Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal ("Avtalet") ingås mellan:

• Adjustglow ("Adjustglow" eller "Biträdet"), [BOLAGETS FULLSTÄNDIGA NAMN], org.nr [ORGANISATIONSNUMMER], [ADRESS]; och
• Kunden ("Kunden" eller "den Personuppgiftsansvarige"), [KUNDENS NAMN], org.nr [NUMMER],

tillsammans "Parterna". Avtalet utgör en bilaga till och en integrerad del av det avtal om tjänster som Parterna ingått ("Huvudavtalet"), eller gäller separat om inget särskilt huvudavtal föreligger. Version 1.1, gäller från och med [DATUM].

Begrepp som "personuppgifter", "behandling", "personuppgiftsansvarig", "personuppgiftsbiträde", "registrerad" och "personuppgiftsincident" har samma betydelse som i Europaparlamentets och rådets förordning (EU) 2016/679 ("GDPR").

"Underbiträde" avser ett annat personuppgiftsbiträde som Adjustglow anlitar för att utföra specifik behandling för Kundens räkning.

Adjustglow behandlar personuppgifter för Kundens räkning i samband med den kundservice, recensionsinsamling och/eller relaterade tjänster som beskrivs i Huvudavtalet. Kunden är personuppgiftsansvarig och Adjustglow är personuppgiftsbiträde för denna behandling.

Adjustglow behandlar uppgifterna enbart enligt Kundens dokumenterade instruktioner, inklusive vad gäller överföring av personuppgifter till tredjeland, om inte Adjustglow är skyldigt att behandla uppgifterna på annat sätt enligt unionsrätten eller svensk rätt. I sådant fall ska Adjustglow informera Kunden om det rättsliga kravet innan behandlingen sker, om inte lagen förbjuder detta av hänsyn till ett viktigt allmänintresse.

Anser Adjustglow att en instruktion från Kunden strider mot GDPR eller annan tillämplig dataskyddslagstiftning ska Adjustglow omedelbart informera Kunden om detta.

Adjustglow ska vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, med beaktande av den senaste utvecklingen, kostnaderna för genomförande samt behandlingens art, omfattning och ändamål, för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Detta omfattar bland annat:

• Kryptering av data under överföring (HTTPS/TLS)
• Åtkomst begränsad till personal som behöver den för sina arbetsuppgifter
• Loggning och regelbunden granskning av åtkomst
• Rutiner för att återställa tillgänglighet till personuppgifter vid en incident

Adjustglow ska säkerställa att alla personer som har tillgång till personuppgifterna, inklusive anställda och konsulter, är bundna av en lämplig sekretesskyldighet, antingen genom avtal eller enligt lag, och att åtkomst begränsas till dem som behöver uppgifterna för att fullgöra Huvudavtalet.

Kunden ger Adjustglow ett generellt förhandsgodkännande att anlita underbiträden för att fullgöra Huvudavtalet. Vid Avtalets ingående används följande underbiträden:

• Render – hosting av webbplats och backend-tjänster.
• Anthropic – språkmodell som genererar svar i supportkonversationer.
• Neon – databas för konversationer, bokningar och omdömen, med lagring i Frankfurt (EU).

Adjustglow ska ingå ett skriftligt avtal med varje underbiträde som ålägger underbiträdet samma dataskyddsskyldigheter som följer av detta Avtal. Adjustglow ska informera Kunden om varje avsedd ändring avseende tillägg eller byte av underbiträden minst [30] dagar i förväg. Invänder Kunden inom [15] dagar från underrättelsen ska Parterna i god tro diskutera en lösning; kvarstår invändningen har Kunden rätt att säga upp den del av tjänsten som berörs. Adjustglow ansvarar gentemot Kunden fullt ut för ett underbiträdes uppfyllande av sina dataskyddsskyldigheter.

I den mån behandling enligt detta Avtal innebär överföring av personuppgifter till ett land utanför EU/EES ska Adjustglow säkerställa att en giltig överföringsmekanism enligt kapitel V GDPR tillämpas, till exempel EU-kommissionens standardavtalsklausuler (SCC), innan överföringen sker. Vid Avtalets ingående sker sådan överföring till underbiträdena Render och Anthropic (båda USA), med stöd av SCC eller en motsvarande godkänd skyddsåtgärd i respektive underbiträdes egna avtal. Neon (USA) lagrar uppgifterna inom EU; i den mån leverantören har åtkomst från USA gäller motsvarande skyddsåtgärder.

Adjustglow ska, med beaktande av behandlingens art, genom lämpliga tekniska och organisatoriska åtgärder bistå Kunden med att uppfylla Kundens skyldighet att besvara registrerades begäran om att utöva sina rättigheter enligt kapitel III GDPR (till exempel tillgång, rättelse och radering).

Adjustglow ska även bistå Kunden med att uppfylla skyldigheterna enligt artiklarna 32–36 GDPR (säkerhet, incidentrapportering, konsekvensbedömningar och förhandssamråd), med beaktande av behandlingens art och den information som är tillgänglig för Adjustglow.

Upptäcker Adjustglow en personuppgiftsincident som rör de uppgifter som behandlas enligt detta Avtal ska Adjustglow underrätta Kunden utan onödigt dröjsmål, dock senast inom [24] timmar efter att incidenten upptäckts. Underrättelsen ska, i den mån informationen finns tillgänglig, innehålla en beskrivning av incidentens art, de kategorier och det ungefärliga antal registrerade och personuppgiftsposter som berörs, sannolika konsekvenser samt de åtgärder som vidtagits eller planeras för att hantera incidenten.

Adjustglow ska ge Kunden tillgång till den information som är nödvändig för att visa att skyldigheterna i artikel 28 GDPR och i detta Avtal efterlevs, samt möjliggöra och bidra till granskningar, inklusive inspektioner, som genomförs av Kunden eller en revisor som Kunden anlitat. En sådan granskning ska aviseras skriftligen minst [30] dagar i förväg, genomföras under ordinarie kontorstid och på ett sätt som inte i onödan stör Adjustglows verksamhet eller andra kunders uppgifter. Kunden svarar för sina egna kostnader för granskningen, om den inte visar på en väsentlig avvikelse.

Vid Huvudavtalets upphörande ska Adjustglow, enligt Kundens val, radera eller återlämna samtliga personuppgifter som behandlats enligt detta Avtal och radera befintliga kopior, om inte fortsatt lagring krävs enligt unionsrätten eller svensk rätt. Radering eller återlämnande ska ske inom [30] dagar från Huvudavtalets upphörande.

Parternas ansvar gentemot varandra och gentemot registrerade regleras av GDPR:s ansvarsbestämmelser (artikel 82) samt av Huvudavtalets ansvarsbegränsningar, i den mån dessa är förenliga med tvingande dataskyddsrätt. Ingenting i detta Avtal begränsar en registrerads lagstadgade rättigheter.

Avtalet gäller så länge Adjustglow behandlar personuppgifter för Kundens räkning enligt Huvudavtalet. Adjustglow får uppdatera detta Avtal för att spegla ändringar i lagstiftning eller myndighetspraxis och underrättar Kunden om väsentliga ändringar.

Svensk rätt ska tillämpas på detta Avtal. Tvist med anledning av Avtalet ska slutligt avgöras av Stockholms tingsrätt som första instans, om Parterna inte skriftligen kommit överens om annat (till exempel skiljeförfarande).