Personuppgiftsbiträdesavtal för Offertklart

1. Föremål och varaktighet

Biträdet behandlar personuppgifter för att tillhandahålla, drifta, säkra och ge support för Offertklart enligt huvudavtalet och Kundens dokumenterade instruktioner.

Behandlingen pågår under huvudavtalets giltighet och därefter endast under avtalad export-, återlämnings-, gallrings- och backupperiod eller när lag kräver bevarande.

2. Behandlingens art och ändamål

Behandlingen kan omfatta insamling, registrering, strukturering, lagring, läsning, överföring på Kundens initiativ, generering av offerter och PDF, e-postutskick, dokumentation av visning och acceptans, support, säkerhetskopiering, återställning, export, begränsning och radering.

Ändamålet är att leverera de funktioner Kunden aktiverar och att upprätthålla Tjänstens säkerhet och tillgänglighet.

3. Registrerade och uppgiftstyper

Registrerade kan vara:

• Kundens anställda, konsulter och användare,
• Kundens befintliga och potentiella kunder,
• offertmottagare, kontaktpersoner och leverantörer,
• andra personer vars uppgifter Kunden lagligen för in i Tjänsten.

Uppgifter kan omfatta:

• namn, kontaktuppgifter och företagsuppgifter,
• adress och uppgifter om förfrågan eller projekt,
• offertinnehåll, priser, meddelanden, anteckningar och händelser,
• val, visning, acceptans, avslag och tekniska bevisuppgifter,
• användar-ID, behörighet, tidsstämplar, IP-adress och säkerhetsloggar.

Tjänsten är inte avsedd för känsliga personuppgifter, personnummer, uppgifter om lagöverträdelser eller sekretessreglerad information, om inte detta uttryckligen avtalats efter särskild riskbedömning.

4. Dokumenterade instruktioner

Biträdet får endast behandla uppgifter enligt huvudavtalet, detta PUB-avtal, Kundens användning av funktionerna och andra dokumenterade instruktioner.

Om en instruktion enligt Biträdets bedömning strider mot GDPR eller annan dataskyddsregel ska Kunden informeras utan onödigt dröjsmål. Biträdet får pausa den berörda behandlingen i väntan på laglig instruktion.

Biträdet får behandla uppgifter när unionsrätt eller svensk rätt kräver det. Kunden ska då informeras före behandlingen, om lagen inte förbjuder sådan information.

5. Konfidentialitet och åtkomst

Biträdet säkerställer att personer med åtkomst har åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Åtkomst ska vara behovsstyrd, personlig och begränsad till vad rollen kräver.

6. Säkerhetsåtgärder

Biträdet ska vidta lämpliga tekniska och organisatoriska åtgärder med hänsyn till teknik, kostnad, behandlingens art och risk. Se säkerhets- och gallringsbilagan för fullständig lista.

När åtgärder förändras får den övergripande säkerhetsnivån inte väsentligen försämras.

7. Underbiträden

Kunden lämnar generellt skriftligt förhandstillstånd till de underbiträden som anges i aktuell underbiträdeslista.

Biträdet ska säkerställa att underbiträdet genom avtal åläggs dataskyddsskyldigheter som i relevanta delar motsvarar detta PUB-avtal. Biträdet ansvarar gentemot Kunden för underbiträdets fullgörande enligt GDPR.

Nytt eller ersatt underbiträde ska meddelas minst 30 dagar före avsedd användning, om inte en akut säkerhets- eller kontinuitetssituation kräver snabbare åtgärd. Kunden får inom 14 dagar framföra sakligt motiverad invändning som rör dataskydd. Parterna ska försöka hitta rimlig lösning. Om ingen lösning finns får Kunden säga upp den berörda Tjänsten utan extra uppsägningsavgift före ändringen, men ordinarie avgifter fram till upphörandet kvarstår.

8. Överföring till tredje land

Biträdet ska säkerställa att överföring utanför EU/EES har lagligt stöd, exempelvis adekvansbeslut eller EU-kommissionens standardavtalsklausuler, samt kompletterande åtgärder när det krävs. Kunden kan begära information om relevant mekanism.

9. Registrerades rättigheter

Med hänsyn till behandlingens art ska Biträdet, genom lämpliga tekniska och organisatoriska åtgärder, bistå Kunden med att besvara begäran om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning.

Om en registrerad kontaktar Biträdet om Kundens uppgifter ska begäran normalt hänvisas till Kunden. Biträdet får inte besvara i sak utan Kundens instruktion, om inte lag kräver det.

10. Bistånd och konsekvensbedömning

Biträdet ska, med beaktande av tillgänglig information och behandlingens art, rimligen bistå Kunden med säkerhet, incidenthantering, konsekvensbedömning och förhandssamråd. Om biståndet går utöver Tjänstens normala funktion och Biträdets skyldigheter får skälig ersättning tas ut efter förhandsbesked.

11. Personuppgiftsincident

Biträdet ska underrätta Kunden utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som berör Kundens uppgifter.

Underrättelsen ska, i den mån information finns, beskriva:

• incidentens art,
• berörda kategorier av registrerade och uppgifter,
• sannolika konsekvenser,
• vidtagna eller planerade åtgärder,
• kontaktväg för uppföljning.

Information får lämnas stegvis. Underrättelse innebär inte ett erkännande av ansvar. Kunden ansvarar som personuppgiftsansvarig för bedömning och eventuell anmälan till IMY eller registrerade.

12. Granskning

Biträdet ska tillhandahålla information som skäligen behövs för att visa efterlevnad av artikel 28 GDPR. Kunden får högst en gång per år, eller efter allvarlig incident eller myndighetskrav, genomföra en proportionerlig granskning.

Granskning ska normalt ske genom dokumentation och digitalt möte, med minst 30 dagars varsel, under sekretess och utan att äventyra andra kunders säkerhet. Kunden står för sina kostnader. Biträdet får ta skäligt betalt för omfattande arbete som inte beror på konstaterad väsentlig brist.

13. Återlämning och radering

Under avtalstiden och tre månader efter huvudavtalets slut kan Kunden begära export i tillgängligt, allmänt använt format.

Efter perioden raderar eller anonymiserar Biträdet Kundens personuppgifter, om inte lag kräver bevarande. Uppgifter i säkerhetskopior raderas genom ordinarie rotationscykel och får under tiden endast användas för säker återställning, rättslig skyldighet eller säkerhetsändamål.

Kunden ansvarar för att begära och kontrollera export före periodens slut.

14. Ansvar och företräde

Ansvar regleras av GDPR och huvudavtalets ansvarsbestämmelser i den utsträckning de är förenliga med tvingande rätt. Vid konflikt i frågor som uttryckligen rör personuppgiftsbehandling har detta PUB-avtal företräde.

15. Ändring av personuppgiftsbiträde

Om verksamheten överlåts till Offertklart AB enligt huvudavtalet får även detta PUB-avtal överlåtas, förutsatt att Kunden underrättas och det nya bolaget skriftligen övertar Biträdets skyldigheter utan väsentlig försämring av skyddet.