Bilaga 4 – Personuppgiftsbiträdesavtal

1. Parter och ställning

Detta personuppgiftsbiträdesavtal (”PUB-avtalet”) ingås mellan Kunden såsom personuppgiftsansvarig (”Personuppgiftsansvarig”) och Nansec Software AB såsom personuppgiftsbiträde (”Biträdet”) och utgör en integrerad del av Avtalet.

PUB-avtalet gäller endast i den omfattning Biträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning. Parternas roller avgörs av de faktiska omständigheterna och tillämplig dataskyddslagstiftning.

2. Föremål och varaktighet

Föremålet för behandlingen är att tillhandahålla DMARC Vision och därmed ta emot, lagra, strukturera, analysera, presentera, skydda, exportera och radera personuppgifter i den omfattning som krävs för Tjänsten.

Behandlingen pågår under Avtalets giltighet samt under den efterföljande period som krävs för export, gallring, backupcykler eller rättsliga skyldigheter enligt detta PUB-avtal.

3. Art och ändamål

Behandlingen sker i syfte att leverera funktioner för e-post- och domänsäkerhetsanalys, rapportering, övervakning, larm, support, felsökning och säker drift. Biträdet får inte behandla personuppgifter för egna ändamål.

Biträdet får, som en del av Tjänsten, anonymisera uppgifter för statistik och kapacitetsplanering enligt huvudavtalet punkt 8. Information som har anonymiserats är inte personuppgifter och omfattas inte av detta PUB-avtal.

4. Typer av personuppgifter

Beroende på Kundens konfiguration och användning av Tjänsten kan behandlingen omfatta:

• IP-adresser, domännamn och e-postadresser,
• identifierare och tekniska uppgifter relaterade till e-postautentisering,
• tekniska header-, rapport- och logguppgifter,
• användarkonto- och kontaktuppgifter, inklusive användaridentitet, tilldelad roll och behörighetsnivå i Tjänsten,
• autentiseringsmetadata och tidpunkt för inloggning,
• tekniska logguppgifter relaterade till användning, drift, åtkomstkontroll och säkerhet i Tjänsten, samt
• i förekommande fall, i RUF-rapporter, delar av meddelandeinformation eller andra personuppgifter som förekommer i rapporten.

Behandlingen är begränsad till de personuppgifter som är nödvändiga för att tillhandahålla, administrera, övervaka, felsöka och skydda Tjänsten samt för att utföra de behandlingar som följer av Kundens användning och konfiguration av Tjänsten.

5. Kategorier av registrerade

Registrerade kan omfatta Kundens användare och administratörer, anställda och uppdragstagare, avsändare och mottagare av e-post samt andra personer vars uppgifter förekommer i rapporter eller tekniska loggar som behandlas för Kundens räkning.

6. Dokumenterade instruktioner

Biträdet får endast behandla personuppgifter enligt dokumenterade instruktioner från den Personuppgiftsansvarige, inklusive Avtalet, Kundens konfiguration och skriftliga instruktioner som är förenliga med den avtalade Tjänsten.

Om Biträdet enligt unionsrätt eller svensk rätt är skyldigt att behandla personuppgifter på annat sätt ska den Personuppgiftsansvarige informeras innan behandlingen, om sådan information inte är förbjuden enligt lag.

Om Biträdet anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddsrätt ska den Personuppgiftsansvarige informeras utan onödigt dröjsmål.

7. Sekretess

Biträdet ska säkerställa att personer som är behöriga att behandla personuppgifter har åtagit sig sekretess eller omfattas av lämplig lagstadgad tystnadsplikt och endast får åtkomst i den omfattning som behövs för arbetsuppgifterna.

8. Säkerhet

Biträdet ska vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR med beaktande av aktuell teknisk nivå, genomförandekostnader, behandlingens art, omfattning, sammanhang och ändamål samt riskerna för registrerades rättigheter och friheter. Övergripande åtgärder framgår av Bilaga 5.

9. Underbiträden

Den Personuppgiftsansvarige lämnar ett allmänt skriftligt förhandstillstånd för Biträdet att anlita underbiträden. Aktuella underbiträden framgår av Bilaga 5.

Biträdet ska informera den Personuppgiftsansvarige om planerade tillägg eller ersättningar av underbiträden minst trettio (30) dagar innan det nya eller ersättande underbiträdet påbörjar behandling av personuppgifter för den Personuppgiftsansvariges räkning.

Informationen ska innehålla sådan information som skäligen behövs för att den Personuppgiftsansvarige ska kunna bedöma förändringen, inklusive:

• underbiträdets identitet,
• vilken tjänst eller behandling underbiträdet tillhandahåller,
• vilka typer av personuppgifter underbiträdet kan behandla,
• i vilket eller vilka länder behandlingen sker, samt
• i förekommande fall vilken mekanism som används för överföring av personuppgifter till tredje land.

Den Personuppgiftsansvarige får inom femton (15) dagar från mottagandet av informationen framställa en invändning mot det nya eller ersättande underbiträdet.

En invändning ska vara konkret och sakligt grundad i omständigheter som rör dataskydd, informationssäkerhet, tillämplig dataskyddslagstiftning eller andra relevanta risker hänförliga till det berörda underbiträdets behandling. En invändning som enbart grundas på allmänna preferenser, kommersiella överväganden eller ett generellt ogillande av underbiträdet ska inte i sig utgöra saklig grund.

Om den Personuppgiftsansvarige framställer en sakligt grundad invändning ska Parterna skyndsamt försöka finna en rimlig lösning som undanröjer grunden för invändningen.

Biträdet får, om det är praktiskt och kommersiellt rimligt, exempelvis avstå från att använda det berörda underbiträdet för den Personuppgiftsansvariges behandling eller erbjuda en alternativ teknisk eller organisatorisk lösning.

Om Parterna inte kan finna en rimlig lösning innan det nya eller ersättande underbiträdet ska börja behandla personuppgifter och Biträdet inte skäligen kan tillhandahålla Tjänsten utan det berörda underbiträdet, har den Personuppgiftsansvarige rätt att säga upp den del av Tjänsten som påverkas av förändringen.

Om den berörda delen av Tjänsten inte skäligen kan separeras från Tjänsten i övrigt har den Personuppgiftsansvarige rätt att säga upp Avtalet i sin helhet.

Vid sådan uppsägning ska uppsägningen träda i kraft senast när det nya eller ersättande underbiträdet påbörjar den behandling som omfattas av invändningen, om inte Parterna kommer överens om annat.

Om den Personuppgiftsansvarige har betalat abonnemangsavgift i förskott ska Biträdet återbetala den proportionella del av den förskottsbetalade avgiften som avser tiden efter uppsägningens ikraftträdande. Ingen ytterligare ersättning eller kompensation utgår enbart med anledning av sådan uppsägning.

Biträdet ska genom skriftligt avtal ålägga underbiträdet dataskyddsskyldigheter som, i relevanta delar, ger minst motsvarande skydd som följer av detta Personuppgiftsbiträdesavtal.

Biträdet ansvarar gentemot den Personuppgiftsansvarige för underbiträdets fullgörande av sina dataskyddsskyldigheter i den omfattning som följer av GDPR.

10. Tredjelandsöverföringar

Biträdet behandlar personuppgifter inom EU/EES med de undantag som anges i huvudavtalet punkt 10 och Bilaga 5. Personuppgifter får i övrigt endast överföras till eller göras tillgängliga från tredje land om kraven i GDPR kapitel V är uppfyllda och lämplig överföringsmekanism samt, när det krävs, kompletterande skyddsåtgärder används.

11. Registrerades rättigheter

Med hänsyn till behandlingens art ska Biträdet, genom lämpliga tekniska och organisatoriska åtgärder och i den mån det är möjligt, bistå den Personuppgiftsansvarige med att besvara begäranden om registrerades rättigheter enligt GDPR kapitel III. Om Biträdet direkt mottar en sådan begäran avseende Kunddata ska den normalt hänvisas till Kunden utan att Biträdet själv besvarar sakfrågan, om inte Kunden instruerat annat.

12. Bistånd enligt artiklarna 32–36

Biträdet ska, med beaktande av behandlingens art och den information som Biträdet har tillgång till, skäligen bistå Kunden med skyldigheter avseende säkerhet, personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd enligt artiklarna 32–36 GDPR. Särskilt omfattande bistånd utöver normal Tjänst och Biträdets lagstadgade skyldigheter kan debiteras enligt avtalad konsulttaxa om det är skäligt och överenskoms i förväg.

13. Personuppgiftsincidenter

Biträdet ska utan onödigt dröjsmål underrätta den Personuppgiftsansvarige efter att ha fått vetskap om en personuppgiftsincident som berör personuppgifter som behandlas för den Personuppgiftsansvarige räkning.

En första underrättelse ska lämnas även om incidenten ännu inte är fullständigt utredd.

Underrättelsen ska, i den mån information finns tillgänglig, beskriva incidentens art, berörda kategorier av uppgifter och registrerade, sannolika konsekvenser samt vidtagna eller föreslagna åtgärder. Information får lämnas stegvis om allt inte är känt vid första underrättelsen.

14. Revision och information

Biträdet ska göra tillgänglig den information som skäligen krävs för att visa att skyldigheterna i artikel 28 och detta PUB-avtal fullgörs och ska möjliggöra samt bidra till revisioner eller inspektioner av Kunden eller oberoende revisor som Kunden utser.

Revision ska normalt föregås av minst 30 dagars skriftligt meddelande, ske under normal arbetstid, begränsas till relevant omfattning och genomföras på ett sätt som inte oskäligt stör verksamheten eller äventyrar andra kunders sekretess eller säkerhet. Kunden står för sina egna revisionskostnader. Biträdet får ta skälig ersättning för omfattande bistånd utöver normal dokumentation för regelefterlevnad, såvida revisionen inte visar väsentligt avtalsbrott hos Biträdet.

15. Radering och återlämnande

När behandlingen upphör ska Biträdet, enligt den Personuppgiftsansvariges val, radera eller återlämna de personuppgifter som behandlas för den Personuppgiftsansvariges räkning, om inte fortsatt lagring krävs enligt lag.

Den Personuppgiftsansvarige kan under avtalstiden exportera sådana uppgifter som Tjänsten tillhandahåller exportfunktion för, exempelvis revisionsloggar och larm.

Om den Personuppgiftsansvarige väljer återlämnande kan tillgängliga originalrapporter i RUA- och TLS-RPT-format samt, i förekommande fall, RUF-format lämnas ut via Biträdets supportfunktion, under förutsättning att rapporterna fortfarande omfattas av tillämplig lagringstid. Utlämnande kan ske i form av arkivfil eller annat skäligt och tekniskt användbart format och, när det är motiverat, med kryptering.

Biträdet är inte skyldigt att tillhandahålla kopior av Tjänstens interna databaser, interna datastrukturer eller annan intern systeminformation, under förutsättning att de personuppgifter som omfattas av återlämnandet kan tillhandahållas på annat skäligt och tekniskt användbart sätt.

När Tjänsten avslutas raderas Kundens data från den aktiva tjänsten, inklusive uppgifter i Tjänstens databaser. Data som lagras separat, exempelvis i objektlagring, ska raderas senast inom trettio (30) dagar efter Avtalets upphörande, om inte fortsatt lagring krävs enligt lag.

Tekniska säkerhets- och systemloggar som innehåller personuppgifter och som är nödvändiga för att upprätthålla Tjänstens säkerhet, utreda säkerhetsincidenter, verifiera åtkomst eller uppfylla dokumentationskrav får behållas i upp till sex (6) månader från den tidpunkt då uppgifterna registrerades. Sådana logguppgifter får under lagringstiden endast behandlas för dessa ändamål och ska därefter raderas enligt Tjänstens ordinarie gallringsrutiner.

Personuppgifter i säkerhetskopior kan kvarstå tills ordinarie backupcykel löpt ut, under förutsättning att uppgifterna är skyddade, inte återförs till aktiv behandling annat än vid nödvändig återställning och därefter åter omfattas av gallring.

16. Ansvar och företräde

Ansvar regleras av GDPR och Avtalet i den utsträckning lag medger. Vid konflikt mellan detta PUB-avtal och övriga avtalsvillkor i fråga om behandling av personuppgifter har detta PUB-avtal företräde.

17. Behandlingsinstruktion i sammanfattning