Redovisningsbyrå för nybörjare

BAKGRUND OCH SYFTE
1. AVTALET är en del av ett huvudavtal om tillhandahållandet av tjänster som ingåtts mellan PERSONUPPGIFTSANSVARIG och PERSONUPPGIFTSBITRÄDE och ska tolkas mot bakgrund av detta. AVTALET reglerar PERSONUPPGIFTSBITRÄDETS behandling av personuppgifter för PERSONUPPGIFTSANSVARIGS räkning samt den integritetsnivå som ska uppnås vid behandling (”BEHANDLING”).
2. AVTALET syftar till att säkerställa de registrerades fri- och rättigheter när PERSONUPPGIFTSANSVARIG anlitar ett PERSONUPPGIFTSBITRÄDE vid BEHANDLING av personuppgifter och till att uppfylla tillämpliga dataskyddsregler (”DATASKYDDSREGLER”).
3. Eventuella tidigare regleringar avseende leverantörens BEHANDLING av personuppgifter för PERSONUPPGIFTSANSVARIGS räkning ersätts till fullo av AVTALET. I övrigt påverkas inte PARTERNAS åtaganden i huvudavtalet.

DEFINITIONER
1. Om inget annat uttryckligen anges ska begreppen i AVTALET ha samma innebörd som i gällande DATASKYDDSREGLER.
  - A. Behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,
  - B. Personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (”REGISTRERAD”), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,
  - C. PERSONUPPGIFTSANSVARIG: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för BEHANDLINGEN av personuppgifter; om ändamålen och medlen för BEHANDLINGEN bestäms av unionsrätten eller medlemsstaternas nationella rätt kan PERSONUPPGIFTSANSVARIG eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt,
  - D. PERSONUPPGIFTSBITRÄDE: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för PERSONUPPGIFTSANSVARIGS räkning,
  - E. Underbiträde: avser sådant PERSONUPPGIFTSBITRÄDE som anlitas av det PERSONUPPGIFTSBITRÄDE som är PART och som behandlar personuppgifter för PERSONUPPGIFTSANSVARIGS räkning,
  - F. Personuppgiftsincident: en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.
  - G. DATASKYDDSREGLER: avser sådan integritets- och personuppgiftslagstiftning exempelvis den allmänna dataskyddsförordningen (GDPR), (EU) 2016/679 med tillhörande genomförandeförfattningar samt all annan eventuell lagstiftning (inklusive förordningar och föreskrifter) som är tillämplig på den personuppgiftsbehandling som sker under AVTALET, inklusive nationell sådan lagstiftning och EU Lagstiftning, såsom denna kan komma att förändras över tid.

PERSONUPPGIFTSANSVARIGS ANSVAR
1. PERSONUPPGIFTSANSVARIG ska säkerställa att BEHANDLINGEN av PERSONUPPGIFTER är laglig enligt DATASKYDDSREGLER.
2. PERSONUPPGIFTSANSVARIG får endast tillhandahålla PERSONUPPGIFTSBITRÄDET sådana PERSONUPPGIFTER som är nödvändiga för ändamålet med BEHANDLINGEN.
3. PERSONUPPGIFTSANSVARIG ska tillhandhålla PERSONUPPGIFTSBITRÄDET dokumenterade instruktioner och övriga anvisningar avseende ändamålet, omfattningen, arten och varaktigheten av BEHANDLINGEN samt kategorier av REGISTRERADE i den utsträckning som är nödvändig för att PERSONUPPGIFTSBITRÄDET ska kunna uppfylla sina skyldigheter enligt AVTALET och DATASKYDDSREGLER.

PERSONUPPGIFTSBITRÄDETS BEHANDLING AV PERSONUPPGIFTER OCH BITRÄDE TILL PERSONUPPGIFTSANSVARIG
1. De PERSONUPPGIFTER som PERSONUPPGIFTSBITRÄDET har åtkomst till får endast behandlas i enlighet med AVTALET och DATASKYDDSREGLER.
2. PERSONUPPGIFTSBITRÄDET får endast behandla PERSONUPPGIFTER i enlighet med PERSONUPPGIFTSANSVARIGS instruktioner i Bilaga 1 samt i enlighet med kompletterande instruktioner såvida inte PERSONUPPGIFTSBITRÄDET är skyldig enligt lag eller författning att behandla PERSONUPPGIFTER för annat ändamål eller på annat sätt.
3. PERSONUPPGIFTSBITRÄDET ska utan oskäligt dröjsmål underrätta PERSONUPPGIFTSANSVARIG när denne anser att en BEHANDLING strider mot DATASKYDDSREGLER eller annan tillämplig lag och därefter invänta PERSONUPPGIFTSANSVARIGS anvisningar. Vad som anges ovan gäller endast om PERSONUPPGIFTSBITRÄDET inte är förhindrad att på andra grunder lämna sådan underrättelse.
4. PERSONUPPGIFTSBITRÄDET ska utan oskäligt dröjsmål, dock senast fjorton (14) dagar från PERSONUPPGIFTSANSVARIGS begäran, ge denne tillgång till PERSONUPPGIFTER som PERSONUPPGIFTSBITRÄDET behandlar samt genomföra en begärd ändring, radering, begränsning eller överföring av nämnda PERSONUPPGIFTER. Har PERSONUPPGIFTSANSVARIG raderat, eller anvisat PERSONUPPGIFTSBITRÄDET om radering, ska den senare vidta sådana åtgärder som krävs för att PERSONUPPGIFTEN inte ska kunna återskapas.
5. PERSONUPPGIFTSBITRÄDET ska upprätthålla ett register över all BEHANDLING som sker på uppdrag av PERSONUPPGIFTSANSVARIG, samt att på PERSONUPPGIFTSANSVARIGS eller behörig tillsynsmyndighets uttryckliga begäran överlämna ett läsbart registerutdrag omfattandes, till ett minimum, de uppgifter som stadgas i den allmänna dataskyddsförordningens Artikel 30 p2.
6. PERSONUPPGIFTSBITRÄDET ska på PERSONUPPGIFTSANSVARIGS förfrågan bistå denne att fullgöra sina skyldigheter enligt DATASKYDDSREGLER, såsom utförandet av konsekvensbedömningar avseende dataskydd, utformningen av lämpliga tekniska och organisatoriska åtgärder för inbyggt dataskydd, förhandssamråd med behörig tillsynsmyndighet samt medverka till utredning av inträffade Personuppgiftsincidenter. Såvida PARTERNA inte kommit överens om annat ska sådant bistånd som avses i detta stycke inte ge PERSONUPPGIFTSBITRÄDET rätt till särskild ersättning.
7. PERSONUPPGIFTSBITRÄDET ska utan oskäligt dröjsmål underrätta PERSONUPPGIFTSANSVARIG om denne kontaktas av behörig tillsynsmyndighet, någon REGISTRERAD eller annan tredje part i syfte att få tillgång till Personuppgifter som PERSONUPPGIFTSBITRÄDET, eller i förekommande fall ett UNDERBITRÄDE, behandlar.
8. PERSONUPPGIFTSBITRÄDET ska skriftligen och senast trettio (30) dagar innan en väsentlig förändring av behandlingsförfarandet, däribland tekniska och organisatoriska ändringar som kan påverka skyddet av PERSONUPPGIFT och PERSONUPPGIFTSBITRÄDETS efterlevnad av DATASKYDDSREGLER, informera PERSONUPPGIFTSANSVARIG. Innan sådana ändringar genomförs ska PERSONUPPGIFTSANSVARIG lämna sitt samtycke, vilket inte skäligen ska förvägras.

UNDERBITRÄDEN OCH TREDJELANDSÖVERFÖRINGAR
1. PERSONUPPGIFTSANSVARIG godkänner att PERSONUPPGIFTSBITRÄDET får anlita UNDERBITRÄDE och tillhandahålla en lista över sådana UNDERBITRÄDE, från och med dagen för ikraftträdandet av AVTALET. PERSONUPPGIFTSBITRÄDET ska tillse att UNDERBITRÄDEN är bundna av skriftliga avtal som ålägger dem motsvarande skyldigheter vid databehandlingen som de skyldigheter som gäller enligt AVTALET.
2. PERSONUPPGIFTSBITRÄDET har rätt att anlita UNDERBITRÄDEN inom och utanför EU/EES för behandling av personuppgifter samt överföring av personuppgifter om det finns en laglig grund. Personuppgiftsbiträdet har rätt att teckna avtal med underbiträden för den personuppgiftsansvariges räkning som tex. EU-kommissionens avtal för överföring av personuppgifter till land utanför EU/EES.
3. Om PERSONUPPGIFTSBITRÄDET avser att anlita ett nytt UNDERBITRÄDE för BEHANDLING av PERSONUPPGIFTER som omfattas av AVTALET ska PERSONUPPGIFTSBITRÄDET, innan det nya UNDERBITRÄDET anlitas, informera PERSONUPPGIFTSANSVARIG därom så att PERSONUPPGIFTSANSVARIG har möjlighet att invända. PERSONUPPGIFTSBITRÄDET ska tillhandahålla PERSONUPPGIFTSANSVARIG all information som skäligen begärs av PERSONUPPGIFTSANSVARIG så att PERSONUPPGIFTSANSVARIG kan bedöma huruvida användningen av det föreslagna UNDERBITRÄDET säkerställer PERSONUPPGIFTSANSVARIGS efterlevnad av AVTALET och tillämpliga DATASKYDDSREGLER. Om denna efterlevnad, enligt PERSONUPPGIFTSANSVARIGS rimliga uppfattning, inte går att uppfylla genom det föreslagna nya UNDERBITRÄDET har PERSONUPPGIFTSANSVARIG rätt att säga upp huvudavtalet.

TEKNISK OCH ORGANISATORISK KAPACITET OCH SÄKERHETSÅTGÄRDER
1. PERSONUPPGIFTSBITRÄDET garanterar att denne besitter nödvändig teknisk och organisatorisk kapacitet och förmåga, inbegripet tekniska lösningar, kompetens, ekonomiska och personella resurser, rutiner och metoder, att fullgöra sina skyldigheter enligt AVTALET och DATASKYDDSREGLER.
2. PERSONUPPGIFTSBITRÄDET ska på PERSONUPPGIFTSANSVARIGS begäran kunna visa att de skyldigheter som framgår av AVTALET och DATASKYDDSREGLER uppfylls genom att tillhandahålla relevant dokumentation, hänvisa till relevant och godkänd uppförandekod eller certifiering, möjliggöra och bidra till granskningar och inspektioner och/eller tillhandahålla PERSONUPPGIFTSANSVARIG andra adekvata underlag.
3. I det fall PERSONUPPGIFTSBITRÄDET behandlar känsliga PERSONUPPGIFTER vilka omfattas av sekretess, ställs särskilt höga säkerhetskrav. PERSONUPPGIFTSANSVARIG får då lämna ytterligare instruktioner om säkerhetsåtgärder.
4. PERSONUPPGIFTSBITRÄDET ska ha ett behörighetskontrollsystem som förhindrar obehörig BEHANDLING av PERSONUPPGIFTER eller obehörig åtkomst till PERSONUPPGIFTER. PERSONUPPGIFTSBITRÄDE ska använda ett loggsystem som möjliggör att BEHANDLING av PERSONUPPGIFTER kan spåras och ska även tillse loggarna har ett adekvat säkerhetsskydd.
5. PERSONUPPGIFTSBITRÄDET ska genom behörighetskontrollsystemet aktivt begränsa åtkomsten till PERSONUPPGIFTER till sådana personer som arbetar under dennes ledning och som behöver PERSONUPPGIFTER för att utföra sina arbetsuppgifter för fullgörande av avtalen mellan PERSONUPPGIFTSBITRÄDET och PERSONUPPGIFTSANSVARIG.

SEKRETESS
1. PERSONUPPGIFTSBITRÄDET och den personal som arbetar under AVTALET ska vid BEHANDLING av PERSONUPPGIFTER iaktta sekretess, såväl handlingssekretess som tystnadsplikt. Personuppgifterna, information, instruktioner, systemlösningar, beskrivningar eller andra handlingar som PERSONUPPGIFTSBITRÄDET erhåller genom informationsutbyte enligt AVTALET eller annat avtal PARTERNA emellan får inte utnyttjas eller röjas för annat ändamål än som framgår av AVTALET eller annat avtal PARTERNA emellan, vare sig direkt eller indirekt, om inte PERSONUPPGIFTSANSVARIG på förhand skriftligen medgivit detta.
2. PERSONUPPGIFTSBITRÄDET åtar sig att tillse att samtliga anställda, konsulter och övriga som PERSONUPPGIFTSBITRÄDET svarar för och som behandlar PERSONUPPGIFTER är bundna av en sekretessförbindelse. (Sekretessförbindelser krävs inte om PERSONUPPGIFTSBITRÄDET och dess personal omfattas av en straffsanktionerad tystnadsplikt som följer av lag.) PERSONUPPGIFTSBITRÄDET åtar sig även att tillse att det finns lämpliga sekretessavtal med ett ev. UNDERBITRÄDE samt sekretessförbindelser mellan UNDERBITRÄDET och dess personal.
3. PERSONUPPGIFTSBITRÄDET ska utan dröjsmål skriftligen underrätta PERSONUPPGIFTSANSVARIG om eventuella kontakter med tillsynsmyndighet som rör eller kan vara av betydelse för BEHANDLING av PERSONUPPGIFTER. PERSONUPPGIFTSBITRÄDET har inte rätt att företräda PERSONUPPGIFTSANSVARIG eller agera för PERSONUPPGIFTSANSVARIGS räkning gentemot tillsynsmyndigheter i frågor som rör eller kan vara av betydelse för BEHANDLING av PERSONUPPGIFTER.
4. PERSONUPPGIFTSBITRÄDET ska ha ett behörighetskontrollsystem som förhindrar obehörig BEHANDLING av PERSONUPPGIFTER eller obehörig åtkomst till PERSONUPPGIFTER. PERSONUPPGIFTSBITRÄDE ska använda ett loggsystem som möjliggör att BEHANDLING av PERSONUPPGIFTER kan spåras och ska även tillse loggarna har ett adekvat säkerhetsskydd.
5. Om den REGISTRERADE, tillsynsmyndigheter eller annan tredje man begär information från PERSONUPPGIFTSBITRÄDET som rör BEHANDLING av PERSONUPPGIFTER, ska PERSONUPPGIFTSBITRÄDET hänvisa till PERSONUPPGIFTSANSVARIG. PERSONUPPGIFTSBITRÄDET får inte lämna ut PERSONUPPGIFTER eller annan information om BEHANDLINGEN av PERSONUPPGIFTER utan skriftligt föregående medgivande från PERSONUPPGIFTSANSVARIG. PERSONUPPGIFTSBITRÄDET åtar sig efter sådant medgivande att hjälpa till med att ge REGISTRERADE, tillsynsmyndigheter eller annan tredje man information om en viss BEHANDLING av PERSONUPPGIFTER.

PERSONUPPGIFTSINCIDENTER
1. PERSONUPPGIFTSBITRÄDET ska informera PERSONUPPGIFTSANSVARIG utan onödigt dröjsmål efter att ha fått vetskap om förekomst av eller risken för oavsiktlig eller obehörig åtkomst till PERSONUPPGIFTER eller andra säkerhetsincidenter (”PERSONUPPGIFTSINCIDENT”).
2. PERSONUPPGIFTSBITRÄDET ska bistå PERSONUPPGIFTSANSVARIG med skäligen begärd information så att PERSONUPPGIFTSANSVARIG kan uppfylla kraven avseende anmälan av PERSONUPPGIFTSINCIDENT i enlighet med tillämpliga DATASKYDDSREGLER.
3. PERSONUPPGIFTSBITRÄDET ska dokumentera alla PERSONUPPGIFTSINCIDENTER, inbegripet omständigheterna kring PERSONUPPGFTSINCIDENTEN, dess effekter och de korrigerande åtgärder som vidtagits. Dokumentationen ska göra det möjligt för PERSONUPPGIFTSANSVARIG och aktuell tillsynsmyndighet att kontrollera efterlevnad av detta kapitel.

RÄTT TILL GRANSKNING
1. PERSONUPPGIFTSBITRÄDET ska på personuppgiftsägarens begäran styrka att de skyldigheter som framgår av AVTALET och gällande DATASKYDDSREGLER uppfylls genom att tillhandahålla relevant dokumentation, hänvisa till relevant och godkänd uppförandekod eller certifiering, möjliggöra och bidra till granskningar och inspektioner och/eller tillhandahålla Personuppgiftsägaren annan adekvat bevisning.
2. PERSONUPPGIFTSBITRÄDET ska på PERSONUPPGIFTSANSVARIGS begäran, utan oskäligt dröjsmål ge denne, eller en oberoende tredje part som denne anlitat, under förutsättning att de personer som utför granskningen ingår lämpliga sekretessavtal, tillgång till sådana upplysningar och handlingar som är nödvändiga för att PERSONUPPGIFTSANSVARIG ska kunna utöva en effektiv kontroll av PERSONUPPGIFTSBITRÄDETS åtgärder enligt AVTALET eller gällande DATASKYDDSREGLER.
3. Utan hinder av punkten 9.2 är PERSONUPPGIFTSBITRÄDET endast skyldig att bevilja PERSONUPPGIFTSANSVARIG, eller oberoende tredje part som denne anlitat, tillgång till lokaler och utrustning för inspektion om det kan ske utan säkerhets- eller integritetsrisker eller om sådana inspektioner är nödvändiga för att fullgöra en rättslig förpliktelse.
4. Om REGISTRERAD, behöriga myndigheter eller annan tredje part begär information från PERSONUPPGIFTSBITRÄDET angående BEHANDLING av PERSONUPPGIFTER, ska PERSONUPPGIFTSBITRÄDET överlämna denna begäran till PERSONUPPGIFTSANSVARIG. PERSONUPPGIFTSBITRÄDET får inte på något sätt agera på PERSONUPPGIFTSANSVARIGS vägnar eller som en företrädare för PERSONUPPGIFTSANSVARIG och får inte, utan föregående instruktioner från PERSONUPPGIFTSANSVARIG överföra eller på något annat sätt lämna ut PERSONUPPGIFTER eller annan information rörande BEHANDLING av PERSONUPPGIFTER till tredje part.
5. I händelse av att PERSONUPPGIFTSBITRÄDET, enligt tillämpliga lagar och bestämmelser, förpliktas att lämna ut PERSONUPPGIFTER som PERSONUPPGIFTSBITRÄDET BEHANDLAR på PERSONUPPGIFTSANSVARIGS vägnar, ska PERSONUPPGIFTSBITRÄDET omgående informera PERSONUPPGIFTSANSVARIG därom och kräva konfidentialitet i samband med att den begärda informationen lämnas ut.

ANSVAR FÖR SKADA
1. PERSONUPPGIFTSBITRÄDET åtar sig att hålla PERSONUPPGIFTSANSVARIG skadeslös för materiell eller immateriell skada till följd av att PERSONUPPGIFTSANSVARIG är skyldig att utge skadestånd till någon enligt artikel 82 i Dataskyddsförordningen, om den BEHANDLING av PERSONUPPGIFTER som ligger till grund för skadeståndsersättningen har utförts av PERSONUPPGIFTSBITRÄDE eller ett UNDERBITRÄDE i strid med DATASKYDDSREGLER, AVTALET eller instruktion från PERSONUPPGIFTSANSVARIG.
2. PERSONUPPGIFTSBITRÄDET åtar sig att även i övrigt hålla PERSONUPPGIFTSANSVARIG skadeslös för det fall PERSONUPPGIFTSANSVARIG drabbas av skada till följd av PERSONUPPGIFTSBITRÄDETS BEHANDLING av PERSONUPPGIFTER i strid med AVTALET.

KONTAKTPERSONER
1. PARTERNA ska informera varandra om vem som är utsedd som ansvarig kontaktperson med avseende på BEHANDLING av PERSONUPPGIFTER och korrekt kontaktinformation till denne.
2. Kontaktpersonen har inte någon generell rätt att acceptera förändringar av AVTALET, då det kräver särskild auktorisation eller fullmakt från respektive Parts firmatecknare.

UNDERRÄTTELSER
1. Alla underrättelser enligt AVTALET ska ske skriftligen, ställda till kontaktpersoner hos respektive Part.

MEDDELANDEN
1. Meddelanden som avser AVTALET ska ske genom bud, rekommenderat brev eller e-post till PARTERNAS i ingressen angivna eller senare ändrade adresser.
2. Meddelandet ska anses ha kommit mottagaren tillhanda
  - A. om avlämnat med bud: vid överlämnandet,
  - B. om avsänt med rekommenderat brev: tre (3) dagar efter avlämnande för postbefordran, eller
  - C. om skickat via e-post vid leverans om samma meddelande också skickas samma dag med vanlig post.
3. Adressändring ska meddelas Part på sätt som föreskrivs i denna bestämmelse.

GILTIGHET
1. AVTALET är giltigt så länge som PERSONUPPGIFTSBITRÄDETS BEHANDLING av PERSONUPPGIFTER på uppdrag av PERSONUPPGIFTSANSVARIG pågår. PARTERNA kan dock överenskomma att AVTALET ska ersättas av ett annat personuppgiftsbiträdesavtal.
2. PERSONUPPGIFTSBITRÄDET ska vid avslutad BEHANDLING återlämna PERSONUPPGIFTER i ett allmänt och läsbart format till PERSONUPPGIFTSANSVARIG och därefter radera PERSONUPPGIFTER från sådana system som använts vid BEHANDLINGEN, såvida inte detta är oförenligt med då gällande lag.

TILLÄMPLIG LAG OCH TVIST
1. AVTALET ska tolkas och tillämpas i enlighet med svensk lag. Tvister till följd av tolkningen och tillämpningen av AVTALET ska avgöras av svensk allmän domstol.

Bilaga 1
Dessa instruktioner utgör en integrerad del av AVTALET och ska följas av PERSONUPPGIFTSBITRÄDET vid utförande av personuppgiftsbehandlingen såvida inte annat uttryckligen anges i AVTALET. Genom undertecknande av AVTALET har PERSONUPPGIFTSBITRÄDET bekräftat innebörden av dessa instruktioner. Alla ändringar och tillägg till dessa instruktioner ska vara skriftliga för att gälla.
Ändamål med behandling av Personuppgifter: “Tillhandahållande av tjänster för IT-drift såsom lagring, back-up och support samt utveckling och förbättring an tjänsten.”
Typ av behandling: “Registrering, insamling, lagring och bearbetning”
Typ av personuppgifter: “Namn, företagsinformation, inloggnings-id, bild, födelsedatum, kön, adress, telefonnummer, e-post, anställningsavtal, anhöriginformation, löneinfo, meddelande”
Kategorier av REGISTRERADE personer: “PERSONUPPGIFTSBITRÄDET och dess anställda, kunder samt Leverantör”