Personuppgiftsbiträdesavtal

Om Personuppgiftsbiträdet byter ut eller inkluderar nya underbiträden, i ovanstående förteckning, ska Personuppgiftsansvarig underrättas 90 kalenderdagar innan det nya underbiträdet börjar behandla Personuppgifter. Personuppgiftsansvarig kan inom 30 kalenderdagar från det att underrättelse skett motsätta sig sådan ändring av underbiträde. Om Personuppgiftsansvarig motsätter sig sådan ändring, kan Personuppgiftsansvarig säga upp Nyttjandesrättsavtalet med 60 kalenderdagars uppsägningstid. Anmälan om uppsägning måste ges samtidigt som Personuppgiftsansvarig motsätter sig ändringen. Om Personuppgiftsansvarig inte motsätter sig ändringen genom att säga upp Nyttjandesrättsavtalet accepteras det nya underbiträdet.

För det fall underbiträde byts ut ska Personuppgiftsbiträdet tillse att sådant underbiträde permanent raderar alla Personuppgifter som underbiträdet har behandlat och att underbiträdet skriftligen meddelar Personuppgiftsbiträdet att så skett.

Om Personuppgiftsbiträdet ska ingå ett avtal med underbiträde i land utanför EU/EES, bör detta endast ske i enlighet med tillämplig process för sådan överföring så som EU:s standardklausuler för överföring av personuppgifter till tredje land eller någon annan tillämplig grund för överföring till tredje land i enlighet med villkoren i GDPR kapitel V. Detsamma gäller även om Personuppgifter behandlas eller lagras i EU/EES när personal med tillgång till uppgifterna befinner sig i land utanför EU/EES.

5. Informationssäkerhet

Personuppgiftsbiträdet ska genom lämpliga systematiska, organisatoriska och tekniska säkerhetsåtgärder säkerställa adekvat informationssäkerhet när det gäller konfidentialitet, integritet och tillgänglighet vid behandling av Personuppgifter i enlighet med GDPR artikel 32.

Personuppgiftsbiträdet ska dokumentera vilka säkerhetsåtgärder som vidtas för behandling av Personuppgifter. Sådan dokumentation ska på Personuppgiftsansvarigs begäran hållas tillgänglig för Personuppgiftsansvarig.

Personuppgiftsbiträdet ska säkerställa tillfredsställande informationssäkerhet avseende:

• konfidentialitet, dvs. att uppgifterna inte görs tillgängliga för personer som inte har lagenlig tillgång till uppgifterna,
• integritet, dvs. att uppgifterna inte ändras på otillåtet eller oavsiktligt sätt, och
• tillgängligheten, dvs. uppgifterna är tillgängliga och fungerar för lagenlig och auktoriserad användning

Personuppgiftsbiträdet ska ha rutiner och systematiska processer för att följa upp överträdelser av behandling av Personuppgifter ("Incident"). Om en Incident beror på Personuppgiftsansvarig eller omständigheter som är innanför Personuppgiftsansvariges kontroll, kan Personuppgiftsbiträdet fakturera Personuppgiftsansvarig för arbete som är relaterat till uppföljning av Incidenten i enlighet med de priser som anges Nyttjanderättsavtalet och/eller Service Level Agreement.

Personuppgiftsbiträdet ska, utan onödigt dröjsmål, underrätta Personuppgiftsansvarig efter att Personuppgiftsbiträdet fått vetskap om inträffad Incident.

Personuppgiftsbiträdet ska bistå Personuppgiftsansvarig med nödvändig information för att Personuppgiftsansvarig ska kunna fullgöra sina skyldigheter vid personuppgiftsbehandling enligt Tillämpliga Regler och möjliggöra för Personuppgiftsansvarig att svara på förfrågningar från behörig tillsynsmyndighet gällande Incident. Det är Personuppgiftsansvariges skyldighet att rapportera Incident till behörig tillsynsmyndighet i enlighet med Tillämpliga Regler.

Personuppgiftsbiträdet ska inte ge ut lösenord till Personuppgiftsansvarigs eller till anställda hos Personuppgiftsansvarig som nyttjar Systemet (”Användare”) såvida inte Personuppgiftsansvarig skriftligen begär det. Användares lösenord lagras med irreversibel kryptering och det är fysiskt omöjligt för Personuppgiftsbiträdet att lämna ut lösenord i vanlig text.

Personuppgiftsbiträdet ansvarar för säkerhetskopior av Systemet och data enligt gällande Service Level Agreement.

Om Personuppgiftsansvarig ska föra över Personuppgifter elektroniskt, internt eller från Personuppgiftsansvarig till Personuppgiftsbiträdet, bör överföringen vara krypterad eller på annat sätt säkras efter överenskommelse med Personuppgiftsbiträdet.

6. Säkerhetsrevisioner

Genom att underteckna Personuppgiftsbiträdesavtalet bemyndigar Personuppgiftsansvarig Personuppgiftsbiträdet att utföra revision enligt GDPR genom att Personuppgiftsbiträdet ges rätt att säkerställa att en oberoende tredje part, utsedd av Personuppgiftsbiträdet, regelbundet utför en systemisk granskning av behandlingen av personuppgifter i Systemet. En sammanfattning av revisionen ställs till Personuppgiftsansvarigs förfogande på begäran.

7. Ansvar och ansvarsbegränsning

Nyttjanderättsavtalets reglering om ansvar ska även gälla för skada som part orsakar den andra parten genom bristande Behandling enligt detta Avtal.

8. Personuppgiftsbiträdesavtalets varaktighet

Personuppgiftsbiträdesavtalet gäller från dess undertecknande och så länge som Personuppgiftsbiträdet behandlar Personuppgifter på Personuppgiftsansvarigs uppdrag enligt Nyttjanderättsavtalet, med undantag för de specifika bestämmelser i Personuppgiftsbiträdesavtalet som alltjämt fortsätter att löpa efter Personuppgiftsbiträdesavtalets upphörande.
Vid väsentlig överträdelse av Personuppgiftsbiträdesavtalet kan Personuppgiftsansvarig ålägga Personuppgiftsbiträdet att med omedelbar verkan upphöra med behandlingen av Personuppgifter. Personuppgiftsbiträdet kan av samma skäl avbryta all behandling för Personuppgiftsansvarig med omedelbar verkan.
Däremot kommer radering av data som omfattas av Personuppgiftsbiträdesavtalet inte att genomföras förrän Nyttjanderättsavtalet löper ut enligt punkt 9 nedan.

9. Vid uppsägning

Parterna är överens om att Personuppgiftsbiträdet, efter Nyttjanderättsavtalet upphörande, ska radera alla Personuppgifter som behandlats enligt Personuppgiftsbiträdesavtalet genom att sådana Personuppgifter anonymiseras. Anonymisering innebär att uppgifterna inte längre utgör Personuppgifter enligt Tillämpliga Regler. Personuppgiftsbiträdet ska förse Personuppgiftsansvarig med en skriftlig redogörelse, varigenom Personuppgiftsbiträdet garanterar att Personuppgifterna har blivit anonymiserade och att Personuppgiftsbiträdet inte har kvar någon kopia, utskrift eller sparat Personuppgifterna på annat medium.

Personuppgiftsansvarig kan kräva att få tillbaka sin Kunddata när nyttjanderättsavtalet upphör. Tillvägagångssätt för leverering av detta är reglerat i Service Level Agreement (SLA).

10. Kontakt

Kontakter eller frågor med anledning av detta Personuppgiftsbiträdesavtal ska skickas skriftligen till Personuppgiftsansvarigs kontaktperson enligt specifikationen i Nyttjanderättsavtalet.

11. Ändring av avtalen

Personuppgiftsbiträdet kan ändra innehållet i Personuppgiftsbiträdesavtalet om Personuppgiftsansvarig underrättas om sådana ändringar 90 kalenderdagar innan ändringen träder i kraft. Personuppgiftsansvarig har rätt att motsätta sig ändringen inom 30 kalenderdagar från det att Personuppgiftsansvarig underrättats om ändringen. Om Personuppgiftsansvarig motsätter ändringen kan Personuppgiftsansvarig säga upp Nyttjanderättsavtalet med 60 kalenderdagars uppsägningstid. Anmälan om uppsägning måste ges in skriftligen och samtidigt som Personuppgiftsansvarig motsätter sig ändringen. Om Personuppgiftsansvarig inte meddelar uppsägning av Nyttjanderättsavtalet, anses ändringen accepterad.

 

Bilaga A till personuppgiftbiträdesavtal – Insights / Integrationsgränssnitt ("API") 

Bilaga A gäller endast om Kunden har köpt tillgång till Insights/Integration Interface, nedan kallat "API". Simployer-API:er exponerar integrationsgränssnitt som valt användare vid kundens åtkomst och som gör det möjligt för kunden att överföra information, inklusive personuppgifter, från kundens data som genereras i Simployer, för vidare bearbetning och analys i programvara från tredje part.

Integrationsgränssnittet är tekniskt skyddat på ett sådant sätt att kunden får en nyckel (API-nyckel) som används för att autentisera den enskilda tjänsten som interagerar med gränssnittet. Kunden får denna nyckel och är ensam ansvarig för att använda den endast för att autentisera systemen, och de användare som ska ha tillgång till tjänsten.

Gränssnittet ger tillgång till Kundens data, inklusive personuppgifter som registreras eller genereras i systemet och Kundens databas, och har inte samma åtkomstkontroll och mekanismer för att säkerställa integritet inbyggd i Simployer som standard. Det är därför mycket viktigt att Kunden endast använder tjänsten för ändamål och endast autentiserar system och användare mot gränssnittet, vilket Kunden har gjort nödvändiga bedömningar av (rättsliga och tekniska bedömningar).

Leverantören ansvarar för tillgänglighet och konfidentialitet för data fram till leverantörens slutpunkt. När data har lämnat leverantörens slutpunkt är det Kunden som ansvarar för all användning av tjänsten och all användning av data som görs tillgänglig via gränssnittet. Simployer, inklusive underleverantörer, tar inget ansvar för kundens användning av gränssnittet eller kundens behandling av data som erhållits från gränssnittet, eller integriteten hos data som skickas till gränssnittet (från Kundens system eller tredje part kunden ansvarar för).

Om integrationer inte använder slutpunkter för överföring av data, utan filbaserad överföring av data, gäller samma principer som nämnts ovan.

Bilaga B till personuppgiftbiträdesavtal – Engagement

Bilaga B gäller endast om Kunden har köpt Engagement-modulen. När det gäller utlämnande av uppgifter från denna modul får personuppgiftsbiträdet inte förse den registeransvarige med svarsinformation på något annat sätt än i anonymiserad och avidentifierad form.  Svarsinformation innebär de svar som medarbetarna har gett på medarbetarundersökningar som samlats in med hjälp av modulen Engagement.

Om den personuppgiftsansvarige avser att använda Tjänsten även för anställda i andra företag än deras egna, ska de på egen hand erhålla bolagens tillstånd att behandla personuppgifter om de berörda medarbetarna. När det gäller företag och anställda som är bosatta utanför EU/EES ska den personuppgiftsansvarige självständigt övervaka och ansvara för att rättsliga krav uppfylls i enlighet med tillämplig utländsk lagstiftning.

Den personuppgiftsansvarige ansvarar också för att deras användning av och innehållet i frågor och svar som lagras i Engagement-modulen. Den personuppgiftsansvarige bör undvika och eller vara försiktig när den ställer frågor som berör eller resulterar i svarinformation som innehåller personuppgifter och som de inte behöver eller har skäl att behandla. Detta kan t.ex. vara kategorier av känslig information som uppgifter om någons hälsa eller information som regleras särskilt, till exempel företagshemligheter etc.

Vid användning av Engagement-modulen accepterar den personuppgiftsansvarige underleverantörerna enligt beskrivningen här. Denna lista hålls uppdaterad på webbplatsen som nämns ovan och eventuella ändringar kommer att meddelas enligt beskrivningen i avsnitt 4. Kunden har också möjlighet för att aktivera så kallat ”Reduced Processing Mode” som innebär behandling av personuppgifter endast inom EU/EES.

Bilaga C till databehandlingsavtalet – Whistleblower

Bilaga C gäller endast om Kunden har valt att aktivera funktionen "Whistleblower" i Engagement-modulen.

Till stöd för EU-direktivet 2019/1937 om ”whistleblowing”, erbjuder Simployer en digital tjänst för att möjliggöra att Individer kan rapportera in visselblåsarärenden till företaget.

Tjänsten gör det möjligt för alla personer som känner till adressen till visselblåsarfunktionen hos Kunden att skicka visselblåsarärenden. Visselblåsare kan välja att skicka in meddelandet med namn och kontaktuppgifter, eller att vara anonym. Anmälan kan därför innehålla personuppgifter om visselblåsaren. Själva anmälan är ett fritextfält, och det kan innebära registrering och lagring av personuppgifter, även om andra än anmälaren, dvs. berörda tredje parter.

Kunden ansvarar för att meddelandena behandlas och lagras i enlighet med gällande regler, det vill säga både de nationella visselblåsarlagen och dataskyddsförordningen ("GDPR"). Det innebär bland annat ansvar för att radera personuppgifter som inte är relevanta för anmälan. Funktionen raderar automatiskt data i rapporter efter 2 år, men radering bör annars utföras av modulens administratör och ska ske kontinuerligt och utan onödigt dröjsmål. Lagring av registreringar och rapporter som innehåller personuppgifter, får inte ske utöver vad som är nödvändigt och stå i proportion till bestämmelserna i artikel 17 i EU-direktivet 2019/1937 och relevant national implementering av dessa regler.

Tjänsten ändrar inte listan över relevanta underleverantörer i punkt 4 i personuppgiftsbiträdesavtalet mellan Parterna.

 

V.2.1.7