Personuppgiftsbiträdesavtal

1. Parter och roller

Den organisation som har ingått ett avtal om att använda Wildward och som bestämmer ändamål och medel för behandlingen av sina egna deltagar-, jakt- och verksamhetsuppgifter är i detta avtal Personuppgiftsansvarig.

Ekbacken Outdoor Events, enskild näringsverksamhet, som tillhandahåller Wildward, är Personuppgiftsbiträde för den behandling som sker på den Personuppgiftsansvariges dokumenterade instruktioner.

Detta avtal omfattar inte behandling där Ekbacken Outdoor Events själv bestämmer ändamål och medel, exempelvis viss behandling för Wildward-konton, tjänstesäkerhet, support, rättsliga skyldigheter och administration av den egna tjänsten. Sådan behandling beskrivs i Wildwards integritetspolicy.

2. Avtalets föremål och varaktighet

Personuppgiftsbiträdet behandlar personuppgifter i den utsträckning som krävs för att tillhandahålla Wildwards funktioner för jaktledning, eftersök, viltförvaltning, organisationsadministration och relaterad support.

Behandlingen pågår så länge den Personuppgiftsansvarige använder Wildward och så länge Personuppgiftsbiträdet därefter behöver behandla uppgifterna för avveckling, återlämning, radering, säkerhetskopiering eller rättsliga skyldigheter enligt detta avtal.

3. Dokumenterade instruktioner

Personuppgiftsbiträdet får endast behandla personuppgifter enligt dokumenterade instruktioner från den Personuppgiftsansvarige, om inte behandling krävs enligt unionsrätt eller svensk lag.

Den Personuppgiftsansvariges användning och konfiguration av Wildward, behörighetsstyrning, registrering av uppgifter och skriftliga instruktioner till Wildward utgör dokumenterade instruktioner i den mån de ryms inom den avtalade tjänsten.

Om Personuppgiftsbiträdet bedömer att en instruktion strider mot dataskyddslagstiftningen ska den Personuppgiftsansvarige informeras utan onödigt dröjsmål.

4. Den Personuppgiftsansvariges ansvar

Den Personuppgiftsansvarige ansvarar för att det finns rättslig grund och att övriga krav enligt tillämplig dataskyddslagstiftning är uppfyllda för de personuppgifter som organisationen registrerar eller låter behandla i Wildward.

Den Personuppgiftsansvarige ansvarar bland annat för information till registrerade, korrekta behörigheter, dataminimering och att inte instruera Wildward att behandla personuppgifter som saknar relevant ändamål eller rättsligt stöd.

Wildward är inte avsett för behandling av särskilda kategorier av personuppgifter enligt artikel 9 GDPR. Sådana uppgifter ska inte registreras i tjänsten inom normal användning. Om sådan behandling någon gång skulle behövas krävs en separat skriftlig överenskommelse och en särskild bedömning innan behandlingen påbörjas.

5. Sekretess och åtkomst

Personuppgiftsbiträdet ska säkerställa att personer som har rätt att behandla personuppgifter omfattas av lämplig sekretessförpliktelse och endast får åtkomst när den behövs för att utföra sina arbetsuppgifter.

Åtkomst ska begränsas enligt principen om minsta behörighet och ska, där tjänsten stödjer det, styras genom konto-, organisations-, jakt- och rollbaserade behörigheter.

6. Tekniska och organisatoriska säkerhetsåtgärder

Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder med hänsyn till behandlingens art, omfattning, sammanhang och risk. De nuvarande huvudåtgärderna beskrivs i bilaga 2.

Säkerhetsåtgärderna får utvecklas över tid under förutsättning att den samlade skyddsnivån inte väsentligt försämras.

7. Personuppgiftsincidenter

Personuppgiftsbiträdet ska informera den Personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör personuppgifter som behandlas för den Personuppgiftsansvariges räkning.

Informationen ska, i den utsträckning den finns tillgänglig, beskriva incidentens karaktär, berörda uppgifter och registrerade, sannolika konsekvenser samt vidtagna eller planerade åtgärder. Kompletterande information får lämnas stegvis.

Den Personuppgiftsansvarige ansvarar för bedömning och eventuell anmälan till tillsynsmyndighet och information till registrerade. Wildward ska bistå i den utsträckning som krävs enligt dataskyddslagstiftningen.

8. Registrerades rättigheter

Med hänsyn till behandlingens art ska Personuppgiftsbiträdet, genom lämpliga tekniska och organisatoriska åtgärder och i den mån det är möjligt, bistå den Personuppgiftsansvarige med att hantera begäranden om bland annat tillgång, rättelse, radering, begränsning, invändning och dataportabilitet.

Om Wildward direkt tar emot en begäran som tydligt avser en pilotorganisations behandling ska den normalt hänvisas eller vidarebefordras till den Personuppgiftsansvarige.

9. Övrigt bistånd

Personuppgiftsbiträdet ska, med hänsyn till behandlingens art och den information som finns tillgänglig, skäligen bistå den Personuppgiftsansvarige med skyldigheter avseende säkerhet, personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd enligt artiklarna 32–36 GDPR.

10. Underbiträden

Den Personuppgiftsansvarige lämnar ett allmänt skriftligt godkännande till att Wildward anlitar underbiträden som behövs för att tillhandahålla tjänsten. Nuvarande direkta leverantörer anges i bilaga 3.

Wildward ska säkerställa att underbiträden omfattas av dataskyddsskyldigheter som i sak motsvarar de skyldigheter som är relevanta enligt detta avtal. Personuppgiftsbiträdet ansvarar gentemot den Personuppgiftsansvarige för sina underbiträdens behandling i den utsträckning som följer av dataskyddslagstiftningen.

Vid en avsedd väsentlig förändring av Wildwards direkta underbiträden ska den Personuppgiftsansvarige informeras i sådan tid att organisationen får en rimlig möjlighet att invända på sakliga dataskyddsgrunder innan förändringen träder i kraft. Information kan lämnas via registrerad kontaktadress, tjänsten eller annan avtalad kanal.

11. Överföring till tredje land

Personuppgifter får endast överföras utanför EU/EES när överföringen är tillåten enligt kapitel V GDPR. När ett adekvansbeslut inte är tillämpligt ska lämpliga skyddsåtgärder användas, exempelvis Europeiska kommissionens standardavtalsklausuler, tillsammans med kompletterande åtgärder när det behövs.

Wildwards underleverantörer kan använda infrastruktur eller underbiträden utanför EU/EES. Sådana överföringar regleras genom respektive leverantörs dataskyddsavtal och tillämpliga överföringsmekanismer.

12. Radering och återlämning

När tjänsteavtalet upphör ska Personuppgiftsbiträdet, enligt den Personuppgiftsansvariges val och i den mån det är tekniskt och rättsligt möjligt, radera eller återlämna de personuppgifter som behandlats för organisationens räkning och radera kvarvarande kopior, om lag inte kräver fortsatt lagring.

Uppgifter i säkerhetskopior kan finnas kvar under en begränsad period tills ordinarie backup-cykel skriver över dem. Under sådan tid får uppgifterna inte användas för andra ändamål.

13. Information, granskning och revision

Personuppgiftsbiträdet ska tillhandahålla den information som skäligen krävs för att visa att skyldigheterna enligt artikel 28 GDPR och detta avtal uppfylls.

Den Personuppgiftsansvarige har rätt att själv eller genom oberoende revisor genomföra en proportionerlig granskning. Parterna ska i första hand använda befintlig säkerhets- och revisionsdokumentation. Ytterligare inspektion ska ske med rimligt varsel, under sekretess och på ett sätt som inte oskäligt stör Wildwards eller andra kunders verksamhet, om inte en incident eller tillsynsmyndighet motiverar annat.

14. Kontakt och instruktioner

Instruktioner, incidentfrågor och frågor om detta avtal skickas till privacy@wildward.se.

Den Personuppgiftsansvarige ska använda den kontaktperson och kontaktadress som registrerats för organisationen eller som anges i separat avtal.

15. Företräde och ändringar

Vid konflikt mellan detta biträdesavtal och andra avtalsvillkor ska detta avtal ha företräde i frågor som rör behandling av personuppgifter för den Personuppgiftsansvariges räkning.

Wildward får uppdatera standardvillkoren för att följa lag, myndighetsbeslut eller nödvändiga förändringar av tjänsten. En ändring som väsentligt försämrar den Personuppgiftsansvariges dataskydd ska inte tillämpas på ett redan ingånget biträdesavtal utan att den avtalade ändringsmekanismen följs.

Bilaga 1 – Behandlingsinstruktion

Bilaga 2 – Säkerhetsåtgärder

• autentisering av användare och separata användarkonton,
• roll- och organisationsbaserad behörighetsstyrning,
• databasens row-level security för avgränsning mellan användare och organisationer,
• principen om minsta behörighet för administrativ åtkomst,
• server-side hantering av privilegierade databasnycklar och andra hemligheter,
• krypterad transport via HTTPS/TLS i produktionsmiljö,
• teknisk loggning och kontroller för felsökning och incidenthantering där infrastrukturen stödjer detta,
• säkerhetskopiering och återställningsmöjligheter enligt den konfiguration och tjänstenivå som används hos infrastrukturtjänsterna,
• säkerhetsuppdateringar och behörighetsgranskning i samband med relevanta förändringar, säkerhetsarbete och produktionssättning.

Bilaga 3 – Nuvarande direkta underbiträden

Den exakta tekniska leverantörskedjan kan förändras. Wildward ska hålla denna information aktuell för direkta underbiträden och säkerställa att tillämpliga biträdes- och överföringsvillkor finns på plats innan ett nytt underbiträde behandlar personuppgifter för organisationens räkning.