Tjenesteavtale for personopplysninger

DPA/PUBA Denne personopplysningsavtalen (“Behandleravtalen”) er inngått mellom

1. Tigerton AB, bedriftsnr. 556645-3915 (“Tigerton”); og
2. Part som har akseptert de generelle betingelsene via samarbeidsavtale, (“Part”).

 Tigerton og Party blir heretter individuelt referert til som “Part” og samlet som “Parter”.

1 Generelt

1.1 Denne persondatabehandleravtalen utgjør en integrert del av avtalen som er inngått mellom Tigerton og kunden (“tjenesteavtalen”)

1.2  Når tjenesteavtalen fullføres, vil Tigerton behandle personopplysninger (definert nedenfor) på vegne av kunden som persondatabehandler for kunden. Kunden er personopplysningsansvarlig for behandling av personopplysningene.

1.3  Dersom noen andre sammen med Kunden er personopplysningsansvarlig for de aktuelle Personopplysningene, må Kunden informere Tigerton om dette.

1.4  Formålet med denne bistandsavtalen er at partene skal oppfylle de til enhver tid gjeldende kravene i henhold til gjeldende databeskyttelsesforordning og sikre tilstrekkelig beskyttelse for personlig integritet og grunnleggende rettigheter for enkeltpersoner i forbindelse med overføring av personopplysninger fra kunden til Tigerton innenfor rammen av tjenestene Tigerton utfører for Kunden under Tjenesteavtalen.

2 Definisjoner

”Behandling” 

Viser til tiltak som er tatt i forhold til personopplysninger, enten det skjer automatisk eller ikke, f.eks. innsamling, registrering, organisering, lagring, behandling eller modifikasjon, gjenfinning eller bruk. ”Databeskyttelsesforordningen” 

refererer til enhver gjeldende lov eller forskrift som må anvendes på behandling av personopplysninger, som inkluderer, men ikke er begrenset til, EU-parlamentets og rådets forordning (EU) 2016/679 (“databeskyttelsesforordningen”/” GDPR”) og tilsynsmyndighetens bindende vedtak og forskrifter samt ytterligere lokal tilpasning og regulering vedrørende databeskyttelse.

”Personlig informasjon” 

refererer til personopplysningene som Tigerton behandler under bistandsavtalen. Begrepet skal ha den betydningen som fremgår av den juridiske definisjonen under GDPR til enhver tid. ”Tilsynsmyndighet” refererer til den eller de tilsynsmyndighetene som er autorisert til å føre tilsyn med håndteringen av personopplysninger eller anses å være en relevant tilsynsmyndighet etter databeskyttelsesforordningen, i Sverige f.eks. Den svenske personvernmyndigheten.

”Assistentassistent” 

refererer til underleverandøren som er ansatt eller skal ansettes av Tigerton og som derfor vil behandle personopplysninger på Tigertons vegne. Eventuelle andre definisjoner med stor forbokstav som brukes i denne bistandsavtalen skal, med mindre annet er uttrykkelig angitt, ha betydningen og betydningen angitt i GDPR og sekundært som angitt i tjenesteavtalen, med mindre omstendighetene klart indikerer en annen tolkningsrekkefølge.

3 Ansvar

3.1 Kunden er personopplysningsansvarlig for alle personopplysninger som Tigerton behandler på vegne av kunden under tjenesteavtalene. Kunden er derfor ansvarlig for å følge gjeldende databeskyttelsesforordning. Kunden har plikt til å informere Tigerton om enhver endring i kundens virksomhet som fører til at Tigerton må iverksette en eller annen form for handling eller endret rutine. I tillegg til kravene som gjelder direkte for Tigerton i henhold til denne assistentavtalen, skal Tigerton være forpliktet til å overholde kravene som til enhver tid gjelder i henhold til gjeldende databeskyttelsesforordning. Kunden skal også fortløpende informere Tigerton om handlinger fra tredjeparter, herunder tilsynsmyndigheter og registranter, i forbindelse med behandlingen.  

3.2 Tigerton og personen(e) som arbeider under Tigertons ledelse skal kun behandle personopplysninger i samsvar med de dokumenterte instruksjonene kunden gir Tigerton og ikke til andre formål enn de som Tigerton ble engasjert for og som er spesifisert i denne bistandsavtalen. Instruksjonene som gjelder ved inngåelse av Bistandsavtalen fremgår av vedlegg 1. I tillegg til de spesielle instruksjonene som fremgår av de Generelle Vilkårene, skal denne Bistandsavtalen og Tjenesteavtalen ellers anses å utgjøre alle Kundens instrukser til Tigerton angående behandlingen av personlige data. Kunden skal umiddelbart informere Tigerton om endringer som påvirker Tigertons forpliktelser etter denne bistandsavtalen. 

3.3 Hvis, etter Tigertons oppfatning, en instruks vedrørende Behandling av personopplysninger gitt av Kunden er i strid med databeskyttelsesforordningen, må Tigerton umiddelbart informere Kunden.

3.4  Behandling kan også finne sted hvis slik behandling er påkrevd i henhold til unionsretten eller nasjonal lovgivning i en medlemsstat som Tigerton. I slike tilfeller må Tigerton informere kunden om lovkravet før behandlingen, med mindre slik informasjon er forbudt med henvisning til en viktig offentlig interesse i henhold til slik lov. 

3.5  Tigerton har rett til, i løpet av gyldighetsperioden til Assistanseavtalen og deretter, å lagre og behandle data behandlet under denne Assistanseavtalen i et aggregert eller anonymisert format, dvs. data som ikke inneholder personopplysninger.

4 Sikkerhet

4.1 Tigerton skal ta de tekniske og organisatoriske tiltakene som kreves i henhold til gjeldende databeskyttelsesforskrifter for å sikre et sikkerhetsnivå som er passende i forhold til risikoen ved behandlingen og for å beskytte personopplysningene som behandles mot utilsiktet eller ulovlig ødeleggelse, tap eller endring eller uautorisert utlevering av eller uautorisert tilgang til personopplysningene som behandles. Dette inkluderer, der det er relevant, følgende:  

1. pseudonymisering og kryptering av personopplysninger,
2. fevnen til kontinuerlig å sikre konfidensialitet, integritet, tilgjengelighet og motstandskraft til behandlingssystemene og -tjenestene,  
3. muligheten til å gjenopprette tilgjengelighet og tilgang til personopplysninger i rimelig tid i tilfelle en fysisk eller teknisk hendelse,  
4. en prosedyre for regelmessig å teste, undersøke og evaluere effektiviteten til de tekniske og organisatoriske tiltakene som vil sikre sikkerheten til behandlingen

4.2  Tigerton skal bistå Kunden med å sikre at forpliktelsene i henhold til artikkel 32-36 i GDPR blir oppfylt, tatt i betraktning typen behandling og informasjonen som er tilgjengelig for Tigerton.

5 Utlevering av informasjon og personopplysninger

5.1 O Hvis Tigerton mottar en forespørsel fra registranten, tilsynsmyndigheten eller annen tredjepart om å få tilgang til informasjon som Tigerton behandler i henhold til denne bistandsavtalen, må Tigerton videresende forespørselen til kunden. Tigerton, eller noen som arbeider under Tigertons ledelse, kan ikke avsløre personopplysninger eller annen informasjon om behandlingen av personopplysninger uten instruksjoner om dette fra kunden.  

5.2 Tigerton skal bistå kunden i den grad det er mulig slik at kunden kan oppfylle sin forpliktelse til å svare på forespørsler fra den registrerte når den registrerte utøver sine rettigheter i henhold til gjeldende databeskyttelsesforordning.

6 Kontakter med tilsynsmyndigheten

6.1 Tigerton skal informere kunden om eventuelle kontakter fra tilsynsmyndigheten i forbindelse med behandling av personopplysninger.

7 Assistenter

7.1 Tigerton gis en generell forhåndstillatelse til å ansette Underassistenter under forutsetning av at Tigerton inngår en skriftlig avtale der Underassistenten er underlagt forpliktelser tilsvarende de som pålegges Tigerton under denne Underhjelpsavtalen.  

7.2 Tigerton skal, på forespørsel fra kunden, informere kunden om hvilke underassistenter som er ansatt av Tigerton for å behandle personopplysninger.  

7.3 Tigerton forplikter seg til å informere kunden om eventuelle planer om å ansette nye underassistenter eller erstatte underassistenter. Kunden har rett til å protestere mot slike endringer på objektivt grunnlag. Dersom Kunden gjør en slik begrunnet innsigelse, har Tigerton krav på ekstra kompensasjon fra Kunden for de kostnader Tigerton pådrar seg pga. nåværende assistent kan ikke brukes. Tigerton har også rett til å si opp Serviceavtalen og/eller denne Assistanseavtalen helt eller delvis, f.eks. vedrørende visse tilleggstjenester med tretti (30) dagers varsel, uten at Kunden har krav på kompensasjon eller erstatning.

8 Rett til innsyn og kontroll

Tigerton må gi kunden tilstrekkelig informasjon som kreves for å vise at Tigerton oppfyller kravene fastsatt i denne assistentavtalen og i gjeldende databeskyttelsesforordning. Om nødvendig skal Tigerton også bidra til at Kunden kan foreta gjennomganger og inspeksjoner av Behandlingen av personopplysninger utført av Tigerton. Slike gjennomganger skal skje til avtalte tider og for Kundens regning.

9 Overføring til tredjeland

9.1 Overføring av personopplysninger fra Tigerton eller av underleverandøren til et sted utenfor EØS-området kan utføres forutsatt at gjeldende krav for slik overføring til enhver tid er oppfylt i henhold til databeskyttelsesforordningen.

10 Personvern

10.1 Tigerton forplikter seg til å sikre at personer som er autorisert til å behandle personopplysningene overført av kunden, har forpliktet seg til å overholde konfidensialitet for slik behandling eller er underlagt en passende lovbestemt taushetsplikt som ellers beskytter personopplysningene mot avsløring.

10.2 Forpliktelsen i punkt 10.1 ovenfor gjelder ikke informasjon som Tigerton er pålagt å utlevere til myndighetene eller som på annen måte følger av en annen lovpålagt forpliktelse.

10.3 Konfidensialitetsforpliktelsen gjelder i tjenesteavtalens gyldighetsperiode og deretter.

11 Dataportabilitet

11.1 Tigerton skal fra Søknadsdagen sørge for at Kunden og/eller Kundens sluttkunder (når disse er personopplysningsansvarlige) kan oppfylle enhver forpliktelse til å muliggjøre dataportabilitet vedrørende Personopplysninger som Tigerton behandler i henhold til denne Assistanseavtalen.

12 Erstatning

12.1 Tigerton skal ha krav på full kompensasjon fra Kunden for alt arbeid og alle kostnader som oppstår som følge av oppfyllelse av punkt 8, 11 og 15.1 som er avhengig av instruksjoner for Behandlingen som Kunden gir Tigerton og som går utover det som fremgår av vedlegg 1 eller funksjonene og sikkerhetsnivået som følger av tjenestene som Tigerton normalt tilbyr sine kunder, f.eks. med hensyn til Tigertons webhotell og servere og ting som krever at Tigerton foretar spesialtilpasninger etter ordre fra Kunden.

12.2 Tigerton skal også ha krav på kompensasjon for sitt arbeid på grunn av sine forpliktelser etter pkt. 5. Alt arbeid som Tigerton har krav på kompensasjon for i henhold til dette punkt skal kompenseres i henhold til Tigertons til enhver tid gjeldende timepriser. Utgifter som Tigerton måtte ha for å oppfylle det samme, skal dekkes i henhold til Tigertons faktiske kostnader for utgiftene.

13 Ansvar

13.1 Hvis Tigerton, personen som arbeider under Tigertons ledelse eller en underleverandør engasjert av Tigerton behandler personopplysninger i strid med denne bistandsavtalen eller de juridiske instruksjonene gitt av kunden, skal Tigerton, under hensyntagen til ansvarsbegrensningene som følger av tjenesteavtalen, kompensere Kunden for den direkte skade som Kunden er påført på grunn av feilbehandlingen.

13.2 Kunden skal holde Tigerton skadesløs for alle direkte eller indirekte skader som Tigerton forårsaker ved brudd på databeskyttelsesforordningen som skyldes uklare, ufullstendige eller uautoriserte instruksjoner som Kunden har gitt Tigerton, utilstrekkelig informasjon fra Kunden om hvilke kategorier av data behandles (f.eks. hvis sensitive personopplysninger behandles uten at kunden informerer Tigerton om dette) eller på annen måte avhengig av omstendighetene på kundens side. 

13.3 Tigertons kompensasjonsforpliktelser vedrørende krav og skader i henhold til dette punkt 13 gjelder under forutsetning av at i) Kunden gir Tigerton skriftlig melding om krav fremsatt mot Kunden uten ugrunnet opphold; og ii) Kunden lar Tigerton kontrollere forsvaret av kravet og ta eneste avgjørelser om ethvert oppgjør.

14 Kontraktstid og tiltak ved oppsigelse

14.1 Assistanseavtalen gjelder fra signering og så lenge Tigerton behandler Personopplysninger på vegne av Kunden eller dennes kunder.

 14.2 Tigerton må, etter oppsigelsen av Tjenesteavtalen eller Bistandsavtalen, returnere eller slette Personopplysningene som Kunden har sendt inn eller som på annen måte er kommet til Tigertons oppmerksomhet. Tigerton skal slette alle eksisterende kopier med mindre lagring av personopplysningene er påkrevd i henhold til unionslovgivningen eller medlemsstatens nasjonale lov.

15 Endringer i bistandsavtalen

15.1 Dersom personvernforskriften endres i løpet av Bistandsavtalens løpetid, eller dersom Tilsynsmyndigheten gir retningslinjer, vedtak eller forskrifter vedrørende anvendelsen av databeskyttelsesforskriften som gjør at denne Bistandsavtalen ikke oppfyller kravene som stilles til en Bistandsavtale og/ eller underassistanseavtale, må denne bistandsavtalen endres for å imøtekomme slike nye eller tilleggskrav. En slik endring skal tre i kraft senest tretti (30) dager etter at Kunden har sendt melding om endring til Tigerton, eller ellers senest innen en tidsperiode som er spesifisert i databeskyttelsesforordningen, tilsynsmyndighetens retningslinjer, vedtak eller forskrifter. 

15.2 Andre endringer i og tillegg til denne bistandsavtalen må utarbeides skriftlig og behørig signert av partene for å være bindende.

16 Annet

16.1 For øvrig skal det som er sagt i tjenesteavtalen også gjelde for Tigertons behandling av personopplysninger og forpliktelsene under denne bistandsavtalen. Ved uenighet mellom bestemmelsene i Tjenesteavtalen og denne Bistandsavtalen skal imidlertid bestemmelsene i Bistandsavtalen ha forrang i forhold til all Behandling av Personopplysninger. Ingenting i Tjenesteavtalen skal anses å begrense eller endre forpliktelser i denne Bistandsavtalen i den grad dette vil føre til at en Part ikke oppfyller kravene i personvernforordningen.

 16.2 Tigertons ansvar er alltid begrenset til det beløpet som svarer til det gebyr Kunden har betalt fra det tidspunkt kontraktsbruddet er meddelt Tigerton skriftlig til mangelen er rettet eller inneværende avtaleperiode er avsluttet. Krav som overstiger dette beløpet har ikke rett til å bli gjort gjeldende mot Tigerton. Denne begrensningen gjelder selv om de utførte tiltakene ikke har oppfylt formålet.

16.3 Svensk materiell lov skal gjelde for denne bistandsavtalen.

16.4 Tvister som oppstår på grunn av denne Assistanseavtalen må løses i henhold til tvisteløsningsbestemmelsen i Tjenesteavtalen.