11. Lagring av Personuppgifter enligt GDPR

”GDPR” avser Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (dataskyddsförordning).

Ni som användare är Personuppgiftsansvarig och Verktyg1 är Personuppgiftsbiträdet och har ingått ett Avtal. Inom ramen för Avtalet kommer Personuppgiftsbiträdet att Behandla Personuppgifter för Personuppgiftsansvariges räkning. Vi är överens om att Personuppgiftsansvarig ska anses vara personuppgiftsansvarig och att Personuppgiftsbiträdet ska anses vara personuppgiftsbiträde såsom begreppen definieras i GDPR. De Personuppgifter och Behandlingar som Personuppgiftsbiträdet hanterar inom ramen för Avtalet avser i huvudsak insamling, sammanställning och tillhandahållandet av personuppgifter avseende personal, slutkunder och andra kategorier personer som berörs av projektens administration, i syfte att hantera projektadministration från offert via tidrapportering till slutfakturering och bokföring, såsom i övrigt framgår av de funktioner som återfinns i det webbaserade verktyget Verktyg1™, vilket utgör föremålet för Samarbetsavtalet.

Mot bakgrund av ovanstående har vi ingått detta Avtal.

11.1 Personuppgiftsansvariges instruktioner:

Personuppgiftsbiträdet åtar sig att Behandla Personuppgifter endast i enlighet med Personuppgiftsansvariges skriftliga instruktioner och i enlighet med GDPR. För det fall att Personuppgiftsbiträdet saknar nödvändiga instruktioner ska Personuppgiftsbiträdet informera Personuppgiftsansvarig därom och invänta de instruktioner som Personuppgiftsansvarig bedömer erfordras. Följaktligen åtar sig Personuppgiftsansvarig att hålla Personuppgiftsbiträdet skadeslöst för sådan skada som Personuppgiftsbiträdet lider som en direkt följd av att Personuppgiftsansvariges instruktioner leder till att Personuppgiftsbiträdet Behandlar Personuppgifter i strid med GDPR. Personuppgiftsbiträdet åtar sig att omedelbart informera den Personuppgiftsansvarige om han eller hon anser att en instruktion strider mot GDPR.

11.2 Personuppgiftsbiträdets åtaganden

Personuppgiftsbiträdet åtar sig särskilt att:

• ha en lämplig teknisk och organisatorisk säkerhet och vidta de säkerhetsåtgärder som framgår av artikel 32 i GDPR för att skydda de Personuppgifter som Behandlas under detta Avtal;

• bistå Personuppgiftsansvarig att själva uppfylla kraven avseende säkerhet som framgår av artikel 32-36 i GDPR uppfylls;

• till Personuppgiftsansvarig hänvisa den vars Personuppgifter Behandlas, Datainspektionen eller annan tredje man som begär information från Personuppgiftsbiträdet som rör Behandling av Personuppgifter. Personuppgiftsbiträdet skall utan dröjsmål informera Personuppgiftsansvarig om eventuella kontakter från Datainspektionen som rör eller kan vara av betydelse för Behandlingen av Personuppgifter;

• beroende på vad Personuppgiftsansvarig väljer radera, anonymisera eller återlämna alla Personuppgifter till Personuppgiftsansvarig när Avtalet upphör, oavsett anledning därtill, inklusive att radera samtliga kopior vilka inte enligt GDPR måste sparas;

• i övrigt ge Personuppgiftsansvarig tillgång till sådan information som krävs för att Personuppgiftsansvarig ska kunna uppfylla sina skyldigheter gentemot Datainspektionen och/eller enskilda;

• Personuppgiftsbiträdet åtar sig vidare att alltid Behandla Personuppgifter i enlighet med GDPR. Detta inkluderar, men är inte begränsat till, att föra ett register över alla kategorier av Behandlingar som utförs, att på begäran av en enskild eller Personuppgiftsansvarig tillhandahålla ett registerutdrag på genomförda Behandlingar och att omedelbart informera Personuppgiftsansvarig om Personuppgiftsbiträdet misstänker att det föreligger en risk för att de enskildas fri och rättigheter kränks.

11.3 Sekretess

All information, oavsett om den är muntlig eller i skriftlig, elektronisk eller annan form, avseende Part eller de Personuppgifter som Behandlas i enlighet med detta Avtal eller förhållanden i övrigt, som den andra Parten (”Mottagande Part”) erhållit eller erhåller eller annars fått eller får kännedom om i samband med upprättandet, förhandlandet, ingåendet eller fullgörandet av detta Avtal (”Konfidentiell Information”), ska under avtalstiden och under en tid av fem år efter dess upphörande behandlas strikt konfidentiellt och inte avslöjas för någon tredje man utan den andra Partens föregående skriftliga samtycke och inte användas av denne för annat ändamål än fullgörandet eller genomdrivandet av detta Avtal. Vardera Parten åtar sig vidare att tillse att anställda eller övriga personer som får tillgång till Konfidentiell Information förbinder sig att iaktta vad som anges häri med avseende på Konfidentiell Information och Part ansvarar gentemot den andra Parten fullt ut för sådana personers hantering av Konfidentiell Information.

11.4 Avtalstid

Avtalet gäller så länge som Personuppgiftsbiträdet Behandlar Personuppgifter.

11.5 Fortsatta förpliktelser

När detta Avtal upphör, oavsett anledning därtill, ska Sekretessen fortsatt vara bindande för Parterna.

11.6 Övrigt

Underbiträde

Personuppgiftsbiträdet har rätt att anlita underbiträden för Behandling av Personuppgifter för Personuppgiftsansvariges räkning såvida ett sådant underbiträde skriftligen åtar sig motsvarande förpliktelser som anges i detta Avtal. Personuppgiftsbiträdet åtar sig att informera Personuppgiftsansvarig om eventuella planer på att anlita ett underbiträde och/eller ersätta befintligt underbiträde. Personuppgiftsansvarige har då en möjlighet att göra invändningar mot sådant underbiträde. Personuppgiftsbiträdet är fullt ansvarig gentemot den Personuppgiftsansvarige för underbiträdets skyldigheter vid Behandling av Personuppgifter som omfattas av detta Avtal.