Personuppgiftsbiträdesavtal

Bilaga 1
GIRAFFE360:S PERSONUPPGIFTSBITRÄDESAVTAL (PUB-AVTAL)

1. Bakgrund

1. 1.1 Detta Personuppgiftsbiträdesavtal och dess bilagor (”PUB-avtalet”) gäller för Kunder som är verksamma i länder inom Europeiska ekonomiska samarbetsområdet (EES) och i Förenade kungariket (Storbritannien) och återspeglar Giraffe360:s och Kundens överenskommelse avseende Giraffe360:s behandling av Kunddata i egenskap av personuppgiftsbiträde för Kundens räkning, som ska agera personuppgiftsansvarig.
2. 1.2 Detta PUB-avtal införlivas i och utgör en del av Giraffe360:s Användarvillkor mellan Kunden och Giraffe360 (”Avtalet”). Vid motstridighet mellan någon av bestämmelserna i detta PUB-avtal och bestämmelserna i Avtalet ska bestämmelserna i detta PUB-avtal ha företräde.

2. Definitioner

Om inte annat anges nedan ska varje term med inledande versal i detta PUB-avtal ha den betydelse som anges i Avtalet, och följande termer med inledande versal som används i detta PUB-avtal ska definieras enligt följande:

”Kunddata” avser alla Personuppgifter som ingår i Giraffe360-innehållet och allt annat innehåll eller alla andra data som Kunden gör tillgängliga för Giraffe360 och som lagras av Giraffe360 i samband med tillhandahållandet av Giraffe360-tjänsten, inklusive Fastighetsdata, Kundprofildata och Data om Kundens kunder enligt närmare beskrivning i punkt 3.1 i detta PUB-avtal.

”Personuppgiftsansvarig” avser en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för Behandlingen av Personuppgifter. Vid tillämpningen av detta PUB-avtal är Kunden Personuppgiftsansvarig.

”Dataskyddslagstiftning” avser GDPR, all nationell genomförande- eller kompletterande lagstiftning och all annan tillämplig lagstiftning som skyddar fysiska personers grundläggande rättigheter och friheter och deras rätt till integritet i samband med behandling av Kunddata.

”Registrerad” avser den enskilda person som Personuppgifterna avser.

”Europeiska ekonomiska samarbetsområdet” eller ”EES” avser Europeiska unionens medlemsstater tillsammans med Island, Norge och Liechtenstein.

”GDPR” avser Europaparlamentets och rådets förordning (EU) 2016/679 (EU:s allmänna dataskyddsförordning) och, i förekommande fall, ”UK GDPR” enligt definitionen i The Data Protection, Privacy and Electronic Communications (Amendment Etc.) (EU Exit) Regulations 2019.

”Instruktioner” avser de skriftliga, dokumenterade instruktioner som Kunden lämnar till Giraffe360 och som anvisar Giraffe360 att utföra en specifik eller allmän åtgärd avseende Kunddata.

”Underbiträde” avser varje Personuppgiftsbiträde som anlitas av Giraffe360 och som Behandlar Giraffe360:s Kunddata.

”Personuppgifter” avser varje upplysning som avser en identifierad eller identifierbar fysisk person, enligt definitionen i relevant Dataskyddslagstiftning.

”Personuppgiftsincident” avser oavsiktlig eller olaglig förstöring, förlust, ändring eller korruption av, eller obehörigt röjande av eller obehörig åtkomst till, Kunddata, enligt definitionen i relevant Dataskyddslagstiftning.

”Behandling” avser en åtgärd eller kombination av åtgärder beträffande Personuppgifter, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring av Personuppgifter. Termerna ”Behandla”, ”Behandlar” och ”Behandlad” ska tolkas i enlighet härmed.

”Personuppgiftsbiträde” avser en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som Behandlar Personuppgifter för den Personuppgiftsansvariges räkning. Vid tillämpningen av detta PUB-avtal är Giraffe360 Personuppgiftsbiträde.

3. Behandling av personuppgifter

1. 3.1 Giraffe360 behandlar följande kategorier av Personuppgifter avseende följande Registrerade för de ändamål som beskrivs nedan:
1. 1. Fastighetsdata: Detta omfattar bilder, videor, punktmoln, virtuella rundturer, planritningar, GPS-positionsdata, information som tillhandahålls på landningssidan för fastighetsvisning samt annan relaterad fastighetsinformation som samlas in av Kunden, extraheras från Giraffe360-kameran eller tillhandahålls av Kunden till följd av Kundens användning av Giraffe360-tjänsten. Även om denna information normalt inte identifierar någon fysisk person kan den i sällsynta fall identifiera fastighetsägare, personer vars uppgifter fångas under en Skanning, eller Kunden. Det är Kundens ansvar att säkerställa att Upptagningarna inte innehåller några Förbjudna personuppgifter enligt definitionen i Användarvillkoren. Fastighetsdata behandlas för att skapa Giraffe360-innehåll.
   2. Kundprofildata: Detta omfattar Personuppgifter om Kunden, dess företrädare eller anställda, såsom förnamn, efternamn, e-postadresser, telefonnummer, foton, slogans och hyperlänkar till konton i sociala medier som Kunden tillhandahåller via Instrumentpanelen under sin användning av Giraffe360-tjänsten. Dessa uppgifter Behandlas för att möjliggöra följande: skapande av profiler i Instrumentpanelen för Kunden, dess företrädare eller anställda; åtkomst till Giraffe360-innehåll i Instrumentpanelen; delning av Giraffe360-innehåll samt tillhandahållande av information om Kunden, dess företrädare eller anställda via Giraffe360-tjänsten.
   3. Data om Kundens kunder: Detta omfattar personuppgifter om Kundens kunder, såsom potentiella fastighetsköpares eller hyresgästers förnamn, efternamn, e-postadresser, telefonnummer och meddelanden. Dessa uppgifter görs tillgängliga för Kunden via Instrumentpanelen. De samlas in när Kunden aktiverar funktionen Leads, som gör det möjligt för Kundens kunder att lämna sina kontaktuppgifter så att Kunden kan kontakta dem. Kunden kan inaktivera denna funktion i Instrumentpanelen.
2. 3.2 Kunddata överförs löpande i samband med tillhandahållandet av tjänsterna enligt vad som anges i Avtalet och detta PUB-avtal fram till Avtalets upphörande.

4. Kundens skyldigheter

1. 4.1 Kunden ansvarar för att uppfylla alla krav som gäller för Kunden enligt Dataskyddslagstiftningen avseende Kundens Behandling av Personuppgifter.
2. 4.2 Särskilt, men utan att det påverkar den allmänna tillämpningen av det föregående, bekräftar och godtar Kunden att Kunden ensam ansvarar för:
2. 1. Kunddatas riktighet, kvalitet och laglighet samt det sätt på vilket Kunden har inhämtat sådana uppgifter;
   2. att uppfylla alla nödvändiga krav på öppenhet och laglighet enligt Dataskyddslagstiftningen för insamling och användning av Kunddata, inklusive att lämna tillräcklig information, inhämta nödvändiga samtycken och tillstånd samt respektera val att avstå (särskilt vid Kundens användning för marknadsföringsändamål); och
   3. att säkerställa att Kunden har rätt att överföra Kunddata till, eller ge åtkomst till Kunddata för, Giraffe360 för Behandling i enlighet med villkoren i Avtalet (inklusive detta PUB-avtal).
3. 4.3 Kunden ska utan onödigt dröjsmål informera Giraffe360 om Kunden inte kan fullgöra sina skyldigheter enligt detta avsnitt eller Dataskyddslagstiftningen.
4. 4.4 Kunden ansvarar för att säkerställa att dess Instruktioner till Giraffe360 avseende Behandlingen av Kunddata är förenliga med tillämpliga lagar, inklusive Dataskyddslagstiftningen.
5. 4.5 Parterna är överens om att Avtalet (inklusive detta PUB-avtal), tillsammans med Kundens användning av Giraffe360-tjänsten i enlighet med Avtalet, utgör Kundens fullständiga Instruktioner till Giraffe360 avseende Giraffe360:s Behandling av Kunddata, varvid Kunden under Avtalets löptid får lämna ytterligare Instruktioner som är förenliga med Avtalet och med Giraffe360-tjänstens art och lagliga användning.
6. 4.6 Kunden ansvarar för att självständigt bedöma huruvida den datasäkerhet som tillhandahålls i Giraffe360-tjänsten på ett tillfredsställande sätt uppfyller Kundens skyldigheter enligt Dataskyddslagstiftningen. Kunden ansvarar även för sin säkra användning av Giraffe360-tjänsten.

5. Giraffe360:s skyldigheter

1. 5.1 Som Personuppgiftsbiträde kommer Giraffe360 endast att Behandla Kunddata för de ändamål som beskrivs i detta PUB-avtal eller som på annat sätt överenskommits inom ramen för Kundens lagliga Instruktioner, utom när och i den mån annat krävs enligt tillämplig lag, i vilket fall Giraffe360, i den mån tillämplig lag tillåter, ska informera Kunden om det rättsliga kravet innan dessa Kunddata Behandlas. Giraffe360 ansvarar inte för efterlevnaden av Dataskyddslagstiftning som är tillämplig på Kunden eller Kundens bransch och som inte är allmänt tillämplig på Giraffe360.
2. 5.2 Giraffe360 kommer att genomföra och upprätthålla lämpliga tekniska och organisatoriska åtgärder för att skydda Kunddata i enlighet med kraven i Dataskyddslagstiftningen (”Säkerhetsåtgärder”). Utan hinder av eventuella motstridiga bestämmelser får Giraffe360 efter eget gottfinnande ändra eller uppdatera Säkerhetsåtgärderna, förutsatt att sådan ändring eller uppdatering inte leder till en väsentlig försämring av det skydd som Säkerhetsåtgärderna ger.
3. 5.3 Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta Säkerhetsåtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt:
3. 1. pseudonymisering och kryptering av personuppgifter;
   2. lämpliga Säkerhetsåtgärder för att upprätthålla förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och tjänsterna;
   3. lämpliga Säkerhetsåtgärder för att upprätthålla förmågan att i rimlig tid återställa tillgängligheten och tillgången till Personuppgifter vid en fysisk eller teknisk incident;
   4. ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos Säkerhetsåtgärderna för att säkerställa Behandlingens säkerhet.
4. 5.4 Giraffe360 kommer att säkerställa att all personal som har behörighet att Behandla Kunddata för Giraffe360:s räkning omfattas av lämpliga tystnadsplikter avseende Kunddata.
5. 5.5 Inom 30 dagar från Avtalets upphörande kommer Giraffe360 att radera, eller efter Kundens val returnera, alla kopior av Kunddata som Giraffe360 har behandlat enligt detta PUB-avtal. Kunden ska meddela Giraffe360 sitt val inom 14 arbetsdagar från Avtalets upphörande. Denna frist om 30 dagar gäller utom när vi enligt tillämplig lag är skyldiga att behålla vissa av eller alla Kunddata.
6. 5.6 Giraffe360 får behålla och använda Fastighetsdata, både under och efter Avtalets upphörande, för maskininlärning, träning av artificiell intelligens och förbättring av tjänsten. Sådan Behandling kommer att utföras av Giraffe360 i egenskap av Personuppgiftsansvarig och i enlighet med Giraffe360:s Integritetspolicy.
7. 5.7 Giraffe360 får behålla Kunddata i den utsträckning Giraffe360 anser nödvändigt för att föra talan om eller försvara sig mot rättsliga anspråk, förutsatt att sådana Kunddata endast behålls i den omfattning och under den tid som krävs enligt tillämpliga lagar eller i avvaktan på att en fråga har lösts, och alltid förutsatt att Giraffe360 säkerställer konfidentialiteten för alla sådana Kunddata.

6. Underbiträden

1. 6.1 Kunden lämnar härmed Giraffe360 ett allmänt skriftligt tillstånd att anlita Underbiträden för att bistå vid tillhandahållandet av Giraffe360-tjänsten. Giraffe360 ska säkerställa att alla Underbiträden är bundna av avtalsförpliktelser som ger minst samma nivå av dataskydd som krävs enligt detta PUB-avtal och tillämplig Dataskyddslagstiftning. En aktuell förteckning över Underbiträden, inklusive deras namn, placering och ändamål, finns på Giraffe360:s webbplats (”Förteckning över underbiträden”).
2. 6.2 Giraffe360 förbehåller sig rätten att uppdatera Förteckningen över underbiträden vid behov. Eventuella tillägg till eller ersättningar i Förteckningen över underbiträden kommer att återges på webbplatsen minst 15 dagar innan det nya Underbiträdet ges behörighet att behandla Kunddata. Kunder uppmanas att regelbundet granska Förteckningen över underbiträden.
3. 6.3 Om en Kund på skälig grund invänder mot ett nytt Underbiträde på grund av berättigade farhågor avseende dataskydd, ska Kunden skriftligen underrätta Giraffe360 inom 15 dagar från det att uppdateringen publicerades. Efter att ha mottagit en invändning kommer Giraffe360 att diskutera Kundens farhågor och i god tro arbeta för att finna en lösning som båda parter kan godta. Om ingen invändning har mottagits inom underrättelseperioden om 15 dagar anses Kunden ha godtagit det uppdaterade Underbiträdet.
4. 6.4 Giraffe360 ska alltid förbli ansvarigt för att fullgöra sina skyldigheter enligt PUB-avtalet och ska vara ansvarigt gentemot Kunden för varje Underbiträdes handlingar och underlåtenheter som om de vore Giraffe360:s egna handlingar och underlåtenheter.

7. Internationella överföringar

1. 7.1 Giraffe360 ska inte överföra Kunddata till en mottagare i ett land eller territorium utanför EES eller Storbritannien, såvida inte:
1. 1. mottagaren, eller det land eller territorium där mottagaren behandlar eller får åtkomst till Kunddata, säkerställer en adekvat skyddsnivå för de registrerades rättigheter och friheter i samband med behandlingen av Kunddata, enligt vad som fastställts av Europeiska kommissionen; eller
   2. överföringen grundas på de standardavtalsklausuler (personuppgiftsbiträden) som godkänts genom kommissionens genomförandebeslut (EU) 2021/914, eller någon senare version därav, eller någon annan rättsligt erkänd överföringsmekanism.

8. Datasäkerhet, granskningar och säkerhetsunderrättelser

1. 8.1 Kunden får, efter skäligt varsel och vid skäliga tidpunkter, granska (antingen själv eller med hjälp av oberoende externa revisorer) Giraffe360:s efterlevnad av Säkerhetsåtgärderna, inklusive genom att genomföra granskningar av Giraffe360:s anläggningar för databehandling. Giraffe360 ska bistå med och bidra till granskningar som genomförs i enlighet med detta PUB-avtal, förutsatt att sådana granskningar inte genomförs mer än en gång per år.
2. 8.2 På Kundens begäran ska Giraffe360 göra all information tillgänglig som rimligen är nödvändig för att visa efterlevnaden av detta PUB-avtal och Dataskyddslagstiftningen.
3. 8.3 Om så krävs enligt artikel 28.3 h i GDPR ska Giraffe360 omedelbart underrätta Kunden om Giraffe360 anser att Kundens Instruktioner strider mot kraven i Dataskyddslagstiftningen eller andra lagar i EU, Storbritannien eller en medlemsstat i EES.
4. 8.4 Giraffe360 ska skriftligen och utan onödigt dröjsmål underrätta Kunden efter att ha fått kännedom om en Personuppgiftsincident som rör Kunddata och Behandling som utförs enligt detta PUB-avtal. Giraffe360 ska ge Kunden skäligt bistånd för att säkerställa efterlevnaden av tillämplig Dataskyddslagstiftning i samband med Personuppgiftsincidenten, inklusive stöd vid utredningar från myndigheter och anmälningar till tillsynsmyndigheter och/eller Registrerade.
5. 8.5 Vid rapportering av en Personuppgiftsincident kommer Giraffe360 att på ett tydligt och enkelt språk, som ett minimum och i den mån det är möjligt utifrån tillgänglig information, lämna: en förklaring av incidentens art, namn på och kontaktuppgifter till dataskyddsombudet (”DSO”) eller annan kontaktpunkt där ytterligare information kan erhållas, en beskrivning av de sannolika konsekvenserna av Personuppgiftsincidenten samt en beskrivning av de åtgärder som vidtagits eller föreslagits för att åtgärda Personuppgiftsincidenten, inklusive, när så är lämpligt, åtgärder som vidtagits för att mildra dess potentiella negativa effekter.

9. Begäranden om tillgång och de registrerades rättigheter

1. 9.1 Utom när annat krävs (eller när det är förbjudet) enligt tillämplig lag ska Giraffe360 underrätta Kunden om varje begäran som Giraffe360 mottar från en Registrerad, antingen direkt eller via ett Underbiträde, avseende dennes Personuppgifter som ingår i Kunddata och ska inte besvara den Registrerades begäran.
2. 9.2 Giraffe360 ska ge Kunden möjlighet att rätta, radera, blockera, få åtkomst till eller kopiera Kunddata i enlighet med, och i den mån det är möjligt med, Giraffe360-tjänstens funktionalitet.
3. 9.3 Giraffe360 ska underrätta Kunden om varje begäran om utlämnande av Kunddata från en myndighet, ett tillsynsorgan eller en brottsbekämpande myndighet (inklusive en dataskyddsmyndighet), om inte detta är förbjudet enligt lag eller ett rättsligt bindande beslut från ett sådant organ eller en sådan myndighet.
4. 9.4 I förekommande fall, med beaktande av Behandlingens art, och i den utsträckning som krävs enligt tillämplig Dataskyddslagstiftning, ska Giraffe360:
4. 1. göra alla skäliga ansträngningar för att bistå Kunden genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, så att Kunden kan fullgöra sin skyldighet att svara på begäran om utövande av de registrerades rättigheter enligt GDPR; och
   2. ge Kunden skäligt bistånd vid konsekvensbedömningar avseende dataskydd och vid förhandssamråd med Kundens tillsynsmyndighet, i samtliga fall endast i fråga om Behandling av Kunddata och med beaktande av den information som finns tillgänglig för Giraffe360.