Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal (DPA) kompletterar tjänstavtalet mellan Nexion och kunden och uppfyller GDPR artikel 28. Kunden är registeransvarig och Nexion är personuppgiftsbiträde. Biträdet behandlar personuppgifter endast enligt registeransvariges dokumenterade, skriftliga instruktioner.

Behandlingen avser hantering, support, övervakning, backup, informationssäkerhet och avtalade projekt i kundens IT-miljö. Data kan inkludera användarnamn, e-post, arbetsgivare, enhetsdata, loggar och tekniska identifierare.

Behandlingen börjar vid igångsättning och slutar när tjänsten avslutats och återlämnande eller radering genomförts (se punkt 8).

Nexion säkerställer att personal behandlar data endast enligt instruktioner och är bundna av lämplig sekretess.

Nexion tillämpar tekniska och organisatoriska åtgärder enligt risk (GDPR art. 32), såsom åtkomsthantering, MFA i adminvägar, uppdateringar, backup och loggning.

Nexion bistår registeransvarig med registrerades rättigheter och GDPR art. 32–36 inom rimlig omfattning.

Nexion använder underbiträden för att leverera tjänsten. Aktuell lista publiceras på webbplatsen.

Registeransvarig har 30 kalenderdagar att invända mot nytt underbiträde från meddelandet. Vid invändning förhandlar parterna; om ingen lösning nås kan registeransvarig säga upp den del av tjänsten som beror på underbiträdet.

Hanterade personuppgifter behandlas primärt inom EU/EES eller leverantörens EU-datacenter när det är tekniskt möjligt.

Om underbiträde behandlar hanterade personuppgifter utanför EU/EES (t.ex. säkerhets- eller RMM-telemetri) sker det enligt GDPR art. 46 (t.ex. SCC) eller annan laglig grund. Biträdet informerar registeransvarig om väsentliga ändringar i överföringsgrund.

Biträdet meddelar registeransvarig om dataintrång skriftligen inom 72 timmar från upptäckt när meddelande är rimligt möjligt. Meddelandet beskriver intrånget, påverkan och rekommenderade åtgärder.

Biträdet dokumenterar intrång och bistår registeransvarig med myndighets- och registreringsmeddelanden.

Registeransvarig kan revidera biträdet en gång per kalenderår eller begära oberoende revisors rapport (t.ex. certifiering eller SOC) när rimligt tillgänglig.

Revision meddelas i förväg, utan att störa tjänsten, med bibehållen sekretess. Biträdet kan debitera rimliga revisionkostnader om revision överstiger normal dokumentation.

Vid avtalets slut återlämnar biträdet på begäran alla kopior av hanterade personuppgifter i strukturerat, vanligt format eller raderar säkert inom 30 kalenderdagar från tjänstens slut.

Laglaga lagringsskyldigheter (t.ex. bokföring) tillåter nödvändig lagring i separat, begränsat arkiv.

Registeransvarig ansvarar för laglighet, laglig grund, information till registrerade och instruktioner till biträdet.

Registeransvarig upprätthåller vid behov eget behandlingsregister (GDPR art. 30) och ger biträdet nödvändiga åtkomster och information.

DPA gäller under tjänstavtalets giltighet. Ändringar följer tjänstavtalets ändrings- och uppsägningslogik. Tillämplig lag och tvister följer leveransvillkoren (Västra Nylands tingsrätt, finsk lag).