Personuppgiftsbiträdesavtal

1. Parter och bakgrund

Detta personuppgiftsbiträdesavtal gäller mellan den organisation som ingått partneravtal för Bokkassan (Personuppgiftsansvarig eller Partnern) och Rutström i Sverige AB, org.nr 559466-7114 (Personuppgiftsbiträdet eller Rutströms).

Avtalet gäller när Partnern använder funktioner i Bokkassan där Rutströms behandlar personuppgifter för Partnerns räkning. Det utgör en bilaga till partneravtalet och gäller under samma tid som det, eller så länge Rutströms behandlar personuppgifter för Partnerns räkning.

2. Behandlingens omfattning och ändamål

Rutströms får endast behandla personuppgifter för att tillhandahålla Bokkassans funktioner samt för nödvändig lagring, teknisk drift, säkerhet, felsökning och support.

Behandlingen kan omfatta uppgifter som Partnern själv registrerar i Bokkassan, exempelvis namn, kontaktuppgifter, bokambassadörers identitet och egna anteckningar om Partnerns bokambassadörer eller kontakter. Registrerade kan exempelvis vara Partnerns bokambassadörer, kontaktpersoner eller andra personer vars uppgifter Partnern själv för in i systemet.

Partnern får inte registrera känsliga personuppgifter enligt artikel 9 i GDPR eller personnummer i Bokkassans fritextfält.

3. Partnerns ansvar

Partnern är personuppgiftsansvarig för de personuppgifter som Partnern för in och behandlar för egen räkning i Bokkassan, och ansvarar för att

• det finns laglig grund för behandlingen,
• de registrerade får den information som krävs enligt GDPR,
• endast uppgifter som behövs för ändamålet registreras, och
• uppgifterna är relevanta och hanteras i enlighet med tillämplig dataskyddslagstiftning.

Registrerar Partnern uppgifter om barn, exempelvis elever som är bokambassadörer, ansvarar Partnern för att vårdnadshavare informerats i den utsträckning det krävs.

4. Rutströms behandling

Rutströms får endast behandla personuppgifterna enligt detta avtal, partneravtalet och andra dokumenterade instruktioner från Partnern. Rutströms får inte använda uppgifterna för egna ändamål.

Om Rutströms bedömer att en instruktion från Partnern strider mot GDPR eller annan tillämplig dataskyddslagstiftning ska Partnern informeras.

5. Sekretess och säkerhet

Rutströms ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifterna mot obehörig åtkomst, förlust, förstöring eller annan otillåten behandling. Personer som har tillgång till personuppgifterna ska omfattas av sekretess eller motsvarande tystnadsplikt.

6. Underbiträden

Partnern ger Rutströms ett generellt tillstånd att använda underbiträden som behövs för Bokkassans tekniska drift. Rutströms ansvarar för att underbiträden omfattas av dataskyddsskyldigheter som motsvarar kraven i detta avtal, och ska informera Partnern om väsentliga förändringar samt ge Partnern möjlighet att göra befogade invändningar.

Aktuella underbiträden

Google Analytics finns inte med i listan. Den behandlingen sker för Rutströms egen räkning som personuppgiftsansvarig och inte för Partnerns, och beskrivs i integritetspolicyn.

7. Registrerades rättigheter

Rutströms ska, i den utsträckning det är möjligt och relevant, bistå Partnern när en registrerad begär att få utöva sina rättigheter enligt GDPR, exempelvis rätt till tillgång, rättelse eller radering. Om en sådan begäran riktas direkt till Rutströms avseende uppgifter som behandlas för Partnerns räkning ska Partnern informeras.

8. Personuppgiftsincidenter

Rutströms ska utan onödigt dröjsmål informera Partnern om Rutströms får kännedom om en personuppgiftsincident som berör uppgifter som behandlas för Partnerns räkning, och lämna den information som skäligen behövs för att Partnern ska kunna uppfylla sina skyldigheter enligt GDPR.

Rutströms ska även, när det är relevant, bistå Partnern med skyldigheter avseende säkerhet, konsekvensbedömningar och kontakter med tillsynsmyndighet enligt artiklarna 32 till 36 i GDPR.

9. Lagring och överföring

Personuppgifter ska i första hand behandlas inom EU/EES. Om behandling eller överföring till land utanför EU/EES blir aktuell ska Rutströms säkerställa att överföringen sker i enlighet med GDPR och tillämpliga krav för tredjelandsöverföringar.

10. När avtalet upphör

När partneravtalet upphör ska Rutströms, enligt Partnerns instruktion och i den mån annat inte krävs enligt lag, radera eller återlämna de personuppgifter som Rutströms behandlat för Partnerns räkning och därefter radera kvarvarande kopior.

Uppgifter som utgör bokföringsunderlag för genomförda utbetalningar bevaras enligt bokföringslagen, se integritetspolicyn.

11. Information och kontroll

Rutströms ska på begäran tillhandahålla den information som skäligen krävs för att visa att skyldigheterna enligt detta avtal och artikel 28 i GDPR uppfylls, samt möjliggöra och medverka till skäliga kontroller eller granskningar som krävs enligt GDPR.

12. Giltighet

Detta personuppgiftsbiträdesavtal utgör en del av partneravtalet för Bokkassan. Genom att godkänna partneravtalet godkänner Partnern även detta avtal när Rutströms behandlar personuppgifter för Partnerns räkning. Någon separat underskrift behövs alltså inte.

Vid motstridighet mellan detta avtal och partneravtalet i frågor som rör behandling av personuppgifter har detta personuppgiftsbiträdesavtal företräde.