1. Parter
1. Selskapet AB, org. nr. XXXXXX-XXXX, med adresse Gatan 17, 11160 Staden,
heretter referert til som «ansvarlig for personopplysninger»; og
2. Rule – Nordic AB, org. nr. 556740-1293, med adresse
Kammakargatan 48, 111 60 Stockholm, navngitt nedenfor
«Personopplysningsassistent».
3. Personopplysningsansvarlig og personopplysningsassistent navngis individuelt
som «Parti», sammen som «Parter».
2. Bakgrunn og formål
2.1 Gjeldende databeskyttelsesforordning krever en skriftlig avtale som regulerer under hvilke omstendigheter og vilkår en personopplysningsassistent kan behandle personopplysninger på vegne av en behandlingsansvarlig.
2.2 Partene har inngått en avtale om Rule («Hovedavtalen»), som innebærer at Persondatabehandleren vil behandle personopplysninger på vegne av den personopplysningsansvarlige. Dersom bestemmelser i Avtalen («Avtalen») er i strid med Hovedavtalen, skal bestemmelsene i Avtalen ha forrang.
2.3 Den behandlingsansvarlige pålegger herved den behandlingsansvarlige å lagre personopplysninger fra digital markedsføring, nettrafikk etc. og formidle resultatene av disse til den behandlingsansvarlige. Personopplysningsassistenten kan samle inn personopplysninger på følgende måter:
Digital kommunikasjon:
Personopplysningsassistenten lagrer all informasjon vedrørende digital kommunikasjon fra personopplysningsansvarligs konto i Rule og lagrer informasjon om besøkendes e-postadresse, mobilnummer, profil, geografisk posisjon, brukeragent, tid og klikk.
Skjemaer publisert fra Rule :
Det er også mulig for personopplysningsansvarlige å lage egne skjemaer («widgets») som vises på nettsiden via Rule . Disse kan brukes til å samle inn personopplysninger.
Importer eller skriv inn personlige data manuelt:
Personopplysningsansvarlig kan importere personopplysninger til regeldatabasen selv eller ved hjelp av personopplysningsassistenten. Dette kan skje indirekte via nettsiden, gjennom digital kommunikasjon, ved å importere data direkte inn i Rules grensesnitt eller via API. Behandlere av personopplysninger kan også velge å aktivere utvidelser for integrasjoner med andre systemer (e-post, CRM, hendelsessystemer osv.). Disse integrasjonene kan gi Rule personopplysninger.
2.4 I Rule kan den dataansvarlige utføre matching mellom abonnements-/medlemsbaser for å identifisere atferd.
2.5 Hensikten med denne matchingen er å kunne rette mer relevant digital kommunikasjon til abonnenten/medlemmet og tilby de abonnentene/medlemmene som kan identifiseres et mer tilpasset tilbud. Rule vil derfor, som en del av dette matchingsoppdraget, behandle personopplysninger på vegne av behandlingsansvarlig.
2.6 Beskyttelse av den personopplysningsansvarliges kunders personlige integritet er av stor etisk og kommersiell betydning for den personopplysningsansvarlige, derfor må personopplysningsassistenten behandle personopplysningene i henhold til gjeldende lov, forskrifter og bransjestandarder.
3. Definisjoner
3.1 Med «Personopplysninger» nedenfor menes all slags informasjon som direkte eller indirekte kan henføres til en fysisk person som er i live og som gjennom utførelse av Rule behandles på vegne av den personopplysningsansvarlige.
3.2 «Registrert» nedenfor refererer til personen som en personopplysning refererer til.
3.3 «Behandling» nedenfor refererer til enhver handling eller serie av handlinger som utføres i forhold til Personopplysninger, enten det skjer automatisk eller ikke, f.eks. innsamling, registrering, organisering, lagring, behandling eller modifikasjon, gjenoppretting, gjenfinning, bruk, avsløring ved overføring, spredning eller annen levering av data, kompilering eller sammenstilling, blokkering, sletting eller ødeleggelse.
3.4 «Databeskyttelsesforordningen» viser til Europaparlamentets og rådets forordning (EU) 2016/679 om beskyttelse av fysiske personer med hensyn til behandling av personopplysninger og om fri flyt av slike data og om oppheving av Direktiv 95/46/EC (General Data Protection Regulation), også kalt GDPR. «Databeskyttelsesforordningen» refererer også til utfyllende nasjonale forfatninger, forskrifter og generelle råd fra den nasjonale tilsynsmyndigheten (Datainspektionen) og EU-organisasjoner samt veiledende avgjørelser fra den svenske domstolen og EU-domstolen.
4. Forpliktelsene til personopplysningsassistenten
4.1 Formålet med avtalen er at personopplysningsbehandler skal sikre at behandling av personopplysninger skjer i samsvar med personvernforordningen og gjeldende regelverk og bransjestandarder.
4.2 Personopplysningsassistenten og den eller de som arbeider under hans/hennes tilsyn kan kun behandle personopplysninger i samsvar med instruksjonene gitt fra tid til annen av personopplysningsansvarlig.
4.3 Personopplysningsassistenten kan kun samle inn personopplysninger i samsvar med instruksjoner gitt av personopplysningsansvarlig. Ettersom personopplysningsassistenten kun leverer verktøyene for innsamling av personopplysninger, er det personopplysningsansvarligs ansvar at behandlingen skjer på lovlig grunnlag, for eksempel at nødvendige samtykker innhentes fra den registrerte og at dataene Forsøkspersoner mottar informasjon i henhold til kravene i databeskyttelsesforordningen. På forespørsel fra den behandlingsansvarlige skal den behandlingsansvarlige uten opphold utlevere den informasjonen den behandlingsansvarlige trenger for å vise at de registrerte er informert, for de tilfellene den behandlingsansvarlige innehar denne informasjonen.
4.4 Personopplysningsassistenten skal treffe de tekniske og organisatoriske tiltak som kreves i henhold til databeskyttelsesforordningen for å beskytte personopplysningene som behandles mot uautorisert tilgang, ødeleggelse og modifikasjon. Den personopplysningsansvarlige må da være spesielt oppmerksom på de generelle rådene som til enhver tid gis eller andre forskrifter som det svenske datatilsynets generelle råd «Sikkerhet for personopplysninger» eller annet
forskrifter som erstatter de nevnte. Personopplysningsassistenten skal sørge for at alle data er kryptert.
4.5 I tilfelle den registrerte, den svenske datatilsynet eller en annen tredjepart ber om informasjon fra den personopplysningsansvarlige angående behandling av personopplysninger, må den behandlingsansvarlige henvise til den behandlingsansvarlige. Personopplysningsassistenten kan ikke utlevere personopplysninger eller annen informasjon om behandling av personopplysninger uten uttrykkelig instruks fra personopplysningsansvarlig.
4.6 Personopplysningsansvarlig har rett til, for egen regning eller gjennom tredjepart, å kontrollere at personopplysningsassistenten overholder Avtalen. Personopplysningsassistenten skal muliggjøre og bidra til gjennomganger, herunder inspeksjoner, utført av den personopplysningsansvarlige eller av annen revisor autorisert av den personopplysningsansvarlige.
4.7 Personopplysningsadministratoren skal, når avtalen opphører å gjelde, gjøre personopplysninger tilgjengelige for personopplysningsansvarlig gjennom Rule og etter at personopplysningsansvarlig har varslet personopplysningsansvarlig om at personopplysningene er hentet, skriftlig be om at at personopplysningene slettes. Personopplysningsbehandleren skal uansett sørge for at ingen personopplysninger forblir hos personopplysningsbehandleren senest 30 dager etter opphør av avtalen, med mindre annet er avtalt mellom personopplysningsbehandleren og kunden.
4.8 Personopplysningsassistent skal, etter at assistenten får kjennskap til en personopplysningshendelse, som inkluderer den personopplysningsansvarliges personopplysninger, varsle personopplysningsansvarlig om hendelsen uten ugrunnet opphold. Meldingen skal inneholde de opplysninger som kreves for at den behandlingsansvarlige skal kunne oppfylle sine plikter etter databeskyttelsesforordningen til å rapportere personopplysningshendelsen til tilsynsmyndigheten og varsle den registrerte om personopplysningshendelsen. Slik melding skal gis til den kontaktpersonen som Personopplysningsassistenten har hos den behandlingsansvarlige.
4.9 Personopplysningsansvarlig er ansvarlig for at personopplysningene som håndteres behandles innenfor EU/EØS.
4.10 Personopplysningsassistenten skal om nødvendig bistå behandlingsansvarlig med gjennomføring av konsekvensutredninger vedrørende databeskyttelse samt eventuelle forhåndskonsultasjoner med tilsynsmyndigheten.
5. Personvern
5.1 Personopplysningsbehandleren forplikter seg til ikke å utlevere eller på annen måte utlevere til tredjepart informasjon om Behandling av personopplysninger omfattet av avtalen eller annen informasjon som personopplysningsbehandler har innhentet som følge av avtalen. Personopplysningsassistenten forplikter seg videre til ikke å bruke personopplysningene til egne formål.
5.2 Forpliktelsen i pkt. 5.1 første punktum gjelder ikke
a) opplysninger som parten kan vise til var alminnelig kjent på mottakstidspunktet, eller
b) opplysninger som parten er pålagt å utlevere til myndighetene. Taushetsplikten gjelder også etter at Avtalen ellers har opphørt å gjelde.
5.3 Databehandleren skal sikre at alle fysiske personer som arbeider under dens ledelse, og som deltar i behandlingen, er bundet av taushetsplikt angående behandlingen. Dette er imidlertid ikke nødvendig dersom de allerede er underlagt en straffesanksjonert taushetsplikt i henhold til lov. Databehandleren forplikter seg også til å sikre at det foreligger taushetsavtaler med Underdatabehandleren, samt taushetsforpliktelser mellom Underdatabehandleren og alle fysiske personer som arbeider under dens ledelse og som deltar i behandlingen.
6. Immaterielle rettigheter mv
6.1 Alle immaterielle rettigheter til innsamling av personopplysninger tilhører den personopplysningsansvarlige og personopplysningsansvarlig gir kun en ikke-eksklusiv rett for personopplysningsassistenten til å bruke personopplysningene til utførelse av oppgaver i henhold til avtalen.
7. Ansettelse av assistenter
7.1 Dersom persondatabehandleren med godkjenning fra den personopplysningsansvarlige overfører sine forpliktelser etter avtalen til en underdatabehandler, kan dette kun skje ved inngåelse av en skriftlig avtale med underdatabehandleren hvor denne pålegges. samme forpliktelser som persondatabehandleren i henhold til avtalen.
7.2 Personopplysningsassistenten skal skriftlig varsle personopplysningsansvarlig om intensjonen om å signere avtale med underleverandør. Dersom personopplysningsansvarlig ikke fremsetter skriftlig innsigelse mot dette, som er saklig begrunnet, innen 14 dager etter mottatt varsel, står personopplysningsassistenten fritt til å engasjere underassistenten. På tidspunktet for signering av avtalen er assistentene vist i vedlegg 1 godkjent av behandlingsansvarlig.
7.3 I tilfelle Behandling av personopplysninger vil bli utført av underleverandører i tredjeland, gir personopplysningsansvarlig personopplysningsbehandler fullmakt til å signere personopplysningsunderleverandører på vegne av personopplysningsansvarlig med underleverandører i tredjeland, i samsvar med Kommisjonens vedtak (2010/87/EU) om standard kontraktsbestemmelser for overføring av personopplysninger til tredjeland. Personopplysningsassistenten skal rapportere til den behandlingsansvarlige i hvilket land behandlingen finner sted. Kravene i kapittel V GDPR skal også oppfylles.
7.4 Dersom underleverandøren ikke oppfyller sine forpliktelser vedrørende Behandling i henhold til en underleverandøravtale, skal Persondatabehandleren fortsatt være fullt ut ansvarlig overfor Behandlingsansvarlig for underleverandørens oppfyllelse av sine forpliktelser etter Avtalen.
8. Erstatning
8.1 Personopplysningsassistenten har ikke krav på særskilt kompensasjon for behandling av personopplysninger etter Avtalen.
9. Ansvarsbegrensning
9.1 I tilfelle en registrert eller annen tredjepart fremsetter krav mot personopplysningsansvarlig på grunn av personopplysningsbehandlers behandling av personopplysninger, skal personopplysningsansvarlig rapportere dette til personopplysningsbehandler.
9.2 Dersom personopplysningsbehandleren ikke har overholdt sine forpliktelser etter avtalen, har personopplysningsansvarlig krav på kompensasjon. Personopplysningsassistentens ansvar i forhold til personopplysningsansvarlig etter avtalen er begrenset til 50 % av betalingen mottatt fra personopplysningsansvarlig i henhold til Hovedavtalen i løpet av den siste 12-månedersperioden etter at meldingen fant sted.
10. Force majeure
10.1 Ingen av partene er ansvarlige for skade eller forsinkelse som oppstår som følge av en arbeidskonflikt, myndighetsbeslutning eller andre forhold utenfor denne parts kontroll.
11. Kontraktsperiode
11.1 Avtalen gjelder fra signering og så lenge Personopplysningsbehandler behandler Personopplysninger i henhold til Hovedavtalen.
12. Gjeldende lov og tvisteløsning
12.1 Avtalen og all Behandling av personopplysninger som skjer under Avtalen er underlagt svensk lov, med unntak av gjeldende lovvalgsregler. Tvister om tolkning eller anvendelse av Avtalen skal avgjøres etter Hovedavtalens bestemmelser om tvisteløsning.
v2022_2
