GDPR
BITRÄDESAVTAL
Detta avtal omfattar förhållandet mellan personuppgiftsansvarig (kunden) och personuppgiftsbiträde (Holmgaard Jewelry ApS) i samband med reglerna om dataskydd.
- Bakgrund till biträdesavtalet
1.1 Holmgaard Jewelry ApS erbjuder diverse tjänster i samband med frakthantering för kunden, vilket innebär att Holmgaard Jewelry ApS behandlar olika typer av personuppgifter för den personuppgiftsansvariges räkning, däribland data angående mottagarna av försändelserna.
1.2 Personuppgiftsbiträdets behandling av personuppgifter sker i syfte att uppfylla parternas senast ingångna kundavtal.
1.3 Biträdesavtal och kundavtal är ömsesidigt beroende av varandra och kan inte sägas upp separat. Biträdesavtalet kan dock – utan att kundavtalet sägs upp – ersättas av ett annat giltigt biträdesavtal.
- Behandling och ändamål med behandling av personuppgifter
2.1 Syftet med personuppgiftsbehandlingen är hantering av den personuppgiftsansvariges fraktuppdrag och tjänster i samband med detta.
2.2 Personuppgiftsbiträdet har till följd av kundförhållandet tillgång till att behandla namn och fraktuppgifter för mottagarna av försändelserna samt försändelsens art och värde för den personuppgiftsansvariges räkning. I vissa fall kommer personuppgiftsbiträdet även att inneha andra former av kontaktuppgifter, såsom telefonnummer och e-post till de registrerade.
2.3 Eftersom personuppgiftsbiträdet tillhandahåller tjänster i samband med frakthantering för den personuppgiftsansvarige, har personuppgiftsbiträdet tillgång till de personuppgifter som anges i punkt 2.1. Dessa uppgifter kan utbytas med tredje part såsom fraktbolag och myndigheter både i Danmark och utomlands.
2.4 Personuppgiftsbiträdet får uteslutande behandla de mottagna personuppgifterna i den utsträckning det är nödvändigt för utförandet av uppdrag enligt instruktion från den personuppgiftsansvarige och/eller i den mån gällande lagstiftning i övrigt ålägger personuppgiftsbiträdet att behandla uppgifterna.
2.5 Som ett led i avtalet mellan den personuppgiftsansvarige och personuppgiftsbiträdet vidarebefordras personuppgifter till fraktbolag och andra tjänsteleverantörer som härmed blir
personuppgiftsbiträden för den här avtalspartens personuppgiftsansvarige. I detta sammanhang har Holmgaard Jewelry ApS enbart en förmedlande funktion.
- Den personuppgiftsansvariges skyldigheter och rättigheter
3.1 Den personuppgiftsansvarige har som utgångspunkt ansvaret gentemot omvärlden (däribland den registrerade) för att behandlingen av personuppgifter sker inom ramen för dataskyddsförordningen och dataskyddslagen.
3.2 Den personuppgiftsansvarige har därför både rättigheter och skyldigheter att fatta beslut om för vilka ändamål och med vilka hjälpmedel behandling får ske.
3.3 Den personuppgiftsansvarige ansvarar bland annat för att det föreligger laglig grund för den behandling som personuppgiftsbiträdet instrueras att utföra.
- Personuppgiftsbiträdet agerar efter instruktion
4.1 Personuppgiftsbiträdet får uteslutande behandla de mottagna personuppgifterna i enlighet med avtalet mellan den personuppgiftsansvarige och personuppgiftsbiträdet och i den utsträckning som är nödvändig för att personuppgiftsbiträdet ska kunna lösa de uppgifter som ställts av den personuppgiftsansvarige på ett tillfredsställande sätt.
4.2 Personuppgiftsbiträdet förbinder sig att följa vid var tid gällande dataskyddslagstiftning och ska omedelbart meddela den personuppgiftsansvarige om det bedöms att en instruktion från den personuppgiftsansvarige strider mot dataskyddsförordningen eller dansk rätt i övrigt.
- Behandlingssäkerhet
5.1 Personuppgiftsbiträdet vidtar alla åtgärder som krävs enligt dataskyddsförordningens artikel 32, av vilken det bl.a. framgår att det, med hänsyn till aktuell nivå, genomförandekostnader och den aktuella behandlingens art, omfattning, sammanhang och ändamål samt riskerna av varierande sannolikhet och allvar för fysiska personers rättigheter och friheter, ska genomföras lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till dessa risker.
5.2 Personuppgiftsbiträdet ska utan onödigt dröjsmål underrätta den personuppgiftsansvarige efter att ha blivit uppmärksam på att en personuppgiftsincident inträffat hos personuppgiftsbiträdet eller ett eventuellt underbiträde. Personuppgiftsbiträdet ska i samband med detta upplysa den personuppgiftsansvarige om:
- Incidentens art, inbegripet, om möjligt, kategorierna och det ungefärliga antalet berörda registrerade samt kategorierna och det ungefärliga antalet berörda registreringar av personuppgifter.
- De sannolika konsekvenserna av personuppgiftsincidenten.
- Åtgärder som har vidtagits eller föreslås vidtas för att hantera personuppgiftsincidenten, inbegripet, om det är relevant, åtgärder för att begränsa dess eventuella skadeverkningar.
5.3 Personuppgiftsbiträdet ska på begäran av den personuppgiftsansvarige ge denne tillräcklig information för att denne ska kunna kontrollera att personuppgiftsbiträdet har vidtagit de nödvändiga tekniska och organisatoriska säkerhetsåtgärderna.
5.4 Personuppgiftsbiträdet ska ställa all information som krävs för att visa att personuppgiftsbiträdet följer dataskyddsförordningens artikel 28 och detta avtal till förfogande för den personuppgiftsansvarige och möjliggöra samt bidra till revisioner, inklusive inspektioner, som utförs av den personuppgiftsansvarige eller en annan revisor som bemyndigats av den personuppgiftsansvarige.
5.5 Personuppgiftsbiträdet ska, med hänsyn till behandlingens art, så långt som möjligt bistå den personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder med att uppfylla den personuppgiftsansvariges skyldighet att besvara förfrågningar om utövande av de registrerades rättigheter som fastställs i dataskyddsförordningens kapitel 3.
- Konfidentialitet
6.1 Personuppgiftsbiträdet ska säkerställa att de personer som är auktoriserade att behandla personuppgifter för den personuppgiftsansvariges räkning har förbundit sig till konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.
- Användning av underbiträden
7.1 Personuppgiftsbiträdet ska uppfylla de villkor som avses i dataskyddsförordningens artikel 28, stycke 2 och 4, för att få använda ett annat personuppgiftsbiträde (underbiträde).
7.2 Personuppgiftsbiträdet får således inte använda ett annat personuppgiftsbiträde (underbiträde) för fullgörandet av biträdesavtalet utan föregående specifikt eller generellt skriftligt godkännande från den personuppgiftsansvarige.
7.3 Vid generellt skriftligt godkännande ska personuppgiftsbiträdet informera den personuppgiftsansvarige om eventuella planerade ändringar rörande tillägg eller ersättning av andra personuppgiftsbiträden och därigenom ge den personuppgiftsansvarige möjlighet att göra invändningar mot sådana ändringar.
7.4 När personuppgiftsbiträdet har den personuppgiftsansvariges godkännande att använda ett underbiträde, ska personuppgiftsbiträdet säkerställa att underbiträdet åläggs samma dataskyddsförpliktelser som de som fastställs i detta biträdesavtal genom ett kontrakt eller annat rättsligt dokument i enlighet med EU-rätten eller medlemsstaternas nationella rätt, varvid i synnerhet nödvändiga garantier lämnas för att underbiträdet kommer att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i dataskyddsförordningen.
7.5 Om underbiträdet inte uppfyller sina dataskyddsförpliktelser förblir personuppgiftsbiträdet fullt ansvarigt gentemot den personuppgiftsansvarige för fullgörandet av underbiträdets förpliktelser.
- Överföring av uppgifter till tredjeländer eller internationella organisationer
8.1 Personuppgiftsbiträdet får endast behandla personuppgifter enligt dokumenterad instruktion från den personuppgiftsansvarige, inbegripet vad gäller överföring av personuppgifter till tredjeländer eller internationella organisationer, såvida det inte krävs enligt EU-rätt eller medlemsstaternas nationella rätt som personuppgiftsbiträdet omfattas av; i så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om detta rättsliga krav före behandlingen, såvida den aktuella rätten inte förbjuder en sådan underrättelse av hänsyn till viktiga allmänintressen, jfr art 28, stycke 3, led a.
- Radering av uppgifter
9.1 Vid upphörande av tjänsterna avseende databehandling förbinder sig personuppgiftsbiträdet att radera alla personuppgifter, samt att radera befintliga kopior, såvida inte EU-rätt eller nationell rätt föreskriver lagring av personuppgifterna.
9.2 Det preciseras dock som en begränsning av de föregående bestämmelserna att personuppgiftsbiträdet till följd av den danska bokföringslagstiftningen lagrar de berörda personuppgifterna avseende varje enskild försändelse i upp till 5 år efter fraktåret. Härefter raderas de personidentifierbara uppgifterna, då endast varans typ, värde/pris och mottagarland arkiveras, medan övriga uppgifter (mottagarnamn och postadress) raderas.
- Ikraftträdande och upphörande
10.1 Detta avtal träder i kraft vid båda parters underskrift.
10.2 Avtalet kan av båda parter krävas omförhandlat om lagändringar eller olämpligheter i avtalet ger anledning till detta.
10.3 Parternas eventuella reglering/avtal om ersättning, villkor eller liknande i samband med ändringar av detta avtal kommer att framgå av parternas kundavtal.
10.4 Uppsägning av biträdesavtalet kan ske i enlighet med de uppsägningsvillkor, inkl. uppsägningstid, som framgår av kundavtalet.
10.5 Avtalet gäller så länge behandlingen består. Oavsett kundavtalets och/eller biträdesavtalets uppsägning förblir biträdesavtalet i kraft fram till dess att behandlingen upphör och uppgifterna raderas hos personuppgiftsbiträdet.
BITRÄDESAVTAL
Detta avtal omfattar förhållandet mellan personuppgiftsansvarig (kunden) och personuppgiftsbiträde (Holmgaard Jewelry ApS) i samband med reglerna om dataskydd.
- Bakgrund till biträdesavtalet
1.1 Holmgaard Jewelry ApS erbjuder diverse tjänster i samband med frakthantering för kunden, vilket innebär att Holmgaard Jewelry ApS behandlar olika typer av personuppgifter för den personuppgiftsansvariges räkning, däribland data angående mottagarna av försändelserna.
1.2 Personuppgiftsbiträdets behandling av personuppgifter sker i syfte att uppfylla parternas senast ingångna kundavtal.
1.3 Biträdesavtal och kundavtal är ömsesidigt beroende av varandra och kan inte sägas upp separat. Biträdesavtalet kan dock – utan att kundavtalet sägs upp – ersättas av ett annat giltigt biträdesavtal.
- Behandling och ändamål med behandling av personuppgifter
2.1 Syftet med personuppgiftsbehandlingen är hantering av den personuppgiftsansvariges fraktuppdrag och tjänster i samband med detta.
2.2 Personuppgiftsbiträdet har till följd av kundförhållandet tillgång till att behandla namn och fraktuppgifter för mottagarna av försändelserna samt försändelsens art och värde för den personuppgiftsansvariges räkning. I vissa fall kommer personuppgiftsbiträdet även att inneha andra former av kontaktuppgifter, såsom telefonnummer och e-post till de registrerade.
2.3 Eftersom personuppgiftsbiträdet tillhandahåller tjänster i samband med frakthantering för den personuppgiftsansvarige, har personuppgiftsbiträdet tillgång till de personuppgifter som anges i punkt 2.1. Dessa uppgifter kan utbytas med tredje part såsom fraktbolag och myndigheter både i Danmark och utomlands.
2.4 Personuppgiftsbiträdet får uteslutande behandla de mottagna personuppgifterna i den utsträckning det är nödvändigt för utförandet av uppdrag enligt instruktion från den personuppgiftsansvarige och/eller i den mån gällande lagstiftning i övrigt ålägger personuppgiftsbiträdet att behandla uppgifterna.
2.5 Som ett led i avtalet mellan den personuppgiftsansvarige och personuppgiftsbiträdet vidarebefordras personuppgifter till fraktbolag och andra tjänsteleverantörer som härmed blir
personuppgiftsbiträden för den här avtalspartens personuppgiftsansvarige. I detta sammanhang har Holmgaard Jewelry ApS enbart en förmedlande funktion.
- Den personuppgiftsansvariges skyldigheter och rättigheter
3.1 Den personuppgiftsansvarige har som utgångspunkt ansvaret gentemot omvärlden (däribland den registrerade) för att behandlingen av personuppgifter sker inom ramen för dataskyddsförordningen och dataskyddslagen.
3.2 Den personuppgiftsansvarige har därför både rättigheter och skyldigheter att fatta beslut om för vilka ändamål och med vilka hjälpmedel behandling får ske.
3.3 Den personuppgiftsansvarige ansvarar bland annat för att det föreligger laglig grund för den behandling som personuppgiftsbiträdet instrueras att utföra.
- Personuppgiftsbiträdet agerar efter instruktion
4.1 Personuppgiftsbiträdet får uteslutande behandla de mottagna personuppgifterna i enlighet med avtalet mellan den personuppgiftsansvarige och personuppgiftsbiträdet och i den utsträckning som är nödvändig för att personuppgiftsbiträdet ska kunna lösa de uppgifter som ställts av den personuppgiftsansvarige på ett tillfredsställande sätt.
4.2 Personuppgiftsbiträdet förbinder sig att följa vid var tid gällande dataskyddslagstiftning och ska omedelbart meddela den personuppgiftsansvarige om det bedöms att en instruktion från den personuppgiftsansvarige strider mot dataskyddsförordningen eller dansk rätt i övrigt.
- Behandlingssäkerhet
5.1 Personuppgiftsbiträdet vidtar alla åtgärder som krävs enligt dataskyddsförordningens artikel 32, av vilken det bl.a. framgår att det, med hänsyn till aktuell nivå, genomförandekostnader och den aktuella behandlingens art, omfattning, sammanhang och ändamål samt riskerna av varierande sannolikhet och allvar för fysiska personers rättigheter och friheter, ska genomföras lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till dessa risker.
5.2 Personuppgiftsbiträdet ska utan onödigt dröjsmål underrätta den personuppgiftsansvarige efter att ha blivit uppmärksam på att en personuppgiftsincident inträffat hos personuppgiftsbiträdet eller ett eventuellt underbiträde. Personuppgiftsbiträdet ska i samband med detta upplysa den personuppgiftsansvarige om:
- Incidentens art, inbegripet, om möjligt, kategorierna och det ungefärliga antalet berörda registrerade samt kategorierna och det ungefärliga antalet berörda registreringar av personuppgifter.
- De sannolika konsekvenserna av personuppgiftsincidenten.
- Åtgärder som har vidtagits eller föreslås vidtas för att hantera personuppgiftsincidenten, inbegripet, om det är relevant, åtgärder för att begränsa dess eventuella skadeverkningar.
5.3 Personuppgiftsbiträdet ska på begäran av den personuppgiftsansvarige ge denne tillräcklig information för att denne ska kunna kontrollera att personuppgiftsbiträdet har vidtagit de nödvändiga tekniska och organisatoriska säkerhetsåtgärderna.
5.4 Personuppgiftsbiträdet ska ställa all information som krävs för att visa att personuppgiftsbiträdet följer dataskyddsförordningens artikel 28 och detta avtal till förfogande för den personuppgiftsansvarige och möjliggöra samt bidra till revisioner, inklusive inspektioner, som utförs av den personuppgiftsansvarige eller en annan revisor som bemyndigats av den personuppgiftsansvarige.
5.5 Personuppgiftsbiträdet ska, med hänsyn till behandlingens art, så långt som möjligt bistå den personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder med att uppfylla den personuppgiftsansvariges skyldighet att besvara förfrågningar om utövande av de registrerades rättigheter som fastställs i dataskyddsförordningens kapitel 3.
- Konfidentialitet
6.1 Personuppgiftsbiträdet ska säkerställa att de personer som är auktoriserade att behandla personuppgifter för den personuppgiftsansvariges räkning har förbundit sig till konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.
- Användning av underbiträden
7.1 Personuppgiftsbiträdet ska uppfylla de villkor som avses i dataskyddsförordningens artikel 28, stycke 2 och 4, för att få använda ett annat personuppgiftsbiträde (underbiträde).
7.2 Personuppgiftsbiträdet får således inte använda ett annat personuppgiftsbiträde (underbiträde) för fullgörandet av biträdesavtalet utan föregående specifikt eller generellt skriftligt godkännande från den personuppgiftsansvarige.
7.3 Vid generellt skriftligt godkännande ska personuppgiftsbiträdet informera den personuppgiftsansvarige om eventuella planerade ändringar rörande tillägg eller ersättning av andra personuppgiftsbiträden och därigenom ge den personuppgiftsansvarige möjlighet att göra invändningar mot sådana ändringar.
7.4 När personuppgiftsbiträdet har den personuppgiftsansvariges godkännande att använda ett underbiträde, ska personuppgiftsbiträdet säkerställa att underbiträdet åläggs samma dataskyddsförpliktelser som de som fastställs i detta biträdesavtal genom ett kontrakt eller annat rättsligt dokument i enlighet med EU-rätten eller medlemsstaternas nationella rätt, varvid i synnerhet nödvändiga garantier lämnas för att underbiträdet kommer att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i dataskyddsförordningen.
7.5 Om underbiträdet inte uppfyller sina dataskyddsförpliktelser förblir personuppgiftsbiträdet fullt ansvarigt gentemot den personuppgiftsansvarige för fullgörandet av underbiträdets förpliktelser.
- Överföring av uppgifter till tredjeländer eller internationella organisationer
8.1 Personuppgiftsbiträdet får endast behandla personuppgifter enligt dokumenterad instruktion från den personuppgiftsansvarige, inbegripet vad gäller överföring av personuppgifter till tredjeländer eller internationella organisationer, såvida det inte krävs enligt EU-rätt eller medlemsstaternas nationella rätt som personuppgiftsbiträdet omfattas av; i så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om detta rättsliga krav före behandlingen, såvida den aktuella rätten inte förbjuder en sådan underrättelse av hänsyn till viktiga allmänintressen, jfr art 28, stycke 3, led a.
- Radering av uppgifter
9.1 Vid upphörande av tjänsterna avseende databehandling förpliktas Personuppgiftsbiträdet att radera alla personuppgifter, samt att radera befintliga kopior, såvida inte EU-rätt eller nationell rätt föreskriver lagring av personuppgifterna.
9.2 Det preciseras dock som en begränsning av de föregående bestämmelserna, att Personuppgiftsbiträdet till följd av den danska bokföringslagstiftningen lagrar de berörda personuppgifterna rörande varje enskild försändelse i upp till 5 år efter försändelseåret. Därefter raderas de personhänförbara uppgifterna, varvid det därefter endast sker en arkivering av varutyp, värde/pris och mottagarland, medan övriga uppgifter (mottagarnamn och postadress) raderas.
- Ikraftträdande och upphörande
10.1 Detta avtal träder i kraft vid båda parters underskrift.
10.2 Avtalet kan av båda parter krävas omförhandlat om lagändringar eller olämpligheter i avtalet ger anledning till detta.
10.3 Parternas eventuella reglering/avtal om ersättning, villkor eller liknande i samband med ändringar av detta avtal kommer att framgå av parternas Kundavtal.
10.4 Uppsägning av personuppgiftsbiträdesavtalet kan ske i enlighet med de uppsägningsvillkor, inkl. uppsägningstid, som framgår av Kundavtalet.
10.5 Avtalet gäller så länge behandlingen pågår. Oavsett uppsägning av Kundavtalet och/eller personuppgiftsbiträdesavtalet, kommer personuppgiftsbiträdesavtalet att förbli i kraft fram till dess att behandlingen upphör och uppgifterna raderas hos Personuppgiftsbiträdet.