Personuppgiftsbiträdesavtal
Detta personuppgiftsbiträdesavtal ("Avtalet") utgör en del av tjänsteavtalet enligt Proton AG:s användarvillkor ("Huvudavtalet") mellan Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz, företagsregistreringsnummer CHE-354.686.492 (benämnt "Biträdet") och företaget som använder Protons tjänster (benämnt "Företaget", vilket ska förstås som alla företag eller organisationer som använder Tjänsterna, oavsett juridisk form).
Detta avtal reglerar de specifika kraven i dataskyddslagarna i den utsträckning Företagets användning av Proton-tjänster innebär behandling av personuppgifter som omfattas av dataskyddslagar.
Detta avtal kompletterar vår Integritetspolicy, som fungerar som den primära referensen för vår praxis och våra åtgärder för dataskydd.
Giltighetstiden för detta avtal ska följa Huvudavtalets giltighetstid. Termer som inte definieras häri ska ha den betydelse som anges i Huvudavtalet.
BAKGRUND
A) Företaget agerar som personuppgiftsansvarig ("Personuppgiftsansvarig").
B) Företaget önskar lägga ut vissa Tjänster (enligt definition nedan), vilka innebär behandling av personuppgifter, på underentreprenad till Proton AG, som agerar som personuppgiftsbiträde ("Biträdet").
C) Parterna strävar efter att implementera ett personuppgiftsbiträdesavtal som uppfyller kraven i det nuvarande regelverket avseende databehandling och med Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och andra tillämpliga dataskyddslagar.
D) Parterna önskar fastställa sina rättigheter och skyldigheter.
PARTERNA HAR ENATS OM FÖLJANDE:
1. Definitioner och tolkning
Om inte annat definieras häri ska termer och uttryck med stor begynnelsebokstav som används i detta DPA ha följande betydelse:
1.1) "Avtal" avser detta personuppgiftsbiträdesavtal och alla bilagor;
1.2) "Företagets personuppgifter" avser alla personuppgifter relaterade till Företaget eller Företagets kunder eller anställda som behandlas i samband med Huvudavtalet;
1.3) "Anlitat biträde" avser ett underbiträde;
1.4) "Dataskyddslagar" avser EU:s dataskyddslagar och, i tillämplig utsträckning, dataskydds- eller integritetslagarna i något annat land;
1.5) "EES" avser Europeiska ekonomiska samarbetsområdet;
1.6) "EU:s dataskyddslagar" avser EU-direktiv 95/46/EG, såsom det införlivats i varje medlemsstats nationella lagstiftning och såsom det ändras, ersätts eller upphävs från tid till annan, inklusive genom GDPR och lagar som implementerar eller kompletterar GDPR;
1.7) "GDPR" avser EU:s allmänna dataskyddsförordning 2016/679;
1.8) "Dataöverföring" avser:
- 1.8.1) en överföring av Företagets personuppgifter från Personuppgiftsansvarig till Biträdet eller ett Anlitat biträde; eller
- 1.8.2) en vidareöverföring av Företagets personuppgifter från Biträdet till ett underbiträde, eller mellan två verksamhetsställen för ett underbiträde;
1.9) "Tjänster" avser säkra onlinetjänster som tillhandahålls av Biträdet, såsom e-post, kalender, drive och andra tjänster som utvecklats av Biträdet. Detaljer och priser för Tjänsterna finns på Biträdets webbplats.
1.10) "Underbiträde" avser varje person eller part som utses av eller på uppdrag av Biträdet för att behandla personuppgifter för den Personuppgiftsansvariges räkning i samband med Avtalet.
Begreppen "Kommissionen", "Personuppgiftsansvarig", "Registrerad", "Medlemsstat", "Personuppgifter", "Personuppgiftsincident", "Behandling" och "Tillsynsmyndighet" ska ha samma betydelse som i GDPR eller annan tillämplig dataskyddslag, och deras besläktade termer ska tolkas därefter.
2. Behandling av Företagets personuppgifter
Biträdet ska:
2.1) följa alla tillämpliga dataskyddslagar vid behandlingen av Företagets personuppgifter;
2.2) och inte behandla Företagets personuppgifter på annat sätt än enligt den Personuppgiftsansvariges dokumenterade instruktioner i avsnitt 2.
Personuppgiftsansvarig instruerar Biträdet att behandla Företagets personuppgifter för att:
2.3) tillhandahålla Tjänsterna och relaterad teknisk support;
2.4) fullgöra rättsliga skyldigheter eller lösa tvister;
2.5) utföra interna uppgifter som syftar till att optimera Tjänsternas säkerhet, integritet, sekretess och funktioner;
2.6) utföra intern rapportering, finansiell rapportering och andra liknande interna uppgifter.
3. Biträdets personal
Biträdet ska vidta rimliga åtgärder för att säkerställa tillförlitligheten hos alla anställda, ombud eller uppdragstagare hos ett Anlitat biträde som kan få åtkomst till Företagets personuppgifter, och i varje enskilt fall säkerställa att åtkomsten är strikt begränsad till de personer som behöver känna till / få åtkomst till relevanta av Företagets personuppgifter, såsom strikt nödvändigt för ändamålen med Huvudavtalet och/eller för att följa dataskyddslagar och annan relevant lagstiftning i samband med personens arbetsuppgifter gentemot det Anlitade biträdet, samt säkerställa att alla sådana personer omfattas av sekretessförbindelser eller yrkesmässiga eller lagstadgade sekretessplikter.
4. Säkerhet
I enlighet med artikel 32 (1) i GDPR ska Biträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, med beaktande av den senaste utvecklingen, genomförandekostnaderna samt behandlingens art, omfattning, sammanhang och ändamål. Dessa åtgärder ska utformas för att skydda fysiska personers rättigheter och friheter, med beaktande av risker av varierande sannolikhetsgrad och allvar, inklusive risken för en personuppgiftsincident.
Biträdet ska även bedöma de risker som är förknippade med behandlingsaktiviteterna och tillämpa åtgärder som överensstämmer med kraven i artikel 32 (1) i GDPR, vilket säkerställer säkerheten för Företagets personuppgifter vid alla tidpunkter.
5. Underbiträden
Med förbehåll för detta avtal ger Företaget ett allmänt tillstånd till Biträdet att anlita underbiträden och lämna ut eller överföra Företagets personuppgifter till dem. Företaget godkänner och bekräftar listan över underbiträden som beskrivs i Biträdets Integritetspolicy, med förståelse för att denna lista regelbundet kan uppdateras av Biträdet, i vilket fall företaget ska informeras av Biträdet i enlighet med Integritetspolicyns aviseringsprocess. Vidare ger Företaget Biträdet tillstånd att lämna ut och överföra personuppgifter till alla företag inom dess koncern.
Biträdet säkerställer att underbiträden omfattas av ett avtal med Biträdet som inte är mindre restriktivt och skyddande än detta avtal vad gäller skyddet av Företagets personuppgifter i den utsträckning det är tillämpligt på arten av de tjänster som underbiträdet tillhandahåller.
6. Den registrerades rättigheter
Med beaktande av behandlingens art ska Biträdet rimligen bistå Företaget vid fullgörandet av Företagets skyldigheter att svara på förfrågningar om att utöva den registrerades rättigheter enligt dataskyddslagarna.
Biträdet ska:
6.1) omgående underrätta Företaget om det mottar en begäran från en registrerad enligt någon dataskyddslag avseende Företagets personuppgifter; och
6.2) säkerställa att det inte svarar på denna begäran utom enligt den Personuppgiftsansvariges dokumenterade instruktioner eller enligt vad som krävs enligt tillämplig lag som Biträdet omfattas av, i vilket fall Biträdet i den utsträckning det är tillåtet enligt tillämplig lag ska informera den Personuppgiftsansvarige om detta lagkrav innan det Anlitade biträdet svarar på begäran.
7. Personuppgiftsincident
Biträdet ska hantera varje personuppgiftsincident i enlighet med tillämpliga dataskyddslagar och sina interna rutiner för personuppgiftsincidenter. Vid en personuppgiftsincident som påverkar Företagets personuppgifter ska Biträdet underrätta Företaget utan dröjsmål och tillhandahålla tillräcklig information för att Företaget ska kunna fullgöra sina skyldigheter enligt dataskyddslagar, inklusive att informera registrerade vid behov. I sådana fall ska Biträdet förse Företaget med tillräcklig information för att göra det möjligt för Företaget att uppfylla eventuella skyldigheter att rapportera eller informera registrerade om personuppgiftsincidenten enligt dataskyddslagarna.
Biträdet ska samarbeta med Företaget och vidta rimliga kommersiella åtgärder enligt Företagets anvisningar för att bistå vid utredning, begränsning och åtgärdande av varje sådan personuppgiftsincident.
Vardera part ska bära kostnaderna för utredning, åtgärdande, begränsning och andra relaterade kostnader i den mån en personuppgiftsincident orsakats av denna part.
Vardera part ska bära kostnaderna för eventuella böter, sanktionsavgifter, skadestånd eller andra relaterade belopp som påförs av en behörig tillsynsmyndighet, statlig myndighet eller behörig domstol i den mån de uppstår till följd av partens brott mot sina skyldigheter enligt detta avtal.
8. Konsekvensbedömning avseende dataskydd och förhandssamråd
Biträdet ska tillhandahålla rimlig hjälp till Företaget vid eventuella konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheter eller andra behöriga dataskyddsmyndigheter, som den Personuppgiftsansvarige rimligen anser krävs enligt artikel 35 eller 36 i GDPR eller motsvarande bestämmelser i annan dataskyddslag, i varje enskilt fall uteslutande i förhållande till behandling av Företagets personuppgifter av de Anlitade biträdena och med beaktande av behandlingens art samt information som är tillgänglig för dessa.
9. Radering eller återlämnande av Företagets personuppgifter
Vid upphörande av en Tjänst som involverar behandling av Företagets personuppgifter ska Biträdet ta bort alla Företagets personuppgifter i den utsträckning det är tillåtet enligt tillämplig lag och i enlighet med Biträdets användarvillkor och Integritetspolicy. Om Företaget behöver en kopia av sina data måste de begära det innan kontot tas bort; förfrågningar som görs efter att kontot har tagits bort kan inte längre beaktas.
10. Granskningsrättigheter
Med förbehåll för detta avsnitt 10 ska Biträdet på begäran göra all information tillgänglig för Företaget som krävs för att visa efterlevnad av detta avtal, samt möjliggöra och bidra till granskningar, inklusive inspektioner, utförda av Företaget eller en revisor utsedd av Företaget avseende behandlingen av Företagets personuppgifter av de Anlitade biträdena. Företaget får inte utöva sina granskningsrättigheter mer än en gång per kalenderår, förutom efter en personuppgiftsincident eller en anvisning från en tillsynsmyndighet. Företaget ska ge Biträdet minst sextio (60) dagars föregående skriftligt meddelande om sin avsikt att granska Biträdet i enlighet med detta avtal. Granskning ska genomföras under Biträdets ordinarie arbetstid, får inte störa Biträdets verksamhet och ska säkerställa skyddet av Företagets, Biträdets och andra registrerades personuppgifter. Biträdet och Företaget ska i förväg komma överens om datum, omfattning, varaktighet samt säkerhets- och sekretesskontroller som ska tillämpas för granskningen. Företaget bekräftar att undertecknande av ett sekretessavtal kan krävas av den Personuppgiftsansvarige innan granskningen genomförs.
Företagets informations- och granskningsrättigheter uppstår endast enligt avsnitt 10 i den utsträckning som Avtalet inte på annat sätt ger dem informations- och granskningsrättigheter som uppfyller de relevanta kraven i dataskyddslagen.
11. Dataöverföring
I möjligaste mån ska Biträdet endast överföra eller godkänna överföring av data till länder inom Schweiz, EU och/eller länder som omfattas av ett beslut om adekvat skyddsnivå, i enlighet med art. 45 i GDPR och art. 16 i schweiziska FADP. Om personuppgifter som behandlas enligt detta avtal överförs från Schweiz eller något land inom EU eller något land som omfattas av ett beslut om adekvat skyddsnivå till ett land utanför denna omfattning, ska parterna säkerställa att personuppgifterna är adekvat skyddade. För att uppnå detta ska parterna, om inte annat överenskommits, förlita sig på standardavtalsklausuler som godkänts av Schweiz och/eller EU och/eller Storbritannien och som gäller vid överföringen av personuppgifter, eller andra överföringsmekanismer enligt vad som föreskrivs i dataskyddslagarna. Biträdet ska ha rätt att utföra sådana överföringar till underbiträden under förutsättning att lämpliga skyddsåtgärder vidtas med hänsyn till överföringens art.
12. Allmänna villkor
Efterlevnad av tillämpliga lagar. Biträdet kommer att behandla Företagets personuppgifter i enlighet med detta avtal och dataskyddslagar som är tillämpliga på dess roll enligt detta avtal. Biträdet ansvarar inte för och är inte skyldigt att följa dataskyddslagar som enbart är tillämpliga på Företaget i kraft av dess verksamhet eller bransch.
Sekretess. Vardera part måste hålla all information som den mottar om den andra parten och dess verksamhet i samband med detta avtal ("Konfidentiell information") hemlig och får inte använda eller lämna ut denna konfidentiella information utan föregående skriftligt medgivande från den andra parten, utom i den utsträckning som:
(a) utlämnande krävs enligt lag;
(b) den relevanta informationen redan är allmänt känd utan att parterna har gjort fel.
Meddelanden. Alla meddelanden och all kommunikation som ges enligt detta avtal måste vara skriftliga och skickas via e-post. Personuppgiftsansvarig ska underrättas via e-post som skickas till den adress som är kopplad till dess användning av Tjänsterna enligt Huvudavtalet. Biträdet ska underrättas via e-post som skickas till adressen: legal@proton.me.
Tillämplig lag och jurisdiktion. Detta avtal ska regleras av schweizisk lag, utan hänsyn till lagvalsregler i någon jurisdiktion som strider däremot, och tvister, talan, krav eller rättsliga anspråk som uppstår ur eller i samband med detta avtal, ett beställningsformulär, något dokument som införlivats genom hänvisning, Proton-teknik eller Tjänsterna ska omfattas av den exklusiva jurisdiktionen för Genève, Schweiz.
I händelse av avvikelse mellan den engelska versionen av dessa Villkor och någon översatt version, ska den engelska versionen ha företräde.