PERSONUPPGIFTSBITRÄDESAVTAL 
 

1. Definitioner 

 3. Personuppgiftsbiträdets ansvar och instruktion 

3.1 Junglemap åtar sig att endast behandla personuppgifterna angivna i Bilaga 1 (hädanefter ”Personuppgifterna”) i enlighet med detta PUBA, Huvudavtalet och Personuppgiftsansvarigs skriftliga, och vid var tid gällande, instruktioner enligt Bilaga 1, samt endast i den utsträckning som är nödvändigt för att kunna fullgöra sina åtaganden enligt Huvudavtalet. Vid fall av motstridigheter ska den vid var tid gällande instruktionen i Bilaga 1 ha företräde framför PUBA och Huvudavtal. 

3.2 Junglemap åtar sig vidare att behandla Personuppgifterna enligt vid var tid gällande Dataskyddslagstiftning, inklusive praxis samt tillsynsmyndighetens föreskrifter, ställningstaganden och rekommendationer avseende personuppgiftsbehandling.  

3.3 Junglemap ska i enlighet med vid var tid gällande Dataskyddslagstiftning föra ett register över alla kategorier av behandling av Personuppgifter som utförs för den Personuppgiftsansvariges räkning.   

3.4 Junglemap ska tillse att samtliga anställda, konsulter och övriga som Junglemap svarar för och som behandlar Personuppgifterna är informerade om kraven enligt detta PUBA och om hur behandling av Personuppgifterna får ske. 

3.5 Junglemap åtar sig att assistera Personuppgiftsansvarig genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, så att Personuppgiftsansvarig kan fullgöra sin skyldighet gentemot de registrerade i enlighet med vid var tid gällande Dataskyddslagstiftning. För det fall Junglemap mottar en förfrågan från en registrerad skall Junglemap meddela Personuppgiftsansvarig härom och hänvisa sådan registrerad till Personuppgiftsansvarig. 

3.6 Junglemap ska utan onödigt dröjsmål underrätta Personuppgiftsansvarig vid upptäckt av fullbordade fall av, eller försök till, oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till Personuppgifterna, eller vid andra former av liknande personuppgiftsincidenter. Underrättelsen ska åtminstone: 

3.6.1 Beskriva incidentens art, inbegripet de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs. 

3.6.2 Innehålla namnet på och kontaktuppgifterna till Junglemaps dataskyddsombud eller andra kontaktuppgifter där mer information om incidenten kan erhållas. 

3.6.3 Beskriva de sannolika konsekvenserna av incidenten. 

3.6.4 Beskriva de åtgärder som Junglemap har vidtagit eller föreslår för att åtgärda incidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter. 

3.7 Om Junglemap inte har möjlighet att tillhandahålla Personuppgiftsansvarig all den information som anges i punkt 3.6 samtidigt, ska informationen tillhandahållas i omgångar utan ytterligare onödigt dröjsmål, vilket även gäller för det fall Personuppgiftsansvarig begär kompletterande information från Junglemap. 

3.8 Junglemap åtar sig att bistå Personuppgiftsansvarig enligt vid var tid gällande Dataskyddslagstiftning, inklusive tillsynsmyndighets rekommendationer, för det fall Personuppgiftsansvarig genomför en konsekvensbedömning av den planerade behandlingens konsekvenser för skyddet av Personuppgifterna. 

3.9 Junglemaps skyldigheter enligt p. 3.6 - 3.8 ovan ska fullgöras med beaktande av typen av behandling som äger rum och den information som Junglemap har att tillgå.  

3.10 Junglemap ska efter Huvudavtalets upphörande tillse att Personuppgifter raderas eller återlämnas i enlighet med Personuppgiftsansvarigs skriftliga instruktioner, såvida inte lagring av Personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt.  

4. Sekretess 

4.1 Vardera parten förbinder sig att inte utan den andra partens medgivande till tredje man utlämna eller avslöja Personuppgifter samt uppgifter om den andra partens verksamhet som rimligen är att betrakta som affärs- eller yrkeshemlighet. Som affärs- eller yrkeshemlighet ska alltid betraktas information som parten angivit är konfidentiell. Sekretesskyldighet gäller inte sådan information som part kan visa blivit känd för honom på annat sätt än genom uppdraget eller som är allmänt känd. Sekretesskyldighet gäller ej heller när part är skyldig enligt lag att lämna ut uppgifter.  

4.2 Part ska genom sekretessförbindelse med personal eller andra lämpliga åtgärder tillse att sekretess enligt ovan iakttas. Part ansvarar även för att anlitad underleverantör samt dess eller egna anställda som berörs av uppdraget undertecknar en sekretessförbindelse av motsvarande innehåll till förmån för den andra parten, samt endast tar del av sådan information i den mån det är nödvändigt för utförandet av uppdraget. 

4.3 Oaktat ovanstående ska Huvudavtalets reglering avseende sekretess gälla i den utsträckning det innehåller mer långtgående sekretessförbindelser för endera parten jämfört med PUBA:t. 

5. Säkerhet 

5.1 Junglemap ska minst uppfylla de säkerhetsåtgärder som framgår av Bilaga 2. Oaktat dessa ska Junglemap vidta sådana tekniska och organisatoriska säkerhetsåtgärder som krävs för att skydda Personuppgifterna i enlighet med vid var tid gällande regelverk, för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt: 

5.1.1 Pseudonymisering och kryptering av Personuppgifter. 

5.1.2 Förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingsystemen och tjänsterna.  

5.1.3 Förmågan att återställa tillgängligheten och tillgången till Personuppgifter i rimlig tid vid en fysisk eller teknisk incident.  

5.1.4 Ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.  

5.2 Vid bedömningen av en lämplig säkerhetsnivå enligt punkt 5.1 ska särskild hänsyn tas till de risker som behandling medför, i synnerhet avseende oavsiktlig eller olaglig förstöring, förlust eller ändring, obehörigt röjande av eller obehörig åtkomst till de Personuppgifter som överförts, lagrats eller på annat sätt behandlats. 

5.3 Junglemap ska vidare, med beaktande av typen av behandling och den information som finns att tillgå, i skälig utsträckning bistå den Personuppgiftsansvarige för att möjliggöra den senares efterlevnad av artikel 32 GDPR.  

5.4 Junglemap ska på begäran ge Personuppgiftsansvarig tillgång till all information som krävs för att visa att de skyldigheter som åligger Junglemap enligt PUBA har fullgjorts avseende de Personuppgifter som behandlas i enlighet med Huvudavtalet (”Informationsbegäran”). En Informationsbegäran ska göras skriftligen av Personuppgiftsansvarige, och Junglemap ska ges skälig tid att besvara sådan begäran. Junglemap ska vidare möjliggöra och bidra till de granskningar, inbegripet inspektioner, som Personuppgiftsansvarig eller av den Personuppgiftsansvarige utsedd revisor har rätt att göra enligt vid var tid gällande Dataskyddslagstiftning, dock endast avseende den Personuppgiftsansvariges Personuppgifter som behandlas av Junglemap under PUBA (”Granskning”).  

7. Underbiträde 

7.1 Junglemap äger rätt att anlita underbiträden för att utföra hela eller delar av behandlingen av Personuppgifter. Om Junglemap anlitar ytterligare underbiträden ska Junglemap informera den Personuppgiftsansvarige om detta via de kontaktuppgifter som framgår av avtalsingressen, senast tre månader innan förändringen sker. Om Personuppgiftsansvarige inte accepterar det nya underbiträdet har Personuppgiftsansvarige rätt att säga upp Huvudavtalet med en (1) månads varsel. 

7.2 Junglemap ska säkerställa att samtliga underbiträden åläggs motsvarande skyldigheter och åtaganden avseende Personuppgifterna som de som åligger Junglemap enligt detta PUBA. Junglemap är fullt ansvarig gentemot Personuppgiftsansvarig om underbiträdet inte fullgör sina skyldigheter i fråga om behandlingen av Personuppgifterna. I bilaga 3 listas de underbiträden som Junglemap har.

8. Tredjelandsöverföring 

8.1 Junglemap ska inte använda underleverantörer utanför EU / EES (”Tredje land”) eller annars överföra Personuppgifter till mottagare i Tredje land, utan Personuppgiftsansvarigs föregående skriftliga medgivande. Om Junglemap, efter Personuppgiftsansvarigs medgivande, använder underleverantörer utanför EU / EES för behandling av Personuppgifter eller annars avser överföra Personuppgifter till mottagare i Tredje land, får sådan överföring av Personuppgifter endast ske under förutsättning att: