Bilaga 1 — Personuppgiftsbiträdesavtal

Personuppgiftsansvarig ("Kunden"): Den organisation som tecknat avtal om att använda Fluit ERP-tjänsten.

Personuppgiftsbiträde ("Leverantören"):
Fluit System AB, org.nr 559421-4909
Hörnellgatan 4, 931 30 Skellefteå
E-post: info@fluit.se

Detta personuppgiftsbiträdesavtal ("PUB-avtalet") reglerar Leverantörens behandling av personuppgifter för Kundens räkning inom ramen för det avtal som parterna har ingått avseende Fluit ERP. PUB-avtalet utgör en integrerad del av tjänsteavtalet och gäller i enlighet med våra allmänna villkor.

Begrepp i detta avtal har samma innebörd som i EU:s dataskyddsförordning (GDPR, förordning 2016/679), såsom personuppgifter, behandling, registrerad, personuppgiftsansvarig och personuppgiftsbiträde.

Leverantören ska:

• Endast behandla personuppgifter i enlighet med Kundens dokumenterade instruktioner. Om Leverantören anser att en instruktion strider mot GDPR ska Leverantören omedelbart informera Kunden.
• Säkerställa att personer som behandlar personuppgifterna har förbundit sig att iaktta konfidentialitet.
• Vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna, inklusive:
  • Kryptering av data vid överföring (TLS) och i vila
  • Åtkomstkontroll och autentisering
  • Regelbundna säkerhetskopior
  • Loggning av åtkomst
• Inte anlita underbiträden utan Kundens skriftliga godkännande. Vid godkännande ska underbiträdet omfattas av motsvarande skyldigheter.
• Bistå Kunden med lämpliga åtgärder för att fullgöra skyldigheten att besvara begäranden från registrerade (tillgång, rättelse, radering, dataportabilitet).
• Bistå Kunden vid konsekvensbedömningar och förhandssamråd med tillsynsmyndigheten om så krävs.
• Vid avtalets upphörande, enligt Kundens val, radera eller återlämna samtliga personuppgifter och radera befintliga kopior, såvida inte lagring krävs enligt lag.

Kunden godkänner vid avtalets tecknande följande underbiträden:

Leverantören ska informera Kunden skriftligen innan nya underbiträden anlitas. Kunden har rätt att invända inom 14 dagar. Om parterna inte kan enas har Kunden rätt att säga upp avtalet.

Personuppgifter ska behandlas och lagras inom EU/EES. Överföring till land utanför EU/EES får inte ske utan Kundens skriftliga godkännande och utan att lämpliga skyddsåtgärder enligt GDPR kapitel V är på plats.

Leverantören ska utan onödigt dröjsmål, och senast inom 48 timmar, underrätta Kunden om en personuppgiftsincident som påverkar Kundens data. Underrättelsen ska innehålla:

• Beskrivning av incidenten och dess sannolika konsekvenser
• Vilka kategorier av registrerade och personuppgifter som berörs
• Åtgärder som vidtagits eller föreslås för att hantera incidenten

Kunden har rätt att, på egen bekostnad och med skäligt varsel (minst 14 dagar), verifiera att Leverantören uppfyller sina skyldigheter enligt detta avtal. Leverantören ska ge tillgång till nödvändig information och medverka vid granskningar.

Leverantörens ansvar under detta PUB-avtal regleras av ansvarsbegränsningen i de allmänna villkoren.

PUB-avtalet gäller så länge Leverantören behandlar personuppgifter för Kundens räkning. Det upphör automatiskt när samtliga personuppgifter har raderats eller återlämnats i enlighet med punkt 5.

Frågor om detta personuppgiftsbiträdesavtal besvaras av:
Fluit System AB (org.nr 559421-4909)
Hörnellgatan 4, 931 30 Skellefteå
E-post: info@fluit.se