Databehandlingsavtal

Detta avtal definierar de rättigheter och skyldigheter som föreligger då personuppgiftsbiträdet behandlar personuppgifter å den personuppgiftsansvariges vägnar.

Avtalet är avsett att säkerställa parternas efterlevnad av artikel 28.3 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), som definierar de specifika krav som gäller innehållet i ett avtal om databehandling.

Personuppgiftsbiträdets behandling av personuppgifter ska utföras i syfte att uppfylla parternas ”huvudavtal”, det vill säga det avtal som personuppgiftsansvarig har ingått endera med personuppgiftsbiträdet eller annan central idrottsorganisation som representerar den personuppgiftsansvarige.

Databehandlingsavtalet och ”huvudavtalet” är ömsesidigt beroende av varandra och kan inte avslutas separat. Trots detta kan databehandlingsavtalet, utan att ”huvudavtalet” upphör att gälla, ersättas av ett annat giltigt databehandlingsavtal.

Detta databehandlingsavtal ska ha företräde framför eventuella liknande bestämmelser i andra avtal parterna emellan, inklusive ”huvudavtalet”.

Detta avtal har fyra bilagor. Dessa bilagor är integrerade delar av databehandlingsavtalet.

Databehandlingsavtalet Bilaga A innehåller ytterligare information om behandlingen, inklusive ändamålet och arten av behandlingen, typen av personuppgifter, kategorier av registrerade och varaktigheten för behandlingen.

Databehandlingsavtalet Bilaga B innehåller den personuppgiftsansvariges villkor för personuppgiftsbiträdets användning av eventuella andra anlitade personuppgiftsbiträden samt en översikt över sådana som har godkänts av den personuppgiftsansvarige.

Databehandlingsavtalet Bilaga C innehåller ytterligare instruktioner avseende den behandling som personuppgiftsbiträdet ska utföra åt den personuppgiftsansvarige (behandlingens ändamål), vilka säkerhetsåtgärder som, som minst, måste vidtas samt hur tillsynen av personuppgiftsbiträdet och eventuella inhyrda personuppgiftsbiträden ska utföras.

Databehandlingsavtalet Bilaga D avser hur parterna ska hantera förhållanden som inte tas upp i databehandlingsavtalet eller i parternas ”huvudavtal”.

Databehandlingsavtalet och tillhörande bilagor ska arkiveras, även i elektroniskt format, hos bägge parterna.

Detta databehandlingsavtal innebär inte att personuppgiftsbiträdet befrias från förpliktelser som härrör direkt från den allmänna dataskyddsförordningen (GDPR) eller annan lagstiftning.

Den personuppgiftsansvarige har det generella ansvaret för att säkerställa att behandling av personuppgifter sker inom de begränsningar som stipuleras i GDPR och den danska dataskyddslagen.

Därför har den personuppgiftsansvarige både rättighet och skyldighet att fatta beslut avseende ändamålen med behandlingen och vilka verktyg som ska användas.

Den personuppgiftsansvariga är bland annat ansvarig för att säkerställa att det finns rättslig grund för den behandling som personuppgiftsbiträdet anmodas utföra.

Personuppgiftsbiträdet ska endast behandla personuppgifter i enlighet med dokumenterade instruktioner från den personuppgiftsansvarige försåvitt inte annat krävs enligt EU-lagstiftning eller den nationella lagstiftningen i de medlemsstater där personuppgiftsbiträdet är baserat. Om så är fallet ska personuppgiftsbiträdet meddela den personuppgiftsansvarige om sådana juridiska krav innan någon behandling utförs, försåvitt inte lagen i fråga förhindrar ett sådant meddelande med hänvisning till ett viktigt allmänintresse, se artikel 28.3 a.

Personuppgiftsbiträdet ska omedelbart informera den personuppgiftsansvarige om biträdet anser att en instruktion strider mot GDPR eller dataskyddsbestämmelser i annan EU-lagstiftning eller nationell lagstiftning i medlemsländerna.

Personuppgiftsbiträdet ska säkerställa att endast personer som har rätt till detta får åtkomst till de personuppgifter som behandlas för den personuppgiftsansvariges räkning. Åtkomst till information ska därför omgående förhindras om ett sådant tillstånd återkallas eller löper ut.

Endast personer som behöver tillgång till personuppgifter för att kunna fullgöra personuppgiftsbiträdets åligganden gentemot den personuppgiftsansvarige ska ges tillstånd.

Personuppgiftsbiträdet ska säkerställa att de personer som getts tillstånd att behandla personuppgifter som behandlas för den personuppgiftsansvariges räkning har medgett att upprätthålla konfidentialiteten för informationen eller omfattas av tillämpliga lagstadgade sekretessbestämmelser.

Personuppgiftsbiträdet ska, på förfrågan från den personuppgiftsansvarige, kunna bevisa att relevanta medarbetare omfattas av ovannämnda konfidentialitet.

Personuppgiftsbiträdet ska vidta alla åtgärder som krävs enligt artikel 32 i dataskyddsförordningen som bland annat anger att, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.

Ovannämnda skyldigheter innebär att personuppgiftsbiträdet måste utföra en riskbedömning och därefter vidta åtgärder för att hantera de identifierade riskerna. Detta kan, beroende på relevans, inbegripa följande åtgärder:

a. pseudonymisering och kryptering av personuppgifter

b. förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna

c. förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident

d. ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

I samband med ovanstående och under alla omständigheter ska personuppgiftsbiträdet som minst införa de säkerhetsnivåer och -åtgärder som specificeras närmare i bilaga C i detta avtal.

Eventuell förvaltning/överenskommelse avseende parternas ersättningar eller liknande i samband med att den personuppgiftsansvarige eller personuppgiftsbiträdet begär att ytterligare säkerhetsåtgärder vidtas ska regleras i parternas ”huvudavtal” eller i bilaga D i detta avtal.

För att använda ett annat personuppgiftsbiträde (ett anlitat personuppgiftsbiträde) måste personuppgiftsbiträdet uppfylla villkoren i artikel 28.2 och 28.4 i GDPR.

Detta innebär att personuppgiftsbiträdet inte kan anlita ett annat personuppgiftsbiträde för att uppfylla databehandlingsavtalet utan att ett särskilt eller allmänt skriftligt förhandstillstånd har erhållits av den personuppgiftsansvarige.

Om ett allmänt skriftligt tillstånd har erhållits, ska personuppgiftsbiträdet informera den personuppgiftsansvarige om eventuella planer på att anlita nya personuppgiftsbiträden eller ersätta personuppgiftsbiträden, så att den personuppgiftsansvarige har möjlighet att göra invändningar mot sådana förändringar.

Den personuppgiftsansvariges ytterligare villkor för personuppgiftsbiträdets användning av annat personuppgiftsbiträde finns i Bilaga B i detta avtal.

Den personuppgiftsansvariges godkännande av eventuella specifika andra personuppgiftsbiträden finns i Bilaga B i detta avtal.

När personuppgiftsbiträdet har erhållit tillstånd från den personuppgiftsansvarige att anlita ett annat personuppgiftsbiträde ska personuppgiftsbiträdet säkerställa att detta regleras med ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och i vilken garantier ges för att personuppgiftsbiträdet vidtar lämpliga tekniska och organisatoriska åtgärder så att kraven i GDPR uppfylls.

Personuppgiftsbiträdet ansvarar därför, genom att upprätta ett databehandlingsavtal med annat personuppgiftsbiträde, för att säkerställa att annat personuppgiftsbiträde som minst binds av de skyldigheter som man själv underställs enligt dataskyddslagstiftningen samt detta databehandlingsavtal med tillhörande bilagor.

En kopia av databehandlingsavtalet med annat personuppgiftsbiträde och eventuella senare ändringar måste på förfrågan tillhandahållas den personuppgiftsansvarige för att denne därigenom ska kunna försäkra sig om att ett giltigt avtal har ingåtts mellan personuppgiftsbiträdet och annat personuppgiftsbiträde. Eventuella kommersiella villkor, t.ex. priser, som inte påverkar det juridiska innehållet i databehandlingsavtalet med annat personuppgiftsbiträde ska inte delges den personuppgiftsansvarige.

I det avtal som personuppgiftsbiträdet ingår med andra personuppgiftsbiträden ska den personuppgiftsansvarige anges som berättigad tredje part så att den personuppgiftsansvarige om personuppgiftsbiträdet går i konkurs kan överta personuppgiftsbiträdets rättigheter och hävda dessa gentemot annat personuppgiftsbiträdet, bl.a. så att den personuppgiftsansvarige kan instruera annat personuppgiftsbiträde att radera eller returnera all information.

Om det andra personuppgiftsbiträdet inte fullgör sina skyldigheter i fråga om dataskydd ska det ursprungliga personuppgiftsbiträdet vara fullt ansvarig gentemot den personuppgiftsansvarige för utförandet av det andra personuppgiftsbiträdets skyldigheter.

Personuppgiftsbiträdet ska endast behandla personuppgifter i enlighet med dokumenterade instruktioner från den personuppgiftsansvarige, inklusive överföring (överföring, utlämnande och internt bruk) av personuppgifter till tredjeländer eller internationella organisationer, försåvitt inte annat krävs enligt EU-lagstiftning eller den nationella lagstiftningen i de medlemsstater där personuppgiftsbiträdet är baserat. Om så är fallet ska personuppgiftsbiträdet meddela den personuppgiftsansvarige om sådana juridiska krav innan någon behandling utförs, försåvitt inte lagen i fråga förhindrar ett sådant meddelande med hänvisning till ett viktigt allmänintresse, se artikel 28.3 a.

Saknas instruktioner eller godkännande från den personuppgiftsansvarige får personuppgiftsbiträdet därför inte, inom de begränsningar som specificerats i databehandlingsavtalet:

a. utlämna personuppgifter till en personuppgiftsansvarig i ett tredjeland eller en internationell organisation

b. överlåta behandlingen av personuppgifter till annat personuppgiftsbiträde i ett tredjeland

c. behandla uppgifterna i en filial till personuppgiftsbiträdet som är baserat i tredjeland.

Eventuella instruktioner eller godkännanden från den personuppgiftsansvarige avseende överföring av personuppgifter till tredjeland finns i Bilaga C i detta avtal.

Personuppgiftsbiträdet ska, beroende på behandlingens art och i den mån detta är möjligt, genom lämpliga tekniska och organisatoriska åtgärder hjälpa den personuppgiftsansvarige att fullgöra den personuppgiftsansvariges skyldighet att svara på begäran om utövande av den registrerades rättigheter i enlighet med kapitel III i GDPR.

Detta innebär att personuppgiftsbiträdet i den mån det är möjligt hjälpa och samarbeta med den personuppgiftsansvarige för att säkerställa efterlevnad av:

a. anmälningsskyldighet i samband med att personuppgifter samlas in från den registrerade

b. anmälningsskyldighet för den händelse personuppgifter inte har samlats in från den registrerade

c. den registrerades rätt till tillgång

d. rätten till rättelse

e. rätten till radering (”rätten att bli bortglömd”)

f. rätten till begränsning av behandling

g. anmälningsskyldighet avseende rättelse eller radering av personuppgifter och begränsning av behandling

h. rätten till dataportabilitet

i. rätten att göra invändningar

j. rätten att invända mot resultaten från automatiserat individuellt beslutsfattande, inbegripet profilering.

Personuppgiftsbiträdet ska hjälpa den personuppgiftsansvarige att säkerställa efterlevnad av dess skyldigheter enligt artikel 32–36 i GDPR avseende behandlingens art och de uppgifter som är tillgängliga för den personuppgiftsansvarige, se artikel 28.3 f.

Detta innebär att personuppgiftsbiträdet, med tanke på behandlingens art, ska bistå den personuppgiftsansvarige för att säkerställa efterlevnad av:

a. Plikten att vidta lämpliga tekniska och organisatoriska åtgärder för att etablera en lämplig säkerhetsnivå för de risker som är förknippade med behandlingen.

b. Plikten att rapportera personuppgiftsincidenter till tillsynsmyndigheterna (enligt den danska personuppgiftslagen) utan onödigt dröjsmål och senast 72 timmar efter att den personuppgiftsansvarige har fått kännedom om incidenten, utom om det är möjligt att påvisa att det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter.

c. Plikten att utan onödigt dröjsmål informera de registrerade om personuppgiftsincidenter när en sådan incidenten sannolikt innebär en stor risk för fysiska personers rättigheter och friheter.

d. Plikten att utföra en konsekvensbedömning av dataskyddet om en viss typ av behandling sannolikt innebär en stor risk för fysiska personers rättigheter och friheter.

e. Plikten att samråda med tillsynsmyndigheten (i Danmark) före behandling om en konsekvensanalys av dataskyddet visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtagit åtgärder för att minska risken.

Eventuell förvaltning/överenskommelse avseende parternas ersättningar eller liknande i samband med att personuppgiftsbiträdet är den personuppgiftsansvarige behjälplig ska regleras i parternas ”huvudavtal” eller i bilaga D i detta avtal.

Personuppgiftsbiträdet ska utan onödigt dröjsmål informera den personuppgiftsansvarige så snart man har fått kännedom om en personuppgiftsincident hos personuppgiftsbiträdet eller anlitat personuppgiftsbiträde.

Personuppgiftsbiträdet ska om möjligt meddela den personuppgiftsansvarige senast 36 timmar efter att ha fått kännedom om incidenten för att säkerställa att den personuppgiftsansvarige har möjlighet att fullgöra sin skyldighet att anmäla incidenten till tillsynsmyndigheten inom 72 timmar.

Enligt avsnitt 10.2 b i detta avtal, ska personuppgiftsbiträdet, med tanke på behandlingens art och tillgänglig information, hjälpa den personuppgiftsansvarige att anmäla incidenter till tillsynsmyndigheterna.

Detta kan innebära att personuppgiftsbiträdet ska hjälpa till med att samla in följande information, som enligt artikel 33.3 i GDPR, måste finnas med i rapporten från den personuppgiftsansvarige till tillsynsmyndigheten:

a. Personuppgiftsincidentens art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs.

b. Sannolika konsekvenser av personuppgiftsincidenten.

c. De åtgärder som har vidtagits eller föreslagits för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.

Efter det att tillhandahållandet av behandlingstjänster har avslutats ska personuppgiftsbiträdet radera eller återlämna alla personuppgifter till den personuppgiftsansvarige och radera befintliga kopior såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt.

Personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som krävs för att visa att de skyldigheter som fastställs i artikel 28 i GDPR och detta avtal har fullgjorts samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av den personuppgiftsansvarige eller av en annan revisor som bemyndigats av den personuppgiftsansvarige.

Processen för den personuppgiftsansvariges kontroll av personuppgiftsbiträdet framgår av Bilaga C i detta avtal.

Den personuppgiftsansvariges kontroll av eventuella andra personuppgiftsbiträden ska i allmänhet äga rum via det ursprungliga personuppgiftsbiträdet. Processen för detta framgår av Bilaga C i detta avtal.

Personuppgiftsbiträdet är skyldigt att ge myndigheterna eller dess representanter, i enlighet med då gällande lagstiftning, tillgång till den personuppgiftsansvarige och personuppgiftsbiträdets lokaler förutsatt att lämpliga identitetshandlingar företes.

Eventuell (specifik) förvaltning av konsekvenserna av parternas brott mot databehandlingsavtalet framgår av parternas ”huvudavtal” eller i Bilaga D i detta avtal.

Eventuell förvaltning av övriga frågor parterna emellan återfinns i parternas ”huvudavtal” eller i Bilaga D i detta avtal.

Detta avtal träder automatiskt i kraft när personuppgiftsbiträdet använder Players 1sts programvara.

Bägge parterna har rätt att begära omförhandling av avtalet i händelse av förändringar i lagstiftningen eller om olämpligheter i avtalet gör en sådan omförhandling rimlig.

Databehandlingsavtalet kan sägas upp i enlighet med uppsägningsvillkoren, inklusive uppsägningsperiod, som specificerats i ”huvudavtalet”.

Avtalet ska gälla så länge behandling äger rum. Oavsett om ”huvudavtalet” och/eller databehandlingsavtalet upphör att gälla ska databehandlingsavtalet fortsätta gälla fram tills dess att behandlingen har upphört och personuppgifter har raderats av personuppgiftsbiträdet och eventuella andra personuppgiftsbiträden.

All kontakt med personuppgiftsbiträdet avseende databehandling ska ske via: privacy@players1stgroup.com