Databehandlingsavtal

1. Syfte och omfattning

Personuppgiftsbiträdet (Näslund Systems AB) åtar sig att behandla uppgifter för den Personuppgiftsansvariges (kundens) räkning i enlighet med detta avtal. Behandlingsaktiviteterna beskrivs närmare i Bilaga 1 (Behandlingsdetaljer).

Vi tar efterlevnaden av GDPR på stort allvar och har implementerat alla de processer som vi anser vara nödvändiga för att uppfylla kraven. På grund av komplexiteten i GDPR-ramverket är det svårt att garantera absolut efterlevnad i alla situationer. Tveka inte att kontakta oss om det är något i vårt databehandlingsavtal som är oklart.

2. Roller och ansvarsområden

Personuppgiftsansvarig: Fastställer ändamålen och medlen för behandlingen av personuppgifter
Personuppgiftsbiträde: Behandlar personuppgifter för den Personuppgiftsansvariges räkning enligt instruktioner

3. Instruktioner för behandling

Personuppgiftsbiträdet ska:

Behandla personuppgifter endast enligt Personuppgiftsansvariges instruktioner
Inte behandla personuppgifter för något annat ändamål än de som anges i detta avtal

4. Säkerhetsåtgärder

Personuppgiftsbiträdet ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig med hänsyn till risken, inklusive men inte begränsat till:

Kryptering av personuppgifter
Åtkomstkontroller

5. Underbiträden

Personuppgiftsbiträdet använder underbiträden för att fullgöra sina skyldigheter enligt detta avtal. En aktuell lista över underbiträden, inklusive deras behandlingsaktiviteter och platser, finns tillgänglig på sidan för underprocessorer. Personuppgiftsbiträdet ska underrätta den Personuppgiftsansvarige om alla planerade ändringar i listan över underbiträden minst 30 dagar innan ändringen träder i kraft.

Underbiträden måste följa samma dataskyddsförpliktelser som beskrivs i detta avtal.

6. Den registrerades rättigheter

Personuppgiftsbiträdet ska, i den mån det är möjligt och i enlighet med tillämplig dataskyddslagstiftning, hjälpa den Personuppgiftsansvarige att fullgöra sina skyldigheter att besvara förfrågningar från registrerade. Dessa kan inkludera, men är inte begränsade till:

Begäran om tillgång till personuppgifter.
Begäran om rättelse eller radering av personuppgifter.
Förfrågningar om dataportabilitet.

Om Personuppgiftsbiträdet mottar en begäran direkt från en registrerad avseende dennes personuppgifter ska Personuppgiftsbiträdet:

Meddela den Personuppgiftsansvarige utan onödigt dröjsmål.
Endast informera den registrerade om att begäran har vidarebefordrats till den Personuppgiftsansvarige. Mer information får endast tillhandahållas om den Personuppgiftsansvarige uttryckligen och skriftligen godkänner detta.

7. Konfidentialitet

Personuppgiftsbiträdet åtar sig att behandla alla personuppgifter strikt konfidentiellt och får inte lämna ut eller dela personuppgifterna med någon tredje part utan skriftligt medgivande från den Personuppgiftsansvarige, utom när så krävs enligt lag eller när det är nödvändigt för att använda godkända underbiträden enligt detta avtal. Personuppgiftsbiträdet ska säkerställa att all personal och alla underbiträden som är behöriga att behandla personuppgifter är bundna av sekretessförpliktelser och har fått lämplig utbildning om dataskyddskrav.

8. Anmälan av överträdelse

Personuppgiftsbiträdet ska utan onödigt dröjsmål, och senast inom 48 timmar, meddela den personuppgiftsansvarige när denne får kännedom om en personuppgiftsincident. Du kommer att informeras via e-post. Alla incidenter kommer också att dokumenteras på statussidan för Ninsikt.

9. Bevarande och radering av uppgifter

Vid uppsägning av kontot, ska Personuppgiftsbiträdet radera alla uppgifter som tillhör den Personuppgiftsansvarige inom 30 dagar.

10. Granskningsrättigheter

Den Personuppgiftsansvarige har rätt att granska Personuppgiftsbiträdets efterlevnad av detta avtal, förutsatt att rimlig förvarning ges.

11. Tillämplig lag

Detta avtal regleras av svensk lag.

Bilaga 1 (Behandlingsdetaljer)

Ämne: Insamling och bearbetning av enkätsvar.
Varaktighet: Under serviceavtalets giltighetstid, tills kontot raderas.
Kategorier av uppgifter: Svar på enkäter som skapats av Personuppgiftsansvarige.
Registrerade: Personer som lämnar enkätsvar.