PERSONUPPGIFTSBITRÄDESAVTAL
1. TILLÄMPLIGHET
1.1. Dessa villkor (”Personuppgiftsbiträdesavtalet”) blir tillämpliga mellan Flovi AB (”Leverantören”) och en kund (”Kunden”) med vilken Leverantören har ingått ett samarbetsavtal (”Avtalet”), när Leverantören anses vara personuppgiftsbiträde och Kunden personuppgiftsansvarig i den mening som avses i EU:s allmänna dataskyddsförordning.
1.2. Personuppgiftsbiträdesavtalet utgör Bilaga 2 till Avtalet. Det publiceras på Flovis webbplats (för närvarande https://flovi.io/se/dataskydd) och tillämpas i den lydelse som vid var tid gäller. Flovi har rätt att ändra Personuppgiftsbiträdesavtalet från tid till annan. Ändringar träder i kraft när de publiceras på webbplatsen, eller, om det gäller väsentliga ändringar till Kundens nackdel, tidigast 30 dagar efter det att Flovi meddelat Kunden. Kunden blir bunden av den vid var tid gällande versionen, och Kundens fortsatta användning av Tjänsten efter att en ändring trätt i kraft utgör godkännande av den ändrade versionen. Den version som bifogas Avtalet vid undertecknandet utgör den version som gäller vid Avtalets ingående.
2. DEFINITIONER
De begrepp som används häri har samma innebörd som anges i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter samt om upphävande av direktiv 95/46/EG (”Förordningen”). Sådana begrepp omfattar utan begränsning personuppgiftsansvarig, personuppgiftsbiträde, underbiträde, personuppgifter, registrerad, behandling och personuppgiftsincident.
3. SYFTE
3.1. Genom dessa villkor kommer parterna överens om att Kunden, den personuppgiftsansvarige, utser Leverantören till sitt personuppgiftsbiträde för att behandla Kundens personuppgifter under Avtalets löptid enligt de villkor som avtalas häri.
3.2. Biträdet ska behandla personuppgifterna endast för att fullgöra sina skyldigheter enligt Avtalet och i enlighet med de skriftliga instruktioner som den personuppgiftsansvarige lämnat.
3.3. Den personuppgiftsansvarige är ensam personuppgiftsansvarig för personuppgifterna och ansvarar för att uppfylla de skyldigheter som Förordningen och annan tillämplig lag ställer på personuppgiftsansvariga, såsom att säkerställa att det finns en rättslig grund för behandlingen, att informera de registrerade om behandlingen genom integritetspolicyer, att uppfylla övriga dokumentationsskyldigheter och att säkerställa att uppgifterna hålls korrekta. I den mån den rättsliga grunden är den enskildes samtycke ansvarar den personuppgiftsansvarige för att inhämta och hantera samtycket enligt Förordningen.
3.4. Biträdet har inte rätt att behandla personuppgifterna för något annat ändamål eller för någon annans räkning. Biträdet har rätt att överföra personuppgifter utanför EU eller EES, förutsatt att överföringen sker i enlighet med de krav på lämpliga skyddsåtgärder som Förordningen anger för internationella överföringar. Biträdet ska omedelbart underrätta den personuppgiftsansvarige om biträdet anser att en lämnad instruktion strider mot Förordningen eller nationell dataskyddslagstiftning. Utöver villkoren i denna bilaga åtar sig parterna att följa Förordningen i tillämpliga delar.
3.5. Ytterligare uppgifter om behandlingen kan anges i Avtalet eller i ett separat dokument.
4. ANLITANDE AV UNDERBITRÄDEN
4.1. Biträdet har rätt att anlita underbiträden för behandling av personuppgifter. Den personuppgiftsansvarige lämnar biträdet ett allmänt skriftligt förhandsgodkännande att anlita underbiträden. Biträdet ska informera den personuppgiftsansvarige om planerade ändringar avseende tillägg eller byte av underbiträden och därigenom ge den personuppgiftsansvarige möjlighet att invända mot sådana ändringar.
4.2. Vid anlitande av underbiträden åtar sig biträdet att ålägga varje underbiträde dataskyddsvillkor som skyddar personuppgifterna till samma nivå som anges i denna bilaga. Biträdet ansvarar fullt ut för att dess underbiträden uppfyller kraven i denna bilaga.
5. SEKRETESS
Alla personuppgifter som biträdet behandlar för den personuppgiftsansvariges räkning betraktas som den personuppgiftsansvariges konfidentiella information, och biträdet får inte röja personuppgifterna för någon eller använda dem för annat än det avtalade ändamålet. Biträdet säkerställer att endast de personer får tillgång till personuppgifterna som behöver det för att fullgöra biträdets skyldigheter, att dessa personer omfattas av en strikt sekretessplikt, avtalad eller lagstadgad, och att ingen person som inte omfattas av en sådan sekretessplikt tillåts behandla personuppgifterna. Sekretessplikten fortsätter att gälla även efter att Avtalet upphört.
6. SÄKERHET
Biträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna mot oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till personuppgifterna. Åtgärderna ska beakta den senaste utvecklingen, genomförandekostnaderna samt behandlingens art, omfattning, sammanhang och ändamål, liksom riskerna, av varierande sannolikhet och allvar, för fysiska personers rättigheter och friheter.
Sådana åtgärder kan, i förekommande fall, omfatta:
a) pseudonymisering och kryptering av personuppgifter;
b) förmåga att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna;
c) förmåga att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident;
d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärderna för att säkerställa behandlingens säkerhet.
7. PERSONUPPGIFTSINCIDENTER
Biträdet ska utan onödigt dröjsmål underrätta den personuppgiftsansvarige om personuppgiftsincidenter som biträdet får kännedom om, så att den personuppgiftsansvarige kan uppfylla Förordningens krav på anmälan av personuppgiftsincidenter inom fastställda tidsfrister. Vid underrättelsen ska biträdet lämna nödvändiga uppgifter om incidenten och även i övrigt ge den personuppgiftsansvarige rimlig hjälp. Biträdet ska också vidta alla andra nödvändiga åtgärder för att lindra eller avhjälpa incidentens effekter och för att förhindra ytterligare incidenter.
8. KONSEKVENSBEDÖMNING AVSEENDE DATASKYDD
Om biträdet får kännedom om att den planerade behandlingen skulle medföra en hög risk för fysiska personers rättigheter och friheter ska biträdet underrätta den personuppgiftsansvarige om detta och vid behov bistå den personuppgiftsansvarige med att genomföra en konsekvensbedömning avseende dataskydd.
9. DE REGISTRERADES RÄTTIGHETER
Med beaktande av behandlingens art ska biträdet, i rimlig omfattning och utan onödigt dröjsmål, bistå den personuppgiftsansvarige, inklusive genom lämpliga tekniska och organisatoriska åtgärder, med att uppfylla en registrerads begäran om att utöva sina rättigheter enligt Förordningen. Sådana rättigheter kan, såsom de beskrivs i Förordningen, omfatta rätt till tillgång, rättelse, invändning, radering (”rätten att bli bortglömd”) och dataportabilitet. Om en sådan begäran riktas direkt till biträdet ska biträdet utan onödigt dröjsmål underrätta den personuppgiftsansvarige om begäran.
10. GRANSKNING (AUDIT)
Biträdet ska ge den personuppgiftsansvarige möjlighet att granska biträdets efterlevnad av dessa villkor och ska ge tillgång till och tillhandahålla den personuppgiftsansvarige alla system, lokaler, resurser, uppgifter och personal som är nödvändiga för att genomföra granskningen. Granskningar utförs under normal arbetstid med målet att i rimlig mån orsaka så lite störning som möjligt i biträdets verksamhet. Den personuppgiftsansvarige ska lämna rimligt förhandsmeddelande om planerade granskningar. Vardera parten svarar för sina egna kostnader i samband med en granskning.
11. ÖVRIGA VILLKOR
Om biträdet ska bistå den personuppgiftsansvarige med att uppfylla dennes skyldigheter avseende personuppgiftsincidenter, de registrerades rättigheter och konsekvensbedömningar, utförs dessa biståndsuppgifter inom den omfattning och de tidsramar som anges i parternas Avtal. Om parterna inte har ingått ett Avtal, eller om den tid som krävs överstiger vad Avtalet omfattar, har biträdet rätt att fakturera skälig faktiskt använd tid för biståndsuppgifterna enligt de timpriser som parterna kommit överens om. Fakturering av tid för biståndsuppgifter förutsätter att den personuppgiftsansvarige har accepterat att biträdet får lägga tid på att utföra biståndsuppgifter. Biträdet ansvarar inte gentemot den personuppgiftsansvarige för indirekta skador eller följdskador eller för krav från tredje part.
12. LÖPTID OCH VERKAN AV UPPHÖRANDE
12.1. Dessa villkor träder i kraft samma dag som Avtalet mellan parterna och gäller därefter till dess att Avtalet upphör eller löper ut enligt sina villkor.
12.2. Vid Avtalets upphörande eller utgång ska biträdet, enligt den personuppgiftsansvariges val, radera eller återlämna samtliga personuppgifter till den personuppgiftsansvarige och radera befintliga kopior, om inte tillämplig lag kräver att biträdet lagrar personuppgifterna.
BESKRIVNING AV BEHANDLINGEN
Behandlingens art:
Leverantören behandlar personuppgifter för Kundens räkning i syfte att tillhandahålla Leverantörens tjänster och tillhörande support till Kunden i enlighet med Avtalet. Leverantören samlar in, behandlar och lagrar personuppgifter som avser Kunden i enlighet med Avtalet, tillämplig lag och dessa villkor.
Kategorier av personuppgifter:
Namn, e-postadress, telefonnummer, leveransadress, övriga leveransuppgifter och uppgifter om fordonet.
Kategorier av registrerade:
Personuppgifterna avser huvudsakligen sådana registrerade som är Kundens egna slutkunder samt Kundens egna anställda.