Ett personuppgiftsbiträdesavtal (PUB-avtal) reglerar förhållandet när ett personuppgiftsbiträde behandlar personuppgifter för en personuppgiftsansvarigs räkning. Enligt GDPR är ett skriftligt PUB-avtal obligatoriskt när du anlitar en leverantör som hanterar personuppgifter åt dig.
Genom att ha PUB-avtal med samarbetspartners försäkrar du dig om att de följer höga standarder för dataskydd och hantering av personuppgifter i enlighet med GDPR. I avtalet fastställs de rättigheter och skyldigheter som reglerar förhållandet mellan det personuppgiftsansvariga företaget och den som behandlar uppgifterna å deras vägnar.
Fyll i mallen direkt i webbläsaren och spara som PDF. Klar att skicka för signering på några minuter.
Visma Sign (Visma Solutions Oy) har skapat avtalsmallen ovan för att göra det enklare för dig att ingå aval. Visma Solutions ansvarar inte för avtalens innehåll eller för hur den lämpar sig åt användarens ändamål. Konsultera en juridisk expert om nödvändigt.
Så här använder du PDF-avtalsmallen:
Mallen täcker alla standardavsnitt i ett PUB-avtal samt två bilagor. Här är en genomgång av vad varje del reglerar.
Parter
Här definieras tydligt vilka parter som ingår PUB-avtalet, vilken part som utgör personuppgiftsbiträdet respektive personuppgiftsansvarig samt kontaktuppgifter till parterna.
Definitioner
För att undvika ett alltför omfattande avtal kan det vara på sin plats att definiera termer som ofta förekommer i huvudavtalet.
Bakgrund
Här beskrivs syftet med avtalet och varför de båda parterna ingår det. Ju tydligare man är om avsikten med avtalet, desto bättre.
Behandling av personuppgifter
Här beskrivs hur parterna ska uppnå syftet med avtalet. Ju tydligare man är om hur behandlingen ska genomföras, desto bättre.
Den personuppgiftsansvariges ansvar
Här beskrivs de åtaganden den personuppgiftsansvarige tar på sig, till exempel informationsplikt till personuppgiftsbiträdet och övriga berörda parter.
Personuppgiftsbiträdets åtaganden
Här beskrivs personuppgiftsbiträdets åtaganden, till exempel ansvar för anställda och underbiträden samt informationsplikt till den personuppgiftsansvarige.
Säkerhetsåtgärder
Det är viktigt att behandlingen av personuppgifter sker med tillräcklig säkerhet för att undvika personuppgiftsincidenter. Här framgår tydligt vilka åtgärder som vidtas för att på ett lagenligt sätt skydda personuppgifterna.
Sekretess
När ett personuppgiftsbiträde behandlar personuppgifter får det oundvikligen tillgång till sekretessbelagda uppgifter. Här regleras vilken information som faller under sekretessbestämmelsen, vilken information som inte omfattas och under vilken tidsperiod sekretessen gäller.
Granskning, tillsyn och revision
Eftersom skyddet för personuppgifter är starkt är det viktigt med kontinuerliga granskningar. Här regleras hur denna tillsyn ska fungera i praktiken.
Hantering av rättelser och radering
Om felaktig behandling av personuppgifter sker regleras här hur parterna ska agera, till exempel hur rättelse ska vidtas och vilka aktörer som ska underrättas.
Personuppgiftsincidenter
Om en personuppgiftsincident inträffar regleras här hur parterna ska agera, till exempel hur återställande ska ske och vilka aktörer som ska underrättas.
Underbiträde
Personuppgiftsbiträdet kan ha rätt att anlita ytterligare aktörer för att bistå i arbetet, men detta förutsätter den personuppgiftsansvariges medgivande och insyn.
Lokalisering och överföring av personuppgifter till tredje land
Dataskyddslagstiftningen gäller inom EU och EES. Här regleras vad som sker vid behandling och överföring utanför detta område.
Ansvar för skada i samband med behandling
Vid felaktig behandling eller personuppgiftsincidenter kan skadeståndsansvar aktualiseras gentemot individen. Parterna avtalar här om vem som bär skadeståndsansvaret.
Avtalstid och uppsägning
Reglerar hur länge avtalet gäller, på bestämd tid eller tillsvidare, samt eventuell uppsägningstid.
Ändringar och uppsägning med omedelbar verkan
Varje ändring av avtalet ska vara skriftlig och undertecknad av båda parter för att vara giltig.
Åtgärder vid PUB-avtalets upphörande
Reglerar vad som sker vid avtalets upphörande, till exempel hur personuppgifter raderas eller återlämnas samt hur sekretessen påverkar parterna efter att avtalet upphört.
Meddelanden
Reglerar hur parterna ska kommunicera med varandra, vilket underlättar både i det dagliga arbetet och i bevishänseende vid eventuella tvister.
Tillämplig lag och tvist
Som huvudregel gäller svensk lag mellan två svenska avtalsparter. Parterna kan även välja om en eventuell tvist ska avgöras i allmän domstol eller skiljenämnd. I den här mallen förespråkas allmän domstol.
Utöver vad som framgår av PUB-avtalet kan den personuppgiftsansvarige ange ytterligare instruktioner för behandlingen av personuppgifter.
Ändamålet, föremålet och arten
Ange övergripande det huvudsakliga syftet med personuppgiftsbiträdets behandling, till exempel tillhandahållande av ett HR-verktyg för löneadministration eller en molntjänst för lagring av verksamhetsdata. Ange även ändamålet med behandlingen och behandlingens art, det vill säga vilka behandlingsåtgärder som ska utföras, till exempel insamling, lagring, läsning, strukturering eller överföring.
Behandlingen omfattar följande typer av personuppgifter
Ange vilka typer av personuppgifter som personuppgiftsbiträdet har rätt att behandla, till exempel namn, e-postadress, telefonnummer, IP-adress eller hälsouppgifter.
Behandlingen omfattar följande kategorier av registrerade
Ange vilka kategorier av registrerade som personuppgiftsbiträdet har rätt att behandla personuppgifter om, till exempel anställda, konsulter, patienter eller elever.
Särskilda hanteringskrav
Ange eventuella krav på gallring efter en viss tidsperiod, lagring av säkerhetskopior eller rutiner för behörighetshantering.
Tekniska och organisatoriska säkerhetsåtgärder
Personuppgiftsbiträdet ska redovisa teknisk dokumentation och systemspecifikation som klargör hur personuppgifter hanteras och skyddas. Utifrån denna dokumentation kan den personuppgiftsansvarige bedöma om ytterligare åtgärder behövs för att uppnå tillräcklig skyddsnivå.
Särskilda krav på loggning
Ange krav på vad som ska framgå av loggar, vilka som får ha tillgång till dem och hur länge de ska sparas.
Lokalisering och överföring till tredje land
Ange postadress och land för de platser där behandlingen utförs samt eventuella instruktioner för överföring av personuppgifter till tredje land.
Behandlingens varaktighet
Ange tidsperioden, eller de kriterier som används för att fastställa tidsperioden, under vilken personuppgiftsbiträdet får behandla personuppgifter.
Övriga instruktioner
Lägg vid behov till ytterligare instruktioner för personuppgiftsbiträdets behandling, till exempel avseende förfarandet vid granskningar och inspektioner.
Ange bolagsnamn, organisationsnummer, postadress, e-postadress, telefonnummer, var underbiträdet behandlar personuppgifter, vilka typer av personuppgifter som behandlas, ändamålet med behandlingen, under vilken tidsperiod behandlingen sker samt eventuell länk till ytterligare information om underbiträdets behandling, till exempel integritetspolicy eller information om säkerhetsåtgärder.
Fixa signaturen enkelt och säkert med Visma Sign. Börja din gratis provperiod nu! Vi ger dig 5 signaturer att testa med.