Bilagor
- På förhand godkända underbiträden
- Beskrivning av personuppgifter samt vilken behandling som omfattas av personuppgiftsbiträdesavtalet
Syfte
Avtalet krävs för att kunna utföra avtalat uppdrag inom redovisning, lön- och/eller HR-arbete då dessa åtaganden hanterar personuppgifter.
Detta avtal ska tolkas i enligt artikel 28 Dataskyddsförordningen (Europaparlamentets och rådets förordning (EU) 2016/679) och ska tillse att gällande regelverk efterlevs avseende behandling av personuppgifter.
Vilka personuppgifter behandlas
Då uppdrag inom lön, redovisning och HR innehåller personuppgifter och konsulten ska hantera alla ärenden inom detta område sammanställs de uppgifter som kan förekomma i bilaga 2 tillsammans med art, syfte och typer av behandlingar.
Personuppgiftsansvarigs ansvar
Personuppgiftsansvarig är skyldig att efterleva personuppgiftslagen och dataskyddsförordningen efter dess införande angående behandling av personuppgifter. Det är personuppgiftsansvariges ansvar att uppgifterna överlämnas till personuppgiftesbiträdet på ett säkert sätt och att tillhandahålla instruktioner hur uppgifterna ska behandlas. Personuppgiftsansvarige ska stå för alla kostnader och utgifter som uppkommer med anledning av att den personuppgiftsansvarige ändrar eller meddelar nya instruktioner.
Personuppgiftsbiträdes ansvar
Personuppgiftsbiträdet är skyldigt att dokumentera och efterleva instruktioner försedda av personuppgiftsansvarige samt iaktta tillåten personuppgiftshantering i enlighet med gällande regelverk. Det är även personuppgiftsbiträdes ansvar att bistå med information så skyldigheterna enligt GDPR Artikel 32-36 efterlevs med beaktande av typen av behandling samt den information personuppgiftsbiträdet har att tillgå.
Säkerhet och sekretess
Personuppgiftsbiträdet ansvarar för att säkerheten där personuppgifter behandlas på uppdrag av personuppgiftsansvarige sköts på ett sådant sätt att tillräcklig säkerhetsnivå erhålls enligt GDPR Artikel 32. Detta avser både digital förvaring i form av servrar samt förvarande av fysiska originalhandlingar och rutiner för behandling.
Rättigheterna begränsas även internt hos personuppgiftsbiträdet så enbart personal som vars uppgift är att behandla uppgifterna för personuppgiftsansvarige kommer ha tillgång till dem.
Personuppgiftsbiträdet är även skyldig att säkerställa att personal som får tillgång till personuppgiftsansvariges personuppgifter omfattas av sekretessförbindelse. Denna sekretessförbindelse ska även gälla efter upphörande av avtalet.
Insyn för granskning
Personuppgiftsansvarige har i sin roll som personuppgiftsansvarig rätt att säkerställa att personuppgiftsbiträdet efterlever sina skyldigheter och vidtagit de åtgärder som krävs för att dessa fullföljs. Därför förbinder sig den personuppgiftsansvarige att bistå med den information som krävs för att göra denna granskning av personuppgiftsbiträdet.
Anlitande av underbiträde till personuppgiftsbiträdet
Personuppgiftsbiträdet får anlita underleverantör för att behandla personuppgifter. I bilaga 1 finns en lista över aktuella underbiträden.
Detta ska ses som ett allmänt skriftligt förhandstillstånd och personuppgiftsbiträdet ska informera den personuppgiftsansvarige angående nya underbiträden innan de börjar behandla uppgifter. Det måsta vara rimlig tid mellan information om tilltänkta underbiträden och när det nya underbiträdet börjar behandla uppgifter. Personuppgiftsansvarig ska ha möjlighet att yttra sig innan förändringen inträffar.
Andra personuppgiftsbiträden till personuppgiftsansvarig
Ifall personuppgiftsansvariga tillhandahåller egen underleverantör såsom serverlösning, molntjänst eller liknande som hanterar personuppgifter som personuppgiftsbiträdet har tillgång till, så måste personuppgiftsansvarig se till att det finns personuppgiftsbiträdesavtal med samtliga leverantörer samt att dess säkerhet är tillräcklig.
Registrerades rättigheter
Personuppgiftsbiträdet ska hantera data så man kan svara på enskild registrerads begäran om att få utöva sin rättighet i form av registerutdrag, rättning, ändring och radering.
Överföring till tredje land
Personuppgiftsbiträdet får inte överföra personuppgifter som tillhör personuppgiftsansvarige till tredje land utan att personuppgiftsansvarige lämnat tillstånd på förhand.
Ifall detta tillstånd ges, måste parterna dessförinnan undersöka om tredje landet säkerställer tillräcklig skyddsnivå för personuppgifter.
Incidenter
Personuppgiftsbiträdet ska vid konstaterad eller misstänkt personuppgiftsincident såsom obehörig tillgång, felaktig ändring, ofullständig radering eller annan otillåten behandling undersöka incidenten, vidta åtgärder för att förhindra upprepning samt meddela personuppgiftsansvarig med en skriftlig rapport utan dröjsmål. Rapporten ska innehålla beskrivning av incidenten, vilka personuppgifter som berörts, vilka åtgärder som vidtagits för att undvika upprepning samt kontaktuppgifter var man kan erhålla ytterligare information gällande incidenten. Om incidenten orsakat att den registrerades rättigheter och friheter ska den personuppgiftsansvarige följa GDPR artikel 34. Det är också personuppgiftsansvariges ansvar att anmäla personuppgiftsincident enligt GDPR Artikel 33.
Ändringar och tillägg
Ändring och tillägg i detta avtal ska vara skriftlig och undertecknad av båda parter.
Avtalstid och upphörande
Detta avtal gäller från avtalsdagen och ska därefter gälla tills personuppgiftsbiträdet upphör att behandla personuppgifter för personuppgiftsansvarigs räkning. Vid upphörande av avtal är personuppgiftsbiträdet skyldig att lämna tillbaka samt radera de uppgifter detta avtal ger dem rätt att behandla.
Bilaga 1.
Lista över på förhand godkända underbiträden.
Namn
Accountec AB
Daggans Änglar AB
Fortnox AB
Karlsund Ekonomi AB
Microsoft Corporate
Oxceed AB
UCS IT Solutions AB
Visma SPCS AB
Bilaga 2.
Art och ändamål: För att fullgöra skyldigheter enligt uppdragsavtal mellan parterna.
Typer av personuppgifter: Kontaktuppgifter såsom namn, epost, telefonnummer, faktureringsinformation såsom bilagor och offerter där personnamn förekommer. Även bilagor till personuppgiftsansvarigs fakturor, såsom olycksinformation vid försäkringsärenden, kvitton och körjournaler som visar var den registrerade har befunnit sig vid vilken tidpunkt. Personaluppgifter såsom personuppgifter, privatekonomisk information, pensionsbelopp, sjukdom/hälsoinformation, bankkontonr, inklusive anställningsavtal.
Personuppgifterna kan komma inkludera känsliga uppgifter såsom uppgifter som avslöjar religiös övertygelse, sexuell läggning och politiska åsikter ifall det överlämnas av personuppgiftsansvarig. Hanteringen sker enligt stöd av 2a,b,f i artikel 9 i GDPR
Kategorier av registrerade: Anställda hos personuppgiftsansvarig, användare, kunder som är privatpersoner, anställda och medlemmar hos kunder, leverantörer, samarbetspartners samt andra kategorier som den personuppgiftsansvariga beslutar.
Behandlingar av personuppgifter: Insamling, Lagring, Organisering, Överföring, Samkörning, Statistik, Gallring, Radering
Bevarande av personuppgifter: Enligt personuppgiftsansvariges policy/instruktioner.
