Personuppgiftsbiträdesavtal
Senast uppdaterad 2024-08-09Vårt SCC: https://eleganceofsweden.se/pages/scc
Detta Personuppgiftsbiträdesavtal (”Avtal”) utgör ett juridiskt bindande kontrakt mellan dig och Elegance of Sweden AB (beläget på Safirgatan 18, Jönköping 554 47, Sverige) och gäller i den utsträckning som Elegance of Sweden AB behandlar Kundens Personuppgifter för din räkning när du är Personuppgiftsansvarig.VARFÖR
(A) Företaget agerar som Personuppgiftsansvarig.
(B) Företaget önskar underleverera vissa tjänster, vilket innebär behandling av personuppgifter, till Personuppgiftsbiträdet.
(C) Parterna söker implementera ett datahanteringsavtal som uppfyller kraven i det nuvarande rättsliga ramverket avseende databehandling och i enlighet med Förordning (EU) 2016/679 från Europaparlamentet och Rådet av den 27 april 2016 om skydd av fysiska personer med avseende på behandling av personuppgifter och om fri rörlighet för sådana uppgifter och upphävande av direktiv 95/46/EG (Allmän dataskyddsförordning, GDPR).
(D) Parterna önskar fastställa sina rättigheter och skyldigheter.
DET KOMMER ÖVERENS SOM FÖLJANDE:
Definitioner och Tolkning
1.1 Om inte annat definieras här, ska versaliserade termer och uttryck som används i detta Avtal ha följande betydelse:
1.1.1 "Avtal" betyder detta Personuppgiftsbiträdesavtal och alla bilagor;
1.1.2 "Företagets Personuppgifter" betyder alla Personuppgifter som behandlas av ett Anlitande Personuppgiftsbiträde för Företagets räkning enligt eller i samband med Huvudavtalet;
1.1.3 "Anlitande Personuppgiftsbiträde" betyder en Underbiträde;
1.1.4 "Dataskyddslagar" betyder EU
Dataskyddslagar och, i tillämpliga fall, dataskydds- eller integritetslagar i något annat land;
1.1.5 "EES" betyder Europeiska Ekonomiska Samarbetsområdet;
1.1.6 "EU
Dataskyddslagar" betyder EU-direktiv 95/46/EG, såsom infört i nationell lagstiftning i varje medlemsstat och ändrat, ersatt eller överordnat från tid till annan, inklusive GDPR och lagar som implementerar eller kompletterar GDPR;
1.1.7 "GDPR" betyder EU
Allmänna Dataskyddsförordning 2016/679;
1.1.8 "Dataöverföring" betyder:
1.1.8.1 en överföring av Företagets Personuppgifter från Företaget till ett Anlitande Personuppgiftsbiträde; eller
1.1.8.2 en vidare överföring av Företagets Personuppgifter från ett Anlitande Personuppgiftsbiträde till en Underbiträde, eller mellan två enheter av ett Anlitande Personuppgiftsbiträde, där sådan överföring skulle vara förbjuden av Dataskyddslagar (eller av villkoren i dataöverföringsavtal som upprättats för att hantera dataöverföringsrestriktioner enligt Dataskyddslagar);
1.1.9 "Tjänster" betyder den online e-handelsbutik för elektroniska tillbehör som Företaget tillhandahåller;
1.1.10 "Underbiträde" betyder varje person som utsetts av eller på uppdrag av ett Personuppgiftsbiträde för att behandla Personuppgifter för Företagets räkning i samband med detta Avtal.
1.2 Termerna "Kommissionen", "Personuppgiftsansvarig", "Registrerad", "Medlemsstat", "Personuppgifter", "Personuppgiftsincident", "Behandling" och "Tillsynsmyndighet" ska ha samma betydelse som i GDPR, och deras relaterade termer ska tolkas i enlighet därmed.
2. Behandling av Företagets Personuppgifter
2.1 Personuppgiftsbiträdet ska:2.1.1 följa alla tillämpliga Dataskyddslagar vid behandlingen av Företagets Personuppgifter; och
2.1.2 inte behandla Företagets Personuppgifter annat än enligt relevant Företags dokumenterade instruktioner.
2.2 Företaget instruerar Personuppgiftsbiträdet att behandla Företagets Personuppgifter.
3. Personuppgiftsbiträdets Personal
Personuppgiftsbiträdet ska vidta rimliga åtgärder för att säkerställa tillförlitligheten hos varje anställd, agent eller entreprenör hos ett Anlitande Personuppgiftsbiträde som kan ha tillgång till Företagets Personuppgifter, säkerställa att åtkomsten strikt begränsas till de individer som behöver känna till / få åtkomst till relevanta Företagets Personuppgifter, som strikt nödvändigt för Huvudavtalets syften, och för att uppfylla tillämpliga lagar i samband med den enskildes arbetsuppgifter gentemot det Anlitande Personuppgiftsbiträdet, säkerställa att alla sådana individer omfattas av sekretessåtaganden eller professionella eller lagstadgade sekretesskyldigheter.4. Säkerhet
4.1 Med hänsyn till den senaste utvecklingen, implementeringskostnaderna och behandlingens natur, omfattning, sammanhang och syften, samt risken för varierande sannolikhet och allvar för rättigheter och friheter för fysiska personer, ska Personuppgiftsbiträdet i samband med Företagets Personuppgifter implementera lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig för den risken, inklusive, i förekommande fall, åtgärderna som avses i artikel 32(1) i GDPR.
4.2 Vid bedömningen av lämplig säkerhetsnivå ska Personuppgiftsbiträdet särskilt beakta de risker som presenteras av behandlingen, särskilt från en Personuppgiftsincident.
5. Underbiträde
5.1 Personuppgiftsbiträdet ska inte utse (eller avslöja några Företagets Personuppgifter för) någon Underbiträde om inte krävs eller godkänts av Företaget.6. Registrerades Rättigheter
6.1 Med hänsyn till behandlingens natur, ska Personuppgiftsbiträdet bistå Företaget genom att implementera lämpliga tekniska och organisatoriska åtgärder, i den utsträckning det är möjligt, för att uppfylla Företagets skyldigheter, såsom rimligen förstås av Företaget, att svara på förfrågningar om att utöva Registrerades rättigheter enligt Dataskyddslagar.6.2 Personuppgiftsbiträdet ska:
6.2.1 omedelbart meddela Företaget om det får en förfrågan från en Registrerad enligt någon Dataskyddslag avseende Företagets Personuppgifter; och
6.2.2 säkerställa att det inte svarar på den förfrågan annat än på dokumenterade instruktioner från Företaget eller som krävs av tillämpliga lagar som Personuppgiftsbiträdet är föremål för, i vilket fall Personuppgiftsbiträdet ska, i den utsträckning det är tillåtet enligt tillämpliga lagar, informera Företaget om detta juridiska krav innan det Anlitande Personuppgiftsbiträdet svarar på förfrågan.
7. Personuppgiftsincident
7.1 Personuppgiftsbiträdet ska utan onödigt dröjsmål meddela Företaget när Personuppgiftsbiträdet blir medveten om en Personuppgiftsincident som påverkar Företagets Personuppgifter, och tillhandahålla Företaget tillräcklig information för att möjliggöra för Företaget att uppfylla sina skyldigheter att rapportera eller informera Registrerade om Personuppgiftsincidenten enligt Dataskyddslagar.7.2 Personuppgiftsbiträdet ska samarbeta med Företaget och vidta rimliga kommersiella åtgärder enligt Företagets anvisningar för att bistå vid utredningen, begränsningen och åtgärdandet av varje sådan Personuppgiftsincident.
8. Konsekvensanalys för Dataskydd och Förhandssamråd
Personuppgiftsbiträdet ska tillhandahålla rimlig assistans till Företaget med varje konsekvensanalys för dataskydd och förhandssamråd med tillsynsmyndigheter eller andra behöriga dataskyddsmyndigheter, som Företaget rimligen anser vara nödvändiga enligt artikel 35 eller 36 i GDPR eller motsvarande bestämmelser i någon annan Dataskyddslag, i varje fall endast i relation till Behandling av Företagets Personuppgifter av, och med hänsyn till behandlingens natur och information tillgänglig för, de Anlitande Personuppgiftsbiträdena.9. Radering eller Återlämning av Företagets Personuppgifter
9.1 Med förbehåll för denna sektion 9 ska Personuppgiftsbiträdet omedelbart, och i varje fall inom 10 arbetsdagar från datumet för upphörandet av någon tjänst som innebär Behandling av Företagets Personuppgifter (”Upphörandedatumet”), radera och säkerställa radering av alla kopior av dessa Företagets Personuppgifter.10. Revisionsrätt
10.1 Med förbehåll för denna sektion 10, ska Personuppgiftsbiträdet göra tillgängligt för Företaget på begäran all information som behövs för att demonstrera efterlevnad av detta Avtal, och ska tillåta och bidra till revisioner, inklusive inspektioner, av Företaget eller en revisor utsedd av Företaget i relation till Behandlingen av Företagets Personuppgifter av de Anlitande Personuppgiftsbiträdena.10.2 Informations- och revisionsrättigheter för Företaget uppstår endast enligt sektion 10.1 i den utsträckning som Avtalet inte annars ger dem informations- och revisionsrättigheter som uppfyller de relevanta kraven i Dataskyddslagarna.
11. Dataöverföring
11.1 Personuppgiftsbiträdet får inte överföra eller tillåta överföring av Data till länder utanför EU och/eller Europeiska Ekonomiska Samarbetsområdet (EES) utan Företagets skriftliga medgivande. Om personuppgifter som behandlas enligt detta Avtal överförs från ett land inom Europeiska Ekonomiska Samarbetsområdet till ett land utanför Europeiska Ekonomiska Samarbetsområdet, ska Parterna säkerställa att personuppgifterna är tillräckligt skyddade. För att uppnå detta, ska Parterna, om inte annat överenskommits, förlita sig på av EU godkända standardavtalsklausuler för överföring av personuppgifter.12. Allmänna Villkor
12.1 Sekretess. Varje Part måste hålla detta Avtal och information som den tar emot om den andra Parten och dess verksamhet i samband med detta Avtal (”Konfidentiell Information”) konfidentiell och får inte använda eller avslöja denna Konfidentiella Information utan den andra Partens skriftliga medgivande, utom i den utsträckning att:
(a) avslöjandet krävs enligt lag;
(b) den relevanta informationen redan är offentlig.
12.2 Meddelanden. Alla meddelanden och kommunikationer enligt detta Avtal måste vara skriftliga och kommer att levereras personligen, skickas per post eller skickas via e-post till adressen eller e-postadressen som anges i rubriken på detta Avtal eller till sådan annan adress som meddelas från tid till annan av Parterna som ändrar adress.
13. Gällande Lag och Jurisdiktion
13.1 Detta Avtal regleras av svensk lag.
13.2 Alla tvister som uppstår i samband med detta Avtal, som Parterna inte kan lösa i godo, ska hänskjutas till den exklusiva jurisdiktionen hos domstolarna i Jönköping.