Förtroende

Personuppgiftsbiträdesavtal

Version: april 2026

Detta personuppgiftsbiträdesavtal, inklusive dess bilagor, ingås mellan my.host (nedan: ”personuppgiftsbiträdet”) och Kunden (nedan: ”den personuppgiftsansvarige”) och fastställer överenskommelserna mellan Parterna om den behandling av personuppgifter som personuppgiftsbiträdet utför för den personuppgiftsansvariges räkning i samband med de tjänster som my.host tillhandahåller Kunden enligt huvudavtalet. Detta personuppgiftsbiträdesavtal gäller uteslutande personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning och omfattar inte verksamheter som inte innebär behandling av personuppgifter. I den mån my.host behandlar personuppgifter som självständig personuppgiftsansvarig faller den behandlingen utanför detta personuppgiftsbiträdesavtals tillämpningsområde.

Parter

Detta personuppgiftsbiträdesavtal gäller mellan my.host (Pietersbergweg 291, 1105 BM Amsterdam, handelsregistret (KvK): 89592514), nedan ”personuppgiftsbiträdet”, och kunden som köper tjänster från my.host, nedan ”den personuppgiftsansvarige”. Gemensamt kallade ”Parterna” och var för sig en ”Part”.

1. Allmänt

1. Parterna är överens om att detta personuppgiftsbiträdesavtal ersätter alla tidigare överenskomna personuppgiftsbiträdesavtal och/eller integritets- eller dataskyddsbestämmelser mellan Parterna som avser samma tjänster och samma behandlingsförhållande (nämligen: Kunden som personuppgiftsansvarig och my.host som personuppgiftsbiträde), om inte Parterna uttryckligen har kommit överens om annat skriftligen. Detta personuppgiftsbiträdesavtal påverkar inte ett eventuellt underbiträdesavtal som ingåtts mellan Parterna; båda avtalen gäller parallellt och avser vardera ett annat behandlingsförhållande.
2. Detta personuppgiftsbiträdesavtal gäller endast om och i den utsträckning behandlingen av personuppgifter omfattas av GDPR. Begrepp från GDPR som används i detta personuppgiftsbiträdesavtal, däribland ”personuppgifter”, ”behandling”, ”personuppgiftsansvarig” och ”personuppgiftsbiträde”, har den betydelse som tilldelas dem i GDPR.
3. Detta personuppgiftsbiträdesavtal ska anses utgöra en integrerad del av huvudavtalet mellan Parterna.

2. Bilagor

Följande bilagor utgör en integrerad del av detta personuppgiftsbiträdesavtal:

• Bilaga A: Närmare uppgifter om behandlingen
• Bilaga B: Underbiträden
• Bilaga C: Säkerhetsåtgärder (tekniska och organisatoriska åtgärder)

3. Behandlingens ändamål

1. Personuppgiftsbiträdet åtar sig att, i enlighet med villkoren i detta personuppgiftsbiträdesavtal, utföra behandlingen av personuppgifter för den personuppgiftsansvariges räkning.
2. Personuppgiftsbiträdet behandlar personuppgifter uteslutande i samband med fullgörandet av huvudavtalet, strikt i enlighet med den personuppgiftsansvariges dokumenterade instruktioner, och avser en eller flera av de tjänster som närmare beskrivs i bilaga A. Personuppgiftsbiträdet får inte använda personuppgifterna för något annat ändamål eller på något annat sätt än för det ändamål som den personuppgiftsansvarige har fastställt.
3. Den personuppgiftsansvarige godtar att detta personuppgiftsbiträdesavtal, huvudavtalet och eventuella ytterligare (skriftligen överenskomna) arbetsarrangemang, samt de konfigurationer och inställningar som den personuppgiftsansvarige eller dennes behöriga användare väljer för tjänsterna (i enlighet med dokumentationen), tillsammans utgör den personuppgiftsansvariges fullständiga instruktioner till personuppgiftsbiträdet avseende behandlingen av personuppgifter.
4. Ytterligare eller avvikande instruktioner gäller endast om Parterna har kommit överens om dem skriftligen, varvid personuppgiftsbiträdet har rätt att debitera eventuella (skäliga) kostnader som är förenade med att utföra sådana instruktioner.

4. Skyldigheter

1. Den personuppgiftsansvarige förklarar och garanterar att denne vid varje tidpunkt kommer att följa tillämplig dataskyddslagstiftning (inklusive GDPR) med avseende på (i) de personuppgifter som lämnas till personuppgiftsbiträdet eller behandlas via tjänsterna och (ii) de (behandlings)instruktioner som ges till personuppgiftsbiträdet. Den personuppgiftsansvarige garanterar att behandlingen av personuppgifter via tjänsterna är laglig, så att personuppgiftsbiträdet får behandla personuppgifterna på grundval av huvudavtalet och detta personuppgiftsbiträdesavtal och i enlighet med tillämplig dataskyddslagstiftning.
2. Den personuppgiftsansvarige garanterar att denne har alla nödvändiga rättigheter, samtycken, rättsliga grunder och bemyndiganden för att (a) lämna personuppgifter till personuppgiftsbiträdet och (b) bemyndiga personuppgiftsbiträdet att behandla personuppgifterna så som föreskrivs i huvudavtalet, detta personuppgiftsbiträdesavtal och den personuppgiftsansvariges dokumenterade instruktioner. Den personuppgiftsansvarige ansvarar för personuppgifternas ursprung, riktighet, kvalitet och laglighet samt för det sätt på vilket de har inhämtats.
3. I den mån tredje parter riktar krav mot personuppgiftsbiträdet som avser personuppgifter eller behandling som den personuppgiftsansvarige ansvarar för, ska den personuppgiftsansvarige på första begäran hålla personuppgiftsbiträdet skadeslöst för sådana krav, skador, böter och kostnader, i den utsträckning det är tillåtet enligt tvingande rätt och i den utsträckning det inte orsakats av uppsåt eller grov vårdslöshet från personuppgiftsbiträdets sida.
4. Personuppgiftsbiträdet ansvarar inte för att bedöma om den personuppgiftsansvariges instruktioner överensstämmer med tillämpliga lagar och föreskrifter. Om personuppgiftsbiträdet anser att en instruktion från den personuppgiftsansvarige strider mot tillämplig dataskyddslagstiftning ska personuppgiftsbiträdet omgående underrätta den personuppgiftsansvarige om detta och är inte skyldigt att följa en sådan olaglig instruktion. Personuppgiftsbiträdet ska skjuta upp utförandet av den aktuella instruktionen till dess att den personuppgiftsansvarige har återkallat eller ändrat instruktionen eller skriftligen har bekräftat att instruktionen är laglig, allt i den utsträckning detta rimligen är möjligt utan oproportionerlig störning av tjänstekontinuiteten.
5. Närmare uppgifter om behandlingen, inklusive de kategorier av personuppgifter som den personuppgiftsansvarige laddar upp eller på annat sätt gör tillgängliga i tjänsterna och som personuppgiftsbiträdet behandlar för den personuppgiftsansvariges räkning, anges i bilaga A (Närmare uppgifter om behandlingen).
6. Den personuppgiftsansvarige ska underrätta personuppgiftsbiträdet skriftligen och med skäligt förhandsbesked om denne avser att göra ändringar i den ovan nämnda behandlingen, inklusive (men inte begränsat till) ändringar av art, ändamål, kategorier av personuppgifter eller kategorier av registrerade. Om det är nödvändigt ska Parterna ändra bilaga A i enlighet därmed.
7. Den personuppgiftsansvarige garanterar att denne för ett fullständigt och aktuellt register över behandlingar i enlighet med artikel 30 i GDPR.
8. Den personuppgiftsansvarige är skyldig att omgående skriftligen underrätta personuppgiftsbiträdet om denne (avser att) använda tjänsterna för att behandla personuppgifter (även) för en eller flera egna personuppgiftsansvarigas räkning, eller om sådan behandling upphör. Den personuppgiftsansvarige är själv ansvarig för den korrekta kvalificeringen av sin roll enligt GDPR och för att i tid underrätta personuppgiftsbiträdet om ändringar däri. I en sådan situation gäller även underbiträdesavtalet mellan Parterna, i den utsträckning den faktiska behandlingen ger anledning till det.

5. Personuppgiftsbiträdesavtalets löptid och upphörande

1. Detta personuppgiftsbiträdesavtal ingås för den tid som anges i huvudavtalet. Parterna förblir bundna av skyldigheter enligt detta personuppgiftsbiträdesavtal som till sin natur fortsätter att gälla efter upphörande.
2. Detta personuppgiftsbiträdesavtal upphör automatiskt när huvudavtalet upphör.
3. Efter att huvudavtalet har upphört raderar personuppgiftsbiträdet alla personuppgifter i enlighet med de lagringstider som anges i bilaga A, såvida inte unionsrätten eller en medlemsstats nationella rätt kräver lagring.
4. Om personuppgiftsbiträdet av tekniska eller andra skäl inte kan radera personuppgifter ska personuppgiftsbiträdet vidta skäliga åtgärder för att säkerställa att personuppgifterna spärras för vidare behandling och, i den mån det är tekniskt möjligt, anonymiseras.

6. Underbiträden

1. Den personuppgiftsansvarige godtar att personuppgiftsbiträdet får anlita underbiträden för att behandla den personuppgiftsansvariges personuppgifter i syfte att tillhandahålla tjänsterna. Personuppgiftsbiträdet för en förteckning över sina godkända underbiträden på sin webbplats, och den personuppgiftsansvarige bemyndigar personuppgiftsbiträdet att använda dessa underbiträden. Förteckningen över underbiträden som gäller på huvudavtalets ikraftträdandedag är fogad till detta personuppgiftsbiträdesavtal som bilaga B.
2. Personuppgiftsbiträdet får anlita underbiträden inom och utanför EU/EES och får överföra personuppgifter utanför EU/EES eller på annat sätt behandla dem där. Personuppgiftsbiträdet säkerställer att underbiträden genom skriftliga avtal är bundna av databehandlingsskyldigheter som, i den mån det är lämpligt med hänsyn till arten av de tjänster som underbiträdet tillhandahåller, minst ger en likvärdig skyddsnivå som skyldigheterna enligt detta personuppgiftsbiträdesavtal avseende dataskydd.
3. Personuppgiftsbiträdet säkerställer att varje underbiträde som anlitas uppfyller de skyldigheter som gäller för personuppgiftsbiträdet enligt detta personuppgiftsbiträdesavtal och tillämplig dataskyddslagstiftning. Personuppgiftsbiträdet förblir fullt ansvarigt gentemot den personuppgiftsansvarige för behandling som utförs av underbiträden, som om personuppgiftsbiträdet självt utförde behandlingen.
4. Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige skriftligen minst fjorton (14) dagar i förväg om det avser att göra ändringar i förteckningen över underbiträden. Den personuppgiftsansvarige får inom denna frist skriftligen invända mot anlitandet av ett nytt underbiträde (eller en väsentlig ändring avseende ett befintligt underbiträde), förutsatt att invändningen grundas på skäliga skäl som avser dataskydd.

7. Personuppgiftsincident

1. Vid en personuppgiftsincident ska personuppgiftsbiträdet underrätta den personuppgiftsansvarige utan onödigt dröjsmål, och senast 48 timmar efter att incidenten upptäckts. Underrättelsen ska, i den mån uppgifterna är tillgängliga, minst innehålla:
   • en beskrivning av incidentens art, inklusive – där så är möjligt – hur den uppstod och den (förmodade) tidpunkten för händelsen och för upptäckten;
   • de (kategorier av) personuppgifter som berörs av incidenten;
   • de (kategorier av) registrerade och, i den mån det rimligen är möjligt, en uppskattning av antalet berörda registrerade;
   • de sannolika konsekvenserna och riskerna med incidenten; och
   • de åtgärder som personuppgiftsbiträdet har vidtagit eller föreslår att vidta för att hantera incidenten och begränsa möjliga negativa konsekvenser.
2. Om personuppgiftsbiträdet inte kan lämna all information som avses i artikel 7.1 inom den frist som anges i den artikeln ska personuppgiftsbiträdet inom den fristen lämna den information som då är tillgänglig, och samtidigt ange skälen till att ytterligare information fortfarande saknas. Personuppgiftsbiträdet ska därefter lämna ytterligare information utan onödigt dröjsmål så snart den blir tillgänglig.
3. Personuppgiftsbiträdet ska ge den personuppgiftsansvarige skäligt stöd för att uppfylla sina skyldigheter enligt GDPR i samband med incidenten, inklusive – där så är tillämpligt – stöd med (i) anmälningar till den behöriga tillsynsmyndigheten (tillsynsmyndigheterna) och (ii) kommunikation till registrerade.

8. Säkerhet och konfidentialitet

1. Personuppgiftsbiträdet har vidtagit lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter.
2. Dessa säkerhetsåtgärder är utformade på en lämplig säkerhetsnivå, med beaktande av den tekniska utvecklingen, genomförandekostnader, behandlingens art, omfattning, sammanhang och ändamål samt den varierande sannolikheten och allvarlighetsgraden av risker för fysiska personers rättigheter och friheter. De (aktuella) säkerhetsåtgärderna beskrivs närmare i bilaga C.
3. Personuppgiftsbiträdet övervakar efterlevnaden av säkerhetsåtgärderna periodiskt och har rätt att justera säkerhetsåtgärderna om detta rimligen är nödvändigt för säkerheten, kontinuiteten eller den vidare utvecklingen av tjänsterna.
4. Personuppgiftsbiträdet begränsar åtkomsten till personuppgifter till de personer för vilka åtkomst är nödvändig för att utföra tjänsterna. Personuppgiftsbiträdet säkerställer att personer som behandlar personuppgifter under dess instruktion är bundna av en lämplig tystnadsplikt och har fått lämpliga instruktioner och utbildning avseende dataskydd och informationssäkerhet.

9. De registrerades rättigheter

1. Personuppgiftsbiträdet ska, i den mån det rimligen är möjligt och med beaktande av behandlingens art, bistå den personuppgiftsansvarige med att uppfylla sina skyldigheter avseende begäranden från registrerade att utöva sina rättigheter enligt GDPR (såsom rätten till tillgång, rättelse, radering, begränsning, dataportabilitet och invändning).
2. Personuppgiftsbiträdet ska omgående vidarebefordra begäranden från registrerade som lämnas direkt till personuppgiftsbiträdet till den personuppgiftsansvarige och ska inte hantera sådana begäranden självständigt, såvida inte den personuppgiftsansvarige uttryckligen har gett tillstånd till det.
3. Personuppgiftsbiträdet får debitera skäliga kostnader för stöd som går utöver tjänsternas standardfunktionalitet.

10. Överföring utanför EU/EES

1. Personuppgiftsbiträdet får behandla eller överföra personuppgifter utanför EU/EES, förutsatt att kraven i kapitel V i GDPR är uppfyllda. Personuppgiftsbiträdet säkerställer att en giltig överföringsmekanism gäller, såsom ett beslut om adekvat skyddsnivå, standardavtalsklausuler (Standard Contractual Clauses, SCC) antagna av Europeiska kommissionen, eller ett annat instrument som erkänns av GDPR.
2. Där standardavtalsklausuler (SCC) gäller ska de anses utgöra en integrerad del av detta personuppgiftsbiträdesavtal.

11. Konsekvensbedömning avseende dataskydd och förhandssamråd

1. Personuppgiftsbiträdet ska, på begäran och i den mån det rimligen är möjligt, bistå den personuppgiftsansvarige med att genomföra en konsekvensbedömning avseende dataskydd (DPIA) och, där så är tillämpligt, med förhandssamråd med tillsynsmyndigheten.

12. Revision

1. Personuppgiftsbiträdet ska göra all information som rimligen är nödvändig för att visa efterlevnad av skyldigheterna enligt detta personuppgiftsbiträdesavtal tillgänglig för den personuppgiftsansvarige, och ska möjliggöra revisioner – inklusive inspektioner – av eller för den personuppgiftsansvariges räkning, med förbehåll för bestämmelserna i denna artikel.
2. Revisioner utförs på den personuppgiftsansvariges bekostnad, med skäligt förhandsbesked skriftligen (minst 30 dagar), och begränsas till vad som är nödvändigt och proportionerligt för att kontrollera efterlevnaden av detta personuppgiftsbiträdesavtal.
3. Den personuppgiftsansvarige säkerställer att revisionen genomförs professionellt, inte oproportionerligt stör personuppgiftsbiträdets verksamhet och inte äventyrar konfidentialiteten och säkerheten för personuppgiftsbiträdets data och data som tillhör dess övriga kunder.
4. Personuppgiftsbiträdet har rätt att ställa skäliga villkor för revisionen, inklusive (men inte begränsat till) förhandsöverenskommelse om omfattning och planering, tystnadsplikt för revisorer och begränsning av åtkomst till andra kunders data.
5. Om personuppgiftsbiträdet har ett aktuellt certifikat, en rapport eller ett utlåtande från en oberoende revisor (till exempel SOC 2 Type II, ISO 27001) utgör detta tillräckligt bevis för efterlevnad av de relevanta säkerhetsskyldigheterna enligt detta personuppgiftsbiträdesavtal, såvida inte den personuppgiftsansvarige på ett motiverat och skriftligt sätt visar att ytterligare undersökning är nödvändig.

13. Ansvar

1. Personuppgiftsbiträdets ansvar enligt eller i samband med detta personuppgiftsbiträdesavtal omfattas av de ansvarsbestämmelser och begränsningar som anges i huvudavtalet och de tillämpliga allmänna villkoren, i den utsträckning det är tillåtet enligt tvingande rätt.

14. Övriga bestämmelser

1. Vid konflikt mellan bestämmelserna i detta personuppgiftsbiträdesavtal och huvudavtalet har detta personuppgiftsbiträdesavtal företräde i den utsträckning det avser behandlingen av personuppgifter.
2. Detta personuppgiftsbiträdesavtal lyder under nederländsk rätt. Tvister som uppstår ur eller i samband med detta personuppgiftsbiträdesavtal ska prövas av den behöriga domstolen i Amsterdam, såvida inte annat föreskrivs av tvingande rätt.
3. Om någon bestämmelse i detta personuppgiftsbiträdesavtal är ogiltig, ogiltigförklaras eller på annat sätt inte kan verkställas, eller om detta personuppgiftsbiträdesavtal innehåller en lucka, förblir de övriga bestämmelserna i full kraft. I så fall ska Parterna samråda för att komma överens om en ersättande eller kompletterande bestämmelse som är rättsligt giltig och som så nära som möjligt ansluter till syftet med den ursprungliga bestämmelsen, med beaktande av kraven i artikel 28 GDPR.

Bilaga A: Närmare uppgifter om behandlingen

Bilaga B: Underbiträden

En aktuell översikt över alla underbiträden som personuppgiftsbiträdet anlitar finns på https://my.host/se/trust/underbiträden.

Bilaga C: Säkerhetsåtgärder

Personuppgiftsbiträdet genomför och upprätthåller lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter.

Organisatoriska åtgärder

• Periodisk övervakning, utvärdering och bedömning av effektiviteten av organisatoriska och tekniska åtgärder.
• Förfarande för efterlevnad av lagringstider och radering i enlighet med avtal/instruktioner.
• Tystnadsplikt för anställda (avtalsmässigt och/eller via intern policy).
• Medvetenhet och utbildning av anställda inom informationssäkerhet och integritet.

Tekniska åtgärder

• Fysisk säkerhet och nätverkssäkerhet: säkrade serverrum, nätverkssegmentering, brandväggar, hardening.
• Kryptering och säker överföring: TLS/STARTTLS (där så är tillämpligt), kryptering ”in transit”.
• E-postsäkerhet: anti-spam/anti-virus, rate limiting, DMARC/DKIM/SPF (där så är tillämpligt).
• DNS-säkerhet: DNSSEC (där så är möjligt).
• Loggning och övervakning: åtkomstloggning, övervakning/larm, SIEM/IDS (där så är lämpligt), tidssynkronisering.
• Åtkomstsäkerhet: MFA, least-privilege (där så är möjligt), jump host/bastion.
• Säkerhetskopia/kontinuitet: avskild lagring, integritetskontroller.
• Skadlig kod/missbruk: endpoint-/malware-skanningar, karantäner, kontrollerad åtkomst till prover/loggning.

Underbiträdesavtal

Version: april 2026

Detta underbiträdesavtal, inklusive dess bilagor, ingås mellan my.host (nedan: ”underbiträdet”) och kunden som köper tjänster från my.host som personuppgiftsbiträde (nedan: ”personuppgiftsbiträdet”) och fastställer överenskommelserna mellan Parterna om den behandling av personuppgifter som underbiträdet utför för personuppgiftsbiträdets räkning och till dess förmån i samband med de tjänster som underbiträdet tillhandahåller personuppgiftsbiträdet.

Detta underbiträdesavtal gäller uteslutande underbiträdets behandling av personuppgifter till förmån för personuppgiftsbiträdet i samband med de tjänster som my.host tillhandahåller personuppgiftsbiträdet enligt huvudavtalet. Underbiträdet behandlar personuppgifter på grundval av dokumenterade instruktioner från personuppgiftsbiträdet. I den mån my.host behandlar personuppgifter som självständig personuppgiftsansvarig eller som (huvud)personuppgiftsbiträde för egna kunder faller den behandlingen utanför detta underbiträdesavtals tillämpningsområde.

Parter

Detta underbiträdesavtal gäller mellan my.host (Pietersbergweg 291, 1105 BM Amsterdam, handelsregistret (KvK): 89592514), nedan ”underbiträdet”, och personuppgiftsbiträdet som köper tjänster från my.host till förmån för sin(a) personuppgiftsansvarig(a). Gemensamt kallade ”Parterna” och var för sig en ”Part”.

1. Allmänt

1. Parterna är överens om att detta underbiträdesavtal ersätter alla tidigare överenskomna (under)biträdesavtal och/eller integritets- eller dataskyddsbestämmelser mellan Parterna som avser samma tjänster, om inte Parterna uttryckligen har kommit överens om annat skriftligen.
2. Detta underbiträdesavtal gäller endast om och i den utsträckning behandlingen av personuppgifter omfattas av GDPR. Begrepp från GDPR som används i detta underbiträdesavtal, däribland ”personuppgifter”, ”behandling”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde” och ”underbiträde”, har den betydelse som tilldelas dem i GDPR.
3. Detta underbiträdesavtal ska anses utgöra en integrerad del av huvudavtalet mellan underbiträdet och personuppgiftsbiträdet. I detta underbiträdesavtal avses med begreppet ”underunderbiträde”: en tredje part som underbiträdet anlitar för (en del av) behandlingen av personuppgifter.

2. Bilagor

Följande bilagor utgör en integrerad del av detta underbiträdesavtal:

• Bilaga A: Närmare uppgifter om behandlingen
• Bilaga B: Underunderbiträden
• Bilaga C: Säkerhetsåtgärder (tekniska och organisatoriska åtgärder)

3. Behandlingens ändamål

1. Underbiträdet åtar sig att, i enlighet med villkoren i detta underbiträdesavtal, utföra behandlingen av personuppgifter för personuppgiftsbiträdets räkning.
2. Behandlingen av personuppgifter av underbiträdet sker uteslutande i samband med fullgörandet av huvudavtalet, strikt i enlighet med personuppgiftsbiträdets dokumenterade instruktioner, och avser en eller flera av de tjänster som närmare beskrivs i bilaga A. Underbiträdet får inte använda personuppgifterna för något annat ändamål eller på något annat sätt än för det ändamål som personuppgiftsbiträdet har meddelat.
3. Ytterligare eller avvikande instruktioner gäller endast om Parterna har kommit överens om dem skriftligen, varvid underbiträdet har rätt att debitera personuppgiftsbiträdet eventuella (skäliga) kostnader som är förenade med att utföra sådana instruktioner.

4. Skyldigheter

1. Personuppgiftsbiträdet förklarar och garanterar att denne vid varje tidpunkt kommer att följa tillämplig dataskyddslagstiftning (inklusive GDPR) med avseende på (i) de personuppgifter som lämnas till underbiträdet eller behandlas via tjänsterna och (ii) de (behandlings)instruktioner som ges till underbiträdet. Personuppgiftsbiträdet garanterar att behandlingen av personuppgifter via tjänsterna är laglig, att denne är bemyndigad därtill på grundval av ett personuppgiftsbiträdesavtal med den/de relevanta personuppgiftsansvariga, och att underbiträdet får behandla personuppgifterna på grundval av huvudavtalet och detta underbiträdesavtal i enlighet med tillämplig dataskyddslagstiftning.
2. Personuppgiftsbiträdet garanterar att denne är bemyndigad att anlita underbiträdet och att de instruktioner som ges är lagliga.
3. Underbiträdet ansvarar inte för att bedöma om personuppgiftsbiträdets instruktioner (eller de underliggande instruktionerna från den/de personuppgiftsansvariga) överensstämmer med tillämpliga lagar och föreskrifter.
4. Närmare uppgifter om behandlingen anges i bilaga A (Närmare uppgifter om behandlingen).
5. Personuppgiftsbiträdet ska underrätta underbiträdet skriftligen och med skäligt förhandsbesked om denne avser att göra ändringar i den ovan nämnda behandlingen, inklusive (men inte begränsat till) ändringar av art, ändamål, kategorier av personuppgifter eller kategorier av registrerade. Om det är nödvändigt ska Parterna ändra bilaga A i enlighet därmed.

5. Underbiträdesavtalets löptid och upphörande

1. Detta underbiträdesavtal ingås för den tid som anges i huvudavtalet. Parterna förblir bundna av skyldigheter enligt detta underbiträdesavtal som till sin natur fortsätter att gälla efter upphörande.
2. Detta underbiträdesavtal upphör automatiskt när huvudavtalet upphör.
3. Efter att huvudavtalet har upphört raderar underbiträdet alla personuppgifter i enlighet med de lagringstider som anges i bilaga A, såvida inte unionsrätten eller en medlemsstats nationella rätt kräver lagring.
4. Om underbiträdet av tekniska eller andra skäl inte kan radera personuppgifter ska underbiträdet vidta skäliga åtgärder för att säkerställa att personuppgifterna spärras för vidare behandling och, i den mån det är tekniskt möjligt, anonymiseras.

6. Underunderbiträden

1. Personuppgiftsbiträdet bemyndigar härmed underbiträdet att använda underunderbiträden vid behandlingen av personuppgifter, med förbehåll för tillämplig dataskyddslagstiftning. En aktuell förteckning över underunderbiträden ingår i bilaga B.
2. Underbiträdet säkerställer att underunderbiträden genom skriftliga avtal är bundna av databehandlingsskyldigheter som minst ger en likvärdig skyddsnivå som skyldigheterna enligt detta underbiträdesavtal.
3. Underbiträdet säkerställer att varje underunderbiträde som anlitas uppfyller de skyldigheter som gäller för underbiträdet enligt detta underbiträdesavtal och tillämplig dataskyddslagstiftning. Underbiträdet förblir fullt ansvarigt gentemot personuppgiftsbiträdet för behandling som utförs av underunderbiträden, som om underbiträdet självt utförde behandlingen.

7. Personuppgiftsincident

1. Vid en personuppgiftsincident ska underbiträdet underrätta personuppgiftsbiträdet utan onödigt dröjsmål efter att incidenten upptäckts. Underrättelsen ska, i den mån uppgifterna är tillgängliga, minst innehålla:
   • en beskrivning av incidentens art, inklusive – där så är möjligt – hur den uppstod och den (förmodade) tidpunkten för händelsen och för upptäckten;
   • de (kategorier av) personuppgifter som berörs av incidenten;
   • de (kategorier av) registrerade och, i den mån det rimligen är möjligt, en uppskattning av antalet berörda registrerade;
   • de sannolika konsekvenserna och riskerna med incidenten; och
   • de åtgärder som underbiträdet har vidtagit eller föreslår att vidta för att hantera incidenten och begränsa möjliga negativa konsekvenser.
2. Om underbiträdet inte kan lämna all information som avses i artikel 7.1 inom den frist som anges i den artikeln ska underbiträdet inom den fristen lämna den information som då är tillgänglig, och samtidigt ange skälen till att ytterligare information fortfarande saknas. Underbiträdet ska därefter lämna ytterligare information utan onödigt dröjsmål så snart den blir tillgänglig.
3. Underbiträdet ska ge personuppgiftsbiträdet skäligt stöd för att uppfylla sina skyldigheter enligt GDPR i samband med incidenten (inklusive dess skyldigheter gentemot personuppgiftsansvariga), inklusive – där så är tillämpligt – stöd med (i) anmälningar till den behöriga tillsynsmyndigheten (tillsynsmyndigheterna) och (ii) kommunikation till registrerade.

8. Säkerhet och konfidentialitet

1. Underbiträdet har vidtagit lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter.
2. Dessa säkerhetsåtgärder är utformade på en lämplig säkerhetsnivå, med beaktande av den tekniska utvecklingen, genomförandekostnader, behandlingens art, omfattning, sammanhang och ändamål samt den varierande sannolikheten och allvarlighetsgraden av risker för fysiska personers rättigheter och friheter. De (aktuella) säkerhetsåtgärderna beskrivs närmare i bilaga C.
3. Underbiträdet övervakar efterlevnaden av säkerhetsåtgärderna periodiskt och har rätt att justera säkerhetsåtgärderna om detta rimligen är nödvändigt för säkerheten, kontinuiteten eller den vidare utvecklingen av tjänsterna.
4. Underbiträdet begränsar åtkomsten till personuppgifter till de personer för vilka åtkomst är nödvändig för att utföra tjänsterna. Underbiträdet säkerställer att personer som behandlar personuppgifter under dess instruktion är bundna av en lämplig tystnadsplikt och har fått lämpliga instruktioner och utbildning avseende dataskydd och informationssäkerhet.

9. De registrerades rättigheter

1. Underbiträdet ska, i den mån det rimligen är möjligt och med beaktande av behandlingens art, bistå personuppgiftsbiträdet med att uppfylla sina skyldigheter avseende begäranden från registrerade att utöva sina rättigheter enligt GDPR.
2. Underbiträdet ska omgående vidarebefordra begäranden från registrerade som lämnas direkt till underbiträdet till personuppgiftsbiträdet och ska inte hantera sådana begäranden självständigt, såvida inte personuppgiftsbiträdet uttryckligen har gett tillstånd till det.
3. Underbiträdet får debitera skäliga kostnader för stöd som går utöver tjänsternas standardfunktionalitet.

10. Överföring utanför EU/EES

1. Underbiträdet får behandla eller överföra personuppgifter utanför EU/EES, förutsatt att kraven i kapitel V i GDPR är uppfyllda. Underbiträdet säkerställer att en giltig överföringsmekanism gäller, såsom ett beslut om adekvat skyddsnivå, standardavtalsklausuler (Standard Contractual Clauses, SCC) antagna av Europeiska kommissionen, eller ett annat instrument som erkänns av GDPR.
2. Där standardavtalsklausuler (SCC) gäller ska de anses utgöra en integrerad del av detta underbiträdesavtal.

11. Konsekvensbedömning avseende dataskydd och förhandssamråd

1. Underbiträdet ska, på begäran och i den mån det rimligen är möjligt, bistå personuppgiftsbiträdet med att genomföra en konsekvensbedömning avseende dataskydd (DPIA) och, där så är tillämpligt, med förhandssamråd med tillsynsmyndigheten.

12. Revision

1. Underbiträdet ska göra all information som rimligen är nödvändig för att visa efterlevnad av skyldigheterna enligt detta underbiträdesavtal tillgänglig för personuppgiftsbiträdet, och ska möjliggöra revisioner – inklusive inspektioner – av eller för personuppgiftsbiträdets räkning, med förbehåll för bestämmelserna i denna artikel.
2. Revisioner utförs på personuppgiftsbiträdets bekostnad, med skäligt förhandsbesked skriftligen (minst 30 dagar), och begränsas till vad som är nödvändigt och proportionerligt för att kontrollera efterlevnaden av detta underbiträdesavtal.
3. Personuppgiftsbiträdet säkerställer att revisionen genomförs professionellt, inte oproportionerligt stör underbiträdets verksamhet och inte äventyrar konfidentialiteten och säkerheten för underbiträdets data och data som tillhör dess övriga kunder.
4. Underbiträdet har rätt att ställa skäliga villkor för revisionen, inklusive (men inte begränsat till) förhandsöverenskommelse om omfattning och planering, tystnadsplikt för revisorer och begränsning av åtkomst till andra kunders data.
5. Om underbiträdet har ett aktuellt certifikat, en rapport eller ett utlåtande från en oberoende revisor (till exempel SOC 2 Type II, ISO 27001) utgör detta tillräckligt bevis för efterlevnad av de relevanta säkerhetsskyldigheterna enligt detta underbiträdesavtal, såvida inte personuppgiftsbiträdet på ett motiverat och skriftligt sätt visar att ytterligare undersökning är nödvändig.

13. Ansvar

1. Underbiträdets ansvar enligt eller i samband med detta underbiträdesavtal omfattas av de ansvarsbestämmelser och begränsningar som anges i huvudavtalet och de tillämpliga allmänna villkoren, i den utsträckning det är tillåtet enligt tvingande rätt.

14. Övriga bestämmelser

1. Vid konflikt mellan bestämmelserna i detta underbiträdesavtal och huvudavtalet har detta underbiträdesavtal företräde i den utsträckning det avser behandlingen av personuppgifter.
2. Detta underbiträdesavtal lyder under nederländsk rätt. Tvister som uppstår ur eller i samband med detta underbiträdesavtal ska prövas av den behöriga domstolen i Amsterdam, såvida inte annat föreskrivs av tvingande rätt.
3. Om någon bestämmelse i detta underbiträdesavtal är ogiltig, ogiltigförklaras eller på annat sätt inte kan verkställas, eller om detta underbiträdesavtal innehåller en lucka, förblir de övriga bestämmelserna i full kraft. I så fall ska Parterna samråda för att komma överens om en ersättande eller kompletterande bestämmelse som är rättsligt giltig och som så nära som möjligt ansluter till syftet med den ursprungliga bestämmelsen, med beaktande av kraven i artikel 28 GDPR.

Bilaga A: Närmare uppgifter om behandlingen

Bilaga B: Underunderbiträden

En aktuell översikt över alla underunderbiträden som underbiträdet anlitar finns under fliken Underbiträden.

Bilaga C: Säkerhetsåtgärder

Underbiträdet genomför och upprätthåller lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter.

Organisatoriska åtgärder

• Periodisk övervakning, utvärdering och bedömning av effektiviteten av organisatoriska och tekniska åtgärder.
• Förfarande för efterlevnad av lagringstider och radering i enlighet med avtal/instruktioner.
• Tystnadsplikt för anställda (avtalsmässigt och/eller via intern policy).
• Medvetenhet och utbildning av anställda inom informationssäkerhet och integritet.

Tekniska åtgärder

• Fysisk säkerhet och nätverkssäkerhet: säkrade serverrum, nätverkssegmentering, brandväggar, hardening.
• Kryptering och säker överföring: TLS/STARTTLS (där så är tillämpligt), kryptering ”in transit”.
• E-postsäkerhet: anti-spam/anti-virus, rate limiting, DMARC/DKIM/SPF (där så är tillämpligt).
• DNS-säkerhet: DNSSEC (där så är möjligt).
• Loggning och övervakning: åtkomstloggning, övervakning/larm, SIEM/IDS (där så är lämpligt), tidssynkronisering.
• Åtkomstsäkerhet: MFA, least-privilege (där så är möjligt), jump host/bastion.
• Säkerhetskopia/kontinuitet: avskild lagring, integritetskontroller.
• Skadlig kod/missbruk: endpoint-/malware-skanningar, karantäner, kontrollerad åtkomst till prover/loggning.