Personuppgiftsbiträdesavtal
Detta avtal ingås den 1 december 2026 mellan:
- Brightwater Analytics Ltd, 20 Harbour Street, Dublin D02 AB12, Irland, kontaktperson privacy@brightwater.example (”Kunden”), och
- CloudMail Services GmbH, Hauptstrasse 14, 10115 Berlin, Tyskland, kontaktperson dpo@cloudmail.example (”Leverantören”).
Avtalet utgör en del av avtalet om tjänster för e-postplattformen, daterat den 3 mars 2026 (”Huvudavtalet”). Om detta avtal och Huvudavtalet står i strid med varandra när det gäller hanteringen av personuppgifter, gäller detta avtal.
1. Definitioner
I detta avtal har ”personuppgifter”, ”behandling”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad” och ”personuppgiftsincident” den betydelse som de har i den tillämpliga dataskyddslagstiftningen, eller, om lagstiftningen använder andra ord för samma begrepp, den närmast motsvarande betydelsen. ”Dataskyddslagstiftningen” avser all lagstiftning om dataskydd och integritet som är tillämplig på behandlingen av Kundens personuppgifter enligt detta avtal, inklusive sådan lagstiftning som är tillämplig på en part på grund av var de registrerade befinner sig. ”Kundens personuppgifter” avser de personuppgifter som Leverantören behandlar för Kundens räkning enligt Huvudavtalet. ”Underbiträde” avser en tredje part som Leverantören anlitar för att behandla Kundens personuppgifter.
2. Roller och omfattning
2.1 När det gäller Kundens personuppgifter är Kunden personuppgiftsansvarig och Leverantören personuppgiftsbiträde. Om Kunden själv är personuppgiftsbiträde åt en annan personuppgiftsansvarig, försäkrar Kunden att den har den ansvariges tillstånd att lämna de instruktioner som finns i detta avtal, och Leverantören agerar då som underbiträde.
2.2 Vardera parten ska följa den Dataskyddslagstiftning som gäller för den.
2.3 Kunden ansvarar för att det finns rättslig grund för behandlingen, för att de registrerade får den information som Dataskyddslagstiftningen kräver, samt för att de personuppgifter som Kunden lämnar till Leverantören är korrekta och lagligt inhämtade.
3. Uppgifter om behandlingen
3.1 Föremål och ändamål. Leverantören behandlar Kundens personuppgifter endast för att tillhandahålla tjänsterna enligt Huvudavtalet, på följande sätt:
Skickar och lagrar kundens marknadsförings- och tjänsteutskick via e-post och registrerar öppningar och klick, för att tillhandahålla e-postplattformen.
3.2 Varaktighet. Behandlingen pågår så länge huvudavtalet gäller, plus den tid som krävs för att återlämna eller radera uppgifterna.
3.3 Typer av personuppgifter:
Namn, e-postadresser, företagsnamn samt uppgifter om skickade, öppnade och klickade e-postmeddelanden.
3.4 Kategorier av registrerade: kundens klienter, potentiella kunder och prenumeranter på nyhetsbrev.
3.5 Känsliga personuppgifter som hanteras: hälsouppgifter som patienter skriver i meddelanden om bokade tider.
3.6 Plats för behandlingen. Leverantören ska behandla och lagra Kundens personuppgifter i datacenter i Frankfurt, Tyskland.
3.7 Kunden får inte lämna andra typer av personuppgifter till Leverantören, eller känsliga personuppgifter som inte anges ovan, utan Leverantörens skriftliga medgivande.
4. Kundens instruktioner
4.1 Leverantören ska behandla Kundens personuppgifter endast enligt Kundens dokumenterade instruktioner. Dessa utgörs av detta avtal, Huvudavtalet samt Kundens användning och inställningar av tjänsterna, om inte lagstiftning som är tillämplig på Leverantören kräver något annat. I sådant fall ska Leverantören informera Kunden innan behandlingen sker, om inte lagen förbjuder det.
4.2 Leverantören ska utan dröjsmål informera Kunden om Leverantören anser att en instruktion strider mot Dataskyddslagstiftningen. Leverantören får avvakta med att utföra instruktionen tills Kunden har bekräftat eller ändrat den.
4.3 Leverantören får inte använda Kundens personuppgifter för egna ändamål, sälja dem eller kombinera dem med uppgifter från andra källor, utom i den utsträckning Dataskyddslagstiftningen tillåter det för Leverantörens egna rättsliga skyldigheter.