Avtal om behandling av personuppgifter

Personuppgiftsbiträde

Eric Melin under firman Webem (maintlead-tjänsten), FO-nummer 3463147-6, adress Kyläsaarenkuja 7 A35, 00580 HELSINGFORS, e-post eric@maintlead.com

(nedan "Personuppgiftsbiträdet")

Personuppgiftsansvarig

Det kundföretag som har beställt Personuppgiftsbiträdets maintlead-tjänst och vars namn, FO-nummer och kontaktuppgifter har angetts i samband med registreringen för tjänsten

(nedan "den Personuppgiftsansvarige")

Definitioner

Personuppgiftsbiträdet och den Personuppgiftsansvarige har ingått maintlead-tjänstens användarvillkor och ett eventuellt beställnings- eller pilotavtal (nedan "Huvudavtalet"). För att uppnå Huvudavtalets syften är det nödvändigt att Personuppgiftsbiträdet behandlar de nedan definierade personuppgifter som den Personuppgiftsansvarige samlar in och tillhandahåller. I detta avtal fastställs de villkor enligt vilka dessa personuppgifter ska behandlas.

Med "personuppgift" avses alla uppgifter som rör en identifierad eller identifierbar fysisk person (nedan en "registrerad"). Som identifierbar anses en fysisk person som direkt eller indirekt kan identifieras, särskilt genom hänvisning till en identifierare som ett namn, ett identifikationsnummer, lokaliseringsuppgifter, en nätidentifikator eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Med "behandling av personuppgifter" avses en åtgärd eller kombination av åtgärder som utförs på personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller inte, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, hämtning, läsning, användning, utlämnande genom överföring, spridning eller tillhandahållande på annat sätt, sammanställning eller samkörning, begränsning, radering eller förstöring.

I det avtalsförhållande som avses i detta avtal är den Personuppgiftsansvarige den part som bestämmer syftena med och medlen för behandlingen av personuppgifter, medan Personuppgiftsbiträdet är den tekniska aktör som, som en del av Huvudavtalet, behandlar personuppgifter för den Personuppgiftsansvariges räkning.

Med "tillämplig lagstiftning" avses Europeiska unionens allmänna dataskyddsförordning (EU) 2016/679 samt Finlands dataskyddslag (1050/2018) och annan lagstiftning som är tillämplig på behandlingen av personuppgifter.

Den Personuppgiftsansvariges allmänna rättigheter och skyldigheter

Den Personuppgiftsansvarige

a) ansvarar för insamlingen av personuppgifter;

b) behandlar personuppgifter lagligt, omsorgsfullt och i enlighet med god databehandlingssed samt agerar även annars så att de registrerades skydd för privatlivet och övriga grundläggande fri- och rättigheter som skyddar integriteten inte begränsas utan en grund som anges i lag;

c) bestämmer syftena med och medlen för behandlingen av personuppgifter samt ger Personuppgiftsbiträdet skriftliga instruktioner om behandlingen av personuppgifter. Av syftet med behandlingen ska framgå för vilken typ av uppgifter personuppgifterna behandlas. Som den Personuppgiftsansvariges instruktioner betraktas detta avtal, Huvudavtalet samt instruktioner som den Personuppgiftsansvarige ger genom sin användning av maintlead-tjänstens funktioner;

d) ansvarar för att de registrerade ges alla meddelanden och all information om behandlingen av personuppgifter som lagstiftningen kräver;

e) ansvarar för att de registrerades rättigheter tillgodoses;

f) säkerställer att överföringen av personuppgifter till Personuppgiftsbiträdet samt behandlingen av personuppgifter enligt detta avtal är laglig under hela avtalets giltighetstid;

g) försäkrar att, om den företräder sina koncernbolag eller tredje parter i detta avtal, den har rätt att ingå detta avtal och att ge Personuppgiftsbiträdet rätt att behandla personuppgifter i enlighet med detta avtal och Huvudavtalet;

h) bekräftar och ansvarar för att den behandling av personuppgifter som avses i detta avtal uppfyller de krav som ställs i lagstiftningen, inklusive informationssäkerhetskraven;

i) bekräftar att den har gett Personuppgiftsbiträdet all information som Personuppgiftsbiträdet behöver för att kunna fullgöra de skyldigheter som åläggs det i detta avtal i enlighet med dataskyddslagstiftningens krav;

j) ansvarar för att rättelser, raderingar och ändringar av personuppgifter lämnas till Personuppgiftsbiträdet utan dröjsmål; och

k) ansvarar för att den har den rättsliga grund som lagstiftningen kräver för den kontakt med registrerade som sker via maintlead-tjänsten (såsom servicepåminnelser och serviceanmälningar), samt för att den inte lagrar särskilda kategorier av personuppgifter eller personbeteckningar i tjänsten.

Personuppgiftsbiträdets allmänna rättigheter och skyldigheter

Personuppgiftsbiträdet

a) behandlar personuppgifter endast för de ändamål som definieras i Huvudavtalet och detta avtal, endast i den omfattning som är nödvändig för att uppnå Huvudavtalets syfte och endast under detta avtals giltighetstid, om inte tvingande lagstiftning kräver annat. Personuppgiftsbiträdet har inte rätt att använda de personuppgifter det tar emot i sin egen verksamhet, lämna ut dem, behandla dem eller sammanställa uppgifterna med annat material det innehar, annat än i den omfattning som avses i Huvudavtalet och vid skötseln av den uppgift som avses där;

b) behandlar personuppgifter lagligt, omsorgsfullt och i enlighet med god databehandlingssed samt agerar även annars så att de registrerades skydd för privatlivet och övriga grundläggande fri- och rättigheter som skyddar integriteten inte begränsas utan en grund som anges i lag;

c) behandlar, och säkerställer att den person under dess ledning som har åtkomst till personuppgifter behandlar, personuppgifter endast i enlighet med den Personuppgiftsansvariges dokumenterade, lagliga och rimliga instruktioner. Avvikelse från detta kan ske om tillämplig tvingande lagstiftning kräver det, men Personuppgiftsbiträdet ska då utan dröjsmål informera den Personuppgiftsansvarige om avvikelsen, förutsatt att tillämplig lagstiftning inte förbjuder sådan information;

d) säkerställer att personuppgifter behandlas endast av de personer vars arbetsuppgifter kräver det, och att dessa personer har åtagit sig att iaktta sekretess eller är bundna av en lämplig lagstadgad tystnadsplikt;

e) genomför alla de säkerhetsåtgärder som lagstiftningen kräver av personuppgiftsbiträden, enligt vad som avtalas närmare i detta avtal;

f) bistår, i den mån det är möjligt och med beaktande av behandlingens art, den Personuppgiftsansvarige med lämpliga tekniska och organisatoriska åtgärder för att fullgöra kundens skyldighet att svara på begäranden som gäller utövandet av de registrerades rättigheter;

g) bistår, med beaktande av behandlingens art och den information Personuppgiftsbiträdet har tillgång till, den Personuppgiftsansvarige med att säkerställa att de skyldigheter som enligt lag åläggs den Personuppgiftsansvarige, såsom säkerhetsåtgärder, konsekvensbedömning och förhandssamråd, iakttas. Personuppgiftsbiträdet är skyldigt att bistå den Personuppgiftsansvarige endast inom ramen för de skyldigheter som tillämplig lagstiftning ålägger Personuppgiftsbiträdet;

h) beaktar utan onödigt dröjsmål de rättelser, raderingar och ändringar av uppgifter som den Personuppgiftsansvarige har lämnat, vid behandlingen av personuppgifter;

i) förstör eller, enligt kundens val och instruktioner, returnerar till den Personuppgiftsansvarige, under eller vid detta avtals upphörande, alla personuppgifter och raderar befintliga kopior, om inte tvingande lagstiftning kräver annat. Praxis för förstöring och återlämnande kan avtalas närmare separat mellan parterna;

j) för nödvändiga register eller förteckningar över behandlingsåtgärder och gör tillgängligt för den Personuppgiftsansvarige all information som visar att Personuppgiftsbiträdet iakttar de skyldigheter som åläggs det i detta avtal och i tillämplig lagstiftning;

k) tillåter, och deltar i, granskningar som utförs av den Personuppgiftsansvarige eller en av den Personuppgiftsansvarige befullmäktigad granskare, enligt vad som avtalas närmare i detta avtal;

l) meddelar den Personuppgiftsansvarige om Personuppgiftsbiträdet anser att en instruktion som den Personuppgiftsansvarige har gett strider mot tillämplig lagstiftning;

m) meddelar den Personuppgiftsansvarige om Personuppgiftsbiträdet anser att det finns brister i den Personuppgiftsansvariges rutiner, och bistår vid behov den Personuppgiftsansvarige med att korrigera rutinerna.

Personuppgiftsbiträdet har rätt att separat fakturera för de ovan beskrivna bistånds-, korrigerings- och svarsåtgärderna, för stöd vid granskning samt för åtgärder som beror på ändringar i kundens instruktioner, samt för sina kostnader för dessa.

Med avvikelse från punkt a) ovan har Personuppgiftsbiträdet rätt att av personuppgifter producera anonymiserad, sammanställd statistisk information, av vilken ingen enskild registrerad eller den Personuppgiftsansvarige kan identifieras, för utveckling av tjänsten och för statistikändamål.

Underbiträden

Personuppgiftsbiträdet får i princip använda underbiträden vid behandlingen av personuppgifter med stöd av detta avtal. Med "underbiträde" avses ett biträde som, helt eller delvis, behandlar personuppgifter enligt detta avtal för Personuppgiftsbiträdets räkning och på dess uppdrag.

De underbiträden som används i behandlingen har meddelats den Personuppgiftsansvarige innan detta avtal undertecknades. Personuppgiftsbiträdet ska informera den Personuppgiftsansvarige om alla planerade ändringar som gäller tillägg av eller byte av underbiträden, och därigenom ge den Personuppgiftsansvarige möjlighet att invända mot sådana ändringar.

Personuppgiftsbiträdet ingår ett skriftligt behandlingsavtal med underbiträdet och förutsätter att alla underbiträden iakttar de dataskyddsskyldigheter som i detta avtal åläggs Personuppgiftsbiträdet, eller skyldigheter som garanterar en motsvarande skyddsnivå. Underbiträdet behandlar personuppgifter endast i enlighet med det skriftliga avtalet. Personuppgiftsbiträdet ansvarar för sina underbiträdens åtgärder som för sina egna.

Underbiträden som används vid den tidpunkt detta avtal godkänns (se även den mer detaljerade, uppdaterade förteckningen över underbiträden med länkar i slutet av denna sida):

Geografisk plats för behandlingen av personuppgifter

Personuppgiftsbiträdet har rätt att överföra personuppgifter utanför Europeiska unionen, Europeiska ekonomiska samarbetsområdet eller andra länder som Europeiska kommissionen har konstaterat garantera en adekvat skyddsnivå, endast med den Personuppgiftsansvariges föregående skriftliga samtycke. Genom att godkänna detta avtal ger den Personuppgiftsansvarige sitt samtycke till att de underbiträden som anges i avsnittet Underbiträden används i den omfattning deras behandling kräver överföring utanför de ovannämnda områdena, förutsatt att överföringen sker med stöd av en överföringsmekanism enligt följande stycke.

Om uppgifter överförs utanför de ovannämnda områdena ingår Personuppgiftsbiträdet, i enlighet med tillämplig lagstiftnings krav, ett avtal om överföring av personuppgifter med de parter som behövs. Avtalet om överföring av personuppgifter upprättas i enlighet med de standardavtalsklausuler som godkänts av Europeiska kommissionen. Som alternativ till att använda standardavtalsklausulerna kan överföringen ske med stöd av andra överföringsmekanismer som godkänns av tillämplig lagstiftning.

Om det finns en konflikt mellan standardavtalsklausulerna, eller någon annan laglig överföringsmekanism, och detta avtal eller Huvudavtalet, har standardavtalsklausulerna och de alternativa överföringsmekanismerna alltid företräde framför detta avtal och Huvudavtalet.

Granskning

Den Personuppgiftsansvarige har rätt att granska Personuppgiftsbiträdets databehandlingsverksamhet enligt detta avtal. Personuppgiftsbiträdet ska bistå vid och delta i granskningen efter bästa förmåga.

Den Personuppgiftsansvarige kan befullmäktiga en extern granskare att utföra granskningen, men sådana granskare får inte vara konkurrenter till Personuppgiftsbiträdet. Parterna kommer i god tid innan granskningen utförs överens om tidpunkten för den och övriga detaljer. Granskningen ska utföras på ett sätt som inte stör Personuppgiftsbiträdets åtaganden gentemot tredje part. Alla representanter för den Personuppgiftsansvarige och externa granskare som deltar i granskningen ska underteckna ett sedvanligt sekretessavtal till förmån för Personuppgiftsbiträdet.

Den Personuppgiftsansvarige ansvarar för alla kostnader som granskningen medför. Personuppgiftsbiträdet har även rätt att fakturera den Personuppgiftsansvarige för bistånd vid granskningen och för annat merarbete som den medför.

Sekretess

Personuppgiftsbiträdet åtar sig att

a) hålla konfidentiella alla personuppgifter det tar emot från den Personuppgiftsansvarige;

b) säkerställa att personer som har rätt att behandla personuppgifter har åtagit sig att iaktta sekretess; samt

c) säkerställa att personuppgifter inte överförs till tredje part (med undantag för underbiträden enligt detta avtal) utan den Personuppgiftsansvariges föregående skriftliga samtycke, om inte Personuppgiftsbiträdet är skyldigt att lämna ut uppgifterna med stöd av tvingande lagstiftning eller ett myndighetsbeslut.

Om en registrerad eller en myndighet gör en begäran som gäller personuppgifter ska Personuppgiftsbiträdet, så snart det är rimligen möjligt, meddela den Personuppgiftsansvarige om en sådan begäran innan den besvaras eller andra åtgärder som gäller personuppgifterna vidtas. Om en behörig myndighet kräver ett omedelbart svar, meddelar Personuppgiftsbiträdet den Personuppgiftsansvarige om begäran så snart som möjligt efter att den besvarats, om inte tvingande lag kräver annat.

Personuppgifter som behandlas

Syftet med behandlingen av personuppgifter är att tillhandahålla den Personuppgiftsansvarige maintlead-tjänsten, med vilken den Personuppgiftsansvarige förvaltar sitt utrustningsregister och sin servicehistorik samt skickar servicepåminnelser och uppföljningsmeddelanden efter service till sina slutkunder. Behandlingens art är lagring, bevarande och bearbetning av personuppgifter, visning av dem för den Personuppgiftsansvariges användare och på en enhetsspecifik sida, utskick via e-post, säkerhetskopiering samt radering. Behandlingens varaktighet motsvarar Tjänsteavtalets giltighetstid, om inte annat följer av avsnittet om avtalets giltighetstid och varaktigheten för behandlingen av personuppgifter.

De kategorier av personuppgifter som behandlas är följande:

a) Kontaktuppgifter för den Personuppgiftsansvariges slutkunder: företagets eller personens namn, kontaktpersonens namn, e-postadress, telefonnummer och enhetens adress.

b) Uppgifter om enheter och service, i den mån de kan kopplas till en identifierbar person: enhetens identifierare och serienummer, servicehistorik, serviceanteckningar, serviceintervall, nästa servicedatum samt bilder och bilagor kopplade till en service. (bekräfta om lokaliseringsuppgifter används för bilder)

c) Uppgifter om den Personuppgiftsansvariges användare: namn, e-postadress, roll (ägare, administratör, servicetekniker), inloggningsrelaterade uppgifter samt aktivitetsloggar.

d) Uppgifter om utskick av e-postmeddelanden: mottagarens e-postadress, tidpunkt för utskick, meddelandetyp, leveransstatus samt uppgifter om avanmälan från meddelanden (uppsägning av prenumeration).

Kategorierna av registrerade är den Personuppgiftsansvariges kunder och deras kontaktpersoner samt den Personuppgiftsansvariges anställda och övriga användare av tjänsten.

Avsikten är inte att behandla särskilda kategorier av personuppgifter (artikel 9 i GDPR) eller uppgifter om brottmålsdomar och brott. Den Personuppgiftsansvarige åtar sig att inte lagra sådana uppgifter i tjänsten, inklusive i serviceanteckningar och fritextfält.

Förteckningen i detta avsnitt är uttömmande och kan ändras endast genom skriftligt avtal mellan parterna.

Informationssäkerhet vid behandlingen av personuppgifter

Personuppgiftsbiträdet genomför lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter, med beaktande av behandlingens art, omfattning och risker. Åtgärderna är minst följande:

a) Dataöverföringen är krypterad (TLS), och uppgifterna lagras krypterade i vila i de tjänster som Underbiträdena tillhandahåller.

b) Åtkomsten till uppgifter är begränsad genom användarroller (ägare, administratör, servicetekniker), och varje Personuppgiftsansvarigs uppgifter är åtskilda från varandra på databasnivå (kundspecifik dataseparation).

c) Användare identifieras med personliga inloggningsuppgifter.

d) Personuppgifter behandlas endast av Personuppgiftsbiträdets personal vars uppgifter kräver det och som har åtagit sig att iaktta sekretess.

e) Automatiska säkerhetskopior tas av produktionsdatabasen, och återställning efter en störning är planerad.

f) E-postmeddelanden skickas från en verifierad domän (SPF, DKIM och DMARC), och varje meddelande innehåller en länk för avanmälan.

g) Tjänstens publika enhetssidor (QR-kod) skyddas med en icke-gissningsbar identifierare och innehåller inte personuppgifter som är onödiga för underhållet av enheten.

h) Lösenord och åtkomstnycklar lagras inte i källkoden, och åtkomsträttigheter till Underbiträdenas tjänster är begränsade till endast de personer som behöver dem.

i) Informationssäkerhetsincidenter upptäcks och registreras, och hanteras enligt Personuppgiftsbiträdets interna rutin.

Personuppgiftsbiträdet meddelar den Personuppgiftsansvarige om en personuppgiftsincident utan onödigt dröjsmål och senast 48 timmar efter att det fått kännedom om incidenten. I meddelandet beskrivs, i den mån det är möjligt, incidentens art, vilka uppgifter och registrerade som berörs, de sannolika konsekvenserna samt vidtagna och planerade korrigerande åtgärder.

Personuppgiftsbiträdet bedömer regelbundet om säkerhetsåtgärderna är tillräckliga och uppdaterar dem vid behov. Väsentliga ändringar meddelas den Personuppgiftsansvarige.

Avtalets giltighetstid och varaktigheten för behandlingen av personuppgifter

Detta avtal träder i kraft när den Personuppgiftsansvarige har godkänt det som en del av Tjänsteavtalet, och det gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning, inklusive under en eventuell pilotperiod.

När Tjänsteavtalet upphör ska Personuppgiftsbiträdet, på den Personuppgiftsansvariges begäran, återlämna den Personuppgiftsansvariges uppgifter i ett allmänt använt, maskinläsbart format (CSV), och därefter radera personuppgifterna från tjänsten inom 30 dagar efter att avtalet upphört, om inte lagen kräver att uppgifterna bevaras längre. Uppgifter i säkerhetskopior tas bort inom 35 dagar i enlighet med säkerhetskopiornas normala rotation.

Personuppgiftsbiträdet bekräftar på begäran skriftligt att personuppgifterna har raderats.

De bestämmelser i detta avtal som till sin natur är avsedda att förbli i kraft efter att avtalet upphört (bland annat sekretess och ansvar) förblir i kraft även efter att avtalet upphört.

Godkännande av avtalet

Den Personuppgiftsansvarige godkänner detta avtal elektroniskt genom att markera sitt godkännande i samband med inloggning i maintlead-tjänsten, samtidigt som den godkänner villkoren i Tjänsteavtalet. Den som godkänner avtalet försäkrar att denne är behörig att godkänna avtalet för den Personuppgiftsansvariges räkning.

Personuppgiftsbiträdet registrerar tidpunkten för godkännandet, vem som godkände det, uppgifter om den Personuppgiftsansvariges företag samt den godkända avtalsversionen. Ett elektroniskt godkännande binder parterna på samma sätt som ett undertecknat avtal. Den Personuppgiftsansvarige får på begäran en kopia av det godkända avtalet och godkännandeuppgifterna.

Om Personuppgiftsbiträdet ändrar detta avtal väsentligt begärs ett nytt godkännande av den Personuppgiftsansvarige innan den ändrade versionen tas i bruk.