Personuppgiftsbiträdesavtal (PuB-avtal)

Kunden är personuppgiftsansvarig för personuppgifter som Kunden eller dess användare registrerar i VEY:ER, till exempel medlemslistor, projekttilldelningar, kommentarer, händelseloggar, tidrapporter och fältärenden.

Snowvalley Solutions AB är personuppgiftsbiträde och behandlar personuppgifterna enbart för Kundens räkning enligt detta avtal och Kundens dokumenterade instruktioner.

Leverantörens behandling för fakturering, avtalsadministration, kundsupport samt drift- och säkerhetsloggar sker i egenskap av självständigt personuppgiftsansvarig och beskrivs i VEY:ERs integritetspolicy.

Behandlingen avser lagring, strukturering, visning, delning och övrig behandling som krävs för att tillhandahålla, drifta och ge support för VEY:ER.

Behandlingen pågår under den tid Kunden har ett aktivt abonnemang eller annars använder VEY:ER, samt under den period som krävs för avslutande, export och radering enligt §6.

Registrerade: Kundens anställda, konsulter, underentreprenörer, beställare och andra som Kunden bjuder in eller registrerar uppgifter om.

Personuppgifter: namn, e-postadress, telefonnummer, företagstillhörighet, roller och behörigheter, inloggnings- och händelseloggar, tidrapporter, kommentarer och meddelanden, fotografier och annat bildmaterial, samt geografiska positioner och mätdata i den mån de kan kopplas till en identifierbar person.

Kunden ska inte registrera känsliga personuppgifter enligt artikel 9 GDPR i VEY:ER.

Instruktioner: Biträdet behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner, som utgörs av detta avtal, användarvillkoren och Kundens inställningar i VEY:ER, om inte annat krävs enligt unionsrätt eller svensk rätt. Biträdet ska utan dröjsmål informera Kunden om Biträdet anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning.

Sekretess: Biträdet säkerställer att personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet.

Säkerhet (artikel 32): Biträdet ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder anpassade efter behandlingens art, omfattning, sammanhang och risk. Åtgärderna omfattar bland annat kryptering vid överföring och lagring, behörighetskontroll och logisk separation mellan kunders data, rollbaserad åtkomst och spårbarhet samt rutiner för säkerhetskopiering och återställning. Tekniska detaljer kan ändras över tid så länge säkerhetsnivån inte sänks.

Personuppgiftsincidenter (artikel 33–34): Biträdet ska utan onödigt dröjsmål och senast inom 48 timmar från det att Biträdet fått kännedom om en personuppgiftsincident underrätta Kunden. Biträdet ska bistå Kunden med den information och hjälp som skäligen krävs för att Kunden ska kunna uppfylla sina skyldigheter enligt artiklarna 33 och 34 GDPR.

De registrerades rättigheter: Biträdet ska, med hänsyn till behandlingens art, bistå Kunden genom lämpliga åtgärder så att Kunden kan besvara begäranden om tillgång, rättelse, radering, begränsning och dataportabilitet.

Konsekvensbedömning och förhandssamråd (artikel 35–36): Biträdet ska bistå Kunden med tillgänglig information om behandlingen när Kunden genomför en konsekvensbedömning eller samråder med Integritetsskyddsmyndigheten.

Granskning: Biträdet ska ge Kunden tillgång till all information som krävs för att visa att skyldigheterna i artikel 28 fullgörs samt möjliggöra och bidra till granskningar och inspektioner som genomförs av Kunden eller av en oberoende granskare som Kunden utser. Granskningar ska genomföras med skäligt varsel, under normal arbetstid och på ett sätt som inte oskäligt stör Leverantörens verksamhet eller äventyrar andra kunders säkerhet eller sekretess. Kunden står sina egna kostnader för granskningen.

Kunden lämnar ett generellt förhandstillstånd till att Biträdet anlitar underbiträden. Aktuella underbiträden framgår av förteckningen nedan.

Biträdet ska informera Kunden om planerade förändringar avseende nya eller ersatta underbiträden senast fjorton (14) dagar i förväg via e-post till Kundens administratörer eller meddelande i VEY:ER. Kunden har rätt att invända mot förändringen inom 14 dagar från sådan information.

Om Kunden invänder på sakliga dataskyddsgrunder och parterna inte når en lösning, har Kunden rätt att säga upp abonnemanget till dagen då förändringen träder i kraft, utan avgift för återstående period.

Biträdet ska genom skriftligt avtal ålägga underbiträden motsvarande dataskyddsskyldigheter som följer av detta avtal och förblir ansvarigt gentemot Kunden för underbiträdets fullgörande.

Överföring till land utanför EU/EES sker endast om det finns stöd i kapitel V GDPR, till exempel ett beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler.

Vid avtalets upphörande har Kunden trettio (30) dagar på sig att exportera sina uppgifter via VEY:ERs exportfunktioner.

Därefter raderar Biträdet personuppgifterna ur driftmiljön, om inte lagring krävs enligt unionsrätt eller svensk rätt.

Säkerhetskopior raderas eller skrivs över automatiskt enligt Biträdets ordinarie säkerhetskopieringscykel. Fram till dess hålls de isolerade och används inte i den löpande driften.

Ansvarsbegränsningen i användarvillkoren gäller även detta avtal, i den utsträckning ansvar får begränsas enligt tvingande lag.

Avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning. Ändringar meddelas enligt användarvillkoren.

Vid motstridighet mellan detta avtal och användarvillkoren har detta avtal företräde i frågor om personuppgifter.