Personuppgiftsbiträdesavtal

1. Parter och bakgrund

Avtalet gäller mellan det tryckeri som använder Printlo (Personuppgiftsansvarig) och Galea Design AB, org.nr 559524-1513 (Personuppgiftsbiträde).

När en slutkund lägger en order på tryckeriets beställningssida behandlas personuppgifter i Printlos system. Tryckeriet bestämmer ändamålen med den behandlingen och är därmed personuppgiftsansvarig. Printlo behandlar uppgifterna enbart för tryckeriets räkning och är personuppgiftsbiträde.

Avtalet uppfyller kraven i artikel 28.3 i dataskyddsförordningen (GDPR) och utgör en integrerad del av användarvillkoren. Vid konflikt har detta avtal företräde i frågor som rör personuppgiftsbehandling.

2. Föremål, varaktighet, art och ändamål

Föremål: behandling av personuppgifter i samband med att slutkunder laddar upp tryckfiler och beställer trycksaker via tryckeriets beställningssida.

Varaktighet: så länge tryckeriets abonnemang på Printlo löper, samt under den avvecklingsperiod som anges i punkt 10.

Art och ändamål: insamling, lagring, strukturering, visning, överföring och radering av uppgifter i syfte att ta emot order, generera tryckfärdiga filer, hantera betalning och ge tryckeriet tillgång till sina orderdata.

3. Kategorier av registrerade och uppgifter

Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9 GDPR eller för personnummer. Tryckeriet ansvarar för att inte lägga in sådana uppgifter i fri text.

4. Instruktioner

Printlo behandlar personuppgifter enbart enligt tryckeriets dokumenterade instruktioner. Användarvillkoren, detta avtal och de inställningar tryckeriet gör i adminpanelen utgör de fullständiga instruktionerna.

Om Printlo enligt lag måste behandla uppgifter på annat sätt informerar vi tryckeriet innan behandlingen, om inte lagen förbjuder det. Anser vi att en instruktion strider mot GDPR ska vi omgående meddela tryckeriet.

5. Konfidentialitet

Endast den personal som behöver åtkomst för att leverera tjänsten får tillgång till uppgifterna. Samtliga sådana personer omfattas av tystnadsplikt genom anställnings- eller uppdragsavtal, och tystnadsplikten gäller även efter att uppdraget upphört.

6. Säkerhetsåtgärder

Printlo vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, bland annat:

• kryptering av trafik med TLS och kryptering av lagrad data,
• rollbaserad behörighetsstyrning, varje tryckeri kommer bara åt sin egen data,
• obligatorisk inloggning via en extern identitetsleverantör med stöd för tvåfaktorsautentisering,
• loggning av åtkomst och ändringar,
• regelbundna säkerhetskopior med testad återläsning,
• separation mellan utvecklings-, test- och produktionsmiljö, och
• rutiner för hantering av personuppgiftsincidenter.

Isoleringen mellan tryckerier är tvingad i databasen med Row Level Security och en applikationsroll utan rätt att kringgå den, inte enbart i applikationskoden. Kundernas tryckfiler ligger i privat lagring och kan bara hämtas genom en behörighetskontroll. Utvecklings-, test- och produktionsmiljö har skilda databaser.

7. Underbiträden

Tryckeriet ger Printlo ett allmänt förhandsgodkännande att anlita underbiträden. Följande underbiträden anlitas i dag:

Printlo meddelar tryckeriet minst 30 dagar innan ett nytt underbiträde tas i bruk eller byts ut. Tryckeriet har rätt att invända inom den tiden. Om parterna inte kan enas har tryckeriet rätt att säga upp abonnemanget utan kostnad för återstående period.

Printlo ålägger varje underbiträde samma skyldigheter som följer av detta avtal och ansvarar gentemot tryckeriet för underbiträdets behandling.

8. Bistånd till den personuppgiftsansvarige

Printlo ska i rimlig utsträckning bistå tryckeriet med

• att besvara begäran från registrerade om åtkomst, rättelse, radering, begränsning, invändning och dataportabilitet,
• att uppfylla säkerhetskraven i artikel 32,
• att anmäla och dokumentera personuppgiftsincidenter enligt artikel 33 och 34, och
• att genomföra konsekvensbedömningar och förhandssamråd enligt artikel 35 och 36.

Vänder sig en registrerad direkt till Printlo hänvisar vi till tryckeriet och informerar tryckeriet utan onödigt dröjsmål.

9. Personuppgiftsincident

Printlo underrättar tryckeriet utan onödigt dröjsmål, och senast 24 timmar efter att vi fått kännedom om en personuppgiftsincident som rör tryckeriets uppgifter.

Underrättelsen innehåller vad som hänt, vilka kategorier av uppgifter och registrerade som berörs, sannolika konsekvenser och vilka åtgärder vi vidtagit. Det är tryckeriet som ansvarar för eventuell anmälan till Integritetsskyddsmyndigheten och för att informera de registrerade.

10. Radering och återlämnande

När abonnemanget upphör kan tryckeriet under 30 dagar begära att få ut sina data i ett vanligt maskinläsbart format. Därefter raderar Printlo samtliga personuppgifter, inklusive kopior, senast 90 dagar efter avtalets slut.

Uppgifter som Printlo enligt lag måste behålla, till exempel bokföringsunderlag, sparas dock så länge lagen kräver och behandlas då inte för något annat ändamål.

11. Granskning

Printlo ger tryckeriet den information som behövs för att visa att skyldigheterna i artikel 28 uppfylls. Tryckeriet har rätt att en gång per år, efter skriftlig begäran minst 30 dagar i förväg, låta genomföra en granskning. Granskningen ska ske under normal arbetstid, får inte störa driften och den som utför den ska omfattas av sekretess. Tryckeriet står för kostnaderna.

12. Överföring till tredje land

Sker överföring av personuppgifter till ett land utanför EU och EES ska den ha stöd i ett beslut om adekvat skyddsnivå eller i EU-kommissionens standardavtalsklausuler tillsammans med kompletterande skyddsåtgärder.

13. Ansvar och tillämplig lag

Ansvarsbegränsningarna i användarvillkoren gäller även för detta avtal, i den mån tvingande lag tillåter det. Svensk rätt gäller och tvist avgörs enligt punkt 11 i användarvillkoren.

14. Signerat exemplar

Behöver ni ett separat, signerat personuppgiftsbiträdesavtal för er egen dokumentation, mejla info@galeadesign.se så skickar vi ett.