas ett skriftligt avtal mellan en personuppgiftsansvarig och ett personuppgiftsbiträde för behandlingen av personuppgifter.

PERSONUPPGIFTSBITRÄDE/UNDERBITRÄDE

I de fall då Personuppgiftsansvarige även är personuppgiftsbiträde gentemot sina kunder (t ex en byrå med byråkunder) är detta Avtal tillämpligt mellan den Personuppgiftsansvarige såsom personuppgiftsbiträde och Personuppgiftsbiträdet såsom underbiträde. Detta förutsätter att kunderna godkänner Personuppgiftsbiträdet som underbiträde.

BEHANDLING AV PERSONUPPGIFTER

Den Personuppgiftsansvarige garanterar att denne har rätt att behandla personuppgifter samt att behandlingen är i enlighet med Tillämplig dataskyddslagstiftning.

Personuppgiftsbiträdet åtar sig att endast behandla personuppgifter i enlighet med Licensavtalet och med den Personuppgiftsansvariges instruktioner enligt bilaga 1 i detta Avtal. Personuppgiftsbiträdet ska vid behandlingen av personuppgifter följa Tillämplig dataskyddslagstiftning.

Personuppgiftsbiträdet ska omedelbart informera den Personuppgiftsansvarige om

Personuppgiftsbiträdet saknar instruktion om hur denne ska behandla personuppgifter i en specifik situation eller om en instruktion enligt detta Avtal eller i annat fall strider mot Tillämplig dataskyddslagstiftning.

Personuppgiftsbiträdet får inte, utan föreläggande från relevant myndighet eller tvingande lagstiftning:

samla in eller lämna ut personuppgifter från eller till någon tredje part om inte annat skriftligen har överenskommits,
ändra metod för behandling,
kopiera eller återskapa personuppgifter eller
på något annat sätt behandla personuppgifter för andra ändamål än de som anges i Licensavtalet.

ÖVERFÖRING TILL TREDJE LAND

Överföring av personuppgifter till en stat utanför EU och EES kräver den Personuppgiftsansvariges skriftliga samtycke i förväg och får endast ske de om villkor för överföring till tredje länder som framgår av Tillämplig dataskyddslagstiftning har uppfyllts.

SÄKERHET

Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska innebära en säkerhetsnivå som överensstämmer med Tillämplig dataskyddslagstiftning och som är lämplig med beaktande av:

de tekniska möjligheter som finns,
vad det skulle kosta att genomföra åtgärderna,
de särskilda risker som finns med behandlingen av personuppgifterna och
hur pass känsliga de behandlade personuppgifterna är.

Avtalade åtgärder, vilka uppfyller denna punkt, ska åstadkomma en säkerhetsnivå som Personuppgiftsansvarig bedömer lämplig.

Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter, ska Personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt

pseudonymisering och kryptering av personuppgifter,
förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos de system och tjänster som behandlar personuppgifter,
förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, och
ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

SEKRETESS

Personuppgiftsbiträdet är skyldigt att säkerställa att endast personer som har ett direkt behov av tillgång till Personuppgifter för att kunna infria Personuppgiftsbiträdets åtaganden i enlighet med Licensavtalet har tillgång till sådan information. Personuppgiftsbiträdet ska se till att samtliga anställda, konsulter och övriga som är involverade i behandlingen är bundna av sekretess samt att de är informerade om hur behandling av personuppgifterna får ske.

UNDERBITRÄDEN

För att Personuppgiftsbiträdet ska kunna uppfylla skyldigheterna enligt Licensavtalet och detta Avtal har Personuppgiftsbiträdet rätt att anlita underbiträde. Den Personuppgiftsansvarige samtycker till att de underbiträden som listas på Personuppgiftbiträdets hemsida (www.blinfo.se/integritet) kan komma att anlitas som underbiträde. Om Personuppgiftsbiträdet avser att ändra, ta bort eller lägga till ett underbiträde kommer Personuppgiftsbiträdet att informera om detta så att den Personuppgiftsansvarige har möjlighet att göra invändningar mot sådana förändringar.

Om Personuppgiftsbiträdet anlitar underbiträde ska Personuppgiftsbiträdet ingå särskilt personuppgiftsbiträdesavtal med sådant underbiträde vad avser underbiträdets behandling av personuppgifter. I ett sådant avtal ska det framgå att underbiträdet har motsvarande skyldigheter som Personuppgiftsbiträdet har enligt detta Avtal. Personuppgiftsbiträdet ska på

Personuppgiftsansvariges begäran tillhandahålla kopia av de delar av Personuppgiftsbiträdets avtal med underbiträde som krävs för att utvisa att Personuppgiftsbiträdet uppfyllt sina åtaganden enligt detta Avtal.

ASSISTANS

Personuppgiftsbiträdet ska, med hänsyn taget till Behandlingens art, hjälpa Personuppgiftsansvarig genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, så att Personuppgiftsansvarig kan fullgöra sin skyldighet att svara när den Registrerade vill utöva sina rättigheter.

Personuppgiftsbiträdet ska bistå Personuppgiftsansvarig med att se till att den

Personuppgiftsansvarige kan uppfylla sina rättsliga skyldigheter som personuppgiftsansvarig enligt Tillämplig dataskyddslagstiftning.

GRANSKNING

Den Personuppgiftsansvarige äger rätt att, själv eller genom tredje man, genomföra revision gentemot Personuppgiftsbiträdet eller på annat sätt kontrollera att Personuppgiftsbiträdets behandling av personuppgifter följer detta Avtal. Vid sådan revision eller kontroll ska

Personuppgiftsbiträdet ge Personuppgiftsansvarige den assistans som behövs för genomförandet.

PERSONUPPGIFTSINCIDENT

Vid en personuppgiftsincident som omfattar personuppgifter som behandlas på uppdrag av den Personuppgiftsansvarige ska Personuppgiftsbiträdet omedelbart undersöka incidenten och vidta lämpliga åtgärder för att mildra dess potentiella negativa effekt och förhindra upprepning.

Personuppgiftsbiträdet ska även omedelbart tillhandahålla Personuppgiftsansvarig en beskrivning av incidenten. Beskrivningen ska åtminstone

beskriva personuppgiftsincidentens art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,
förmedla namnet på den person som kan tillhandahålla mer information eller svara på frågor,
beskriva de sannolika konsekvenserna av personuppgiftsincidenten, och
beskriva de åtgärder som Personuppgiftsbiträdet har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.

AVTALETS UPPHÖRANDE

Villkoren i detta Avtal ska gälla så länge Personuppgiftsbiträdet behandlar personuppgifter på uppdrag av den Personuppgiftsansvarige.

Om detta Avtal upphör att gälla ska Personuppgiftsbiträdet upphöra med Behandlingen av

Personuppgifter och, efter den Personuppgiftsansvariges önskemål, radera eller återsända alla Personuppgifter till den Personuppgiftsansvarige och radera befintliga kopior, såvida inte Tillämplig dataskyddslagstiftning eller nationell rätt kräver att Personuppgifterna lagras. Personuppgiftsbiträdet ska säkerställa att Underbiträde vidtar samma åtgärder.

ÄNDRINGAR

Ändringar eller tillägg till Avtalet ska göras skriftligen och undertecknas av båda Parterna.

TVIST

Tvist angående tolkning eller tillämpning av detta Avtal ska avgöras enligt svensk lag och av svensk allmän domstol.

Otto Millbourn

Behörig firmatecknare

Personuppgiftsansvarig

Bilaga 1 — Instruktioner för behandling av personuppgifter

Syfte och ändamål	Personuppgiftsbiträdet behandlar personuppgifter i syfte att tillhandahålla och leverera tjänsterna till Personuppgiftsansvarig och fullgöra sina åtaganden enligt Licensavtalet.
Kategorier av personuppgifter	Vilka kategorier av personuppgifter som kommer att behandlas varierar beroende på vilka av tjänsterna som används av den Personuppgiftsansvarige samt vad denne registrerar. Kategorier av personuppgifter som kan komma att behandlas är: Kontaktuppgifter (t ex namn och adress), identitetsuppgifter (t ex personnummer), arbetsrelaterade personuppgifter (t ex yrkestitel och anställningsform), ekonomiska personuppgifter (t ex löneuppgifter), IT-relaterade personuppgifter (t ex lösenord och användarnamn), känsliga personuppgifter (t ex sjukfrånvaro).
Kategorier av registrerade	Vilka kategorier av registrerade som kommer att behandlas varierar beroende på vilka av tjänsterna som används av den Personuppgiftsansvarige samt vad denne registrerar. Kategorier av registrerade som kan komma att behandlas är: Kunder, anställda, leverantörer, samarbetspartners, övriga.
Typ av behandling	Vilka behandlingar som Personuppgiftsbiträdet kommer att utföra varierar beroende på vilket eller vilka tjänster den Personuppgiftsansvarige använder. De typer av behandlingar som Personuppgiftsbiträdet kan komma att utföra är: Lagring, back-up, bearbetning, läsning, överföring, fjärrstyrning, kommunikation via epost och andra kommunikationssätt, radering, ändring, kopiering, support, rådgivning.
Geografisk placering av behandling	Personuppgifterna lagras på servrar som finns placerade inom EU/EES-området.

Specifika säkerhetskrav

Serverlokaler ska vara skyddade mot obehörig åtkomst genom att vara låsta samt att enbart personer med behörighet släpps in.

Serverlokaler ska skyddas mot strömavbrott genom att ha UPS och/eller extra dieselaggregat.

IT-system ska skyddas av brandväggar.

IT-utrustning ska ha skydd mot virus, trojaner mm.

Backup av data ska finnas.

Inloggning i molnbaserade tjänster ska vara krypterade.

Säkerhetstester ska ske kontinuerligt för att kontrollera efterlevnaden av säkerheten.

Personuppgiftsbiträdet ska ha implementerat rutiner och regler för behandlingen av personuppgifter och IT-säkerhet.

Inloggning i IT-utrustning hos Personuppgiftsbiträdet ska ske med användarnamn och lösenord. Servrar ska ha separata inloggningsuppgifter.

Endast behöriga personer hos Personuppgiftsbiträdet ska ha åtkomst till personuppgifterna.