mellan

Personuppgiftsansvarig: ”Kunden” och
Personuppgiftsbiträde: Bitspace AB
Organisationsnummer: 556878-9233
Etableringsland: Sverige

Med “Personuppgiftsbiträdet” avses Bitspace AB för tjänsterna angivna i Bitspace AB’s Allmänna Villkor, §1 Allmänt. Med Personuppgiftsansvarig avses Kunden. Bitspace AB’s kontaktperson för allmänna frågor om avtalet samt Bitspace AB’s behandling av personuppgifter redovisas på https://bitspace.se/dataskydd/.

1. Inledning
1.1 Båda Parterna bekräftar att de undertecknade har fullmakt att ingå detta personuppgiftsbiträdesavtal (”Avtal”) som är en integrerad del av det/de tjänsteavtal som tecknats mellan Parterna (”Tjänsteavtalet”). Detta Avtal reglerar Behandlingen av Personuppgifter med anledning av vid var tid gällande Tjänsteavtal.
1.2 Bitspace AB agerar i enlighet med Bitspace AB’s Privacy Statement som finns tillgänglig
på https://bitspace.se/dataskydd/.

2. Definitioner
2.1 Definitionen av Personuppgifter, Särskilda kategorier av Personuppgifter (Känsliga Personuppgifter), Behandling av Personuppgifter, Registrerad, Personuppgiftsansvarig och Personuppgiftsbiträdet är densamma som används i gällande dataskyddslagstiftning, inklusive den allmänna dataskyddsförordningen (GDPR – General Data Protection Regulation), gällande i detta Avtal samt i Europa från den 25 maj 2018 samt vid varje tidpunkt gällande nationell kompletterande lagstiftning, tillsammans nedan kallat ”Gällande Personuppgiftslagstiftning”.
2.2 I denna bilaga benämns Personuppgiftsansvarig som ”Kunden” eller ”Parten”, Personuppgiftsbiträdet som ”Bitspace AB” eller ”Parten” och kollektivt som ”Parterna”.

3. Omfattning
3.1 Avtalet reglerar Bitspace AB’s Behandling av Personuppgifter på uppdrag av Kunden och beskriver hur Bitspace AB ska säkerställa dataskydd, genom tekniska och organisatoriska åtgärder enligt Gällande Dataskyddslagstiftning.
3.2 Syftet med Bitspace AB’s Behandling av Personuppgifter på uppdrag av Kunden är att uppfylla åtaganden enligt Tjänsteavtalet.
3.3 Detta Avtal har företräde framför eventuella motstridiga bestämmelser om Behandling av Personuppgifter i Tjänsteavtal eller i andra avtal som ingåtts mellan Parterna.

4. Bitspace AB’s skyldigheter
4.1 Bitspace AB får endast Behandla Personuppgifter på uppdrag av och i enlighet med Kundens dokumenterade instruktioner. Genom att ingå detta Avtal instruerar Kunden Bitspace AB att Behandla Personuppgifter på följande sätt:
1) endast i enlighet med gällande lag,
2) för att uppfylla alla förpliktelser enligt Tjänsteavtal,
3) som vidare specificerat genom Kundens normala användning av Bitspace AB’s tjänster och
4) på så sätt som anges i detta Avtal.
4.2 Bitspace AB har ingen anledning att tro att det finns lagstiftning som förhindrar att Bitspace AB följer de ovan angivna instruktionerna. Bitspace AB ska, efter att ha blivit medveten om det, informera Kunden i de fall Kundens instruktioner eller behandling, enligt Bitspace AB, strider mot gällande dataskyddslagstiftning.
4.3 De kategorier av Registrerade och Personuppgifter som omfattas av Behandling
i detta Avtal framgår i detta dokument.
1) förfrågningar om utlämnande av Personuppgifter som erhållits från en Registrerad
2) förfrågningar från myndigheter, exempelvis Polisen, om utlämnande av Personuppgifter
4.4 Bitspace AB ska säkerställa konfidentialitet, integritet och tillgänglighet av Personuppgifter enligt Gällande Personuppgiftslagstiftning. Bitspace AB ska genomföra systematiska, organisatoriska och tekniska åtgärder för att säkerställa en lämplig säkerhetsnivå, med hänsyn tagen till den senaste tekniken och implementationskostnader i förhållande till den risk som Behandlingen innebär, och
typen av Personuppgifter som ska skyddas.
4.5 Bitspace AB ska bistå Kunden med lämpliga tekniska och organisatoriska åtgärder, så långt det är möjligt med hänsyn tagen till typ av Behandling och den informationen som är tillgänglig för Bitspace AB, för att uppfylla Kundens skyldigheter enligt gällande dataskyddslagstiftning avseende förfrågningar från Registrerade och allmänt dataskydd enligt dataskyddsförordningen artikel 32-36.
4.6 Om Kunden behöver information om säkerhetsåtgärder, dokumentation eller annan information om hur Bitspace AB Behandlar Personuppgifter, och sådana förfrågningar innebär mer information än den standardinformation som tillhandahålls av Bitspace AB för att följa gällande dataskyddslagstiftning som Personuppgiftsbiträde, och det innebär mer arbete för Bitspace AB, kan Bitspace AB debitera Kunden för sådana ytterligare tjänster.
4.7 Bitspace AB och dennes personal ska säkerställa konfidentialitet av Personuppgifter som Behandlas under detta Avtal. Detta villkor gäller även efter att Avtalet upphört att gälla.
4.8 Bitspace AB ska, genom att skyndsamt och utan onödigt dröjsmål meddela
Kunden, göra det möjligt för Kunden att uppfylla de rättsliga krav som gäller för information till relevanta dataskyddsmyndigheter och Registrerade rörande personuppgiftsincidenter.
4.9 Vidare ska Bitspace AB, i den utsträckning det är praktiskt möjligt och lagligt, meddela
Kunden om;
4.10 Bitspace AB får inte svara direkt på förfrågningar från Registrerade utan medgivande från Kunden. Bitspace AB får inte delge innehåll rörande Avtalet till myndigheter som Polisen, inklusive Personuppgifter, med undantag för vad som är lagstadgat, exempelvis genom domstolsbeslut eller liknande beslut.
4.11 Bitspace AB har inte kontroll över huruvida och hur Kunden väljer att använda sig
av eventuella tredjepartsintegrationer via Bitspace AB, via direkt databaskoppling eller liknande. Ansvaret för sådana integrationer med tredje part åligger uteslutande Kunden. Bitspace AB är inte ansvarig såsom Bitspace AB för eventuell behandling av Personuppgifter genom sådan tredjepartsintegration.

5. Kundens skyldigheter
5.1 Genom att underteckna detta Avtal bekräftar Kunden att Kunden:
1) vid användning av de tjänster som tillhandahålls av Bitspace AB enligt Tjänsteavtal, Behandla Personuppgifter i enlighet med kraven i gällande dataskyddslagstiftning.
2) har rättslig grund att Behandla och utlämna de aktuella Personuppgifterna till Bitspace AB (inklusive eventuella underbiträden som Bitspace AB använder).
3) är ensamt ansvarig för riktigheten, integriteten, innehållet, tillförlitligheten och lagenligheten av de Personuppgifter som lämnats till Bitspace AB.
4) har uppfyllt alla eventuella obligatoriska krav och skyldigheter att anmäla hos eller få tillstånd från relevanta myndigheter för Behandlingen av Personuppgifter.
5) har fullgjort sina skyldigheter att tillhandahålla relevant information till Registrerade avseende Behandling av Personuppgifter enligt Gällande Personuppgiftslagstiftning.
6) instämmer i att Bitspace AB har lämnat garantier avseende implementeringen av tekniska och organisatoriska säkerhetsåtgärder som är tillräckliga för att skydda Registrerades integritet och Personuppgifter.
7) vid användning av de tjänster som tillhandahålls av Bitspace AB under Tjänsteavtal inte överför några Känsliga Personuppgifter, eller uppgifter som rör fällande domar i brottmål och överträdelser till Bitspace AB. Sker sådan överföring kan inte Bitspace AB hållas ansvarig för felaktig behandling av dessa Känsliga Personuppgifter.
8) ska upprätthålla ett uppdaterat register över de typer och kategorier av Personuppgifter som denne Behandlar.

6. Användande av underbiträden och överföring av data
6.1 Som en del av leveransen av tjänster till Kunden enligt Tjänsteavtal och detta Avtal, kan Bitspace AB använda sig av underleverantörer i rollen underbiträde. Sådana underbiträden kan vara systerbolag till Bitspace AB eller externa underleverantörer (tredje part) inom eller utanför EU. Bitspace AB ska säkerställa att underleverantörer genom avtal samtycker till att åta sig ansvar som motsvarar de skyldigheter som anges i detta Avtal.
6.2 Nuvarande underleverantörer med tillgång till Personuppgifter publiceras på Bitspace AB’s Privacy-websida https://bitspace.se/dataskydd/ vilka genom detta Avtal har accepterats som underbiträden av Kunden. Vidare syftar det interna dataskyddsramverk Bitspace AB använder till att skydda konfidentialitet, integritet, korrekthet och åtkomst av Personuppgifter. Följande åtgärder är av särskild betydelse i detta avseende:
6.3 Kunden kan när som helst begära en fullständig översikt och mer detaljerad information om de underleverantörer som är involverade i leverans av tjänsten enligt Tjänsteavtalet.
6.4 Om underleverantörerna finns utanför EU ska Bitspace AB säkerställa att överföring sker enligt Gällande Personuppgiftslagstiftning. Kunden ger härmed Bitspace AB behörighet och befogenhet för att säkerställa lämpliga rättsliga grunder för överföring av
Personuppgifter utanför EU på Kundens uppdrag, t ex genom att för Kundens räkning underteckna EU-standardavtalsklausuler eller överföra Personuppgifter i enlighet med EU/US Privacy Shield.
6.5 Kunden ska underrättas innan ändringar sker rörande underleverantörer som Behandlar Personuppgifter. Om ny underleverantör bevisligen inte efterlever gällande dataskyddslagstiftning och underleverantören fortsatt inte efterlever gällande dataskyddslagstiftning, efter att Bitspace AB har fått rimlig tid på sig att säkerställa att underleverantören efterlever regelverket, kan Kunden säga upp Avtalet. Sådan uppsägning kan innebära rätt att säga upp Tjänsteavtal, helt eller delvis, enligt de uppsägningsklausuler som finns i respektive Tjänsteavtal. En viktig del av sådana bedömningar ska vara i vilken mån underleverantörens Behandling av Personuppgifter är en nödvändig del av de tjänster som tillhandahålls enligt Tjänsteavtal. En ändring av underleverantör ska inte i sig att betraktas som ett brott mot Tjänsteavtal.
6.6 Genom att underteckna detta Avtal accepterar Kunden att Bitspace AB använder sig av underleverantörer på så sätt som beskrivs ovan.
1) klassificering av Personuppgifter för att säkerställa genomförandet av säkerhetsåtgärder som motsvarar riskbedömning.
2) utvärdering av användning av kryptering och pseudonymisering som riskreducerande faktorer.
3) begränsning av tillgång till Personuppgifter till de som behöver tillgång för att fullgöra skyldigheterna i detta Avtal eller Tjänsteavtal.
4) användande av system som upptäcker, återställer, förhindrar och rapporterar personuppgiftsincidenter.
5) genomförande av säkerhetsanalyser för att bedöma kvaliteten i nuvarande tekniska och organisatoriska åtgärder för att skydda Personuppgifter, med beaktande av kraven
i gällande dataskyddslagstiftning.

7. Säkerhet
7.1 Bitspace AB har åtagit sig att tillhandahålla en hög säkerhetsnivå i sina produkter och
tjänster. Bitspace AB tillhandahåller säkerhetsnivån genom organisatoriska, tekniska och fysiska säkerhetsåtgärder, i enlighet med kraven på informationssäkerhet som beskrivs i dataskyddsförordningen artikel 32.

8. Revisionsrättigheter
8.1 Kunden har rätt att genomföra årlig revision av Bitspace AB uppfyllande av villkoren i Avtalet. Om lagstiftningen kräver det kan Kunden begära revisioner oftare. Då Bitspace AB:s tjänster är fleranvändarmiljöer ger Kunden Bitspace AB befogenhet, att av säkerhetsskäl, bestämma att revision ska utföras av en neutral tredjepartsrevisor som
Bitspace AB väljer.
8.2 Om det begärda revisionsområdet är upptaget i en ISAE-, ISO- eller liknande granskningsrapport som utförts av en kvalificerad tredjepartsrevisor inom de föregående tolv månaderna, och Bitspace AB bekräftar att det inte finns några kända väsentliga förändringar i de åtgärder som granskats, accepterar Kunden denna granskningsrapport istället för att begära en ny revision av åtgärder som redan granskats.8.3 Om Kunden inte accepterar den av Bitspace AB valda neutrala tredjepartsrevisorn, kan Kunden tillsammans med Bitspace AB välja en annan neutral tredjepartsrevisor.
8.4 Kunden står för eventuella kostnader som uppstår i samband med begärda revisioner. Hjälp från Bitspace AB som överstiger standardtjänsten som tillhandahålls av Bitspace AB
och/eller Bitspace AB’s underleverantörer för att följa gällande dataskyddslagstiftning, kommer att debiteras.

9. Varaktighet och uppsägning
9.1 Detta Avtal är giltigt så länge som Bitspace AB Behandlar Personuppgifter på uppdrag av Kunden enligt gällande Tjänsteavtal.
9.2 Avtalet upphör automatiskt när Tjänsteavtalet upphör att gälla. När Avtalet upphör kommer Bitspace AB att radera eller återlämna Personuppgifter som Behandlas på uppdrag av Kunden, i enlighet med gällande klausuler i respektive Tjänsteavtal. Om inte
annat avtalats skriftligen ska kostnaden för sådana åtgärder baseras på;
1) timtaxa för Bitspace AB’s tid och
2) komplexiteten i den begärda processen.
9.3 Bitspace AB kan behålla Personuppgifter efter att Avtalet har upphört, i den utsträckning det krävs enligt lag, med samma typ av tekniska och organisatoriska säkerhetsåtgärder som beskrivs i detta Avtal.

10. Ansvar
10.1 Ansvaret för överträdelse av villkoren i detta avtal, ska regleras av ansvarsklausuler i respektive Tjänsteavtal mellan Parterna. Detta gäller även för eventuella överträdelser som begåtts av Bitspace AB underleverantörer.

11. Tillämplig lag och jurisdiktion
11.1 Detta Avtal är underkastat tillämplig lag och den jurisdiktion som anges i respektive Tjänsteavtal mellan Parterna.

12. Kategorier av Personuppgifter och Registrerade
12.1 Då Bitspace AB’s tjänster medger att Kunden Behandlar godtyckligt data inom tjänsterna är det inte möjligt att generellt redovisa de kategorier av Registrerade och Personuppgifter som omfattas av Behandling. Denna information åligger Kunden att
registrera.
12.2 Kunden får inte överföra några Känsliga Personuppgifter till Bitspace AB. Sker sådan överföring kan inte Bitspace AB hållas ansvarig för felaktig behandling av dessa Känsliga Personuppgifter. Känsliga Personuppgifter definieras i Gällande Personuppgiftslagstiftning, dvs:
1) ras eller etniskt ursprung, politiska åsikter,
religiös eller filosofisk övertygelse,
2) uppgifter om hälsa,
3) uppgifter om en persons sexualliv eller sexuell läggning,
4) medlemskap i fackförening,
5) genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person
12.3 Inte heller får Kunden överföra personuppgifter som rör fällande domar i brottmål och överträdelser.

13. Översikt över nuvarande underleverantörer
13.1 Aktuella underleverantörer till Bitspace AB
som har tillgång till Kundens Personuppgifter
redovisas på https://bitspace.se/dataskydd/