Personuppgiftsbiträdesavtal

1. Parter och tillämpning

Avtalet sluts mellan kunden, som är personuppgiftsansvarig ("Kunden"), och Edström Business AB (org.nr 559101-7750), som är personuppgiftsbiträde ("Tindom").

Det gäller när Tindom behandlar personuppgifter för Kundens räkning enligt ett pilotavtal eller annat kundavtal ("Huvudavtalet"), till exempel när Kunden skickar signerade dokument till validate@tindom.se. Det gäller inte den öppna webbvalidatorn, där Tindom själv är personuppgiftsansvarig enligt integritetspolicyn.

Avtalet träder i kraft när Kunden har godkänt det i Huvudavtalet, genom en signerad version eller genom att skicka dokument till Tindom efter att ha fått del av avtalet. Vid motstridighet med Huvudavtalet gäller detta avtal i frågor om personuppgifter.

2. Ändamål, art och varaktighet

Tindom behandlar personuppgifterna enbart för att validera de elektroniska signaturerna i de dokument Kunden skickar in och för att skicka en valideringsrapport tillbaka till Kunden. Behandlingen pågår så länge Huvudavtalet gäller.

Närmare uppgifter om behandlingen finns i bilaga 1.

3. Tindoms skyldigheter

• Behandla personuppgifterna bara enligt Kundens dokumenterade instruktioner. Huvudavtalet, detta avtal och Kundens användning av tjänsten utgör sådana instruktioner. Anser Tindom att en instruktion strider mot dataskyddsreglerna ska Tindom underrätta Kunden.
• Säkerställa att personer som har tillgång till uppgifterna är bundna av tystnadsplikt.
• Vidta de tekniska och organisatoriska säkerhetsåtgärder som anges i bilaga 2.
• Hjälpa Kunden att besvara begäranden från registrerade och att uppfylla sina skyldigheter om säkerhet, incidentrapportering, konsekvensbedömningar och föregående samråd, i den mån det är rimligt med hänsyn till behandlingens art och den information Tindom har tillgång till.
• Inte behandla personuppgifterna för egna ändamål, och inte sälja eller dela dem med andra än de underbiträden som anges nedan.

4. Kundens skyldigheter

Kunden ansvarar för att det finns rättslig grund för behandlingen, att de dokument som skickas in får behandlas, och att de registrerade har fått den information de ska ha. Kunden ska inte skicka in uppgifter som inte behövs för valideringen, och särskilt inte uppgifter som omfattas av artikel 9 eller 10 i GDPR om det inte är nödvändigt.

Rapporter till pilotkunder kan innehålla fullständiga personnummer och tekniska signeringsuppgifter, som IP-adress och tidpunkter. Kunden ansvarar för att behandlingen av personnummer är tillåten enligt 3 kap. 10 § dataskyddslagen.

5. Underbiträden

Kunden ger Tindom ett generellt tillstånd att anlita de underbiträden som anges i bilaga 3. Tindom har ingått avtal med dem som ger samma skyldigheter som detta avtal, och ansvarar gentemot Kunden för deras fullgörande.

Vill Tindom lägga till eller byta underbiträde informerar Tindom Kunden minst 30 dagar i förväg via e-post. Kunden kan invända mot en ändring av goda skäl inom den tiden. Kan parterna inte enas har Kunden rätt att säga upp Huvudavtalet utan kostnad.

6. Överföring till tredjeland

Personuppgifterna behandlas inom EU/EES, med undantag för underbiträden i bilaga 3 som är amerikanska bolag. Överföring dit sker bara med stöd av ett beslut om adekvat skyddsnivå (EU–US Data Privacy Framework) eller EU-kommissionens standardavtalsklausuler, med de kompletterande skyddsåtgärder som behövs. Kunden godkänner dessa överföringar.

7. Personuppgiftsincidenter

Upptäcker Tindom en personuppgiftsincident som rör Kundens uppgifter ska Tindom underrätta Kunden utan onödigt dröjsmål och senast inom 48 timmar efter att Tindom fick kännedom om den. Underrättelsen ska, i den mån uppgifterna finns, beskriva incidentens art, vilka uppgifter och hur många registrerade den rör, de sannolika följderna och vilka åtgärder som vidtagits. Tindom hjälper Kunden att utreda och åtgärda incidenten.

8. Radering och återlämnande

Dokumenten sparas inte efter valideringen. När Huvudavtalet upphör raderar Tindom de personuppgifter som fortfarande finns kvar för Kundens räkning, inklusive driftloggens uppgifter som hör till Kunden, inom 30 dagar efter begäran eller avtalets upphörande, om inte lag kräver att de sparas. Kunden kan begära skriftlig bekräftelse på raderingen.

9. Insyn och revision

Tindom ska på begäran lämna den information som behövs för att visa att skyldigheterna i artikel 28 följs. Kunden eller en revisor som Kunden anlitar och som är bunden av tystnadsplikt får göra revisioner, högst en gång per år om inte en incident eller en tillsynsmyndighet kräver annat. Revisionen ska aviseras minst 30 dagar i förväg, ske under kontorstid och inte störa verksamheten i onödan. Varje part står för sina egna kostnader.

10. Ansvar

Ansvarsbegränsningarna i Huvudavtalet gäller även för detta avtal, om inte tvingande lag föreskriver annat. Det påverkar inte registrerades rätt till ersättning enligt artikel 82 i GDPR.

11. Giltighetstid, ändringar och tillämplig lag

Avtalet gäller så länge Tindom behandlar personuppgifter för Kundens räkning. Ändringar ska göras skriftligen, utom ändringar i bilaga 3 som görs enligt avsnitt 5. Svensk lag gäller, och tvister prövas av svensk allmän domstol.

Bilaga 1. Beskrivning av behandlingen

Bilaga 2. Säkerhetsåtgärder

• Krypterad överföring (TLS) mellan Kund, Tindom och underbiträden.
• Dokumentet skrivs inte till disk och lagras inte efter att svaret skickats.
• Databaser med personuppgifter nås bara med serverside-nycklar. Radnivåsäkerhet är påslagen och ingen läsåtkomst ges till allmänheten.
• Pilotinkorgen validate@tindom.se släpper bara igenom avsändare från godkända domäner, och inkommande anrop kräver en hemlig nyckel.
• Åtkomst till produktionssystem är begränsad till personer som behöver den, med flerfaktorsinloggning där leverantören stöder det.
• Rutin för att upptäcka, utreda och rapportera personuppgiftsincidenter enligt avsnitt 7.

Bilaga 3. Godkända underbiträden