Leverantörens dataskyddsbilaga

1. BAKGRUND OCH SYFTE

Denna dataskyddsbilaga tillämpas på Avtalet mellan Parterna när Leverantören och/eller dess Underleverantörer Behandlar Kundens Personuppgifter baserat på Avtalet. Kunden är en juridisk person, såsom ett företag. Denna bilaga tillämpas inte på konsumentkunders personuppgifter.

Vid Behandling av Personuppgifter enligt denna bilaga är Kunden Personuppgiftsansvarig och Leverantören Personuppgiftsbiträde.

2. DEFINITIONER

”Underleverantör” avser tredje parter som Leverantören anlitar för att fullgöra sina avtalsförpliktelser. För tydlighetens skull är de leverantörer från vilka Leverantören köper produkter som ska levereras till Kunden inte Leverantörens underleverantörer.

”Separat Prissättning” definieras i punkt 3.

”Personuppgifter” avser alla uppgifter som rör en identifierad eller identifierbar fysisk person (nedan ”Registrerad”); en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift, onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

”Personuppgiftsbiträde” avser en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som Behandlar personuppgifter för den Personuppgiftsansvariges räkning.

”Personuppgiftsincident” avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de Personuppgifter som överförts, lagrats eller på annat sätt behandlats.

”Behandling” avser en åtgärd eller kombination av åtgärder beträffande Personuppgifter eller uppsättningar av Personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

”Lag” och ”Lagar” avser Europeiska unionens allmänna dataskyddsförordning (679/2016) och andra tillämpliga dataskyddsbestämmelser som är i kraft i Finland.

”Personuppgiftsansvarig” avser en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för Behandlingen av Personuppgifter; om ändamålen och medlen för en sådan Behandling bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den Personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

”Registrerad” definieras ovan i samband med definitionen av ”Personuppgifter”.

”Avtal” avser det samarbetsavtal som denna bilaga är bifogad till eller som denna bilaga i övrigt tillämpas på.

3. BEHANDLING

Typ av Personuppgifter och kategorier av Registrerade är:

• Personuppgifter för Kundens anställda och företrädare som är nödvändiga för att leverera Leverantörens produkter och tjänster till Kunden: namn, adress, telefonnummer, e-postadress och övriga kontaktuppgifter

Föremålet för Behandlingen är ovannämnda Personuppgifter och Behandlingens varaktighet är under Avtalets löptid.

Behandlingens art och ändamål är leverans av produkter och tjänster enligt Avtalet.

Leverantören behandlar endast Personuppgifter i enlighet med Kundens dokumenterade instruktioner, vilka bifogas som bilaga 1 till denna dataskyddsbilaga, såvida inte annat krävs enligt lagstiftning som tillämpas på Leverantören. För tydlighetens skull kan Kunden även lämna instruktioner via e-post eller skriftligen i efterhand. Om annat krävs enligt lagstiftning som tillämpas på Leverantören, informerar Leverantören Kunden om detta rättsliga krav före Behandlingen, såvida sådan information inte är förbjuden enligt lag.

Leverantören säkerställer att dess och dess Underleverantörers personal som har rätt att Behandla Personuppgifter för dess räkning har åtagit sig att iaktta tystnadsplikt eller omfattas av en lämplig lagstadgad tystnadsplikt.

Om Leverantören enligt Lagar eller annan tillämplig lagstiftning, föreskrifter eller myndighetsbeslut är skyldig eller instrueras att bistå Kunden med att uppfylla skyldigheter relaterade till Kundens Personuppgifter, såsom när Kunden ska svara på begäran om information från Registrerade eller myndigheter, eller om Leverantören i övrigt ska utföra uppgifter som inte ingår i leveransen av dess produkter eller tjänster, ska Kunden betala Leverantören ett separat pris för dessa uppgifter enligt Leverantörens tim-/dagsprislista (”Separat Prissättning”). Dessa uppgifter kan till exempel vara överföring, radering eller rättelse av Personuppgifter, eller information om Personuppgifter, insamling av uppgifter för dessa ändamål, eller att tillåta revisioner eller inspektioner.

Till priset för Separat Prissättning och med hänsyn till behandlingens art, hjälper Leverantören Kunden genom lämpliga tekniska och organisatoriska åtgärder att, i den mån det är möjligt, uppfylla Kundens skyldighet att svara på begäran om utövande av den Registrerades rättigheter enligt Lagar.

Till priset för Separat Prissättning hjälper Leverantören till att säkerställa att Kunden kan iaktta sina skyldigheter enligt Lagar gällande säkerhet vid Behandling, anmälan av Personuppgiftsincidenter till tillsynsmyndigheten eller den Registrerade, konsekvensbedömning avseende dataskydd och förhandssamråd med tillsynsmyndigheten.

Till priset för Separat Prissättning ska Leverantören, enligt Kundens val, efter att Avtalet upphört radera eller återlämna alla Personuppgifter till Kunden och radera befintliga kopior av Personuppgifter, såvida inte lagstiftning kräver att personuppgifterna lagras eller om Leverantören har behov av att lagra dem under lagliga förutsättningar för att fastställa, göra gällande eller försvara rättsliga anspråk.

Till priset för Separat Prissättning gör Leverantören den information som krävs för att visa att skyldigheterna i denna avtalspunkt följs tillgänglig för Kunden, samt möjliggör och bidrar till revisioner, såsom inspektioner, som utförs av Kunden eller en annan revisor som bemyndigats av Kunden. Revisorn får inte vara en konkurrent till Leverantören, och tidpunkten för revisionen ska avtalas i förväg med Leverantören.

För behandling av vissa Personuppgifter tillämpas även Leverantörens dataskyddsbeskrivning, som finns tillgänglig i sin vid var tid gällande lydelse på https://www.verkkokauppa.com/fi/ohjeet/tietosuojaseloste.

4. ANVÄNDNING AV UNDERLEVERANTÖRER

Kunden ger härmed ett generellt skriftligt förhandstillstånd för Leverantören att anlita Underleverantörer för Behandling av Personuppgifter. Leverantörens lista över aktuella Underleverantörer finns på https://www.verkkokauppa.com/fi/ohjeet/alikasittelijat. Om Kunden inte godkänner en ny Underleverantör har Leverantören eller Kunden rätt att säga upp Avtalet med trettio (30) dagars uppsägningstid. Redan gjorda beställningar av produkter eller tjänster, köpeavtal eller andra avtal om deras leverans kan dock inte sägas upp eller hävas.

När Leverantören anlitar en Underleverantör för att utföra specifika behandlingsaktiviteter på Kundens vägnar, ska samma dataskyddsskyldigheter som i denna bilaga tillämpas på den andra Underleverantören.

5. KUNDENS SKYLDIGHETER

Kunden är Personuppgiftsansvarig för de Personuppgifter som Behandlas enligt denna bilaga. Kunden ansvarar bland annat för Personuppgifternas korrekthet och att Leverantören och Underleverantörerna har rätt att Behandla Personuppgifterna. Kunden ansvarar för att de Personuppgifter som lämnas till Leverantören eller dess Underleverantörer är förenliga med personuppgiftslagstiftningen och att de har lämnats till Leverantören och Underleverantörerna på det sätt som personuppgiftslagstiftningen kräver. Leverantören är dock Personuppgiftsansvarig för de Personuppgifter för vilka Leverantörens dataskyddsbeskrivning tillämpas.

6. DATASÄKERHET

Med beaktande av den senaste tekniken och genomförandekostnaderna, Behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska Kunden och Leverantören vidta lämpliga tekniska och organisatoriska åtgärder för att skydda Personuppgifterna och säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, såsom

a) pseudonymisering och kryptering av personuppgifter;

b) förmågan att fortlöpande säkerställa behandlingssystemens och tjänsternas konfidentialitet, riktighet, tillgänglighet och motståndskraft;

c) förmågan att återställa tillgängligheten till och tillgången till Personuppgifter i rimlig tid vid en fysisk eller teknisk incident;

d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärderna för att säkerställa behandlingssäkerheten.

7. ANMÄLAN OM PERSONUPPGIFTSINCIDENT

Leverantören ska informera Kunden om en Personuppgiftsincident utan onödigt dröjsmål efter att ha fått kännedom om den.

8. ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJE LAND OCH ÖVRIGA VILLKOR

Leverantören överför inte Personuppgifter till länder utanför Europeiska ekonomiska samarbetsområdet eller Europeiska unionen, såvida det inte finns stöd för det i Lagar eller om Kunden ger sitt samtycke till det. Rättsligt stöd enligt Lagar kan till exempel vara ingående av Europeiska kommissionens standardavtalsklausuler eller annan laglig grund.

För tydlighetens skull konstateras att Avtalets ansvarsbegränsningar även tillämpas på denna bilaga.

BILAGA 1. KUNDENS INSTRUKTIONER FÖR BEHANDLING AV PERSONUPPGIFTER

1. PERSONER SOM BEHANDLAR PERSONUPPGIFTER

Leverantören begränsar åtkomsten till Kundens Personuppgifter så att endast behöriga och vederbörligen utbildade personer har tillgång till dem. Både de Behandlade Personuppgifterna och de personer som har tillgång till Personuppgifterna begränsas till vad som vid var tid är nödvändigt i förhållande till specifika behandlingsåtgärder.

Leverantören säkerställer att dess och dess Underleverantörers personal som har rätt att Behandla Personuppgifter för dess räkning har åtagit sig att iaktta tystnadsplikt eller omfattas av en lagstadgad tystnadsplikt.

2. STYRNING AV DATASKYDD OCH DATASÄKERHET

Leverantören har en omfattande policy för styrning av dataskydd och informationssäkerhet som tillämpas på de tjänster som erbjuds Kunden. Leverantören går igenom policyn årligen och uppdaterar den vid behov. Policyn innehåller bland annat instruktioner och stöd för ledning och anställda i frågor rörande dataskydd och datasäkerhet i enlighet med affärsverksamhetens krav och tillämpliga lagar.

3. FYSISK SÄKERHET

Leverantören ansvarar för den fysiska säkerheten i sina egna lokaler och för att utfärda relevanta föreskrifter i syfte att säkerställa att endast de personer som behövs för att genomföra Avtalet har tillgång till Kundens Personuppgifter i enlighet med punkt 1.1. Leverantören strävar efter att säkerställa dataskydd och datasäkerhet för Personuppgifter även under underhållsarbete.

4. DATAKOMMUNIKATION

Vid behov krypteras datakommunikation mellan Leverantören och Kunden relaterad till Avtalet och dess genomförande. Eventuell manuell dataöverföring sker med noggrant beaktande av skyddsklassificeringen för de uppgifter som överförs.

5. LOGGUPPGIFTER FÖR BEHANDLING AV PERSONUPPGIFTER

Leverantören ska rimligen överväga användningen av granskningsloggar i de av Leverantörens system eller applikationer som innehåller Personuppgifter. Eventuella loggar sparas under en rimlig tid på det sätt som tillämplig lag kräver i varje enskild situation.