Personuppgiftsbiträdesavtal för MSP:er

Detta personuppgiftsbiträdesavtal (”avtalet”) utgör en del av avtalet för leverantörer av hanterade tjänster (”huvudavtalet”) mellan Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz, företagsregistreringsnummer CHE-354.686.492 (kallat ”biträdet”), och den MSP som identifieras i huvudavtalet (kallad ”företaget”, vilket ska förstås som den leverantör av hanterade tjänster som använder tjänsterna för att tillhandahålla, fakturera och erbjuda support till sina egna hanterade kunder, oavsett dess juridiska form).

Detta avtal reglerar de specifika kraven i dataskyddslagarna i den utsträckning företagets användning av tjänsterna, inklusive företagets tillhandahållande av tjänsterna till hanterade kunder, innebär behandling av personuppgifter som omfattas av dataskyddslagar.

Giltighetstiden för detta avtal ska följa Huvudavtalets giltighetstid. Termer som inte definieras häri ska ha den betydelse som anges i huvudavtalet.

BAKGRUND

A) Företaget agerar som personuppgiftsansvarig eller, där en hanterad kund själv instruerar behandlingen av sina egna personuppgifter, som personuppgiftsbiträde för den hanterade kundens räkning (i båda fallen den ”personuppgiftsansvarige”).

B) Företaget önskar anlita Proton AG, som agerar som personuppgiftsbiträde (”biträdet”), som underleverantör för vissa tjänster som innebär behandling av personuppgifter.

C) Parterna strävar efter att implementera ett personuppgiftsbiträdesavtal som uppfyller kraven i det gällande regelverket gällande databehandling, inklusive förordning (EU) 2016/679 (”GDPR”) och den schweiziska dataskyddslagen (”FADP”) samt andra tillämpliga dataskyddslagar.

D) Parterna önskar fastställa sina respektive rättigheter och skyldigheter.

PARTERNA HAR ENATS OM FÖLJANDE:

1. Definitioner, roller och omfattning

1.1 Definitioner. Såvida inte annat definieras häri har termer med stor begynnelsebokstav den betydelse som anges i huvudavtalet eller, om de inte definieras där, följande betydelse:

• ”Företagets personuppgifter” avser alla personuppgifter relaterade till företaget, företagets hanterade kunder eller deras respektive kunder eller anställda, som behandlas i anslutning till huvudavtalet.
• ”Avtalat biträde” avser ett underbiträde.
• ”Dataskyddslagar” avser GDPR, FADP och, i tillämplig utsträckning, dataskydds- eller integritetslagar i något annat land.
• ”Dataöverföring” avser (i) en överföring av företagets personuppgifter från företaget till biträdet eller ett avtalat biträde, eller (ii) en vidareöverföring av företagets personuppgifter från biträdet till ett underbiträde, eller mellan två etableringar av ett underbiträde.
• ”Hanterad kund” har den betydelse som anges i huvudavtalet: en slutanvändarenhet till vilken företaget tillhandahåller och levererar tjänsterna som en del av företagets eget erbjudande av hanterade tjänster.
• ”Underbiträde” avser varje person som utsetts av eller på uppdrag av biträdet för att behandla personuppgifter i anslutning till avtalet.
• Termerna ”kommissionen”, ”personuppgiftsansvarig”, ”registrerad”, ”medlemsstat”, ”personuppgifter”, ”personuppgiftsincident”, ”behandling” och ”tillsynsmyndighet” har samma betydelse som i GDPR eller annan tillämplig dataskyddslag.

1.2 Parternas roller. Mellan Proton och företaget är företaget den personuppgiftsansvarige (eller, i tillämpliga fall, personuppgiftsbiträdet som agerar på en hanterad kunds instruktioner) och Proton är personuppgiftsbiträdet, med avseende på alla företagets personuppgifter som behandlas enligt huvudavtalet, inklusive personuppgifter om eller relaterade till hanterade kunder och deras respektive slutanvändare. Detta avtal är det fullständiga och exklusiva arrangemanget för personuppgiftsbehandling mellan Proton och varje part i kedjan av hanterade kunder. Proton har ingen direkt avtalsrelation, relation mellan personuppgiftsansvarig och personuppgiftsbiträde, eller relation mellan personuppgiftsbiträde och underbiträde med någon hanterad kund, och ingen hanterad kund är part i eller tredjepartsförmånstagare till detta avtal. Företaget är ensamt ansvarigt för sina avtal med och skyldigheter gentemot sina hanterade kunder, inklusive eventuella dataskyddsvillkor som företaget har gentemot dem enligt tillämplig lag eller avtal.

1.3 Företagets ansvar i efterföljande led. Företaget ska ingå ett skriftligt avtal med varje hanterad kund som ålägger företaget dataskyddsskyldigheter som inte är mindre skyddande för den hanterade kundens personuppgifter än de skyldigheter Proton har gentemot företaget enligt detta avtal, i den utsträckning det är tillämpligt på arten av de tjänster som företaget tillhandahåller till den hanterade kunden. Protons skyldigheter enligt detta avtal gäller enbart gentemot företaget; företaget förblir ensamt ansvarigt gentemot sina hanterade kunder för behandlingen av deras personuppgifter, inklusive för eventuella handlingar eller underlåtenheter från Proton, mellan företaget och dess hanterade kunder.

2. Behandling av Företagets personuppgifter

Biträdet ska:

• följa alla tillämpliga dataskyddslagar vid behandlingen av företagets personuppgifter; och
• inte behandla företagets personuppgifter på annat sätt än enligt företagets dokumenterade instruktioner, enligt vad som anges nedan.

Företaget instruerar biträdet att behandla företagets personuppgifter för att:

• tillhandahålla tjänsterna och relaterad teknisk support till företaget och, genom företaget, till hanterade kunder;
• fullgöra rättsliga skyldigheter eller lösa tvister;
• utföra alla interna uppgifter som syftar till att optimera tjänsternas säkerhet, integritet, sekretess och funktionalitet; och
• utföra intern rapportering, finansiell rapportering och andra liknande interna uppgifter.

3. Biträdets personal

Biträdet ska vidta rimliga åtgärder för att säkerställa tillförlitligheten hos alla anställda, ombud eller uppdragstagare hos ett avtalat biträde som kan få åtkomst till företagets personuppgifter, och i varje enskilt fall säkerställa att åtkomsten är strikt begränsad till de personer som behöver känna till eller få åtkomst till relevanta av företagets personuppgifter, i den utsträckning det är strikt nödvändigt för huvudavtalets syften och/eller för att följa dataskyddslagar, samt säkerställa att alla sådana personer omfattas av sekretessförbindelser eller yrkesmässiga eller lagstadgade sekretesskyldigheter.

4. Säkerhet

I enlighet med artikel 32.1 i GDPR ska biträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål. Dessa åtgärder är utformade för att skydda fysiska personers rättigheter och friheter, med beaktande av risker av varierande sannolikhet och allvarlighetsgrad, inklusive risken för en personuppgiftsincident. Företaget ska vidta lämpliga tekniska och organisatoriska åtgärder för sin egen behandling av företagets personuppgifter, inklusive dess administration av hanterade kunders konton via MSP-adminlicenser, och ska säkerställa att åtkomst till sådana konton begränsas till företagspersonal som behöver den, skyddas av lämpliga autentiseringskontroller och omedelbart återkallas när den inte längre behövs.

5. Underbiträden

Med förbehåll för detta avtal ger företaget ett generellt tillstånd till biträdet att anlita underbiträden och att lämna ut eller överföra företagets personuppgifter till dem. Företaget bekräftar och godkänner listan över underbiträden som beskrivs i biträdets integritetspolicy, med förståelse för att denna lista kan uppdateras av biträdet från tid till annan, i vilket fall företaget ska informeras i enlighet med integritetspolicyns aviseringsprocess. Företaget ger vidare biträdet tillstånd att lämna ut och överföra personuppgifter till alla företag inom dess koncern. Biträdet ska säkerställa att underbiträden omfattas av ett avtal med biträdet som inte är mindre restriktivt och skyddande än detta avtal med avseende på skyddet av företagets personuppgifter, i den utsträckning det är tillämpligt på arten av de tjänster som tillhandahålls av det underbiträdet. För att undvika missförstånd är företaget inte ett underbiträde till Proton och detta avsnitt gäller inte för företagets eget anlitande av en hanterad kund eller tredje part.

6. Den registrerades rättigheter

Med beaktande av behandlingens art ska biträdet i rimlig utsträckning bistå företaget med att fullgöra företagets skyldigheter att svara på begäranden om att utöva registrerades rättigheter enligt dataskyddslagar, inklusive begäranden som företaget tar emot från, eller på uppdrag av, en hanterad kund eller den hanterade kundens egna slutanvändare.

Biträdet ska:

• omedelbart meddela företaget om det tar emot en begäran från en registrerad enligt någon dataskyddslag avseende företagets personuppgifter; och

• säkerställa att det inte svarar på den begäran annat än enligt företagets dokumenterade instruktioner eller enligt vad som krävs enligt tillämplig lag, i vilket fall biträdet, i den utsträckning det är lagligt tillåtet, ska informera företaget om detta rättsliga krav innan svar lämnas.

Företaget är ensamt ansvarigt för att svara på, och samordna med varje hanterad kund avseende, alla begäranden från registrerade som rör den hanterade kundens personuppgifter; biträdet har ingen skyldighet att identifiera eller kommunicera med någon hanterad kund direkt.

7. Personuppgiftsincident

Biträdet ska hantera varje personuppgiftsincident i enlighet med tillämpliga dataskyddslagar och sina interna rutiner för personuppgiftsincidenter. I händelse av en personuppgiftsincident som påverkar företagets personuppgifter ska biträdet utan dröjsmål meddela företaget och tillhandahålla tillräcklig information för att göra det möjligt för företaget att fullgöra sina egna skyldigheter enligt dataskyddslagar, inklusive att, i tillämpliga fall, informera påverkade hanterade kunder och registrerade. Biträdet ska samarbeta med företaget och vidta rimliga kommersiella åtgärder enligt anvisningar från företaget för att bistå vid utredning, begränsning och avhjälpande av varje sådan personuppgiftsincident. Vardera parten ska bära kostnaderna för utredning, avhjälpande, begränsning och andra relaterade kostnader i den utsträckning en personuppgiftsincident orsakas av den parten. Vardera parten ska bära kostnaderna för eventuella böter, sanktionsavgifter, skadestånd eller andra relaterade belopp som åläggs av en behörig tillsynsmyndighet i den utsträckning de uppstår till följd av den partens eget brott mot sina skyldigheter enligt detta avtal. Företaget är ensamt ansvarigt för incidentaviseringar till sina hanterade kunder och deras registrerade, samt för tidpunkten och innehållet i dessa aviseringar.

8. Konsekvensbedömning avseende dataskydd och förhandssamråd

Biträdet ska ge skäligt bistånd till företaget med konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheter som företaget rimligen anser krävas enligt artikel 35 eller 36 i GDPR eller motsvarande bestämmelser i någon annan dataskyddslag, i varje enskilt fall uteslutande i samband med behandling av företagets personuppgifter av, samt med beaktande av behandlingens art och information som är tillgänglig för, de avtalade biträdena.

9. Radering eller återlämnande av företagets personuppgifter

Vid upphörande av någon tjänst som involverar behandling av företagets personuppgifter ska biträdet radera alla företagets personuppgifter i den utsträckning det är tillåtet enligt tillämplig lag och i enlighet med biträdets användarvillkor och integritetspolicy. Om företaget behöver en kopia av företagets personuppgifter måste företaget begära detta före raderingen; begäranden som görs efter radering kan inte längre beaktas. Vid uppsägning av huvudavtalet förblir företaget ensamt ansvarigt för att hantera radering, återlämnande eller överföring av eventuella hanterade kunders personuppgifter mellan företaget och den hanterade kunden, i enlighet med avsnitt 5.4 i huvudavtalet (Övergångshjälp).

10. Revisionsrättigheter

Med förbehåll för detta avsnitt 10 ska biträdet på begäran göra all information tillgänglig för företaget som krävs för att visa efterlevnad av detta avtal, samt tillåta och bidra till granskningar, inklusive inspektioner, som utförs av företaget eller en revisor som bemyndigats av företaget, avseende behandlingen av företagets personuppgifter av de avtalade biträdena. Företaget får inte utöva sina revisionsrättigheter enligt detta avsnitt mer än en gång per kalenderår, förutom efter en personuppgiftsincident eller ett föreläggande från en tillsynsmyndighet. Företaget ska ge biträdet minst sextio (60) dagars föregående skriftligt meddelande om sin avsikt att utföra en granskning. Granskningen ska genomföras under biträdets ordinarie arbetstid, får inte störa biträdets verksamhet och ska säkerställa skyddet av företagets, biträdets och andra registrerades personuppgifter. Parterna ska i förväg komma överens om datum, omfattning, varaktighet samt säkerhets- och sekretesskontroller som gäller för granskningen; biträdet kan kräva ett sekretessavtal före granskningen. Informations- och revisionsrättigheter enligt detta avsnitt uppstår endast i den utsträckning detta avtal inte på annat sätt ger företaget informations- och revisionsrättigheter som uppfyller relevanta krav i dataskyddslagar. När en hanterad kund begär information om Protons behandling som en del av företagets egna due diligence-skyldigheter gentemot den hanterade kunden, kan företaget förlita sig på detta avsnitt för att få nödvändig information från biträdet och vidarebefordra den, men den hanterade kunden har ingen självständig revisionsrätt gentemot biträdet.

11. Dataöverföring

I den utsträckning det är möjligt ska biträdet endast överföra eller godkänna överföring av företagets personuppgifter till länder inom Schweiz, EU och/eller länder som omfattas av ett beslut om adekvat skyddsnivå, i enlighet med artikel 45 i GDPR och artikel 16 i den schweiziska dataskyddslagen (FADP). Om företagets personuppgifter som behandlas enligt detta avtal överförs från Schweiz, EU eller ett land som omfattas av ett beslut om adekvat skyddsnivå till ett land utanför detta tillämpningsområde, ska parterna säkerställa att personuppgifterna skyddas på ett adekvat sätt, och såvida inte annat överenskommits förlita sig på standardavtalsklausuler som godkänts av Schweiz, EU och/eller Storbritannien och som gäller vid tidpunkten, eller andra överföringsmekanismer som föreskrivs i dataskyddslagar. Biträdet ska ha rätt att utföra sådana överföringar till underbiträden förutsatt att lämpliga skyddsåtgärder vidtas med hänsyn till överföringens art.

12. Allmänna villkor

12.1 Efterlevnad av tillämpliga lagar. Biträdet kommer att behandla företagets personuppgifter i enlighet med detta avtal och de dataskyddslagar som är tillämpliga på dess roll enligt detta avtal. Biträdet ansvarar inte för efterlevnad av dataskyddslagar som uteslutande är tillämpliga på företaget, eller på någon hanterad kund, på grund av deras respektive verksamhet eller bransch.

12.2 Sekretess. Vardera parten ska behandla all information den tar emot om den andra parten i anslutning till detta avtal konfidentiellt, och ska inte använda eller lämna ut den utan föregående skriftligt medgivande från den andra parten, förutom i den utsträckning som (a) utlämnande krävs enligt lag, eller (b) informationen redan är allmänt känd utan parternas förskyllan.

12.3 Meddelanden. Meddelanden enligt detta avtal ska lämnas i enlighet med meddelandebestämmelserna i huvudavtalet. Meddelanden till biträdet angående dataskyddsfrågor ska dessutom skickas som kopia till legal@proton.ch

12.4 Ansvar. Vardera partens ansvar som uppstår ur eller i anslutning till detta avtal omfattas av, och är begränsat i enlighet med, ansvarsbegränsningsbestämmelserna i huvudavtalet, inklusive eventuella specifika tak som anges där för brott mot sekretess- och dataskyddsskyldigheter. Ingenting i detta avtal begränsar någondera partens ansvar för böter eller sanktionsavgifter som åläggs parten direkt av en behörig tillsynsmyndighet till följd av partens eget brott mot tillämpliga dataskyddslagar. Företaget bekräftar att företaget, som den enda part som agerar som personuppgiftsansvarig gentemot sina hanterade kunder, bär det fulla ansvaret för allt ansvar som företaget ådrar sig gentemot en hanterad kund som överstiger vad företaget kan återfå från biträdet enligt huvudavtalets ansvarsbegränsning.

12.5 Tillämplig lag och jurisdiktion. Detta avtal ska regleras av schweizisk lag, utan hänsyn till lagvals- eller lagkonfliktsbestämmelser i någon annan jurisdiktion, och tvister som uppstår ur eller i anslutning till detta avtal ska uteslutande avgöras av domstolarna i Genève, Schweiz.

12.6 Företrädesordning. Vid eventuella avvikelser mellan detta avtal och huvudavtalet avseende behandling av personuppgifter ska detta avtal ha företräde, i enlighet med avsnitt 10.1 i huvudavtalet. I händelse av avvikelser mellan den engelska versionen av detta avtal och en översatt version ska den engelska versionen ha företräde.