1.1 Detta personuppgiftsbiträdesavtal (”Personuppgiftsbiträdesavtalet”) utgör bilaga till Avtalet avseende Payaps tillhandahållande avseende Tjänsten till kund eller samarbetspartner. De definitioner som tillämpas i Avtalet tillämpas även här. Om inget annat är uttryckligen angivet i detta Personuppgiftsbiträdesavtal ska även definierade begrepp ha samma innebörd som i tillämplig dataskyddslagstiftning, innefattande Europaparlamentets och rådets förordning (EU) 2016/679 (”GDPR” och gemensamt ”Dataskyddsreglerna”).
1.2 Payap kommer vid tillhandahållandet av Tjänsten, som Personuppgiftsbiträde, eller i tillämpliga fall som underbiträde, Behandla Personuppgifter som Kunden eller som Kundens kund (i tillämpliga fall) är Personuppgiftsansvarig för. Payaps Behandling av Personuppgifter ska då ske i enlighet med vad som föreskrivs häri.
2.1 Kunden ska säkerställa att Behandlingen som Kunden utför vid användandet av Tjänsten är förenliga med bestämmelserna häri samt med Dataskyddsreglerna.
2.2 Kunden har rätten, samt är skyldig, att fatta beslut om ändamål och medel för Behandlingen. Syftet med Behandlingen är att tillhandahålla Tjänsten enligt Avtalet och tillämplig produktinformation.
Kundens instruktioner
3.1 Payap ska endast Behandla Personuppgifter som delges av Kunden i samband med tillhandahållandet av Tjänsten enligt detta Personuppgiftsbiträdesavtal, utifrån Kundens instruktioner, i enlighet med tillämpliga lagkrav samt enligt Dataskyddsreglerna, inklusive, men inte begränsat till, artikel 28.3.a-h i GDPR.
3.2 Om Payap finner att Kundens instruktioner strider mot Dataskyddsreglerna eller saknas och Payap bedömer att nya eller kompletterande instruktioner är nödvändiga, ska Payap utan dröjsmål informera Kunden och, om möjligt, tillfälligt upphöra med berörd Behandling och invänta nya instruktioner.
3.3 Payap ska på begäran från Kunden kunna påvisa att denne följer Personuppgiftsbiträdesavtalet, Kundens instruktioner samt Dataskyddsreglerna. Payap ska utan dröjsmål underrätta Kunden om Payap uppmärksammat eller misstänker att en instruktion från Kunden strider, eller kan antas strida, mot Dataskyddsreglerna.
Ansvar för skada
3.4 Payaps ansvar för de skador, och eventuell ersättning för Kundens skador som följer av Avtalet.
3.5 Till undvikande av missförstånd ska artikel 82 i GDPR tillämpas vid ersättning för skada i samband med Behandling som, genom fastställd dom eller förlikning, ska utgå till Registrerade på grund av överträdelse av bestämmelse i Personuppgiftsbiträdesavtalet, instruktioner eller tillämplig bestämmelse i Dataskyddsreglerna.
Tekniska och organisatoriska åtgärder m.m.
3.6 Payap ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda Kundens Personuppgifter som Behandlas av Payap. Payap ska särskilt tillse att uppfylla skyldigheterna som följer av artikel 32 i GDPR och i övrigt, om tillämpligt, följa eventuella specifika krav på säkerhetsåtgärder som överenskommits mellan Payap och Kunden. Payap ska även bistå Kunden att fullgöra Kundens skyldigheter enligt artikel 32–36 i GDPR, med beaktande av den typ av Behandling som Payap utför.
3.7 Payap ska begränsa tillgången till Personuppgifterna till sådana personer som behöver ha tillgång till Personuppgifterna för att fullgöra Payaps åtaganden gentemot Kunden. Payap ska säkerställa att berörda personer omfattas av lämpliga sekretessförbindelser.
3.8 Inga Personuppgifter för vilka Kunden är Personuppgiftsansvarig får sparas av Payap efter det att Tjänsten är avslutad, undantaget om detta krävs för att följa tillämplig lag eller Kundens eventuella skriftliga instruktioner.
3.9 Payap får inte lämna ut Personuppgifter till Tredje part utan Kundens föregående skriftliga medgivande, om inte skyldigheten att lämna ut Personuppgifterna följer av lag eller bindande myndighetsbeslut. Om en begäran från en registrerad eller behörig tillsynsmyndighet inkommer till Payap ska Payap utan dröjsmål vidarefordra begäran till Kunden. Payap ska, i den mån det är skäligt, bistå Kunden med att fullgöra Kundens skyldighet att svara på begäran om utövande av registrerades rättigheter. Payap har rätt att ta skäligt betalt för sådant biträde till Kunden enligt vad som överenskommes i varje enskilt fall.
Personuppgiftsincidenter
3.10 Payap ska rapportera bekräftade och misstänkta Personuppgiftsincidenter utan dröjsmål till Kunden när sådana upptäcks. Rapporteringen ska åtminstone innehålla:
3.11 Om det inte är möjligt för Payap att tillhandahålla hela beskrivningen av en uppkommen Personuppgiftsincident vid ett och samma tillfälle får beskrivningen tillhandahållas i omgångar, utan onödigt dröjsmål. Payap ska, om skäligt, på Kundens begäran även bistå med att utreda misstankar om eventuell obehörig Behandling.
Underbiträden
3.12 Payap har rätt att anlita underbiträden eller byta ut underbiträden utan Kundens föregående skriftliga medgivande. Payap åtar sig att ingå ett personuppgiftsbiträdesavtal med varje underbiträde som innehåller åtminstone motsvarande skyldigheter som följer av detta Personuppgiftsbiträdesavtal. Payap ansvarar fullt ut gentemot Kunden för Behandling som utförs av underbiträde. För det fall att underbiträde finns i ett tredje land, enligt definitionen i GDPR, ska Payap tillse att anlitandet av sådant underbiträde sker i enlighet med Dataskyddsreglerna. Vid tiden för ingåendet av detta Personuppgiftsbiträdesavtal har Payap anlitat de underbiträden som framgår av Payaps webbplats. Payap ska hålla listan med underbiträden på webbplatsen uppdaterad. Payap informerar även om byte av underbiträden via Tjänsten eller Payaps webbplats. Om Kunden invänder mot anlitandet av ett specifikt underbiträde har Payap rätt att säga upp Avtalet enligt vad som föreskrivs däri.
Tillgång till information och granskning
13.13 Payap är skyldig att ge Kunden tillgång till den information som krävs för att visa att skyldigheterna enligt artikel 28 i GDPR efterföljs. Payap ska tillåta att Kunden granskar Payaps efterlevnad av detta Personuppgiftsbiträdesavtal. En sådan granskning kan genomföras en gång per år. Före påbörjandet av sådan granskning ska Kunden och Payap gemensamt komma överens om granskningens omfattning, tidpunkt, varaktighet, kontroll- och beviskrav samt kostnadsfördelning, förutsatt att detta krav på överenskommelse inte tillåter Payap att orimligt försena genomförandet av granskningen.
Hantering vid Tjänstens upphörande
13.14 När Tjänsten avslutas ska Payap antingen göra Personuppgifterna tillgängliga för Kunden eller relevant partner till Kunden, eller radera Personuppgifterna enligt vad som föreskrivs i Avtalet. På begäran av Kunden ska Payap skriftligen bekräfta när åtgärderna enligt ovan är utförda.
Båda Parter äger rätt att påkalla omförhandling av Personuppgiftsbiträdesavtalet om tillämplig lagstiftning, eller tolkningen av den, ändras på ett för Behandlingen avgörande sätt. Tillägg och ändringar av Personuppgiftsbiträdesavtalet ska vara skriftliga och undertecknas av båda Parterna.
Underbilaga 1
Som tillägg till de instruktioner till Payap som i övrigt framgår av detta Personuppgiftsbiträdesavtal och Avtalet ska de instruktioner och den information som följer nedan iakttas vid Behandling av Personuppgifterna. Uppdatering av denna Underbilaga 1 kan göras via e-post till utsedd kontaktperson, för det fall båda Parter bekräftar den uppdaterade skrivningen.
Behandlingens syfte
Payap Behandlar Personuppgifterna för att leverera Tjänsten. Behandling ska även ske för felsökning, åtgärdande av fel, att hålla Tjänsten uppdaterad, att tjänsten fungerar, samt för att förbättra användarproduktivitet, tillförlitlighet, effektivitet, kvalitet och säkerhet avseende Tjänsten. Payap kan även komma att Behandla Personuppgifter på andra sätt när Payap utför tjänster i enlighet med Avtalet eller senare skriftliga överenskommelser mellan Parterna.
Kategorier av Personuppgifter
Följande Personuppgifter ska Behandlas av Payap:
Kategori/kategorier av Registrerade
Payap ska Behandla Personuppgifter för följande kategorier av Registrerade:
Behandlingens art och natur
Behandlingen omfattar genom Tjänstens lagring, organisering, strukturering, anpassning, hämtning, sammanställning, delning, radering, felsökning, support och annan bearbetning av den information som skickas till/laddas upp/läggs in/skapas och på annat sätt hanteras av Kunden, i tillämpliga fall Kundens kund, samt Payap inom ramen för Tjänsten.
Behandlingens varaktighet
Behandlingen ska fortgå så länge Avtalet föreskriver, eller för att Behandlingen är nödvändig enligt tillämplig lagstiftning.