Personuppgiftsbiträdesavtal

(Bilaga till Kundavtal för CTNotes)

Detta personuppgiftsbiträdesavtal utgör en bilaga till Kundavtalet för CTNotes som Parterna har ingått ("Avtalet"). Personuppgiftsbiträdesavtalet är en integrerad del av Avtalet för CTNotes såsom angivits i bestämmelserna om behandling av personuppgifter i Avtalet för CTNotes.

Följande personuppgiftsbiträdesavtal ("Avtalet") ingås härmed mellan organisationen kallad Kunden i Avtalet om CTNotes ("Kunden") och Aktiebolaget Tjugofyra SE, organisationsnummer: 556823-8538.

1. Tillämpningsområde

  1. Leverantören är Kundens personuppgiftsbiträde eftersom leverantören behandlar personuppgifter för kundens räkning enligt Bilaga 1.
  2. De personuppgifter som behandlas av Leverantören, ändamålen med behandlingen specificeras i Bilaga 1.
  3. Avtalet reglerar endast den behandling av personuppgifter som Leverantören utför för Kundens räkning.
  4. "Personuppgifter" definieras som varje upplysning som avser en identifierad eller identifierbar fysisk person, i enlighet med artikel 4(1) i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter. (Allmän dataskyddsförordning, GDPR)

2. Personuppgiftsbehandling

  1. Leverantören åtar sig att endast hantera personuppgifter enligt uppdrag från Kunden.
  2. Uppdrag: Leverantören ska endast hantera personuppgifter i syfte att utföra de personuppgiftsbehandlingar som anges i Bilaga 1. Leverantören får inte hantera eller bruka personuppgifter för annat än de som anges i uppdraget, inbegripet när det gäller överföringar av personuppgifter till annat land eller en internationell organisation, om inte denna hantering krävs av Leverantören enligt annan lagstiftning som är bindande för Leverantören. I så fall ska Leverantören skriftligen informera Kunden om det rättsliga kravet innan uppgifterna behandlas, såvida inte sådan information är förbjuden med hänvisning till viktigt allmänintresse enligt denna rätt.
  3. För det fall Leverantören anser att uppdraget från Kunden strider mot GDPR eller annan dataskyddslagstiftning i en annan medlemsstat, ska Leverantören skriftligen informera Kunden om detta.
  4. Kunden garanterar att denne innehar alla rättigheter, inklusive, men inte begränsat till, inhämtande av nödvändiga samtycken från registrerade, som krävs för att få behandla de personuppgifter som Avtalet avser och för att låta Leverantören behandla sådana personuppgifter för Kundens räkning.

3. Leverantörens skyldigheter

  1. Leverantören ska behandla personuppgifter i enlighet med tillämplig svensk dataskyddslagstiftning, inklusive GDPR.
  2. Leverantören ska säkerställa att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lämplig lagstadgad tystnadsplikt.
  3. Leverantören ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder i enlighet med artikel 32 GDPR för att skydda personuppgifterna mot
    1. förlust, förstöring eller skada genom olyckshändelse eller otillåtna handlingar
    2. obehörigt röjande eller obehörig åtkomst
    3. behandling i strid med tillämplig lagstiftning, inbegripet GDPR.
  4. Lämpliga tekniska och organisatoriska säkerhetsåtgärder ska fastställas med beaktande av
    1. den aktuella tekniska utvecklingen
    2. genomförandekostnader
    3. behandlingens art, omfattning, sammanhang och ändamål, samt risken för registrerades rättigheter och friheter.
  5. På skriftlig begäran ska Leverantören tillhandahålla den information som är nödvändig för att Kunden ska kunna fullgöra sina skyldigheter enligt artikel 28.3 h GDPR. Sådan information ska tillhandahållas i den mån den är proportionerlig och rimlig med hänsyn till behandlingens art och omfattning.
  6. Granskning ska i första hand ske genom tillhandahållande av dokumentation, skriftliga svar eller digital genomgång. Leverantören är inte skyldig att medge fysisk åtkomst till lokaler, system, infrastruktur eller underleverantörers anläggningar.
  7. Granskning får ske högst en (1) gång per kalenderår, såvida inte särskilda skäl föreligger enligt tillämplig lag. Begäran om granskning ska vara skriftlig och rimligt specificerad. Leverantören äger rätt att tillhandahålla standardiserade säkerhetsbeskrivningar eller sammanfattande dokumentation i stället för att besvara individuellt utformade frågeformulär.
  8. Kunden ska ersätta Leverantören för skälig och verifierbar tidsåtgång samt övriga kostnader som uppstår med anledning av begärd granskning, bistånd eller informationslämnande enligt denna klausul, i enlighet med vid var tid gällande prislista.
  9. Granskning får inte oskäligt störa Leverantörens verksamhet och ska genomföras under sekretess.
  10. Leverantören ska utan onödigt dröjsmål informera Kunden vid
    1. rättsligt bindande myndighetsbegäran om utlämnande av personuppgifter, såvida inte lag hindrar sådan information
    2. konstaterad personuppgiftsincident
    3. begäran från registrerad som rör behandling enligt detta Avtal.
  11. Leverantören ska bistå Kunden i den utsträckning som är rimlig och nödvändig för att Kunden ska kunna uppfylla sina skyldigheter enligt artiklarna 32–36 GDPR, förutsatt att Leverantören har tillgång till relevant information. Sådant bistånd som går utöver vad som är direkt hänförligt till Leverantörens egen behandling enligt Avtalet ska ersättas av Kunden enligt vid var tid gällande prislista.
  12. Leverantören ska informera Kunden om väsentliga förändringar avseende de huvudsakliga behandlingsmiljöerna.

4 Underbiträden

  1. Leverantören är berättigad att använda sig av underbiträden. Leverantörens aktuella underbiträden framgår av Bilaga 2. Leverantören äger rätt att från tid till annan ändra, lägga till eller ersätta underbiträden. Kunden har rätt att invända mot ett nytt underbiträde om Kunden kan visa att användningen av underbiträdet medför en väsentlig risk för registrerades rättigheter och friheter. Invändning ska framställas skriftligen inom trettio (30) dagar från det att underbiträdet publicerats på webbplatsen. Om Parterna inte når en lösning äger Kunden rätt att säga upp den del av tjänsten som berörs.
  2. Innan Leverantören anlitar ett underbiträde måste Leverantören ingå ett skriftligt avtal med underbiträdet. Detta avtal måste ålägga underbiträdet minst samma skyldigheter i fråga om dataskydd som de som fastställs i Avtalet mellan Leverantören och Kunden, inbegripet skyldigheten att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att databehandlingen uppfyller kraven enligt GDPR.
  3. Kunden är berättigad att på begäran få tillgång till relevanta delar av överenskommelser mellan Leverantören och underbiträden i den mån det är nödvändigt för att verifiera dataskyddskraven. Om underbiträdet inte fullgör sina skyldigheter i fråga om dataskydd är Leverantörens ansvar enligt denna klausul är föremål för de ansvarsbegränsningar som följer av Avtalet om CTNotes. Den omständigheten att Kunden har samtyckt till att Leverantören ingår ett avtal med ett underbiträde påverkar inte Leverantörens skyldighet att uppfylla kraven i Avtalet.

5 Sekretess

  1. Leverantören ska behandla personuppgifter konfidentiellt.
  2. Leverantören får inte lämna ut personuppgifter till tredje part, såvida det inte är nödvändigt för att Leverantören ska kunna fullgöra sina skyldigheter gentemot Kunden. Detta förutsätter att den tredje part som mottager informationen är medveten om dess konfidentiella innehåll och har åtagit sig att hålla informationen konfidentiell i enlighet med Avtalet. Leverantören får därutöver lämna ut personuppgifter till tredje part om det krävs enligt lag.
  3. Leverantören ska begränsa åtkomsten till personuppgifter till att endast omfatta de anställda som behöver informationen för att kunna fullgöra Leverantörens skyldigheter gentemot Kunden.
  4. Leverantörens skyldigheter enligt klausul 5 är inte tidsbegränsat, oavsett om Parternas samarbete avslutas.

6 Ändringar och Överföringar

  1. Avtalet kan komma att ändras i enlighet med förändringar som genomförs i Avtalet om CTNotes.
  2. Leverantören kan överföra rättigheter och skyldigheter under Avtalet, utan medgivande från Kunden, förutsatt att parten till vilken rättigheterna och skyldigheterna överförs, åtar sig att behandla personuppgifterna i enlighet med Avtalet.

7 Avtalstid och Uppsägning

  1. Avtalets giltighetstid är densamma som giltighetstiden för Avtalet om CTNotes. Vid uppsägning av Avtalet om CTNotes, kommer Avtalet att upphöra.
  2. Båda parter har rätt att säga upp Avtalet på samma villkor som gäller för Avtalet om CTNotes.
  3. Oberoende av den formella avtalstiden, fortsätter Avtalet att gälla så länge som Leverantören behandlar personuppgifter för Kundens räkning för vilka Kunden är personuppgiftsansvarig, dock endast såvitt avser Leverantörens behandling av sådana personuppgifter.
  4. Vid uppsägning, eller om det krävs enligt Avtalet, Leverantören ska i skälig omfattning medverka till att behandlingen av personuppgifter övergår till annan leverantör eller återgår till Kunden.
  5. På Kundens begäran och vid uppsägning av Avtalet, ska Leverantören överföra de personuppgifter som behandlats av Leverantören för Kundens räkning till Kunden eller förstöra sådana personuppgifter, såvida inte unionslagstiftning eller lagstiftning i den medlemsstat som personuppgifter behandlas kräver att uppgifterna behålls.

8 Underrättelse

  1. När ena parten är skyldig att tillhandahålla den andra parten ett skriftligt meddelande under Avtalet, kan sådan skyldighet uppfyllas bland annat genom att sända sådant meddelande via e-post till den andra partens senast angivna e-postadress. Leverantören kan också tillhandahålla ett skriftligt meddelande till Kunden genom att skicka meddelandet direkt via det system, till vilket Kunden har fått en användarlicens enligt Avtalet om CTNotes.

9 Företräde

  1. För det fall bestämmelserna i Avtalet står i konflikt med andra skriftliga eller muntliga avtal som slutits mellan Parterna, ska bestämmelserna som följer av Avtalet äga företräde.


Gäller från och med 3 November 2025

BILAGA 1

Denna bilaga utgör Kundens instruktion till Leverantören avseende den behandling av personuppgifter som Leverantören genomför för Kundens räkning, och utgör en integrerad del av Avtalet.

Instruktion och beskrivning av behandling av personuppgifter i CTNotes Behandlingens syfte och art.

Syftet med att anförtro behandlingsaktiviteterna till Leverantören är att Kunden ska kunna använda sig av CTNotes, ett IT-system som Kunden har tillgång till online och som Leverantören driver och utvecklar.

Personuppgifter som behandlas för registrerade användare, är följande uppgifter: namn, adress och personnummer samt sådana personuppgifter som Kunder för in i register hos CTNotes om de registrerade - denna registrering kan omfatta känsliga personuppgifter i den mån Kunden registrerar sådana uppgifter i systemet. För användning av CTNotes, behandlas de registrerades mailadresser och mobiltelefonnummer.

BILAGA 2

Förteckning över underbiträden

Leverantörens aktuella underbiträden framgår av den vid var tid gällande lista som publiceras på:
Underleverantörer

Listan utgör en integrerad del av Avtalet.