Personuppgiftsbiträdesavtal

1. Introduktion

Detta personuppgiftsbiträdesavtal (”Bilagan”) utgör en oskiljaktig del av de allmänna användarvillkor som ingåtts mellan Liid Oy (”Leverantören”) och dig (”Kunden”) när du laddade ner applikationen med namnet ”Liid for CRM” och accepterade de ovannämnda villkoren (”Avtalet”).

Syftet med denna bilaga är att avtala om integritet och dataskydd för den personuppgiftsansvariges personuppgifter inom Leverantörens tjänster. Denna bilaga utgör ett skriftligt avtal i enlighet med EU allmänna dataskyddsförordning (679/2016) (”Förordningen”) avseende behandling av personuppgifter. De skyldigheter och rättigheter som direkt grundar sig på EU allmänna dataskyddsförordning träder i kraft först när EU allmänna dataskyddsförordning börjar tillämpas den 25 maj 2018.

Om villkoren avseende behandling av personuppgifter i Bilagan och Avtalet strider mot varandra ska parterna i första hand tillämpa villkoren i denna bilaga.

2. Definitioner

I enlighet med EU allmänna dataskyddsförordning definieras nedanstående termer enligt följande:

”Personuppgiftsansvarig” avser Kunden eller Kundens klient, som fastställer ändamålen med och metoderna för behandlingen av personuppgifter.

”Personuppgiftsbiträde” avser Leverantören, som behandlar personuppgifter för den personuppgiftsansvariges räkning med stöd av Avtalet.

”Behandling” eller ”Behandlingsaktiviteter” avser en åtgärd eller kombination av åtgärder som utförs på personuppgifter eller uppsättningar av personuppgifter, automatiserat eller manuellt, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

”Personuppgifter” avser varje upplysning som avser en identifierad eller identifierbar fysisk person, nedan kallad ”Registrerad”. En identifierbar fysisk person är en person som direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifierare såsom ett namn, ett identifikationsnummer, lokaliseringsuppgifter, en onlineidentifierare eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

”Personuppgiftsincident” avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av personuppgifter, eller till obehörigt röjande av eller obehörig åtkomst till personuppgifter som överförts, lagrats eller på annat sätt behandlats.

3. Dataskydd och behandling av personuppgifter

3.1 Leverantörens och Kundens skyldigheter

Leverantören ska behandla den personuppgiftsansvariges personuppgifter för Kundens räkning och på Kundens uppdrag med stöd av Avtalet. De personuppgifter som Leverantören behandlar kan exempelvis avse anställda eller kunder. Kunden eller Kundens klient ska vara personuppgiftsansvarig och Leverantören ska vara personuppgiftsbiträde för de personuppgifter som behandlas inom tjänsten. Parterna förbinder sig att följa vid varje tidpunkt gällande lagstiftning, förordningar samt myndighetsföreskrifter och riktlinjer om behandling av personuppgifter i Finland och EU.

Den personuppgiftsansvarige ansvarar för att ha nödvändiga rättigheter och rättsliga grunder samt för att ha inhämtat nödvändiga samtycken för behandlingen av personuppgifter. Den personuppgiftsansvarige ansvarar för att utarbeta integritetspolicyn och informera de registrerade. Kunden ansvarar för att de personuppgifter som Kunden har lämnat till Leverantören är korrekta.

Den personuppgiftsansvarige har rätt och skyldighet att fastställa ändamålen med och metoderna för behandlingen av personuppgifter. Föremålet för, karaktären av och ändamålet med behandlingen definieras närmare i Avtalet. De typer av personuppgifter och kategorier av registrerade som behandlas inom tjänsterna anges i formuläret som specificerar behandlingsåtgärderna, Bilaga 1.

Leverantören har endast rätt att behandla den personuppgiftsansvariges personuppgifter och andra uppgifter med stöd av Avtalet, denna bilaga och Kundens skriftliga instruktioner, och endast i den omfattning och på det sätt som är nödvändigt för att tillhandahålla tjänsterna. Leverantören ska underrätta Kunden om Leverantören upptäcker att instruktionerna strider mot EU eller Finlands dataskyddslagstiftning. I sådana fall får Leverantören omedelbart avstå från och upphöra med att tillämpa Kundens instruktioner.

Leverantören ska upprätthålla en tjänstebeskrivning eller annan förteckning över tjänstens behandlingsaktiviteter i de fall detta krävs enligt EU allmänna dataskyddsförordning. Leverantören har rätt att samla in anonyma och statistiska uppgifter om användningen av tjänsterna i enlighet med Avtalet, förutsatt att uppgifterna inte identifierar Kunden eller de registrerade, och använda dessa uppgifter för att analysera och utveckla sina tjänster.

3.2 Radering eller återlämnande av uppgifter

Efter Avtalets upphörande ska Leverantören, enligt Kundens instruktioner, återlämna eller radera samtliga personuppgifter som tillhör den personuppgiftsansvarige samt radera alla kopior, såvida inte tillämplig lagstiftning kräver att personuppgifterna bevaras.

3.3 Underleverantörer

Leverantören får anlita underleverantörer för behandling av den personuppgiftsansvariges personuppgifter. Leverantören ansvarar för underleverantörernas handlingar som för sina egna och ska ingå skriftliga avtal med underleverantörerna om behandling av personuppgifter. På begäran ska Leverantören i förväg informera Kunden om de underleverantörer som Leverantören avser att anlita för behandling av personuppgifter enligt Avtalet. Kunden har rätt att motsätta sig användningen av en ny underleverantör på skäliga grunder. Om parterna inte kan nå en överenskommelse om användningen av en ny underleverantör har Kunden rätt att säga upp Avtalet med trettio (30) dagars uppsägningstid, i den mån bytet av underleverantör påverkar behandlingen av personuppgifter enligt Avtalet.

3.4 Leverantörens skyldighet att bistå

Leverantören ska omedelbart vidarebefordra alla begäranden från registrerade om tillgång till, rättelse eller radering av personuppgifter, invändningar mot behandling av personuppgifter eller andra begäranden till Kunden. På Kundens begäran ska Leverantören bistå Kunden med att uppfylla de registrerades begäranden.

Leverantören är skyldig att, med hänsyn till behandlingens art och den information som finns tillgänglig, bistå Kunden med att säkerställa att Kunden uppfyller sina rättsliga skyldigheter. Dessa skyldigheter kan omfatta krav avseende informationssäkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd samt skyldigheter avseende förhandssamråd. Leverantören är endast skyldig att bistå Kunden i den utsträckning som tillämplig lagstiftning ålägger personuppgiftsbiträdet. Om inget annat avtalats har Leverantören rätt att fakturera kostnader som uppstår till följd av åtgärder enligt detta avsnitt 3.4 i enlighet med Leverantörens vid var tid gällande prislista.

Leverantören ska vidarebefordra alla förfrågningar från dataskyddsmyndigheter direkt till Kunden och invänta ytterligare instruktioner från Kunden. Om inget annat avtalats har Leverantören inte rätt att företräda Kunden eller agera för Kundens räkning gentemot de myndigheter som utövar tillsyn över Kunden.

4. Behandling som sker utanför EU/EES

Leverantören och dess underleverantörer får behandla personuppgifter utanför EU/EES. Om sådana överföringar eller sådan behandling sker ska Leverantören säkerställa att EU-kommissionens standardavtalsklausuler 2010/87/EU för överföring av personuppgifter utanför EU/EES, eller en liknande rättslig skyddsåtgärd som godkänts enligt Förordningen, tillämpas på sådan överföring eller behandling.

Genom att underteckna denna bilaga ger Kunden Leverantören fullmakt att företräda Kunden vid undertecknandet av avtalsklausulerna för Kundens räkning och i Kundens namn. Kunden godkänner dessutom uttryckligen att Leverantören även får företräda den berörda underleverantören i samband med avtalsklausulerna.

5. Revision

Kunden eller en revisor som Kunden har auktoriserat (dock inte en konkurrent till Leverantören) har rätt att granska den verksamhet som omfattas av Bilagan. Parterna ska i förväg, och senast 14 dagar före granskningen, komma överens om tidpunkten för revisionen och övriga detaljer. Revisionen ska genomföras på ett sätt som inte hindrar Leverantören eller dess underleverantörer från att fullgöra sina skyldigheter gentemot tredje part. Kundens representanter och revisorn måste underteckna sedvanliga sekretessförbindelser.

Kunden ska ansvara för sina egna och Leverantörens kostnader som uppstår till följd av revisionen. Om betydande brister upptäcks under revisionen ska Leverantören ansvara för de kostnader som uppstått till följd av revisionen.

6. Informationssäkerhet

Leverantören ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda den personuppgiftsansvariges personuppgifter, med hänsyn till samtliga risker som behandlingen medför, särskilt oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till personuppgifter som har överförts, lagrats eller på annat sätt behandlats. Vid utformningen av säkerhetsåtgärderna ska de tekniska möjligheterna och kostnaderna för dessa bedömas i förhållande till de särskilda riskerna med den aktuella behandlingen och känsligheten hos de personuppgifter som behandlas.

Kunden är skyldig att säkerställa att Leverantören informeras om alla omständigheter som rör de personuppgifter som Kunden har lämnat, såsom riskbedömningar och behandling av särskilda kategorier av registrerade, som påverkar de tekniska och organisatoriska åtgärderna enligt denna bilaga. Leverantören ska säkerställa att Leverantörens personal eller dess underleverantörers personal följer lämpliga sekretessförbindelser.

7. Personuppgiftsincidenter

Leverantören ska underrätta Kunden om alla personuppgiftsincidenter utan onödigt dröjsmål (inom 72 timmar) efter att Leverantören eller någon av Leverantörens underleverantörer har fått kännedom om incidenten.

På Kundens begäran ska Leverantören utan onödigt dröjsmål lämna Kunden all relevant information om personuppgiftsincidenten. I den mån informationen finns tillgänglig för Leverantören ska Leverantören åtminstone beskriva följande för Kunden:

• (a) den inträffade personuppgiftsincidenten,

• (b) om möjligt, kategorierna av registrerade och antalet registrerade samt kategorierna av personuppgifter och uppskattade antal,

• (c) en beskrivning av de sannolika konsekvenserna av personuppgiftsincidenten, och

• (d) en beskrivning av de korrigerande åtgärder som Leverantören har vidtagit eller kommer att vidta för att förhindra framtida personuppgiftsincidenter och, vid behov, åtgärder för att minimera incidentens negativa effekter.

Leverantören ska dokumentera och rapportera resultaten av utredningen och de genomförda åtgärderna till Kunden.

Kunden ansvarar för nödvändiga anmälningar till dataskyddsmyndigheterna.

8. Övriga bestämmelser

Om en person lider materiell eller immateriell skada till följd av en överträdelse av EU allmänna dataskyddsförordning eller denna bilaga ska Leverantören endast ansvara för skadan i den utsträckning Leverantören inte uttryckligen har följt de skyldigheter som åläggs personuppgiftsbiträden enligt EU allmänna dataskyddsförordning eller denna bilaga.

Båda parterna är endast skyldiga att betala den del av skadeståndet eller den administrativa sanktionsavgiften som motsvarar det skadeansvar som fastställts genom ett slutligt beslut av en dataskyddsmyndighet eller domstol. Parternas ansvar ska i samtliga fall fastställas enligt Avtalet.

Leverantören ska skriftligen underrätta Kunden om alla förändringar som kan påverka Leverantörens förmåga eller möjligheter att följa denna bilaga och Kundens skriftliga instruktioner. Parterna ska skriftligen komma överens om alla tillägg och ändringar av denna bilaga.

Denna bilaga träder i kraft när båda parterna har undertecknat den. Bilagan ska fortsätta att gälla (i) så länge Avtalet gäller eller (ii) så länge parterna har skyldigheter gentemot varandra avseende behandling av personuppgifter.

De skyldigheter som till sin natur är avsedda att fortsätta gälla efter att denna bilaga har upphört ska fortsätta att gälla även efter bilagans upphörande.

Bilaga – Specifikation av personuppgiftsbehandling

1. Tillämplighet

Detta formulär för behandlingsspecifikation utgör en oskiljaktig del av bilagan om behandling av personuppgifter. Formuläret för behandlingsspecifikation specificerar ett behandlingsuppdrag som personuppgiftsbiträdet utför till förmån för den personuppgiftsansvarige på det sätt som anges i Avtalet och denna bilaga.

2. Tjänster

Behandlingen avser följande tjänster för automatisering och berikning av CRM-data hos LiiD kundföretag.

3. Geografisk plats för personuppgifter

Personuppgifterna behandlas både inom och utanför EU/EES, inklusive men inte begränsat till Amerikas förenta stater.

4. Kategorier av registrerade

De personuppgifter som behandlas avser följande kategorier av registrerade:

• Anställda hos LiiD kundföretag

• Användare av LiiD-applikationen

• Kontaktpersoner hos LiiD-kundens klienter

• Privatkunder hos LiiD-kunden

5. Typer av personuppgifter

De typer av personuppgifter som behandlas kan exempelvis omfatta kunduppgifter och leverantörsuppgifter, såsom namn, befattning, hemadress, telefonnummer, e-postadress, födelsedatum, kön, kundnummer samt historik över inköp och tjänsteanvändning; ekonomiska uppgifter; uppgifter om anställda och personal; samt IT-administrationsuppgifter, såsom systemuppgifter om den tillhandahållna tjänsten, inklusive teknisk identifiering, användarnamn, plats, kontaktinformation och tekniska åtgärder som rör de tillhandahållna tjänsterna, såsom system- och applikationsloggar, säkerhetsloggar, uppgifter från lokal- och systemövervakning samt uppgifter om informationssäkerhetsincidenter. Observera insamlingen av personnummer eller bakgrundskontroller i detta avsnitt.

De personuppgifter som behandlas inom tjänsten består av följande typer av personuppgifter:

• Namn

• Företag

• Befattning

• E-postadress

• Telefonnummer

• Adress och andra kontaktuppgifter

• Information om aktiviteter med kunder, såsom telefonsamtal, e-postkonversationer och kalenderbokningar

Om du har några frågor om personuppgiftsbiträdesavtalet, vänligen kontakta oss via e-post på info@liid.com.