Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal (”Avtalet”) har den // ange datum // ingåtts mellan:

// E-handelsinnehavare //, org.nr // ange org.nr // (“Personuppgiftsansvarig”), och

Abicart AB, org.nr 559202-5406 (“Personuppgiftsbiträde”).

Personuppgiftsansvarig och Personuppgiftsbiträde benämns nedan gemensamt som ”Parterna” och var för sig som ”Part”.

1 Bilagor

Avtalet består av detta huvuddokument samt följande bilaga:

Bilaga 1 till Personuppgiftsbiträdesavtal i Abicart e-handelsplattform (”Bilaga 1”).

För det fall att handlingarnas innehåll inte överensstämmer har huvuddokumentet företräde framför bilagan.

2 Definitioner

I den mån Europaparlamentets och Rådets förordning (EU) 2016/679 (”Dataskyddsförordningen”), innehåller begrepp som motsvarar de som används i Avtalet ska sådana begrepp tolkas och tillämpas i enlighet med Dataskyddsförordningen.

I Avtalet skall nedan angivna termer ha följande betydelse:

Med Avtalet avses detta huvuddokument och vid var tid gällande bilagor till detta huvuddokument.

Med Behandling avses en åtgärd eller kombination av åtgärder beträffande Personuppgifter eller uppsättningar av Personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

Med Personuppgift avses varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift, onlineidentifikatorer, alternativt en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Med Personuppgiftsincident avses en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de Personuppgifter som överförts, lagrats eller på annat sätt behandlats.

Med Tillämpliga bestämmelser avses Dataskyddsförordningen och andra lagar och regelverk som från tid till annan är tillämpliga på Behandling av Personuppgifter.

3 Syfte

Personuppgiftsbiträdet har genom Avtalet förbundit sig att behandla Personuppgifter för Personuppgiftsansvariges räkning. Parterna har kommit överens om att reglera omfattningen och den närmare utformningen av behandlingen genom upprättandet av Avtalet.

4 Personuppgiftsansvariges skyldigheter

4.1 Behandling i enlighet med Tillämpliga bestämmelser

4.1.1 Behandling enligt Avtalet och Tillämpliga bestämmelser

Personuppgiftsansvarige ska ansvara för att all behandling av Personuppgifter sker i enlighet med Avtalet och Tillämpliga bestämmelser.

4.1.2 Tillhandahållande av Personuppgifter

Personuppgiftsansvarige ska tillhandahålla Personuppgiftsbiträdet med den information och de Personuppgifter som behövs och är ändamålsenliga för att denne ska kunna fullgöra sina skyldigheter enligt Avtalet och Tillämpliga bestämmelser.

4.1.3 Korrekta uppgifter

Personuppgiftsansvarige ska omedelbart lämna Personuppgiftsbiträdet korrekta uppgifter i händelse av att de dokumenterade instruktionerna är felaktiga, ofullständiga eller i övrigt behöver förändras.

4.1.4 Genom att underteckna detta avtal bekräftar Personuppgiftsansvarige att Personuppgiftsansvarige:

4.2 Dokumenterade instruktioner

Personuppgiftsansvarige ska tillhandahålla Personuppgiftsbiträdet dokumenterade instruktioner. Dessa ska bland annat, men inte uteslutande, reglera vilka Personuppgifter som ska behandlas, föremålet för behandlingen, behandlingens varaktighet och omfattning, art och ändamål, typen av Personuppgifter och kategorier av registrerade, Personuppgiftsansvariges och Personuppgiftsbiträdets skyldigheter och rättigheter samt omfattningen av skyddsåtgärder och övriga IT-och säkerhetsrelaterade skyldigheter.

Personuppgiftsansvarige ska tillhandahålla alla de uppgifter som kan behövas för att Personuppgiftsbiträdet ska kunna uppfylla sina avtalsenliga åtaganden gentemot Personuppgiftsansvarige.

De dokumenterade instruktionerna bifogas Avtalet, se Bilaga 1.

5 Personuppgiftsbiträdets ansvarsområden

5.1 Behandling av Personuppgifter

5.1.1 Behandling enligt Avtalet och Tillämpliga bestämmelser

Personuppgiftsbiträdet ska endast behandla Personuppgifter för Personuppgiftsansvariges räkning enligt Avtalet och Tillämpliga bestämmelser. Personuppgiftsbiträdet får inte, utan Personuppgiftsansvariges samtycke, föreläggande från relevant tillsynsmyndighet eller tvingande lagstiftning samla in eller lämna ut Personuppgifter från eller till någon tredje part om inte annat skriftligen överenskommits, ändra metod för behandling, kopiera eller återskapa Personuppgifter eller på något annat sätt behandla Personuppgifter för andra ändamål än dem som anges i de dokumenterade instruktionerna.

5.1.2 Överföring av Personuppgifter

Personuppgiftsbiträdet får inte överföra några Personuppgifter till en stat utanför EU-området eller till en stat som inte omfattas av undantagen till förbud mot överföring till tredje land enligt Tillämpliga bestämmelser, med undantag för överföring av Personuppgifter till Personuppgiftsbiträdets dotterbolag i Indien, Abicart India LLP. Förbudet omfattar även service, teknisk support, underhåll, utveckling och liknande tjänster av systemet.

Undantag till förbud mot överföring till tredje land:

EU-kommissionen har analyserat dataskyddsreglerna i några länder och fattat beslut om att skyddsnivån i dessa länder är adekvat. Besluten gäller:

Dessutom har EU-kommissionen tidigare bedömt att skyddsnivån är adekvat på vissa områden eller under särskilda villkor i följande länder:

Kanada (om deras lagstiftning för skydd av Personuppgifter i privat sektor är tillämplig på mottagarens personuppgiftsbehandling)

USA (om mottagaren har anslutit sig till Privacy Shield)

EU-kommissionens beslut finns uppräknade i en bilaga till personuppgiftsförordningen. I förordningen anges också uttryckligen att överföring är tillåten i angivna fall.

5.1.3 Skriftligt samtycke vid överföring

En överföring som inte omfattas av ovanstående kräver Personuppgiftsansvariges skriftliga samtycke och ett säkerställande av att sådan överföring sker i överensstämmelse med Tillämpliga bestämmelser.

5.1.4 Genomförande av förändringar

Personuppgiftsbiträdet ska genomföra ändringar, raderingar, begränsningar och överföringar på Personuppgiftsansvariges uttryckliga begäran, dock inte om en sådan begäran strider mot Avtalet eller Tillämpliga bestämmelser.

5.2 Tekniska och organisatoriska åtgärder

5.2.1 Vidta tekniska och organisatoriska åtgärder

Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska Personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt pseudonymisering och kryptering av Personuppgifter, förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingstjänsterna och -systemen, förmågan att återställa tillgängligheten och tillgången till Personuppgifter i rimlig tid vid en fysisk eller teknisk incident, ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

5.2.2 Uppförandekod och certifieringsmekanism

Personuppgiftsbiträdet kan genom anslutning till en godkänd uppförandekod eller godkänd certifieringsmekanism visa att ovan nämnda skyldigheter efterlevs.

5.3 Upprättande av förteckning

5.3.1 Upprätta en förteckning

Personuppgiftsbiträdet ska föra en förteckning över alla kategorier av behandling som utförs för Personuppgiftsansvariges räkning, som omfattar följande:

Namn och kontaktuppgifter för Personuppgiftsbiträdet och Personuppgiftsansvarige för vars räkning Personuppgiftsbiträdet agerar, och, i tillämpliga fall, för Personuppgiftsansvariges eller Personuppgiftsbiträdets företrädare samt dataskyddsombudet.

De kategorier av behandling som har utförts för Personuppgiftsansvariges räkning.

I tillämpliga fall, överföringar av Personuppgifter till ett tredjeland eller en internationell organisation, inbegripet identifiering av tredjelandet eller den internationella organisationen och dokumentationen av lämpliga skyddsåtgärder.

Om möjligt, en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärderna.

5.3.2 Skriftlig förteckning

Personuppgiftsbiträdet ska upprätta förteckningen skriftligen, inbegripet i elektronisk form.

5.4 Underrättelseskyldighet

Personuppgiftsbiträdet ska utan onödigt dröjsmål underrätta Personuppgiftsansvarige i händelse av att personuppgiftsbehandlingen strider mot Avtalet, Dataskyddsförordningen eller annan lagstiftning. Personuppgiftsbiträdet ska därefter invänta instruktioner från Personuppgiftsansvarige.

5.5 Information

5.5.1 Utlämnande av Personuppgifter

Personuppgiftsbiträdet får inte lämna ut Personuppgifter eller information om behandlingen av Personuppgifter utan medgivande i förväg från Personuppgiftsansvarige utom för det fall föreläggande finns därom från relevant tillsynsmyndighet eller om Personuppgiftsbiträdet är skyldig att göra det enligt Tillämpliga bestämmelser.

5.5.2 Underrättelseskyldighet vid kontakt

Personuppgiftsbiträdet ska utan onödigt dröjsmål meddela Personuppgiftsansvarige om Personuppgiftsbiträdet kontaktas av behörig tillsynsmyndighet, registrerad eller tredje part i syfte att få tillgång till Personuppgifter som Personuppgiftsbiträdet behandlar.

5.6 Revision

5.6.1 Kontroll av efterlevnad

Personuppgiftsansvarige äger rätt att, själv eller genom tredje man, genomföra revision gentemot Personuppgiftsbiträdet eller på annat sätt kontrollera att Personuppgiftsbiträdets behandling av Personuppgifter följer Avtalet och Tillämpliga bestämmelser. Vid sådan revision eller kontroll ska Personuppgiftsbiträdet ge Personuppgiftsansvarige den assistans som behövs för genomförande av revision.

5.6.2 Visa efterlevnad av Avtalet och Tillämpliga bestämmelser

Personuppgiftsbiträdet ska på begäran och utan onödigt dröjsmål visa att förpliktelserna enligt Avtalet och Tillämpliga bestämmelser efterlevs. Detta innefattar bland annat, men inte uteslutande, en skyldighet att tillhandahålla dokumentation, visa att godkända uppförandekoder eller certifieringar är uppfyllda samt möjliggöra och bidra till att Personuppgiftsansvarige kan utföra nödvändiga granskningar och inspektioner.

5.6.3 Tillgång till Personuppgifter

Personuppgiftsbiträdet ska ge Personuppgiftsansvarige tillgång till alla de Personuppgifter som Personuppgiftsbiträdet behandlar för Personuppgiftsansvariges räkning. Detta innefattar även tillgång till upplysningar och handlingar som Personuppgiftsansvarige behöver för att utöva kontroll över Personuppgiftsbiträdets efterlevnad av Avtalet och Tillämpliga bestämmelser. En sådan tillgång ska ges utan oskäligt dröjsmål, men inte senare än 20 dagar från Personuppgiftsansvariges uttryckliga och skriftliga begäran.

5.7 Säkerhet och sekretess

5.7.1 Utvärdera risker

Personuppgiftsbiträdet ska utvärdera riskerna med behandlingen och vidta åtgärder, såsom kryptering, för att minska dem. Åtgärderna bör säkerställa en lämplig säkerhetsnivå, inbegripet sekretess, med beaktande av den senaste utvecklingen och genomförandekostnader i förhållande till riskerna samt vilken typ av Personuppgifter som ska skyddas.

5.7.2 Vidta säkerhetsåtgärder

Personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person och juridisk person som utför arbete under Personuppgiftsbiträdets överinseende, och som får tillgång till Personuppgifter, endast behandlar dessa på instruktion från den Personuppgiftsansvarige.

5.7.3 Tillräcklig kunskap och utbildning

Personuppgiftsbiträdet ansvarar för att varje fysisk person som har tillgång till Personuppgifterna som behandlas enligt Avtalet har tillräckliga kunskaper och utbildning för att på ett säkert och ändamålsenligt sätt behandla Personuppgifterna.

5.7.4 Förändringar av personuppgiftsbehandling

Om Personuppgiftsbiträdet avser att genomföra förändringar av hur Personuppgifter behandlas eller i övrigt genomföra förändringar som kan påverka säkerheten för de registrerade, de registrerades rättigheter eller efterlevnaden av Avtalet eller gällande rätt ska Personuppgiftsbiträdet skriftligen informera Personuppgiftsansvarige i förväg. Personuppgiftsansvarige ska ge sitt samtycke till sådana förändringar.

5.7.5 Sekretess och tystnadsplikt

Personuppgiftsbiträdet förbinder sig att behandla Personuppgifter och annan information som uppvisar samband med Avtalet i enlighet med gällande sekretesslagstiftning. Personalen som behandlar Personuppgifter har ingått särskilda sekretessförbindelser samt upplysts om att tystnadsplikt föreligger enligt avtal eller nationell rätt.

5.7.6 ändamålsenliga sekretessåtaganden

Personuppgiftsbiträdet ska tillse att samtliga anställda, konsulter och övriga som Personuppgiftsbiträdet svarar för och som behandlar Personuppgifter är bundna av ett ändamålsenligt sekretessåtagande samt att de är informerade om hur behandling av Personuppgifterna får ske.

5.7.7 Information till personer med åtkomst

Personuppgiftsbiträdet ansvarar för att de personer som har åtkomst till Personuppgifterna är informerade om hur de får behandla Personuppgifterna i enlighet med de dokumenterade instruktionerna från Personuppgiftsansvarige. Personuppgiftsbiträdet ska även säkerställa att adekvat behörighetsstyrning föreligger.

5.8 Personuppgiftsincidenter

5.8.1 Vidta skadebegränsande åtgärder

Vid en misstänkt eller upptäckt Personuppgiftsincident ska Personuppgiftsbiträdet omedelbart undersöka incidenten och vidta lämpliga åtgärder för att mildra dess potentiella negativa effekter.

5.8.2 Beskrivning av Personuppgiftsincident

Om Personuppgiftsansvarige begär det ska Personuppgiftsbiträdet författa en skriftlig beskrivning av Personuppgiftsincidenten som ska lämnas till Personuppgiftsansvarig inom 48 timmar. En sådan beskrivning ska åtminstone innehålla

Om och i den utsträckning det inte är möjligt att tillhandahålla informationen samtidigt, får informationen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.

5.8.3 Bistå med skyldigheter gällande Personuppgiftsincidenter

Personuppgiftsbiträdet ska bistå Personuppgiftsansvarige med att se till att dennes skyldigheter enligt Tillämpliga bestämmelser om Personuppgiftsincidenter fullgörs, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå. Detta gäller även om Personuppgiftsansvarige misstänkt eller upptäckt en Personuppgiftsincident.

5.8.4 Underrättelse om Personuppgiftsincident

Personuppgiftsbiträdet ska underrätta Personuppgiftsansvarige utan onödigt dröjsmål, dock senast inom 30 timmar, efter att ha fått vetskap om en Personuppgiftsincident.

5.8.5 Information om Personuppgiftsincident

En underrättelse enligt ovan ska innehålla all den information som Personuppgiftsansvarige behöver för att uppfylla sina skyldigheter i förhållande till tillsynsmyndigheten.

5.8.6 Ovillkorlig underrättelseskyldighet

Ovanstående underrättelseskyldighet till Personuppgiftsansvarige gäller även om Personuppgiftsbiträdet av någon annan anledning inte kan uppfylla åtaganden enligt Avtalet eller de dokumenterade instruktionerna alternativt får kännedom om att Personuppgifter har behandlats i strid med Avtalet.

5.9 Bistå Personuppgiftsansvarige

5.9.1 Konsekvensbedömningar och förhandssamråd

Personuppgiftsbiträdet ska vid behov och på begäran bistå Personuppgiftsansvarige med fullgörande av de skyldigheter som denne har och som härrör från bestämmelserna i Dataskyddsförordningen angående utförandet av konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheten.

5.9.2 Fullgörande av skyldigheter gällande registrerades rättigheter

Personuppgiftsbiträdet ska vid behov och på begäran bistå Personuppgiftsansvarige med fullgörande av de skyldigheter som denne har och som härrör från bestämmelserna i Dataskyddsförordningen angående de registrerades rättigheter.

6 Personuppgiftsbiträdets anlitande av Underbiträde

6.1 Godkännande av Personuppgiftsbiträdets anlitande av Underbiträde

Personuppgiftsansvarige godkänner Personuppgiftsbiträdets anlitande av av annat personuppgiftsbiträde (”Underbiträde”) enligt Bilaga 1.

6.2 Skriftligt tillstånd för anlitande av annat Underbiträde

Personuppgiftsbiträdet får inte anlita ett annat Underbiträde utan att ett särskilt eller allmänt skriftligt förhandstillstånd har erhållits av Personuppgiftsansvarige.

6.3 Allmänt skriftligt tillstånd

Om ett allmänt skriftligt tillstånd har erhållits, ska Personuppgiftsbiträdet informera Personuppgiftsansvarige om eventuella planer på att anlita nya Underbiträden eller ersätta Underbiträden, så att Personuppgiftsansvarige har möjlighet att göra invändningar mot sådana förändringar.

6.4 Riskfördelning

Personuppgiftsbiträdets anlitande av Underbiträden sker på egen risk. Det medför ingen förändring beträffande den ansvarsfördelning som gäller mellan Parterna enligt Avtalet.

6.5 Tillräcklig skyddsnivå

Om Personuppgiftsansvarige godkänner Personuppgiftsbiträdets ansökan om anlitande av Underbiträde ska Personuppgiftsbiträdet vidta de åtgärder som krävs för att säkerställa att Underbiträdet upprätthåller en tillräcklig skyddsnivå för de Personuppgifter som behandlas samt i övrigt följer tillämpliga delar av Avtalet och Tillämpliga bestämmelser.

6.6 Underrättelse om anlitande eller byte av Underbiträde

Personuppgiftsbiträdet ska, innan åtgärder vidtas och under förutsättning att ansökan om Underbiträde accepterats av Personuppgiftsansvarige, informera denne om anlitande eller byte av Underbiträde. Personuppgiftsansvarige ska ha möjlighet att rikta invändningar mot Personuppgiftsbiträdets förslag om förändring. En sådan invändning utgör hinder för Personuppgiftsbiträdet att genomföra föreslagen förändring.

7 Ansvar för skada

7.1 Personuppgiftsbiträdets ansvar

Personuppgiftsbiträdet ska i förhållande till Personuppgiftsansvarige ansvara för skada uppkommen till följd av behandling av Personuppgifter endast om denne inte har fullgjort de skyldigheter enligt Tillämpliga bestämmelser som specifikt riktar sig till Personuppgiftsbiträdet eller agerat utanför eller i strid med Avtalet.

Personuppgiftsbiträdet ska undgå ansvar enligt ovan om Personuppgiftsbiträdet visar att det inte är ansvarigt för den händelse som orsakade skadan.

7.2 Personuppgiftsansvariges ansvar

Personuppgiftsansvarige ska ersätta Personuppgiftsbiträdet för de anspråk som riktas mot Personuppgiftsbiträdet, under förutsättning att anspråket har sin grund i Personuppgiftsansvariges bristfälliga eller felaktiga instruktioner till Personuppgiftsbiträdet.

8 Avtalets varaktighet samt ändringar i Avtalet

8.1 Varaktighet

Avtalet gäller från dess att det har undertecknats av Parterna och under den tid Personuppgiftsbiträdet behandlar Personuppgifter i enlighet med Personuppgiftsansvariges instruktioner.

8.2 återlämnande eller radering av Personuppgifter

Efter det att behandlingen å Personuppgiftsansvariges vägnar har avslutats, ska Personuppgiftsbiträdet återlämna eller radera Personuppgifterna, såvida inte lagring av Personuppgifterna krävs enligt lag som Personuppgiftsbiträdet omfattas av. Om Personuppgifterna ska återlämnas ska det ske utan onödigt dröjsmål och i ett allmänt och läsbart elektroniskt format.

8.3 Personuppgiftsansvariges rätt att företa ändringar

Personuppgiftsansvarige får endast företa ändringar i Avtalet i den mån det behövs för att efterleva gällande rätt.

8.4 Förändring av avtalet

En förändring i Avtalet börjar gälla 30 dagar efter att underrättelsen om ändring kommit Personuppgiftsbiträdet tillhanda.

8.5 Personuppgiftsbiträdets rätt att företa ändringar

Personuppgiftsbiträdet får endast påkalla ändringar i Avtalet i den mån det behövs för att efterleva gällande rätt.

8.6 Samtycke vid nya typer av behandlingar

För det fall Personuppgiftsansvarige avser att utöka Personuppgiftsbiträdet behandling av Personuppgifter till att avse nya typer av behandlingar kräver detta Personuppgiftsbiträdets uttryckliga samtycke.

9 Underrättelser

9.1 Skriftliga underrättelser

Underrättelser och meddelanden enligt Avtalet ska ske skriftligen. Underrättelser ska ställas till nedan nämnda kontaktpersoner.

Personuppgiftsansvarige, {{webshop_company_name}}

{{webshop_owner_fullname}}, {{webshop_company_email}} {{webshop_company_address}}, {{webshop_company_zip}} {{webshop_company_city}}

Personuppgiftsbiträdet, Abicart AB

Robin Berglund Björk, gdpr@abicart.se

Krokslätts fabriker 12, 431 37 Mölndal

9.2 Skriftlig anmälan av personuppgifts incident

Personuppgiftsincidenter ska alltid anmälas per e-mail till mailadressen gdpr@abicart.se.

10 Överlåtelse av avtalet

Part har inte rätt att helt eller delvis överlåta sina rättigheter och/eller skyldigheter enligt Avtalet utan den andra Partens skriftliga i förväg lämnade godkännande, såvida inte annat uttryckligen framgår av detta Avtal.

11 Tvist

Detta Avtal regleras av svensk rätt.

Tvister som uppstår i anledning av detta Avtal ska slutligt avgöras genom skiljedomsförfarande administrerat av Stockholms Handelskammares Skiljedomsinstitut (SCC).

Regler för Förenklat Skiljeförfarande ska tillämpas om inte SCC med beaktande av målets svårighetsgrad, tvisteföremålets värde och övriga omständigheter bestämmer att Skiljedomsregler ska tillämpas. I sistnämnda fall ska SCC också bestämma om skiljenämnden ska bestå av en eller tre skiljemän. Skiljeförfarandet ska äga rum i Göteborg.

Skiljeförfarande som påkallas i enlighet härmed och all information som framkommer under sådant förfarande omfattas av sekretess.

12 Underskrifter

Detta Avtal har signerats digitalt och vardera Part har mottagit varsin kopia.

// E-handelsinnehavare //


// Firmatecknare //

Abicart AB


Robin Berglund Björk