Personuppgiftsbiträdesavtal

1. Bakgrund och syfte

1.1 Detta personuppgiftsbiträdesavtal (”PUB-avtalet”) reglerar Mr Host AB:s (”Biträdet”) behandling av personuppgifter för den kund (”Personuppgiftsansvarig”) som använder Biträdets tjänster enligt gällande användarvillkor.

1.2 PUB-avtalet ingås automatiskt som en del av tjänsteavtalet mellan Personuppgiftsansvarig och Biträdet och gäller så länge tjänsten är aktiv.

1.3 Avtalet är upprättat i enlighet med artikel 28 i EU:s dataskyddsförordning (GDPR, EU 2016/679).

2. Definitioner

• Personuppgifter — all information som direkt eller indirekt kan hänföras till en identifierad eller identifierbar fysisk person.
• Behandling — varje åtgärd som vidtas med personuppgifter, t.ex. lagring, överföring, radering.
• Personuppgiftsansvarig — kunden som bestämmer ändamål och medel för behandlingen av personuppgifter inom sina tjänster.
• Personuppgiftsbiträde (Biträde) — Mr Host AB, som behandlar personuppgifter på uppdrag av den Personuppgiftsansvarige.
• Underbiträde — tredje part som Biträdet anlitar för att utföra delar av behandlingen.

3. Behandlingens omfattning

3.1 Biträdet behandlar personuppgifter i den utsträckning som krävs för att tillhandahålla följande tjänster:

• Webbhotell (lagring av webbplatsinnehåll och databaser)
• E-posttjänster (lagring och överföring av e-postmeddelanden)
• Säkerhetskopior av ovanstående

3.2 Kategorier av registrerade som kan beröras:

• Den Personuppgiftsansvariges kunder och besökare
• Den Personuppgiftsansvariges anställda och kontaktpersoner
• Övriga personer vars uppgifter lagras inom tjänsten

3.3 Typer av personuppgifter som kan behandlas:

• Kontaktuppgifter (namn, e-post, telefonnummer, adress)
• Kommunikation (e-postmeddelanden, formulärdata)
• Teknisk data (IP-adresser, webbläsarinformation)
• Övrig data som den Personuppgiftsansvarige väljer att lagra inom tjänsten

3.4 Behandlingens varaktighet: så länge tjänsteavtalet är aktivt samt under den period som krävs för att fullgöra rättsliga skyldigheter därefter.

4. Biträdets skyldigheter

Biträdet ska:

4.1 Endast behandla personuppgifter i enlighet med den Personuppgiftsansvariges dokumenterade instruktioner, om inte annat krävs enligt EU-rätt eller svensk lag. I sådant fall informerar Biträdet den Personuppgiftsansvarige innan behandling sker, om inte informationsskyldigheten är förbjuden.

4.2 Säkerställa att personal som har tillgång till personuppgifterna har förbundit sig att iaktta konfidentialitet.

4.3 Vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna i enlighet med artikel 32 GDPR, inklusive:

• Krypterad dataöverföring (SSL/TLS)
• Brandväggar och intrångsskydd
• DDoS-skydd
• Regelbundna säkerhetsuppdateringar
• Åtkomstkontroll och behörighetshantering
• Säkerhetskopior på separat plats inom EU

4.4 Inte anlita underbiträden utan den Personuppgiftsansvariges förhandsgodkännande (se §6).

4.5 Bistå den Personuppgiftsansvarige vid fullgörande av skyldigheten att svara på registrerades begäran om utövande av rättigheter enligt GDPR (artiklarna 15–22).

4.6 Bistå den Personuppgiftsansvarige med att uppfylla skyldigheterna avseende säkerhet, incidentrapportering, konsekvensbedömningar och förhandssamråd (artiklarna 32–36 GDPR).

4.7 Vid avtalets upphörande, på den Personuppgiftsansvariges begäran, radera eller återlämna samtliga personuppgifter och radera befintliga kopior, om inte lagring krävs enligt lag. Radering sker inom 30 dagar efter tjänstens avslut.

4.8 Ge den Personuppgiftsansvarige tillgång till all information som krävs för att visa att skyldigheterna i artikel 28 GDPR uppfylls, samt möjliggöra och bidra till granskningar och inspektioner.

5. Personuppgiftsincidenter

5.1 Biträdet ska utan onödigt dröjsmål, och senast inom 24 timmar efter upptäckt, underrätta den Personuppgiftsansvarige om en personuppgiftsincident som berör den Personuppgiftsansvariges data.

5.2 Underrättelsen ska innehålla:

• En beskrivning av incidentens art, inklusive vilka kategorier av registrerade och personuppgifter som berörs
• Kontaktuppgifter till Biträdets kontaktperson
• En beskrivning av de sannolika konsekvenserna
• En beskrivning av de åtgärder som vidtagits eller föreslås för att hantera incidenten

5.3 Biträdet ska dokumentera alla personuppgiftsincidenter och vidta åtgärder för att begränsa skadan.

6. Underbiträden

6.1 Den Personuppgiftsansvarige ger härmed sitt generella förhandsgodkännande till att Biträdet anlitar underbiträden för behandling av personuppgifter.

6.2 Vid tidpunkten för detta avtals ingående anlitar Biträdet följande underbiträden:

6.3 Biträdet ska informera den Personuppgiftsansvarige om planerade förändringar avseende tillägg eller byte av underbiträden minst 30 dagar i förväg. Den Personuppgiftsansvarige har rätt att invända mot förändringen inom denna period.

6.4 Om den Personuppgiftsansvarige invänder och parterna inte kan nå en lösning, har den Personuppgiftsansvarige rätt att säga upp tjänsteavtalet utan extra kostnad.

6.5 Biträdet ska säkerställa att underbiträden omfattas av samma dataskyddsförpliktelser som anges i detta avtal.

7. Överföring till tredjeland

7.1 Personuppgifter lagras och behandlas inom EU/EES.

7.2 Om behandling utanför EU/EES förekommer (t.ex. genom CDN-leverantör) ska överföringen skyddas genom EU-kommissionens standardavtalsklausuler enligt artikel 46 GDPR eller annat godkänt skyddsinstrument.

8. Den Personuppgiftsansvariges skyldigheter

Den Personuppgiftsansvarige ansvarar för att:

8.1 Behandlingen av personuppgifter sker i enlighet med GDPR och övrig tillämplig lagstiftning.

8.2 Det finns rättslig grund för den behandling som instrueras.

8.3 Registrerade informeras om behandlingen i enlighet med artiklarna 13 och 14 GDPR.

8.4 Skriftligen instruera Biträdet om behandlingen behöver ändras utöver vad som framgår av tjänsteavtalet.

9. Avtalstid och upphörande

9.1 PUB-avtalet gäller så länge Biträdet behandlar personuppgifter på uppdrag av den Personuppgiftsansvarige.

9.2 Vid tjänsteavtalets upphörande upphör även PUB-avtalet. Biträdets skyldigheter avseende radering (§4.7) och konfidentialitet (§4.2) kvarstår även efter avtalets upphörande.

10. Ansvar

10.1 Vardera part ansvarar för skada som uppkommer genom behandling i strid med GDPR, i enlighet med artikel 82 GDPR.

10.2 Biträdets ansvar är begränsat i enlighet med ansvarsbegränsningen i gällande användarvillkor.

11. Kontakt

Frågor om detta avtal ställs till:

Mr Host AB

Org.nr: 559537-7945

E-post: [email protected]

Webbplats: https://mrhost.se

Den svenska versionen av detta personuppgiftsbiträdesavtal utgör den officiella och juridiskt bindande versionen.