Personuppgiftsbiträdesavtal

När vårt arbete innebär att vi behandlar personuppgifter för din räkning — kundregister i en databas vi migrerar, användarkonton i ett system vi driver — är du personuppgiftsansvarig och vi personuppgiftsbiträde. Enligt artikel 28 i dataskyddsförordningen (GDPR) ska den behandlingen regleras av ett skriftligt avtal, så vi skriver under ett innan arbetet med uppgifterna börjar. Den här sidan berättar vad det innehåller.

Din mall eller en standard

Har du ett eget personuppgiftsbiträdesavtal, skicka det med uppdragsbeskrivningen. Annars finns det två standardtexter som är skrivna för just den här relationen: Europeiska kommissionens standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden (genomförandebeslut (EU) 2021/915) och det standardavtal som den danska tillsynsmyndigheten Datatilsynet har publicerat på danska och engelska.

Det vi åtar oss som personuppgiftsbiträde

Det här är de skyldigheter som artikel 28 lägger på varje personuppgiftsbiträde, sagt med vanliga ord. De är lag innan de är ett löfte.

• Bara enligt dina instruktioner. Vi behandlar uppgifterna enligt dina dokumenterade instruktioner, även när det gäller överföring till länder utanför EU och EES. Om lagen någon gång skulle kräva något annat av oss säger vi det till dig innan vi agerar, om inte just den lagen förbjuder oss att säga det.
• Tystnadsplikt. Alla som arbetar med uppgifterna har tystnadsplikt.
• Säkerhet. Vi vidtar de åtgärder som artikel 32 kräver. Hur vi bygger och driver system står på säkerhetssidan.
• De registrerades rättigheter. När någon ber att få se, rätta eller radera sina uppgifter hjälper vi dig att svara, så långt arbetet gör det möjligt.
• Dina egna skyldigheter. Vi hjälper dig med säkerheten, anmälan av personuppgiftsincidenter och en eventuell konsekvensbedömning, utifrån det vi vet om behandlingen.
• Dokumentation. Vi ger dig den information som behövs för att visa att skyldigheterna uppfylls, och vi möjliggör och bidrar till granskningar, däribland inspektioner, som genomförs av dig eller av en revisor som du har utsett.
• Instruktioner som strider mot lagen. Om vi anser att en instruktion strider mot dataskyddsreglerna informerar vi dig omedelbart.

Underbiträden

Vi anlitar ett annat personuppgiftsbiträde bara med ditt skriftliga förhandstillstånd, antingen för det specifika biträdet eller som ett allmänt tillstånd. Vid ett allmänt tillstånd informerar vi dig i förväg om varje planerat tillägg eller utbyte, så att du kan invända. Ett underbiträde är bundet av samma skyldigheter i ett eget avtal, och vi är fortsatt ansvariga gentemot dig för dess arbete.

Om en personuppgiftsincident inträffar

Vi underrättar dig utan onödigt dröjsmål efter att vi har fått vetskap om en personuppgiftsincident, med det vi vet just då, och vi kompletterar efter hand som vi får veta mer. Det ger dig det du behöver för din egen skyldighet att anmäla den till tillsynsmyndigheten inom 72 timmar, om det inte är osannolikt att den medför en risk för någon.

Mindre data, inte mer

Vi säger rakt ut vilka uppgifter vi helst ser att du inte ger oss åtkomst till. Där en kopia utan personuppgifterna, eller testdata, räcker för jobbet ber vi om det i stället.

När arbetet avslutas

När uppdraget är slut raderar vi personuppgifterna eller lämnar tillbaka dem till dig, efter ditt val, och vi raderar alla kopior vi har, om inte lagen kräver att vi sparar dem.

Det som binder oss

Den här sidan beskriver avtalet; avtalet är det du skriver under. Där de två skiljer sig åt gäller det undertecknade avtalet. Vad den här webbplatsen registrerar om sina egna besökare är en annan sak, där vi själva är personuppgiftsansvariga, och det står på integritetssidan.

Behöver du ett biträdesavtal på plats innan arbetet börjar? skicka det till oss.