Personuppgiftsbiträdesavtal (PUB-avtal)

1.1 PUB-avtalet gäller endast när Nuvid behandlar personuppgifter för den Personuppgiftsansvariges räkning och enligt dennes dokumenterade instruktioner.

1.2 PUB-avtalet gäller inte för behandling där Nuvid själv bestämmer ändamål och medel och därför är självständigt personuppgiftsansvarig, exempelvis Nuvids kontohantering, säkerhet, fakturering, rättsliga skyldigheter samt arbetsgivar-, rekryterings- och löneadministration.

1.3 Vid konflikt om personuppgiftsbehandling gäller PUB-avtalet framför huvudavtalet. Tvingande dataskyddsrätt gäller alltid.

2.1 Personuppgiftsbiträdet får endast behandla personuppgifter enligt detta PUB-avtal, huvudavtalet, bilaga 1 och andra dokumenterade instruktioner från den Personuppgiftsansvarige.

2.2 Om Personuppgiftsbiträdet anser att en instruktion strider mot dataskyddslagstiftning ska den Personuppgiftsansvarige informeras utan onödigt dröjsmål. Personuppgiftsbiträdet får pausa den berörda behandlingen i väntan på laglig instruktion.

2.3 Personuppgiftsbiträdet får behandla uppgifter när unionsrätt eller svensk rätt kräver det men ska, om lagen tillåter, informera den Personuppgiftsansvarige innan behandlingen.

3.1 Personer som behandlar uppgifterna ska omfattas av sekretess och endast få åtkomst efter behov.

3.2 Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder med hänsyn till teknik, kostnad, behandlingens art, omfattning, sammanhang och ändamål samt riskerna för registrerade.

3.3 Åtgärderna omfattar där det är relevant behörighetsstyrning, autentisering, krypterad överföring, loggning, säkerhetskopiering, sårbarhetshantering, incidentrutiner, kontinuitet, återställning samt regelbunden prövning och uppföljning.

4.1 Den Personuppgiftsansvarige lämnar ett allmänt förhandstillstånd för användning av underbiträden som behövs för tjänsten.

4.2 En aktuell lista över underbiträden finns i vår integritetspolicy och lämnas även på begäran via hej@extraskift.se. Personuppgiftsbiträdet ska informera om avsedda tillägg eller byten minst 30 dagar i förväg.

4.3 Den Personuppgiftsansvarige får invända på sakliga dataskyddsgrunder. Parterna ska försöka hitta en rimlig lösning. Om ingen lösning är möjlig får berörd tjänst avslutas enligt huvudavtalet.

4.4 Underbiträdet ska omfattas av i huvudsak samma dataskyddsskyldigheter. Personuppgiftsbiträdet ansvarar för underbiträdets skyldigheter enligt PUB-avtalet.

Personuppgifter får föras utanför EU/EES endast med en giltig överföringsmekanism och nödvändiga kompletterande skyddsåtgärder. Personuppgiftsbiträdet ska på begäran lämna relevant information om mekanismen.

6.1 Personuppgiftsbiträdet ska, med hänsyn till behandlingens art, skäligen hjälpa den Personuppgiftsansvarige att besvara begäranden om registrerades rättigheter.

6.2 Om en registrerad kontaktar Personuppgiftsbiträdet om behandling som omfattas av PUB-avtalet ska begäran utan onödigt dröjsmål vidarebefordras till den Personuppgiftsansvarige. Personuppgiftsbiträdet får inte besvara den i sak utan instruktion, om inte lag kräver det.

6.3 Personuppgiftsbiträdet ska skäligen bistå med konsekvensbedömning, förhandssamråd och information till tillsynsmyndighet när behandlingen kräver det.

7.1 Personuppgiftsbiträdet ska underrätta den Personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som berör dennes uppgifter.

7.2 Underrättelsen ska, i den mån informationen finns, beskriva incidentens art, berörda kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser, vidtagna eller föreslagna åtgärder samt kontaktväg. Information får lämnas stegvis.

7.3 Personuppgiftsbiträdet ska dokumentera incidenten och samarbeta med den Personuppgiftsansvarige. Den Personuppgiftsansvarige ansvarar för sin bedömning och eventuell anmälan eller information till registrerade.

8.1 Personuppgiftsbiträdet ska tillhandahålla den information som skäligen krävs för att visa efterlevnad.

8.2 Den Personuppgiftsansvarige får genomföra en proportionerlig granskning högst en gång per år, om inte incident, myndighetskrav eller konkret brist motiverar ytterligare kontroll. Granskning ska aviseras i skälig tid, ske under normal arbetstid, följa säkerhets- och sekretesskrav och inte oskäligt störa verksamheten.

8.3 Om granskningen visar en väsentlig avtalsbrist står Personuppgiftsbiträdet för skäliga kostnader för att avhjälpa den. I övrigt bär vardera parten sina kostnader.

Efter att tjänsten upphört ska Personuppgiftsbiträdet enligt den Personuppgiftsansvariges val radera eller återlämna personuppgifterna och radera kopior, om inte lag kräver fortsatt lagring. Uppgifter i säkerhetskopior får ligga kvar under ordinarie, skyddad rotationsperiod och får då inte användas för andra ändamål.

Ansvar för brott mot PUB-avtalet regleras av huvudavtalets ansvarsbestämmelser i den utsträckning dataskyddslagstiftningen tillåter. PUB-avtalet gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning.

Se även vår integritetspolicy och informations- och säkerhetspolicy.