Personuppgiftsbiträdesavtal för kobbi

Begreppen Behandling, Personuppgift, Personuppgiftsansvarig, Personuppgiftsbiträde, Personuppgiftsincident, Registrerad och Tredje land har i detta PUB-avtal den betydelse som anges i artikel 4 i Dataskyddsförordningen.

Dataskyddslagstiftning — Dataskyddsförordningen samt de svenska författningar som kompletterar den, däribland lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Instruktion — den dokumenterade instruktion som den Personuppgiftsansvarige lämnar om Behandlingen, i detta PUB-avtal Bilaga 1 med senare tillägg enligt punkt 7.3.

Logg och Loggning — den registrering som sker av åtkomst till och åtgärder med Personuppgifterna, samt själva registreringsåtgärden.

Underbiträde — ett personuppgiftsbiträde som Personuppgiftsbiträdet anlitar för att utföra delar av Behandlingen för den Personuppgiftsansvariges räkning.

Tjänsten — den av Personuppgiftsbiträdet tillhandahållna tjänsten kobbi, en AI-assistent som besvarar meddelanden i den Personuppgiftsansvariges kanaler (WhatsApp, Instagram DM och webbchatt) och som kan slå upp uppgifter om katalog, lager, order och returer.

Slutkund — fysisk person som skriver till den Personuppgiftsansvariges kobbi-assistent.

3.1 Med detta PUB-avtal jämte Instruktioner och förteckningen över Underbiträden reglerar den Personuppgiftsansvarige Personuppgiftsbiträdets Behandling av Personuppgifter åt den Personuppgiftsansvarige. Syftet är att säkerställa den Registrerades fri- och rättigheter vid Behandlingen, i enlighet med artikel 28.3 i Dataskyddsförordningen.

3.2 Huvudavtal enligt detta PUB-avtal är Kundavtal för kobbi mellan parterna.

• Kundavtal för kobbi

3.3 För det fall något av det som stadgas i avsnitt 1, punkt 3.2, avsnitt 15 eller 16, punkt 17.6, avsnitt 18–20 eller 22 i PUB-avtalet regleras på annat sätt i Huvudavtalet, ska Huvudavtalets reglering ha företräde.

4.1 Den Personuppgiftsansvarige utser härmed Personuppgiftsbiträdet att utföra Behandlingen för den Personuppgiftsansvariges räkning enligt vad som stadgas i detta PUB-avtal.

4.2 Den Personuppgiftsansvarige ska ge skriftliga Instruktioner till Personuppgiftsbiträdet om hur det ska utföra Behandlingen. Instruktionen framgår av Bilaga 1.

4.3 Personuppgiftsbiträdet får endast utföra Behandlingen i enlighet med PUB-avtalet och vid var tid gällande Instruktioner.

5.1 Den Personuppgiftsansvarige ansvarar för att det vid var tid finns laglig grund för Behandlingen och för att utforma korrekta Instruktioner.

5.2 Den Personuppgiftsansvarige ska utan onödigt dröjsmål informera Personuppgiftsbiträdet om förändringar i Behandlingen vilka påverkar Personuppgiftsbiträdets skyldigheter enligt Dataskyddslagstiftningen.

5.3 Den Personuppgiftsansvarige ansvarar för att informera Registrerade om Behandlingen och för att tillvarata Registrerades rättigheter.

5.4 Den Personuppgiftsansvarige ansvarar för att inte föra in Personuppgifter i Tjänsten som går utöver vad som anges i Bilaga 1, punkt 2. Särskilt gäller att Tjänsten inte är avsedd för behandling av sådana särskilda kategorier av personuppgifter som avses i artikel 9 i Dataskyddsförordningen.

6.1 Personuppgiftsbiträdet förbinder sig att endast utföra Behandlingen i enlighet med PUB-avtalet och för de specifika ändamål som anges i Instruktioner samt att följa Dataskyddslagstiftningen.

6.2 Personuppgiftsbiträdet ska vidta åtgärder för att skydda Personuppgifterna mot alla slag av Behandlingar som inte är förenliga med PUB-avtalet, Instruktioner och Dataskyddslagstiftningen.

6.3 Personuppgiftsbiträdet åtar sig att säkerställa att samtliga fysiska personer som arbetar under dess ledning följer PUB-avtalet och Instruktioner.

6.4 Personuppgiftsbiträdet ska på begäran från den Personuppgiftsansvarige bistå denne med att säkerställa att skyldigheterna enligt artikel 32–36 i Dataskyddsförordningen fullgörs och svara på begäran om utövande av den Registrerades rättigheter i enlighet med Dataskyddsförordningen kapitel III, med beaktande av typen av Behandling och den information som Personuppgiftsbiträdet har att tillgå.

6.5 För det fall att Personuppgiftsbiträdet finner att Instruktioner är otydliga, i strid med Dataskyddslagstiftningen eller saknas, ska Personuppgiftsbiträdet utan dröjsmål informera den Personuppgiftsansvarige, tillfälligt upphöra med Behandlingen och invänta nya Instruktioner, om inte parterna kommer överens om annat.

6.6 För det fall att den Personuppgiftsansvarige förser Personuppgiftsbiträdet med nya eller ändrade Instruktioner ska Personuppgiftsbiträdet, utan onödigt dröjsmål från mottagandet, meddela den Personuppgiftsansvarige huruvida genomförandet av de nya Instruktionerna föranleder förändrade kostnader för Personuppgiftsbiträdet.

6.7 Tjänsten är ett AI-system. Personuppgiftsbiträdet säkerställer att slutanvändare informeras om att de interagerar med ett AI-system, i enlighet med artikel 50 i förordning (EU) 2024/1689 (AI-förordningen). Denna information kan inte stängas av av den Personuppgiftsansvarige.

7.1 Personuppgiftsbiträdet ska vidta alla lämpliga tekniska och organisatoriska säkerhetsåtgärder som krävs enligt Dataskyddslagstiftningen för att förhindra Personuppgiftsincidenter.

7.2 Personuppgiftsbiträdet ska fortlöpande säkerställa att den tekniska och organisatoriska säkerheten i samband med Behandlingen medför en lämplig nivå av konfidentialitet, integritet, tillgänglighet och motståndskraft.

7.3 Eventuella tillkommande eller ändrade krav på skyddsåtgärder från den Personuppgiftsansvarige, efter parternas tecknande av PUB-avtalet, ska betraktas som nya Instruktioner enligt PUB-avtalet.

7.4 Personuppgiftsbiträdet ska genom behörighetskontrollsystem endast ge åtkomst till Personuppgifterna för sådana fysiska personer som arbetar under Personuppgiftsbiträdets ledning och som behöver åtkomsten för att kunna utföra sina arbetsuppgifter. Åtkomst loggas.

7.5 Personuppgiftsbiträdet åtar sig att kontinuerligt Logga åtkomst till Personuppgifterna. Loggar gallras enligt vad som anges i Bilaga 1, punkt 6. Parterna är överens om att åtkomstloggar och innehållsloggar har olika gallringstider: innehållsloggar gallras kort för att uppfylla artikel 5.1 e i Dataskyddsförordningen, medan åtkomstloggar kan bevaras längre eftersom de inte innehåller meddelandeinnehåll.

7.6 Känsliga identifierare, däribland personnummer, maskeras innan de når Personuppgiftsbiträdets loggar eller felövervakning.

8.1 Personuppgiftsbiträdet och samtliga fysiska personer som arbetar under dess ledning ska vid Behandlingen iaktta såväl sekretess som tystnadsplikt. Personuppgifterna får inte nyttjas eller spridas för andra ändamål, varken direkt eller indirekt, såvida inte annat avtalats.

8.2 Personuppgiftsbiträdet ska tillse att samtliga fysiska personer som arbetar under dess ledning, vilka deltar i Behandlingen, är bundna av sekretessförbindelse avseende Behandlingen. Personuppgiftsbiträdet åtar sig även att tillse att det finns sekretessavtal med Underbiträdet.

8.3 Personuppgiftsbiträdet ska skyndsamt underrätta den Personuppgiftsansvarige om eventuella kontakter med tillsynsmyndighet avseende Behandlingen.

8.4 Om den Registrerade, tillsynsmyndighet eller tredje man begär information från Personuppgiftsbiträdet vilken rör Behandlingen, ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige om saken.

8.5 Personuppgifterna används inte för träning av AI-modeller. Personuppgifter som Behandlas åt den Personuppgiftsansvarige används inte, varken av Personuppgiftsbiträdet eller av Underbiträde, för att träna, finjustera eller på annat sätt förbättra generella AI-modeller.

9.1 Personuppgiftsbiträdet ska utan onödigt dröjsmål, som en del av sina garantier enligt artikel 28.1 i Dataskyddsförordningen, på den Personuppgiftsansvariges begäran kunna redovisa vilka tekniska och organisatoriska säkerhetsåtgärder som används, i enlighet med artikel 28.3.h i Dataskyddsförordningen.

9.2 Personuppgiftsbiträdet ska minst en (1) gång om året granska säkerheten avseende Behandlingen genom en egenkontroll. Resultatet ska på begäran delges den Personuppgiftsansvarige.

9.3 Den Personuppgiftsansvarige äger rätt att, själv eller genom annan av denne utsedd tredje part (som inte får vara en konkurrent till Personuppgiftsbiträdet), följa upp att Personuppgiftsbiträdet uppfyller PUB-avtalets, Instruktionernas och Dataskyddslagstiftningens krav.

9.4 Personuppgiftsbiträdet äger, alternativt till punkterna 9.2–9.3, rätt att erbjuda andra tillvägagångssätt för granskning, exempelvis granskning genomförd av oberoende tredje part.

9.5 Personuppgiftsbiträdet ska bereda tillsynsmyndighet möjlighet att göra tillsyn enligt myndighetens begäran.

9.6 Personuppgiftsbiträdet ska tillförsäkra den Personuppgiftsansvarige rättigheter gentemot Underbiträdet vilka motsvarar den Personuppgiftsansvariges samtliga rättigheter gentemot Personuppgiftsbiträdet enligt avsnitt 9.

10.1 För det fall den Personuppgiftsansvarige begärt rättelse eller radering på grund av Personuppgiftsbiträdets felaktiga Behandling ska Personuppgiftsbiträdet vidta lämplig åtgärd utan onödigt dröjsmål, senast inom trettio (30) dagar, från det att Personuppgiftsbiträdet mottagit erforderlig information.

10.1.1 Om den Personuppgiftsansvarige i sin begäran anger att åtgärden behövs för att den Personuppgiftsansvarige ska kunna besvara en Registrerads begäran inom den frist som följer av artikel 12.3 i Dataskyddsförordningen, ska Personuppgiftsbiträdet vidta åtgärden inom tio (10) arbetsdagar.

10.2 Om tekniska och organisatoriska åtgärder vidtas av Personuppgiftsbiträdet i Behandlingen, vilka kan påverka Behandlingen, ska Personuppgiftsbiträdet skriftligt informera den Personuppgiftsansvarige i god tid innan åtgärderna vidtas.

11.1 Personuppgiftsbiträdet ska ha förmåga att återställa tillgängligheten och tillgången till Personuppgifterna i rimlig tid vid en fysisk eller teknisk incident enligt artikel 32.1.c i Dataskyddsförordningen.

11.2 Personuppgiftsbiträdet åtar sig att bistå den Personuppgiftsansvarige med att fullgöra dennes skyldigheter vid en Personuppgiftsincident.

11.3 Vid Personuppgiftsincident, vilken Personuppgiftsbiträdet fått vetskap om, ska Personuppgiftsbiträdet utan onödigt dröjsmål och senast inom fyrtioåtta (48) timmar från det att Personuppgiftsbiträdet fick vetskap om incidenten skriftligen underrätta den Personuppgiftsansvarige om händelsen. Underrättelsen skickas till den kontaktperson som anges i avsnitt 1.

Beskrivningen ska redogöra för:

• a) Personuppgiftsincidentens art och, om möjligt, de kategorier och antalet Registrerade som berörs samt kategorier och antalet personuppgiftsposter som berörs,
• b) de sannolika konsekvenserna av Personuppgiftsincidenten, och
• c) åtgärder som har vidtagits eller föreslagits samt åtgärder för att mildra Personuppgiftsincidentens potentiella negativa effekter.

11.4 Om det inte är möjligt att tillhandahålla hela beskrivningen samtidigt får beskrivningen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.

12.1 Personuppgiftsbiträdet äger rätt att anlita den eller de Underbiträden som framgår av bilagd förteckning över Underbiträden, Bilaga 2.

12.2 Personuppgiftsbiträdet åtar sig att teckna ett skriftligt avtal med Underbiträdet som ålägger Underbiträdet samma skyldigheter i fråga om dataskydd som åläggs Personuppgiftsbiträdet i detta PUB-avtal.

12.3 Personuppgiftsbiträdet ska i avtalet med Underbiträdet säkerställa att den Personuppgiftsansvarige har rätt att säga upp Underbiträdet och instruera Underbiträdet att radera eller återlämna Personuppgifterna om Personuppgiftsbiträdet har upphört att existera eller hamnat på obestånd.

12.4 Personuppgiftsbiträdet ansvarar fullt ut för Underbiträdets Behandling gentemot den Personuppgiftsansvarige.

12.5 När Personuppgiftsbiträdet avser att anlita ett nytt eller ersätta ett befintligt Underbiträde ska Personuppgiftsbiträdet skriftligen meddela den Personuppgiftsansvarige om

• a) Underbiträdets namn, organisationsnummer och säte (adress och land),
• b) vilken typ av uppgifter och kategorier av Registrerade som behandlas, och
• c) var Personuppgifterna ska behandlas.

12.6 Den Personuppgiftsansvarige äger rätt att inom trettio (30) dagar från dag för meddelande enligt punkt 12.5 invända mot Personuppgiftsbiträdets anlitande av ett nytt Underbiträde och att, med anledning av sådan invändning, säga upp detta PUB-avtal i enlighet med punkt 16.4.

12.7 Personuppgiftsbiträdet ska vid var tid föra en korrekt och uppdaterad förteckning över Underbiträden och göra den tillgänglig för den Personuppgiftsansvarige. Av förteckningen ska särskilt framgå i vilket land Underbiträdet behandlar Personuppgifterna och vilka typer av Behandlingar som Underbiträdet utför.

12.8 När Personuppgiftsbiträdet slutar använda ett Underbiträde ska Personuppgiftsbiträdet skriftligen meddela den Personuppgiftsansvarige om detta.

13.1 Personuppgiftsbiträdet behandlar och lagrar Personuppgifterna inom EU/EES, med undantag för de överföringar som uttryckligen anges i Bilaga 1, punkt 7 och i Bilaga 2. Den Personuppgiftsansvarige lämnar genom godkännandet av detta PUB-avtal Instruktion om dessa överföringar.

13.2 Personuppgiftsbiträdet äger i övrigt endast rätt att överföra Personuppgifter till Tredje land för Behandling om den Personuppgiftsansvarige på förhand skriftligen godkänt sådan överföring och utfärdat Instruktioner för detta ändamål.

13.3 Överföring till Tredje land får endast ske om den är förenlig med Dataskyddslagstiftningen och uppfyller de krav som ställs i PUB-avtalet och Instruktioner.

14.1 Vid ersättning för skada i samband med Behandling som ska utgå till den Registrerade på grund av överträdelse av bestämmelse i PUB-avtalet, Instruktioner och/eller tillämplig bestämmelse i Dataskyddslagstiftningen ska artikel 82 i Dataskyddsförordningen tillämpas.

14.2 Sanktionsavgifter enligt artikel 83 i Dataskyddsförordningen, eller 6 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, ska bäras av den av PUB-avtalets parter som påförts en sådan avgift.

14.3 Om endera part får kännedom om omständighet som kan leda till skada för motparten ska parten utan onödigt dröjsmål informera motparten och aktivt arbeta tillsammans med motparten för att förhindra och minimera sådan skada.

14.4 Oaktat vad som sägs i Huvudavtalet gäller punkterna 14.1 och 14.2 före andra regler om fördelning mellan parterna av krav sinsemellan såvitt avser Behandlingen.

14.5 Förhållandet till Huvudavtalets ansvarsbegränsning. Utöver vad som följer av punkterna 14.1 och 14.2 gäller Huvudavtalets punkt 10.1 (ansvarstak) och punkt 10.2 (indirekt skada) även för krav mellan parterna som grundas på detta PUB-avtal. Begränsningarna gäller dock inte

• a) ersättning som enligt artikel 82 i Dataskyddsförordningen ska utgå direkt till en Registrerad, eller
• b) sanktionsavgifter enligt artikel 83 i Dataskyddsförordningen eller enligt 6 kap. 2 § lagen (2018:218), vilka bärs enligt punkt 14.2.

15.1 PUB-avtalet gäller från och med den tidpunkt det har godkänts av båda parter och tillsvidare. Parterna äger ömsesidig rätt att säga upp PUB-avtalet att upphöra med trettio (30) dagars varsel.

15.2 PUB-avtalet upphör dock aldrig att gälla före Huvudavtalet. Så länge Personuppgiftsbiträdet behandlar Personuppgifter åt den Personuppgiftsansvarige enligt Huvudavtalet gäller detta PUB-avtal. Sägs PUB-avtalet upp enligt punkt 15.1 eller punkt 16.4 upphör även Huvudavtalet vid samma tidpunkt, och avgift som avser tid därefter återbetalas till den Personuppgiftsansvarige.

16.1 Endera part äger rätt att påkalla omförhandling av PUB-avtalet om motpartens ägarförhållanden ändras väsentligt eller om tillämplig lagstiftning, eller tolkningen av den, ändras på ett för Behandlingen avgörande sätt.

16.2 Tillägg till, och ändringar i, PUB-avtalet ska vara skriftliga och godkända av båda parter.

16.3 När någon av parterna får kännedom om att motparten agerar i strid med PUB-avtalet och/eller Instruktioner ska parten utan dröjsmål meddela motparten om agerandet.

16.4 Om den Personuppgiftsansvarige invänder mot Personuppgiftsbiträdets anlitande av ett nytt underbiträde enligt punkt 12.6, har den Personuppgiftsansvarige rätt att säga upp PUB-avtalet att upphöra med omedelbar verkan.

17.1 Efter uppsägning av PUB-avtalet ska Personuppgiftsbiträdet utan onödigt dröjsmål, beroende på vad den Personuppgiftsansvarige väljer, antingen radera och intyga för den Personuppgiftsansvarige att det är utfört, eller återlämna

• a) alla Personuppgifter som Behandlats för den Personuppgiftsansvariges räkning, och
• b) all tillhörande information såsom Loggar, Instruktioner, systemlösningar, beskrivningar och andra handlingar.

17.1.1 Radering är standardalternativet. Begär den Personuppgiftsansvarige inget annat raderas uppgifterna enligt punkt 17.1, och radering sker direkt när kontot avslutas. Vill den Personuppgiftsansvarige i stället få uppgifterna återlämnade ska en sådan begäran framställas skriftligen senast samtidigt med uppsägningen; därefter kan uppgifterna redan vara raderade och går då inte att återskapa.

17.1.2 Personuppgiftsbiträdet lämnar på begäran ett skriftligt intyg om att radering enligt punkt 17.1 har utförts.

17.2 I samband med återlämning ska Personuppgiftsbiträdet även radera befintliga kopior av Personuppgifter och tillhörande information.

17.3 Skyldigheten att radera gäller inte om lagring krävs enligt unionsrätten eller nationell rätt. Följande uppgifter sparas därför även efter PUB-avtalets upphörande:

17.4 Om Personuppgifter eller tillhörande information återlämnas ska det ske i ett allmänt använt och standardiserat format.

17.5 Till dess att uppgifterna raderas eller återlämnas ska Personuppgiftsbiträdet säkerställa efterlevnaden av PUB-avtalet.

17.6 Återlämning eller radering enligt punkt 17.1 ska vara utförd senast trettio (30) kalenderdagar räknat från tidpunkten för uppsägningen av PUB-avtalet, om inte annat anges i Instruktionen. Behandling av Personuppgifter som Personuppgiftsbiträdet utför därefter är att betrakta som otillåten Behandling.

17.7 Bestämmelser om sekretess och tystnadsplikt i avsnitt 8 ska fortsätta gälla även om PUB-avtalet i övrigt upphör att gälla.

18.1 Meddelanden om PUB-avtalet och dess administration, inklusive uppsägning, ska skickas via e-post till respektive parts kontaktperson för PUB-avtalet.

18.2 Meddelanden om parternas samarbete om dataskydd ska skickas via e-post till respektive parts kontaktperson för parternas samarbete om dataskydd.

18.3 Ett meddelande ska anses ha kommit fram till mottagaren senast en (1) arbetsdag efter att meddelandet har skickats.

19.1 Parterna ska utse var sin kontaktperson för PUB-avtalet.

19.2 Parterna ska utse var sin kontaktperson för parternas samarbete om dataskydd.

20.1 Varje part ansvarar för att de uppgifter som anges i avsnitt 1 alltid är aktuella och korrekta.

20.2 Ändring av uppgifter i avsnitt 1 ska meddelas motparten enligt punkt 18.1.

21.1 Vid tolkning och tillämpning av PUB-avtalet gäller svensk rätt med undantag för lagvalsreglerna. Tvister med anledning av PUB-avtalet ska avgöras av behörig svensk domstol.

22.1 Detta PUB-avtal godkänns i Tjänsten. Vid godkännandet registreras vilken version som godkändes, av vilken användare och vid vilken tidpunkt. PUB-avtalet tillhandahålls därutöver på begäran i digitalt format för elektroniskt undertecknande eller i pappersformat för egenhändigt undertecknande.

1 a. Föremålet för Personuppgiftsbiträdets Behandling är att tillhandahålla tjänsten kobbi — en AI-assistent som besvarar meddelanden i den Personuppgiftsansvariges kanaler (WhatsApp, Instagram DM och webbchatt) och som kan slå upp uppgifter om katalog, lager, order och returer — samt att tillhandahålla support avseende tjänsten.

1 b. Ändamålet med Behandlingen är att den Personuppgiftsansvarige ska kunna besvara meddelanden från sina slutkunder automatiserat, ge dem information om produkter, lagerstatus, order och returer, samt att den Personuppgiftsansvarige ska kunna följa upp och kvalitetssäkra assistentens svar.

1 c. Behandlingens art — följande behandlingsåtgärder utförs: insamling, registrering, strukturering, lagring, läsning, användning, automatiserad analys (inbäddning och modellanrop), utlämning genom överföring till Underbiträde, begränsning och radering.

2. Behandlingen omfattar följande typer av Personuppgifter:

• Innehållet i meddelanden mellan slutkunden och den Personuppgiftsansvariges assistent — text, bild, ljud och bifogade filer.
• Kanalidentifierare — telefonnummer på WhatsApp, Instagram-ID och profilnamn.
• Handels- och orderuppgifter som den Personuppgiftsansvarige har gjort tillgängliga för assistenten, till exempel ordernummer, leveransadress och returstatus.

Tjänsten efterfrågar aldrig personnummer. Om ett personnummer ändå skickas in i ett meddelande maskeras det innan uppgiften når Personuppgiftsbiträdets loggar eller felövervakning. Tjänsten är inte avsedd för särskilda kategorier av personuppgifter enligt artikel 9 i Dataskyddsförordningen.

3. Behandlingen omfattar följande kategorier av Registrerade:

• Slutkunder hos den Personuppgiftsansvarige — fysiska personer som skriver till den Personuppgiftsansvariges kobbi-assistent via WhatsApp, Instagram DM eller webbchatt.
• Medarbetare och användare hos den Personuppgiftsansvarige som har konto i tjänstens panel.

4. Särskilda hanteringskrav.

• 4.1 Personuppgiftsbiträdet ska tillämpa de lagringstider som anges i punkt 6 nedan.
• 4.2 Personuppgiftsbiträdet ska iaktta dataminimering vid hämtning av uppgifter från kanalerna, särskilt avseende Instagram DM där EU-datalagring inte kan väljas.
• 4.3 Personuppgifterna används inte för träning eller finjustering av AI-modeller (se PUB-avtalet punkt 8.5).

5. Särskilda tekniska och organisatoriska säkerhetsåtgärder. Personuppgiftsbiträdet vidtar följande åtgärder:

6. Loggning och lagringstider.

Annan lagringstid för konversationer och meddelanden kan avtalas skriftligen mellan parterna.

7.1 Behandlingsplatser inom EU/EES: drift och lagring (databas, filer) sker i Stockholm, Sverige (Adminor AB). För WhatsApp Business Platform är EU-datalagring vald (Tyskland).

7.2 Kända begränsningar i EU-datalagringen för WhatsApp: under själva behandlingen av ett meddelande kan innehållet ligga i internationella datacenter i upp till 60 minuter, och inställningen omfattar inte adressboksuppgifter.

7.3 Överföringar till Tredje land som den Personuppgiftsansvarige instruerar om genom godkännandet av detta PUB-avtal:

Om den Personuppgiftsansvarige inte har gett anvisningar om överföring av Personuppgifter till ett Tredje land i denna Instruktion, har Personuppgiftsbiträdet inte rätt att göra en sådan överföring.

7.4 Överföringskonsekvensbedömning. För varje överföring som grundas på artikel 46.2 c ska Personuppgiftsbiträdet upprätta och vid var tid hålla aktuell en överföringskonsekvensbedömning (transfer impact assessment) i enlighet med Europeiska dataskyddsstyrelsens rekommendationer 01/2020 och EU-domstolens dom i mål C-311/18 (Schrems II). Bedömningen tillhandahålls den Personuppgiftsansvarige på begäran.

8. Behandlingens varaktighet. Behandlingen pågår så länge PUB-avtalet gäller. PUB-avtalets varaktighet framgår av punkt 15. Efter PUB-avtalets upphörande gäller punkt 17.

9.1 Övriga instruktioner. Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran lämna den information som behövs för att den Personuppgiftsansvarige ska kunna fullgöra sin registerföringsskyldighet enligt artikel 30.2 i Dataskyddsförordningen.

Den Personuppgiftsansvarige godkänner att Personuppgiftsbiträdet anlitar nedanstående Underbiträden för Behandling av Personuppgifter.