Personuppgiftsbiträdesavtal

Parter 

(1) Kunden (”Personuppgiftsansvarig”), och 

(2) Tandem Health AB, ett bolag registrerat i Sverige med organisationsnummer 559444-6857, med säte på Kungsgatan 14, 111 35 Stockholm, Sverige (”Tandem”, ”Personuppgiftsbiträdet”), 

Nedan refererat till som Parten eller Partnerna. 

1. Bakgrund och syfte 

1.1 Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") utgör en del av det kundavtal som ingåtts mellan den Personuppgiftsansvarige och Personuppgiftsbiträdet ("Kundavtalet"), vilket regleras av Personuppgiftsbiträdets allmänna tjänstevillkor ("Villkoren"). Biträdesavtalet ska läsas och tolkas i detta sammanhang. Biträdesavtalet reglerar Personuppgiftsbiträdets behandling av Personuppgifter för den Personuppgiftsansvariges räkning i samband med de Tjänster som tillhandahålls enligt Kundavtalet och Villkoren samt den nivå av dataskydd som ska upprätthållas. 

1.2 Biträdesavtalet syftar till att säkerställa de registrerades rättigheter och friheter när den Personuppgiftsansvarige anlitar ett Personuppgiftsbiträde för behandling av Personuppgifter, samt att uppfylla kraven i artikel 28(3) i förordning (EU) 2016/679 (EU:s allmänna dataskyddsförordning, "GDPR"), eller, i den mån den Personuppgiftsansvarige omfattas därav, den brittiska allmänna dataskyddsförordningen ("UK GDPR"), den schweiziska federala dataskyddslagen och den tillhörande dataskyddsförordningen, eller schweiziska kantonala dataskyddslagar. 

1.3 Följande ska utgöra en del av Biträdesavtalet: 

(a) Instruktioner för behandling 

(b) Tekniska och organisatoriska åtgärder 

(c) Underbiträden 

1.4 Om någon bestämmelse i detta Biträdesavtal är oförenlig med någon bestämmelse i Villkoren ska bestämmelserna i detta Biträdesavtal ha företräde. Redan definierade termer som inte definieras i Biträdesavtalet har den betydelse som anges i Villkoren. 

2. Definitioner 

Följande definitioner är gällande i Biträdesavtalet, oavsett om de används i singular eller plural. 

Personuppgiftsansvarig: Den fysiska eller juridiska person, offentliga myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av Personuppgifter. 

Dataskyddslagstiftning: har den betydelse som anges i Villkoren. 

Registrerad: En fysisk person vars Personuppgifter behandlas (inklusive Användare, Deltagare och Stödjande deltagare, enligt vad som närmare definieras i Beskrivning av behandlingen). 

Biträdesavtal: Detta personuppgiftsbiträdesavtal, inklusive dess bilagor (som inkluderas eller införlivas genom hänvisning). 

GDPR: GDPR eller UK GDPR (enligt definitionen i Villkoren), i tillämpliga fall avseende den Personuppgiftsansvarige. 

Instruktioner: De dokumenterade instruktioner som utfärdas av den Personuppgiftsansvarige och som anger föremålet, varaktigheten, arten och ändamålet med behandlingen, typerna av Personuppgifter och kategorierna av registrerade, enligt vad som anges i Biträdesavtalet och Villkoren. 

Personuppgiftsbiträde: Den fysiska eller juridiska person, offentliga myndighet, institution eller annat organ som behandlar Personuppgifter för den Personuppgiftsansvariges räkning. 

Underbiträde: Varje personuppgiftsbiträde som anlitas av Personuppgiftsbiträdet för behandling av Personuppgifter enligt detta Biträdesavtal. 

Personuppgifter: All information som avser en identifierad eller identifierbar fysisk person. 

Personuppgiftsincident: En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller åtkomst till Personuppgifter som överförts, lagrats eller på annat sätt behandlats. 

Tredjeland: En stat som inte är medlem i Europeiska unionen ("EU") eller Europeiska ekonomiska samarbetsområdet ("EES"). 

3. Behandling av Personuppgifter 

3.1 Den Personuppgiftsansvarige utser Personuppgiftsbiträdet att utföra behandling för den Personuppgiftsansvariges räkning enligt detta Biträdesavtal och Villkoren. Den Personuppgiftsansvarige ska utfärda dokumenterade Instruktioner enligt Beskrivning av behandlingen till Personuppgiftsbiträdet. Det som anges i Villkoren om tillhandahållande av tjänsterna ska också utgöra en del av Instruktionerna. Personuppgiftsbiträdet ska endast behandla Personuppgifter för den Personuppgiftsansvariges räkning i enlighet med dessa dokumenterade Instruktioner. 

3.2 Om Personuppgiftsbiträdet anser att en Instruktion strider mot Dataskyddslagstiftningen ska Personuppgiftsbiträdet omedelbart underrätta den Personuppgiftsansvarige. Personuppgiftsbiträdet får avbryta behandlingen enligt den aktuella Instruktionen till dess att den Personuppgiftsansvarige skriftligen har bekräftat att Instruktionen är laglig. Personuppgiftsbiträdet ansvarar inte för någon försening till följd av sådant avbrott eller för behandling som utförts i enlighet med den Personuppgiftsansvariges dokumenterade Instruktioner, förutsatt att Personuppgiftsbiträdet har informerat den Personuppgiftsansvarige om att Instruktionerna kan strida mot tillämplig Dataskyddslagstiftning. 

3.3 Biträdesavtalet (inklusive dess bilagor) och Villkoren utgör tillsammans den Personuppgiftsansvariges samtliga Instruktioner till Personuppgiftsbiträdet avseende behandling av Personuppgifter enligt Villkoren. 

4. Personuppgiftsansvariges skyldigheter 

4.1 Den Personuppgiftsansvarige ansvarar fullt ut för att det finns en lämplig rättslig grund för all behandling som omfattas av detta Biträdesavtal, inklusive i tillämpliga fall villkor enligt artikel 9 GDPR (eller motsvarande krav enligt Dataskyddslagstiftningen), samt all annan nödvändig auktorisation, såsom lagstadgade grunder inom hälso- eller socialtjänst, tillstånd, godkännanden, informationsmeddelanden, villkor eller samtycken där samtycke krävs enligt lag. Den Personuppgiftsansvarige ansvarar även för att tillhandahålla Instruktioner som är lagliga, tydliga och tillräckliga för att Personuppgiftsbiträdet ska kunna fullgöra sina skyldigheter. 

4.2 Den Personuppgiftsansvarige ska utan dröjsmål skriftligen underrätta Personuppgiftsbiträdet om eventuella ändringar i behandlingen som påverkar Personuppgiftsbiträdets skyldigheter enligt Dataskyddslagstiftningen. Sådana ändringar ska behandlas som ändrade Instruktioner och ska inte träda i kraft förrän de skriftligen godkänts av båda parter. 

4.3 Den Personuppgiftsansvarige är ensamt ansvarig för att fullgöra sina egna skyldigheter enligt Dataskyddslagstiftningen, inklusive att informera registrerade, hantera registrerades förfrågningar och föra egna register över behandlingar. Varje part ansvarar för sin egen efterlevnad av tillämplig Dataskyddslagstiftning. 

5. Personuppgiftsbiträdets skyldigheter 

5.1 Personuppgiftsbiträdet ska behandla den Personuppgiftsansvariges Personuppgifter endast i enlighet med detta Biträdesavtal och den Personuppgiftsansvariges Instruktioner, samt efterleva tillämplig Dataskyddslagstiftning avseende sina skyldigheter som personuppgiftsbiträde enligt Biträdesavtalet. 

5.2 Personuppgiftsbiträdet ska vidta rimliga och lämpliga tekniska och organisatoriska åtgärder, i den mån sådana rimligen kan tillhandahållas inom Personuppgiftsbiträdets kontroll, för att skydda Personuppgifter mot oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till Personuppgifter, i syfte att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. 

5.3 Personuppgiftsbiträdet ska, på skriftlig begäran av den Personuppgiftsansvarige och med beaktande av behandlingens art och den information som är tillgänglig för Personuppgiftsbiträdet, tillhandahålla rimligt stöd till den Personuppgiftsansvarige för att uppfylla dennes skyldigheter enligt artiklarna 32–36 i EU GDPR eller UK GDPR, i tillämpliga fall, samt för att besvara registrerades förfrågningar enligt kapitel III i samma förordning. Sådant stöd ska begränsas till information och åtgärder som rimligen är tillgängliga för Personuppgiftsbiträdet och ska inte kräva att Personuppgiftsbiträdet röjer källkod, modellvikter, skyddade datauppsättningar, affärshemligheter, säkerhetskänslig arkitektur, konfidentiell information avseende andra kunder eller annan tredje parts konfidentiella information. Personuppgiftsbiträdet ska dock tillhandahålla annan information i tillräcklig omfattning för att visa efterlevnad av detta Biträdesavtal. Den Personuppgiftsansvarige ska ersätta Personuppgiftsbiträdet för alla rimliga kostnader som uppstår till följd av stöd som går utöver vad som normalt ingår i tjänsten enligt detta Biträdesavtal. 

6. Säkerhet 

6.1 Personuppgiftsbiträdet ska löpande säkerställa att dess säkerhetsåtgärder tillhandahåller en lämplig nivå av konfidentialitet, integritet, tillgänglighet och robusthet, som är lämplig i förhållande till risken i enlighet med Dataskyddslagstiftningen, samt testa och utvärdera effektiviteten av dessa åtgärder med rimliga intervall. Personuppgiftsbiträdets tekniska och organisatoriska åtgärder beskrivs närmare här. 

6.2 Åtkomst till Personuppgifter ska begränsas till den personal som behöver åtkomst för att utföra sina uppgifter enligt detta Biträdesavtal. 

6.3 Nya eller ändrade säkerhetskrav som den Personuppgiftsansvarige begär efter undertecknandet av detta Biträdesavtal ska behandlas som ändrade Instruktioner och kräver skriftlig överenskommelse mellan parterna innan de träder i kraft. 

7. Sekretess 

7.1 Personuppgiftsbiträdet och all personal som agerar under dess befogenhet ska iaktta sekretess avseende alla Personuppgifter som behandlas enligt detta Biträdesavtal och ska inte använda eller röja sådana uppgifter för något annat ändamål än vad som anges i detta Biträdesavtal eller Instruktionerna, såvida inte den Personuppgiftsansvarige har gett sitt förhandsgodkännande skriftligen eller röjande krävs enligt tillämplig lag (inklusive lagstiftningen i dess medlemsstater) eller myndighetsbeslut. 

7.2 Personuppgiftsbiträdet ska säkerställa att alla anställda, konsulter och andra personer som agerar under dess befogenhet och som behandlar Personuppgifter är bundna av lämpliga sekretessåtaganden. 

7.3 Personuppgiftsbiträdet ska utan onödigt dröjsmål skriftligen underrätta den Personuppgiftsansvarige om all kontakt från en tillsynsmyndighet som rör behandling av personuppgifter enligt detta Biträdesavtal. Personuppgiftsbiträdet ska inte företräda eller agera för den Personuppgiftsansvariges räkning inför någon tillsynsmyndighet utan föregående skriftligt godkännande. 

7.4 Om en registrerad, tillsynsmyndighet eller tredje part begär information från Personuppgiftsbiträdet avseende behandling av personuppgifter enligt detta Biträdesavtal ska Personuppgiftsbiträdet hänvisa begäran till den Personuppgiftsansvarige. 

8. Revision och tillsyn 

8.1 Personuppgiftsbiträdet ska, med minst trettio (30) dagars skriftligt förhandsmeddelande (eller så snart som rimligen är möjligt vid verifierat väsentligt avtalsbrott eller väsentligt regulatoriskt krav), göra den information som rimligen behövs för att visa efterlevnad av detta Biträdesavtal tillgänglig för den Personuppgiftsansvarige. Informationens omfång ska vara proportionerligt och direkt relevant för Personuppgiftsbiträdets skyldigheter enligt Biträdesavtalet och Villkoren. Personuppgiftsbiträdet får uppfylla denna skyldighet genom att tillhandahålla befintliga revisionsrapporter, certifieringar (t.ex. ISO 27001) eller likvärdig dokumentation. 

8.2 Den Personuppgiftsansvarige har rätt att genomföra revision på plats. Personuppgiftsbiträdet får som alternativ erbjuda oberoende tredjepartsrevisionsrapporter eller certifieringar. Om den Personuppgiftsansvarige ändå önskar revision på plats ska den genomföras på den Personuppgiftsansvariges bekostnad (inklusive Personuppgiftsbiträdets rimliga kostnader hänförliga till revisionen), under normal kontorstid, på ett sätt som minimerar störningar i Personuppgiftsbiträdets verksamhet, och av revisorer som är bundna av sekretess. Den Personuppgiftsansvarige ska säkerställa att ingen konkurrent till Personuppgiftsbiträdet deltar i genomförandet av revisionen. Revisioner ska begränsas till den information som är nödvändig för att verifiera efterlevnad av detta Biträdesavtal och ska inte kräva röjande av källkod, modellvikter, affärshemligheter, säkerhetskänslig arkitektur, konfidentiell information från andra kunder, tredje parts konfidentiella information eller system som används av andra kunder, utom i den begränsade utsträckning som är nödvändig för att verifiera efterlevnad och med förbehåll för lämpliga sekretess-, åtkomst- och säkerhetskontroller. Personuppgiftsbiträdet får tillhandahålla sådan information genom sammanfattningar, tredjepartsrapporter, certifieringar eller granskningssessioner med den Personuppgiftsansvarige. 

8.3 Personuppgiftsbiträdet ska, i den utsträckning som krävs enligt tillämplig lag, ge tillsynsmyndigheter och andra myndigheter med laglig rätt till åtkomst tillträde, även om sådan åtkomst annars skulle strida mot bestämmelserna i detta Biträdesavtal. Om Personuppgiftsbiträdet mottar ett föreläggande om utlämnande av Personuppgifter från en offentlig myndighet ska Personuppgiftsbiträdet, i den mån det är tillåtet, underrätta den Personuppgiftsansvarige innan föreläggandet besvaras. 

8.4 Den Personuppgiftsansvarige, eller en av denne utsedd revisor, får genomföra en (1) revision per kalenderår. Ytterligare revisioner får genomföras om det krävs enligt Dataskyddslagstiftningen, av en tillsynsmyndighet, eller efter en Personuppgiftsincident eller misstanke om väsentlig bristande efterlevnad. Revisionens omfång ska vara proportionerligt och direkt relevant för Personuppgiftsbiträdets skyldigheter enligt detta Biträdesavtal. 

9. Rättelse och radering 

9.1 På skriftlig begäran av den Personuppgiftsansvarige ska Personuppgiftsbiträdet rätta eller radera Personuppgifter inom trettio (30) kalenderdagar från mottagandet av begäran och den information som krävs för att fullgöra den. Den Personuppgiftsansvarige ska ersätta Personuppgiftsbiträdet för rimliga kostnader som uppstår till följd av rättelse- eller raderingsbegäranden som går utöver vad som normalt ingår i tjänsten. Personuppgiftsbiträdet får behålla Personuppgifter i den utsträckning det krävs enligt tillämplig lag, i vilket fall det ska underrätta den Personuppgiftsansvarige om detta och säkerställa att sådana behållna uppgifter endast behandlas för det ändamål som krävs enligt tillämplig lag. 

10. Personuppgiftsincidenter 

10.1 Personuppgiftsbiträdet ska underrätta den Personuppgiftsansvarige utan onödigt dröjsmål, och under alla omständigheter inom fyrtioåtta (48) timmar efter att ha fått kännedom om en bekräftad Personuppgiftsincident som påverkar Personuppgifter som behandlas enligt detta Biträdesavtal. Vid tillämpningen av detta avsnitt ska en incident anses bekräftad när Personuppgiftsbiträdet har verifierat att en incident som påverkar Personuppgifter har inträffat. 

10.2 Personuppgiftsbiträdet ska vidta rimliga åtgärder för att utreda, begränsa och avhjälpa en Personuppgiftsincident samt upprätthålla förmågan att återställa tillgängligheten av och åtkomsten till Personuppgifter inom rimlig tid efter en fysisk eller teknisk incident, i enlighet med artikel 32(1)(c) GDPR. 

10.3 Personuppgiftsbiträdet ska förse den Personuppgiftsansvarige med följande information, i den mån den är tillgänglig, antingen vid den initiala underrättelsen eller därefter utan onödigt dröjsmål: 

• incidentens art, inklusive, om möjligt, kategorierna av och det ungefärliga antalet registrerade och personuppgiftsposter som berörs; 

• de sannolika konsekvenserna av incidenten; och 

• de åtgärder som vidtagits eller föreslagits för att hantera incidenten och mildra dess effekter. 

10.4 Om fullständig information inte är tillgänglig vid den initiala underrättelsen får Personuppgiftsbiträdet tillhandahålla informationen löpande efterhand som den blir tillgänglig. 

11. Underbiträden 

11.1 Den Personuppgiftsansvarige ger ett allmänt skriftligt godkännande för Personuppgiftsbiträdet att anlita underbiträden. En aktuell lista över underbiträden finns tillgänglig här. 

11.2 Personuppgiftsbiträdet ska skriftligen underrätta den Personuppgiftsansvarige minst fjorton (14) dagar innan ett planerat tillägg eller byte av underbiträde träder i kraft, och ange vilket underbiträde det gäller samt vilken typ av behandling som avses. Om ingen invändning görs inom dessa fjorton (14) dagar ska ändringen anses godkänd. Om den Personuppgiftsansvarige gör en befogad invändning ska parterna diskutera frågan i god anda. Om det inte finns något kommersiellt rimligt alternativt Underbiträde tillgängligt och parterna inte kan nå en överenskommelse, ska den Personuppgiftsansvariges enda rättsmedel vara att upphöra att använda den berörda delen av tjänsterna som det ifrågasatta Underbiträdet avser, i stället för att blockera anlitandet av Underbiträdet för samtliga kunder globalt. 

11.3 Personuppgiftsbiträdet ska säkerställa att varje underbiträde åtar sig dataskyddsskyldigheter som ger minst samma skyddsnivå som detta Biträdesavtal. Personuppgiftsbiträdet ansvarar gentemot den Personuppgiftsansvarige för underbiträdets fullgörande av dessa skyldigheter. 

12. Internationella överföringar 

12.1 Personuppgiftsbiträdet ska som standard säkerställa att Personuppgifter behandlas inom EU/EES. Den Personuppgiftsansvarige ger ett allmänt godkännande för överföringar till Tredjeländer förutsatt att lämpliga skyddsåtgärder enligt kapitel V GDPR har vidtagits. Sådana lämpliga skyddsåtgärder kan innefatta att Personuppgiftsbiträdet ingår avtal med ett underbiträde baserat på EU-kommissionens standardavtalsklausuler för överföring av Personuppgifter till ett land utanför EU/EES samt lämpliga kompletterande åtgärder. En överföring av Personuppgifter till ett land utanför EU/EES kan även grundas på ett giltigt beslut om adekvat skyddsnivå. 

13. Ansvar 

13.1 I den utsträckning tillämplig lag medger det ska varje parts totala sammanlagda ansvar gentemot den andra parten i samband med detta Biträdesavtal, oavsett om det grundas på avtal, utomobligatoriskt ansvar eller annat, omfattas av de ansvarsbegränsningar och undantag som anges i Villkoren. 

13.2 Om någon av parterna blir medveten om omständigheter som kan ge upphov till förlust eller ansvar för den andra parten ska den omedelbart informera den andra parten och samarbeta i god anda för att förebygga eller minimera sådan förlust. 

13.3 Vid eventuell konflikt mellan detta Biträdesavtal och Villkoren avseende ansvarsfördelning i samband med behandlingen ska avsnitt 13.1 och 13.2 ha företräde. 

14. Ändringar 

14.1 Ändringar av eller tillägg till detta Biträdesavtal är giltiga först när de godkänts skriftligen av båda parter. 

14.2 Trots vad som anges i avsnitt 14.1 får Personuppgiftsbiträdet ändra detta Biträdesavtal, helt eller delvis, med trettio (30) dagars skriftligt förhandsmeddelande till den Personuppgiftsansvarige, om ändringen behövs för att (i) parterna ska förbli i enlighet med Dataskyddslagstiftningen, eller (ii) återspegla operativa eller säkerhetsrelaterade förändringar i tjänsterna eller i Personuppgiftsbiträdets tekniska och organisatoriska åtgärder. En sådan ändring får dock inte väsentligt minska skyddsnivån för Personuppgifter enligt detta Biträdesavtal. 

15. Giltighetstid och uppsägning 

15.1 Detta Biträdesavtal gäller så länge Personuppgiftsbiträdet behandlar Personuppgifter för den Personuppgiftsansvariges räkning enligt Kundavtalet och Villkoren. Vid uppsägning av Biträdesavtalet ska Personuppgiftsbiträdet, på den Personuppgiftsansvariges skriftliga begäran, antingen återlämna alla Personuppgifter i ett format som parterna kommer överens om, eller radera dem. Om inte annat anges i Instruktionerna ska Personuppgiftsbiträdet på ett säkert sätt radera alla Personuppgifter som behandlats enligt detta Biträdesavtal inom trettio (30) kalenderdagar efter uppsägning. Om den Personuppgiftsansvarige har begärt återlämnande ska detta ske innan radering. Personuppgiftsbiträdet får behålla Personuppgifter om det krävs enligt lag, och ska i så fall informera den Personuppgiftsansvarige om detta, såvida det inte är förbjudet enligt lag. Radering av Personuppgifter från säkerhetskopieringssystem kan ske i enlighet med Personuppgiftsbiträdets rutinmässiga cykler för radering av säkerhetskopior. Personuppgifter som finns kvar i säkerhetskopior i väntan på planerad radering ska skyddas från vidare behandling, förutom i den mån det är nödvändigt för återställning eller verksamhetskontinuitet. 

15.2 Detta Biträdesavtal upphör automatiskt när Kundavtalet upphör eller sägs upp. Bestämmelserna i Biträdesavtalet ska dock fortsätta att gälla för Personuppgifter som Personuppgiftsbiträdet fortsätter att behandla därefter, till dess att Personuppgifterna har återlämnats eller raderats i enlighet med avsnitt 15.1, eller så länge de behålls enligt lag. 

16. Tillämplig lag och tvistlösning 

16.1 Detta Biträdesavtal ska regleras av svensk lag, med undantag för dess lagvalsregler. 

16.2 Tvister rörande tolkningen eller tillämpningen av Biträdesavtalet ska avgöras i enlighet med bestämmelserna om tvistlösning i Villkoren. 

16.3 Detta Personuppgiftsbiträdesavtal kan finnas tillgängligt på andra språk än engelska. Vid eventuell bristande överensstämmelse eller motstridighet mellan den engelska versionen av detta Personuppgiftsbiträdesavtal och en version på annat språk ska den senaste engelska versionen äga företräde. Förfaranden avseende tvister under detta Personuppgiftsbiträdesavtal ska föras på det språk som anges i Villkoren.