Personuppgiftsbiträdesavtal
Personuppgiftsbiträdesavtal
Utkast till personuppgiftsbiträdesavtal enligt artikel 28 i dataskyddsförordningen. Inte godkänt för undertecknande eller avtalsslut.
På den här sidan
Parter, ändamål och varaktighet
Kunden är personuppgiftsansvarig för CRM-uppgifter och Aprex AS (org.nr 937 881 444) är personuppgiftsbiträde. Avtalet gäller behandling som Aprex utför för kundens räkning för att tillhandahålla, driva, säkra och ge support för Hej CRM, så länge Aprex behandlar personuppgifter för kunden. Aprex kan vara självständigt ansvarig för konto, fakturering och egna lagstadgade skyldigheter.
Behandlingens art, registrerade och uppgifter
Behandlingen kan omfatta insamling, registrering, strukturering, lagring, användning, utlämnande till godkända underbiträden, export, rättelse och radering. Registrerade kan vara kundens användare, anställda, kontaktpersoner, kunder, leverantörer och prospekt. Uppgifter kan omfatta namn, arbetskontakt, företag, dialog, säljstatus, uppgifter, avtal, offerter, mötesljud, transkriptioner samt konto-, åtkomst-, säkerhets- och supportuppgifter. Känsliga personuppgifter och uppgifter om fällande domar får inte behandlas utan dokumenterad grund, ändamål och lämpliga åtgärder som avtalats före användning.
Kundens instruktioner och sekretess
Aprex behandlar personuppgifter endast enligt kundens dokumenterade instruktioner, även om överföring, enligt avtalet, kundens konfiguration och senare skriftliga instruktioner som tjänsten stöder. Om EES-rätt eller norsk rätt som gäller för Aprex kräver behandling informerar Aprex kunden före behandlingen, om inte lagen förbjuder det. Aprex underrättar utan onödigt dröjsmål om Aprex anser att en instruktion strider mot dataskyddsreglerna. Personer med åtkomst ska omfattas av sekretess eller motsvarande lagstadgad tystnadsplikt och åtkomsten begränsas till arbetsbehov.
Säkerhet och bistånd
Aprex vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32, anpassade efter risken. Åtgärder och faktisk driftsmiljö ska dokumenteras innan avtalet används; utkastet bekräftar inte att alla beskrivna kontroller är aktiverade i produktion. Med hänsyn till behandlingens art och tillgänglig information bistår Aprex med begäran om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning samt med skyldigheter enligt artiklarna 32–36, inklusive säkerhetsbedömningar, konsekvensbedömning och förhandssamråd. Förfrågningar om kundens behandling vidarebefordras utan onödigt dröjsmål; Aprex svarar inte för kundens räkning utan instruktion eller lagkrav.
Personuppgiftsincidenter
Aprex underrättar kunden utan onödigt dröjsmål efter kännedom om en personuppgiftsincident som berör kunddata. Aprex lämnar tillgänglig information om händelsens art, berörda kategorier och omfattning, sannolika följder, kontaktpunkt och åtgärder, stegvis när uppgifterna blir kända. Aprex bistår kunden med att utreda och dokumentera händelsen. Kunden bedömer och ansvarar för eventuell anmälan till tillsynsmyndighet och registrerade.
Underbiträden och överföringar
Kunden ger ett allmänt skriftligt förhandstillstånd för underbiträdena i den aktuella leverantörslistan. Aprex underrättar kunden minst 30 dagar innan ett nytt eller ersättande underbiträde börjar behandla kunddata, om inte kortare varsel behövs för att hantera en akut säkerhets- eller driftsrisk. Kunden kan inom fristen lämna en konkret och motiverad invändning av dataskyddsskäl. Parterna försöker hitta en lösning; om de inte lyckas kan kunden säga upp den berörda tjänsten innan ändringen träder i kraft. Aprex ingår skriftliga avtal om motsvarande dataskyddsskyldigheter och ansvarar gentemot kunden för underbiträdets fullgörande. Överföring utanför EES kräver dokumenterad instruktion och giltig grund enligt kapitel V.
Återlämning och radering
Under 30 dagar efter att tjänsten upphört med verkan kan kunden exportera uppgifter eller be Aprex att återlämna dem. En begäran om återlämning måste lämnas inom perioden och genomföras före radering. Nödvändig tillfällig lagring under återlämningen begränsas till detta ändamål och återlämningen genomförs utan onödigt dröjsmål. När återlämningen är klar raderar Aprex återstående CRM-kopior, om inte lagen kräver fortsatt lagring. Om kunden inte har begärt återlämning inom fristen raderas CRM-data från aktiva system efter 30-dagarsperioden, med samma lagförbehåll. Automatisk radering aktiveras först efter information till kunden och kontroll av lagrings- och återställningsrutinerna. Säkerhetskopior följer separata återställningsfrister: Neons återställningshistorik till en vald tidigare tidpunkt (PITR) är 24 timmar, nya releasesnapshots sparas i 7 kalenderdagar och nya övningskopior löper ut 24 timmar efter verifierat resultat. Detta garanterar inte fysisk radering av alla leverantörskopior. Aprex personkopplade kvittenser för avtalsacceptans är separata avtalsbevis, inte CRM-data som behandlas för kundens räkning: de sparas i tre kalenderår efter avtalets slut med årlig översyn av ändamål och spärrbehov; vid periodens slut raderas kvittensen och kundspecifika innehållskopior, medan mastertexten sparas en gång i ett begränsat arkiv.
Dokumentation och revision
Aprex tillhandahåller information som behövs för att visa efterlevnad av artikel 28. Kunden får själv, eller genom en oberoende revisor som omfattas av sekretess, genomföra revision normalt en gång per 12 månader med minst 30 dagars varsel och utan onödiga störningar. Begränsningarna gäller inte vid dokumenterad personuppgiftsincident, beslut från tillsynsmyndighet eller konkret och motiverad misstanke om en väsentlig avvikelse. Kunden står för sina egna kostnader och Aprex skäliga merkostnader, om revisionen inte visar en väsentlig avvikelse hos Aprex.