För kunder där Nordic Riser AB behandlar personuppgifter för din räkning som personuppgiftsbiträde, inte som personuppgiftsansvarig. Tillgängligt på begäran — kontakta oss för att teckna detta i samband med ditt uppdrag.
Detta personuppgiftsbiträdesavtal (”biträdesavtalet”) gäller när Nordic Riser AB (”biträdet”) behandlar personuppgifter för en kunds räkning (”den personuppgiftsansvarige”) i samband med NR-BOS, Medlemsportalen eller en annan mjukvaruprodukt från Nordic Riser, enligt artikel 28 i GDPR. Det kompletterar — och ersätter inte — det underliggande tjänsteavtalet eller användarvillkoren mellan parterna.
Denna publicerade version är en mall. Kontakta oss för att teckna det som ett undertecknat avtal med hänvisning till ditt specifika uppdrag.
Föremålet för detta biträdesavtal är biträdets behandling av personuppgifter för den personuppgiftsansvariges räkning i samband med att tillhandahålla de tjänster som beskrivs i parternas underliggande avtal (till exempel en NR-BOS-licens eller ett uppdrag i Medlemsportalen).
Detta biträdesavtal träder i kraft den dag det underliggande tjänsteavtalet träder i kraft och gäller så länge biträdet behandlar personuppgifter för den personuppgiftsansvariges räkning, inklusive under eventuell period efter avslut som beskrivs i avsnitt 11.
Biträdet behandlar personuppgifter för att tillhandahålla, underhålla och supportera tjänsterna — inklusive hosting, lagring, hantering av fältrapporter, projekt- och uppgiftsuppföljning, säker meddelandehantering, dokumentutbyte och, där det är aktiverat, AI-assisterad analys enligt vad som beskrivs i integritetspolicyn.
Biträdet behandlar personuppgifter endast enligt den personuppgiftsansvariges dokumenterade instruktioner, inklusive vad som anges i det underliggande avtalet, detta biträdesavtal och den personuppgiftsansvariges egen konfiguration av tjänsten (till exempel vilka funktioner som är aktiverade) — om inte annat krävs enligt EU-rätt eller nationell rätt i en medlemsstat, i vilket fall biträdet informerar den personuppgiftsansvarige om det rättsliga kravet innan behandling sker, såvida inte den lagen förbjuder sådan underrättelse.
Vilka kategorier av personuppgifter som behandlas beror på vilken tjänst den personuppgiftsansvarige använder, och kan omfatta: kontoidentifierare och kontaktuppgifter; anställnings- och rollinformation; fotografier från arbetsplatsen med tillhörande plats-/tidsstämpelmetadata; projekt-, uppgifts- och kostnadsregister; registrerad arbetstid; uppladdade dokument; och meddelandeinnehåll.
Kategorier av registrerade kan omfatta: den personuppgiftsansvariges anställda, uppdragstagare och underleverantörer; den personuppgiftsansvariges egna kunder, där deras uppgifter matas in i tjänsten av den personuppgiftsansvarige; samt andra personer vars uppgifter den personuppgiftsansvarige lämnar in i samband med sin användning av tjänsten.
Den personuppgiftsansvarige instruerar biträdet att behandla personuppgifter för att tillhandahålla tjänsterna, i enlighet med det underliggande avtalet, detta biträdesavtal och den personuppgiftsansvariges användning av tjänstens egna konfigurationsalternativ.
Den personuppgiftsansvarige garanterar att denne har en giltig rättslig grund för de personuppgifter som lämnas in till tjänsten och, där tillämpligt, har lämnat de underrättelser till eller inhämtat de samtycken från sina egna registrerade som dennes användning av tjänsten kräver.
Biträdet:
Den personuppgiftsansvarige ger biträdet ett generellt skriftligt godkännande att anlita de underbiträden som anges i biträdets publicerade förteckning över underbiträden, tillgänglig på Nordic Riser AB:s webbplats.
Biträdet underrättar den personuppgiftsansvarige om varje avsedd tillkomst eller utbyte av underbiträde, och ger den personuppgiftsansvarige möjlighet att invända på rimliga dataskyddsgrunder innan ändringen träder i kraft. Varje underbiträde är bundet av dataskyddsskyldigheter som inte är mindre skyddande än de i detta biträdesavtal.
Biträdet genomför de tekniska och organisatoriska åtgärder som beskrivs i integritetspolicyns avsnitt om datasäkerhet, inklusive, i tillämpliga delar för respektive tjänst:
Om en registrerad utövar en rättighet enligt GDPR (tillgång, rättelse, radering, begränsning, portabilitet eller invändning) direkt gentemot biträdet avseende uppgifter som biträdet innehar som personuppgiftsbiträde för den personuppgiftsansvarige, vidarebefordrar biträdet skyndsamt den begäran till den personuppgiftsansvarige och besvarar den inte självständigt i sak gentemot den registrerade, eftersom den personuppgiftsansvarige är rätt part att svara.
Biträdet bistår den personuppgiftsansvarige med rimligt stöd, med hänsyn till behandlingens art, för att hjälpa den personuppgiftsansvarige att fullgöra sina egna skyldigheter att besvara begäranden från registrerade och att fullgöra sina skyldigheter enligt artikel 32–36 i GDPR.
Biträdet underrättar den personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som påverkar den personuppgiftsansvariges uppgifter, och lämnar den information som rimligen finns tillgänglig för att hjälpa den personuppgiftsansvarige att fullgöra sina egna skyldigheter om underrättelse enligt artikel 33 och 34 i GDPR.
Efter rimligt föregående skriftligt meddelande, och högst en gång per kalenderår såvida inte en personuppgiftsincident eller en tillsynsutredning ger anledning till en tätare granskning, får den personuppgiftsansvarige begära information som visar biträdets efterlevnad av detta biträdesavtal, samt genomföra eller uppdra åt någon att genomföra en revision av biträdets relevanta behandlingsaktiviteter, med förbehåll för rimliga sekretess- och schemaläggningsarrangemang för att undvika att störa biträdets verksamhet eller andra kunders uppgifter.
Vid uppsägning av det underliggande avtalet ska biträdet, enligt den personuppgiftsansvariges val, radera eller återlämna samtliga personuppgifter som behandlats för den personuppgiftsansvariges räkning, och radera befintliga kopior, inom rimlig tid — utom i den utsträckning biträdet är skyldigt enligt EU-rätt eller nationell rätt i en medlemsstat att bevara vissa eller samtliga sådana uppgifter, i vilket fall biträdet fortsätter att skydda uppgifterna och endast behandlar dem för de ändamål som lagen kräver.
Detta biträdesavtal är avsett att ge verkan åt kraven i artikel 28.3 i GDPR för den behandling som beskrivs i detta dokument. Om ett specifikt uppdrag kräver ytterligare eller andra villkor — till exempel den personuppgiftsansvariges egen standardmall för biträdesavtal, eller villkor specifika för en reglerad bransch — kan parterna skriftligen komma överens om ett kompletterande eller ersättande dokument; det dokumentet gäller i den utsträckning det står i strid med detta.
Ansvar enligt detta biträdesavtal omfattas av de begränsningar som anges i användarvillkoren mellan parterna, utom där en sådan begränsning inte är tillåten enligt tillämplig dataskyddslagstiftning.
Detta biträdesavtal regleras av svensk lag, med Stockholms tingsrätt som första instans för varje tvist som uppstår med anledning av det, i linje med användarvillkoren.