Bakgrund

A Leeroy och Kunden har ingått ett uppdragsavtal (”Tjänsteavtalet”).

B Inom ramen för Tjänsteavtalet kommer Leeroy att Behandla Personuppgifter för vilka Kunden är Personuppgiftsansvarig. Leeroys Behandling av sådana Personuppgifter sker således för Kundens räkning och Leeroy agerar därmed som Personuppgiftsbiträde för nämnda Behandling. Detta Personuppgiftsbiträdesavtal re­glerar villkoren för hur Leeroy ska Behandla Personuppgifter för Kundens räkning.

C Vid konflikt mellan en bestämmelse i detta Personuppgiftsbiträdesavtal och en bestämmelse i Tjänsteavtalet har bestämmelserna i detta Personuppgiftsbiträdesavtal företräde i den utsträckning be­stämmelsen i detta Personuppgiftsbiträdesavtal föreskriver ett högre skydd för de Personupp­gifter som Behandlas.

1. Definitioner

I detta Personuppgiftsbiträdesavtal ska följande begrepp ha den betydelse som anges ne­dan:

”Avtalsdagen” betyder det ovan angivna datumet;

”Behandling”, ”Personuppgiftsansvarig”, ”Personuppgifter”, ”Personuppgiftsbiträde”, Personuppgiftsincident”, samt ”Registrerad” ska ha samma innebörd som i Europaparla­mentets och Rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska per­soner med avseende på behandling av personuppgifter och om det fria flödet av så­dana upp­gifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (”Data­skyddsförordningen”);

• ”Personuppgiftsbiträdesavtal” betyder detta Personuppgiftsbiträdesavtal jämte samtliga här­till hörande bilagor;

”Tillämplig Lagstiftning” betyder vid var tid gällande lagstiftning, förordningar och föreskrifter i EU och i relevanta medlemsstater som Personuppgiftsbiträdet och den Personuppgiftsansvarige omfattas av (inklusive men inte begränsat till Tillämplig Personuppgiftslagstiftning);

”Tillämplig Personuppgiftslagstiftning” betyder vid var tid gällande lagstiftning, för­ordningar och föreskrifter, inklusive föreskrifter och vägledningar som meddelats av berörda tillsynsmyndig­heter, avseende skydd för fysiska personers grundläggande rättigheter och friheter och särskilt rätt till skydd av deras Personuppgifter vid Behandling av Personuppgifter som är tillämplig på Personuppgiftsbiträdet och den Personuppgiftsansvarige, inklusive lagstiftning, förordningar och föreskrifter som genomför di­rektiv 95/46/EG och, från och med den 25 maj 2018, Dataskyddsförordningen; samt

”Tredje Land” betyder en stat som inte ingår i Europeiska unionen (EU) eller är ansluten till det Europeiska ekonomiska samarbetsområdet (EES).

Närhelst sammanhanget fordrar det ska singular inkludera plural, och vice versa, och varje pronomens genus ska inkludera samtliga genus.

2. Kundens skyldigheter

2.1           Kunden ska i egenskap av Personuppgiftsansvarig tillse att Tillämplig Personuppgiftslagstiftning efterlevs.

2.2           Kunden ska enligt Art. 30 (1) Dataskyddsförordningen tillhandahålla Personuppgiftsbiträdet register över de Behandlingar av Personuppgifter som krävs för att Personuppgiftsbiträdet ska kunna efterleva sina skyldigheter att upprätta register enligt Art. 30 (2) Dataskyddsförordningen.

2.3           Kunden ska utse ett dataskyddsombud och/eller en företrädare om så krävs enligt Tillämplig Personuppgiftslagstiftning samt i förekommande fall tillhandahålla Personuppgiftsbiträdet kontaktuppgifter till sådan person.

2.4           Genom att ingå detta Personuppgiftsbiträdesavtal bekräftar Kunden att de tekniska och organisatoriska säkerhetsåtgärder som framgår av Bilaga 2.2 har befunnits vara lämpliga och tillräckliga för att skydda de Personuppgifter som omfattas av detta Personuppgiftsbiträdesavtal samt att Personuppgiftsbiträdet därmed har gett tillräckliga garantier enligt Art. 28 (1) i Dataskyddsförordningen.

3. Instruktioner

3.1           Den Personuppgiftsansvarige instruerar Personuppgiftsbiträdet att endast behandla Personuppgifter för den Personuppgiftsansvariges räkning och enligt den Personuppgiftsansvariges instruktioner, vilka framgår av detta Personuppgiftsbiträdesavtal och Tjänsteavtalet. Den Personuppgiftsansvarige ansvarar för att lämnade instruktioner är i enlighet med Tillämplig Personuppgiftslagstiftning.

3.2           Om den Personuppgiftsansvarige lämnar instruktioner som går utöver vad som framgår av detta Personuppgiftsbiträdesavtal och Tjänsteavtalet ska följande gälla. För det fall implementering av åtgärder som krävs enligt instruktionerna resulterar i kostnader för Personuppgiftsbiträdet ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige därom samt tillhandahålla förklaring till varför åtgärderna medför kostnader. Personuppgiftsbiträdet ska vara skyldigt att implementera åtgärderna endast under förutsättning att den Personuppgiftsansvarige bekräftar att den Personuppgiftsansvarige ska stå kostnaderna för åtgärderna. Instruktionerna ska lämnas skriftligen, om det inte föreligger särskilda skäl som motiverar att instruktionerna lämnas muntligen, varvid den Personuppgiftsansvarige i så fall ska dokumentera och bekräfta instruktionerna skriftligen utan dröjsmål.

3.3           Personuppgiftsbiträdet ska meddela den Personuppgiftsansvarige ifall Personuppgiftsbiträdet anser att en av den Personuppgiftsansvarige lämnad instruktion strider mot Tillämplig Lagstiftning (”Utmanad instruktion”). Personuppgiftsbiträdet ska i förekommande fall inte vara skyldig att följa den Utmanade instruktionen om inte den Personuppgiftsansvarige alltjämt vidhåller och åtar sig ansvar för den Utmanade instruktionen. I så fall ska Personuppgiftsbiträdet vidta de av den Personuppgiftsansvarige begärda åtgärderna under förutsättning att åtgärderna inte rör (i) implementering av tekniska och organisatoriska åtgärder, (ii) Registrerades rättigheter, eller (iii) anlitande av Underbiträden. Personuppgiftsbiträdet har rätt att i händelse av oenighet söka vägledning från behörig dataskyddsmyndighet. Om sådan myndighet anser att föreslagna åtgärder är lagliga ska Personuppgiftsbiträdet genomföra desamma, varvid punkten 3.2 ska tillämpas såvitt avser kostnader för åtgärderna. Personuppgiftsbiträdets skyldighet att meddela den Personuppgiftsansvarige enligt första meningen i detta stycke gäller inte i den utsträckning som Personuppgiftsbiträdet är förhind­rad därtill en­ligt Tillämplig Lagstiftning.

4. Personuppgiftsbiträdets skyldigheter

4.1           Personuppgiftsbiträdet åtar sig att endast Behandla Personuppgifter i enlighet med den Personuppgiftsansvariges dokumenterade och till Personuppgiftsbiträdet meddelade instruktioner enligt detta Personuppgiftsbiträdesavtal och Tjänsteavtalet.

4.2           Oaktat vad som anges i punkten 4.1 ovan har Personuppgiftsbiträdet rätt att Behandla Personuppgifter i den utsträckning som det krävs för att Personuppgiftsbiträdet ska kunna uppfylla skyldigheter som åvilar Personuppgiftsbiträdet och som följer av från tid till annan Tillämplig Lagstiftning. Personuppgiftsbiträdet ska dock innan sådan Behand­ling ge­nomförs informera den Personuppgiftsansvarige om den rättsliga skyl­dig­heten, såvida inte Personuppgiftsbiträdet är förhind­rad en­ligt Tillämplig Lagstiftning att lämna sådan information.

4.3           Personuppgiftsbiträdet ska på den Personuppgiftsansvariges begäran bistå den Personuppgiftsansvarige med nödvändig information som Personuppgiftsbiträdet har tillgång till, för att den Personuppgiftsansvarige ska kunna uppfylla sina skyldigheter att genom­föra konsekvensbedömning enligt Art. 35 och förhandssamråd med berörda tillsynsmyndigheter enligt Art. 36 i Dataskyddsförordningen, avseende den Behandling av Personuppgifter som omfattas av detta Personupp­giftsbiträdesavtal. Personuppgiftsbiträdet har rätt till ersättning för sina kostnader från den Personuppgiftsansvarige för sådant arbete. Personuppgiftsbiträdets skyldighet att bistå den Personuppgiftsansvarige är i detta avseende begränsad till information som den Personuppgiftsansvarige inte på annat sätt kan få tillgång till.

5. säkerhetsåtgärder

5.1 Skyldighet att vidta tekniska och organisatoriska åtgärder för att skydda Personuppgif­ter

5.1.1                Personuppgiftsbiträdet vidtar lämpliga tekniska och organisatoriska åtgärder, enligt vad som anges i Bilaga 2.2, för att de Personuppgif­ter som Behandlas ska vara skyddade mot Personuppgiftsincidenter. Personuppgiftsbiträdet har rätt att ändra dessa åtgärder under förutsättning att ändringarna inte medför ett sämre skydd för Personuppgifterna och åtminstone uppnår den säkerhetsnivå som följer av Tillämplig Per­son­uppgiftslagstiftning. Ifall den Personuppgiftsansvarige begär att Personuppgiftsbiträdet ska vidta tekniska och organisatoriska åtgärder utöver vad som anges ovan i denna punkten 5.1.1, ska 3.2 tillämpas avseende kostnaderna för sådana åtgärder.

5.2 Tillgång till Personuppgifter m.m.

5.2.1                Personuppgiftsbiträdet ska tillse att tillgång till Personuppgifterna är begränsad till den perso­nal hos Personuppgiftsbiträdet som behöver tillgång till Personuppgifterna för att Personuppgiftsbiträdet ska kunna uppfylla sina åtaganden gentemot den Personuppgiftsansvarige enligt detta Personuppgiftsbiträdesavtal och Tjänsteavtalet samt för att utföra sina arbetsuppgifter.

5.2.2                Personuppgiftsbiträdet ska vidare tillse att all personal som är behörig att få tillgång till och Be­handla Personuppgifterna iakttar sekretess.

5.3  Personuppgiftsincident

5.3.1                För det fall en Personuppgiftsincident inträffar hos Personuppgiftsbiträdet ska Personuppgiftsbiträdet skriftligen under­rätta den Personuppgiftsansvarige om detta utan onödigt dröjsmål från det att Personuppgiftsincidenten kom till Personuppgiftsbiträdets kännedom. Personuppgiftsbiträdet ska vidare tillhandahålla information som omfattas av informationsskyldigheten i Art. 33 (3) i Dataskyddsförordningen, som är tillgänglig för Personuppgiftsbiträdet och som den Personuppgiftsansvarige inte kan få tillgång till på annat sätt.

5.3.2                Meddelandet till den Personuppgiftsansvarige ska innehålla följande information:

5.3.2.1            en beskrivning av Personuppgiftsincidentens art, kategorier av och anta­let Registrerade som berörs, samt kategorier av och antalet per­sonuppgifter som berörs;

5.3.2.2            de sannolika konsekvenserna av Personuppgiftsincidenten; samt

5.3.2.3            en beskrivning av de åtgärder som Personuppgiftsbiträdet, i förekommande fall, redan har vidtagit eller avser att vidta för att åtgärda Personupp­giftsinci­denten och/eller för att begränsa Personuppgiftsincidentens eventuella negativa effekter.

5.3.3                Om och i den utsträckning det inte är möjligt för Personuppgiftsbiträdet att tillhandahålla informat­ionen i punkten 5.3.2 ovan samti­digt får Personuppgiftsbiträdet (utan onö­digt ytter­ligare dröjsmål) lämna informationen i omgångar.

6. Tillgång till information m.m.

6.1           Personuppgiftsbiträdet dokumenterar löpande vilka åtgärder som Personuppgiftsbiträdet har vidtagit för att uppfylla sina skyldigheter enligt detta Personuppgiftsbiträdesavtal. Den Personuppgiftsansvarige har rätt att på begäran få en ko­pia av den senaste versionen av sådan dokumentation.

6.2           På den Personuppgiftsansvariges begäran ska Personuppgiftsbiträdet uppvisa att de krav som ställs på Personuppgiftsbiträden enligt Art. 28 i Dataskyddsförordningen efterlevs. Parterna är överens om att detta kan ske genom att tillhandahålla en granskningsrapport som upprättats av en tredje part (”Granskningsrapport”).

6.3           Om ytterligare granskningsåtgärder än vad som anges ovan i 6.2 krävs enligt Tillämplig Personuppgiftslag kan den Personuppgiftsansvarige begära inspektion på plats (“Platsinspektion”). Följande villkor gäller för Platsinspektioner:

(i) Platsinspektioner är begränsade till resurser och personal hos Personuppgiftsbiträdet som är involverade i de Behandlingar av Personuppgifter som omfattas av detta Biträdesavtal. Detta innebär att Platsinspektioner inte under några om­ständigheter ska omfatta annan information rörande Personuppgiftsbiträdets verksamhet som saknar be­tydelse för Personuppgiftsbiträdets Behandling av Personuppgifter för den Personuppgiftsansvariges räkning;

(ii) Platsinspektioner ska inte äga rum oftare än en gång per år, om inte annat krävs enligt Tillämplig Personuppgiftslagstiftning eller som en konsekvens av en väsentlig Personuppgiftsincident som har påverkat de Personuppgifter som omfattas av detta Personuppgiftsbiträdesavtal;

(iii) Platsinspektionen ska utföras under kontorstid, genomföras på ett sätt som medför minsta möjliga påverkan på Personuppgiftsbiträdets verksamhet och i enlighet med Personuppgiftsbiträdets säkerhetspolicyer;

(iv) Den Personuppgiftsansvarige ansvarar för kostnader som är hänförliga till Platsinspektionen samt för att upprätta rapport som redogör för vad som framkommit vid Platsinspektionen;

(v) Platsinspektion ska om möjligt genomföras av en av båda Parter gemensamt utsedd tredje part. Den Personuppgiftsansvarige ska tillse att tredje parten undertecknar en sekretessförbindelse avseende all inform­ation som den tredje parten får del av inom ramen för inspektionen och svarar gentemot Personuppgiftsbiträdet för sådan tredje parts eventu­ella brott mot sådan sekretessförbindelse. Samtliga kost­nader som uppstår i samband med en inspektion ska bäras av den Personuppgiftsansvarige, inklusive even­tuella kostnader som Personuppgiftsbiträdet har för sin medverkan i en inspektion.

(vi) Platsinspektion ska föregås av minst trettio (30) dagars skriftligt varsel inklusive tillhandahållande av revisionsplan vars innehåll skäligen är acceptabelt för Personuppgiftsbiträdet.

Granskningsrapporter samt rapporter från Platsinspektioner utgör Personuppgiftsbiträdets konfidentiella information och ska inte röjas för utomstående om så inte krävs enligt Tillämplig Lagstiftning eller om Personuppgiftsbiträdet har samtyckt därtill.

7. Anlitande av underbiträden

7.1           Personuppgiftsbiträdet har rätt att anlita underleverantör, underkonsult eller andra tredje parter för att Behandla Personuppgifter för den Personuppgiftsansvariges räkning (”Underbiträ­den”). Vidare ger den Personuppgiftsansvarige Personuppgiftsbiträdet rätt att ingå personuppgiftsbiträdesavtal för den Personuppgiftsansvariges räkning direkt med Underbiträ­den. Ett sådant per­sonuppgiftsbiträdesavtal med Underbiträde ska ålägga Underbiträdet skyl­digheter motsvarande och som inte är mindre restriktiva än vad som följer av detta Person­uppgiftsbiträdesavtal.

7.2           Personuppgiftsbiträdet ska för det fall Personuppgiftsbiträdet anlitar ett Underbiträde utan onödigt dröjsmål skriftligen lämna den Personuppgiftsansvarige information som anges i Bilaga 2.1.

7.3           Den Personuppgiftsansvarige har rätt att, med angivande av sakliga skäl inom fem (5) arbetsdagar från det att Personuppgiftsbiträdet skriftligen informerat den Personuppgiftsansvarige om ett anlitat Underbiträde, invända mot att Personuppgiftsbiträdet anlitar det aktuella Underbiträdet. Om den Personuppgiftsansvarige inte har invänt inom den nämnda tiden ska det föreslagna Underbiträdet anses ha godkänts. Om den Personuppgiftsansvarige invänder mot Underbiträdet har Personuppgiftsbiträdet rätt att välja något av följande alternativ: (a) avstå från att anlita Underbiträdet för att behandla Personuppgifter som omfattas av detta Underbiträdesavtal (b) vidta åtgärder som rimligen eliminerar grunden för den Personuppgiftsansvariges invändning; eller (c) tillfälligt eller permanent upphöra med att tillhandahålla  den del av tjänsten/tjänsterna som medför Behandling av Personuppgifter av det aktuella Underbiträdet. Om inget av dessa alternativ är möjliga att tillämpa och den Personuppgiftsansvarige vidhåller sin invändning när trettio (30) dagar har passerat efter det att invändningen framställdes har endera Part rätt att med skälig uppsägningstid säga upp den del av tjänsten/tjänsterna som medför Behandling av Personuppgifter av det aktuella Underbiträdet.

7.4           Personuppgiftsbiträdet ska, utöver den information som anges i punkten 7.2 ovan, på den Personuppgiftsansvariges begäran tillhandahålla information om vilka åtgärder som vidtagits för att säkerställa att Underbiträdet ger tillräckliga garantier om att genomföra tekniska och organisatoriska åtgärder på ett sådant sätt att Behandlingen uppfyller kraven i Tillämplig Personuppgiftslagstiftning.

7.5           Personuppgiftsbiträdet ansvarar gentemot den Personuppgiftsansvarige för att Underbiträdena Behandlar Personuppgifter som omfattas av detta Personuppgiftsbiträdesavtal i enlighet med Tillämplig Personuppgiftslagstiftning.

8.  Ansvar

• Bestämmelserna avseende ansvar i Tjänsteavtalet ska äga motsvarande tillämpning på detta Personuppgiftsbiträdesavtal.

9. Registrerades rättigheter

9.1           Den Personuppgiftsansvarige är ansvarig för att bedöma ifall en Registrerads begäran om att utöva sina rättigheter enligt Tillämplig Personuppgiftslagstiftning är berättigad eller inte samt för att lämna instruktioner till Personuppgiftsbiträdet avseende eventuell omfattning av stöd som anges nedan behövs.

9.2           Personuppgiftsbiträdet ska utan onödigt dröjsmål informera den Personuppgiftsansvarige om klagomål och andra meddelanden från Registrerade som utövar sina rättigheter. Personuppgiftsbiträdet ska dock inte, med mindre än att den Personuppgiftsansvarige har gett Personuppgiftsbiträdet tillräckliga instruktioner därom, kommunicera med de Registrerade.

9.3           Den Personuppgiftsansvarige ansvarar för hantering i samband med att Registrerade utövar sina rättigheter enligt Tillämplig Personuppgiftslagstiftning.

9.4           Personuppgiftsbiträdet ska på begäran från den Personuppgiftsansvarige bistå den Personuppgiftsansvarige med följande lämpliga tekniska och organisatoriska åtgärder i samband med att Registrerade utövar sina rättigheter enligt Kapitel III i Dataskyddsförordningen:

(i)   I samband med begäran om information ska Personuppgiftsbiträdet tillhandahålla den Personuppgiftsansvarige information som omfattas av Art. 13 och 14 i Dataskyddsförordningen i den omfattning som informationen är tillgänglig för Personuppgiftsbiträdet och den Personuppgiftsansvarige inte har tillgång till sådan information.

(ii)  I samband med rätt till tillgång ska Personuppgiftsbiträdet tillhandahålla den Personuppgiftsansvarige information som omfattas av Art. 15 i Dataskyddsförordningen i den omfattning som informationen är tillgänglig för Personuppgiftsbiträdet och den Personuppgiftsansvarige inte har tillgång till sådan information.

(iii) I samband med begäran om rättelse (Art. 16 i Dataskyddsförordningen), radering (Art. 17 i Dataskyddsförordningen), behandlingsbegränsning (Art. 18 i Dataskyddsförordningen), och dataportabilitet (Art. 20 i Dataskyddsförordningen), ska Personuppgiftsbiträdet, i den utsträckning som den Personuppgiftsansvarige själv inte kan vidta av Registrerad/e begärda åtgärder, antingen genom att möjliggöra för den Personuppgiftsansvarige att vidta åtgärderna, eller där så inte är möjligt, bistå den Personuppgiftsansvarige i att vidta åtgärderna.

(iv) Personuppgiftsbiträdet ska på instruktion från den Personuppgiftsansvarige informera Underbiträden som Behandlar Personuppgifter vilka omfattas av Registrerads begäran om rättelse, radering eller behandlingsbegränsning (Art. 19 i Dataskyddsförordningen) om att sådan begäran har gjorts. Den Personuppgiftsansvarige åtar sig att informera övriga mottagare.

(v)   I förhållande till Registrerades rätt att invända mot behandling enligt Art. 21–22 i Dataskyddsförordningen, ska den Personuppgiftsansvarige bedöma huruvida invändningen är legitim samt hur den ska hanteras. Ifall den Personuppgiftsansvarige önskar biträde av Personuppgiftsbiträdet ska den Personuppgiftsansvarige utfärda ytterligare instruktion, varvid den rutin som beskrivs i punkten 3.2 ska tillämpas avseende Personuppgiftsbiträdets rätt till ersättning för kostnader.

9.5           Ifall den Personuppgiftsansvarige begär att Personuppgiftsbiträdet ska vidta tekniska och organisatoriska åtgärder utöver vad som anges enligt 5.1.1 i syfte att hantera Registrerades rättigheter enligt denna punkten 9, ska 3.2 tillämpas avseende kostnaderna för sådana åtgärder.

9.6           Oavsett vad som anges ovan i punkten 9.5 har Personuppgiftsbiträdet rätt till ersättning för skäliga utlägg på grund av att Registrerade utövar sina rättigheter enligt ovan.

10. Återlämnande av personuppgifter

10.1         Vid Tjänsteavtalets upphörande ska Personuppgiftsbiträdet återlämna (och/eller ef­ter den Personuppgiftsansvariges skriftliga begä­ran på ett säkert och oåterkalleligt sätt utplåna eller avidentifiera) alla Personuppgifter som Personuppgiftsbiträdet eller Underbiträde besitter eller har inom sin kontroll och som tillhör den Personuppgiftsansvarige, såvida det inte föreligger skyldighet enligt Tillämplig Lagstiftning att lagra Per­sonuppgifterna. Om den Personuppgiftsansvarige inte inom trettio (30) dagar från Tjänsteavtalets upphörande instruerat Personuppgiftsbiträdet om att den Personuppgiftsansvarige vill att Personuppgiftsbiträdet återlämnar eller på ett säkert sätt raderar Personuppgifterna ska Personuppgiftsbiträdet, under förutsätt­ning att Personuppgiftsbiträdet inte är skyldig att lagra Personuppgifterna enligt Tillämplig Lagstiftning, utan onödigt dröjsmål tillse att Personuppgifterna på ett säkert sätt raderas.

11. Överföring till och behandling av personuppgifter i tredje land

11.1         Personuppgiftsbiträdet har rätt att överföra Personuppgifter som tillhör den Personuppgiftsansvarige till ett Tredje Land, under förutsättning att:

11.1.1             det Tredje Landet säkerställer en adekvat skyddsnivå för Personupp­gifter enligt ett beslut meddelat av EU-kommissionen som omfattar Behandlingen av Person­upp­gifter;

11.1.2             Personuppgiftsbiträdet säkerställer att det finns lämpliga skyddsåtgärder på plats enligt Tillämplig Person­uppgiftslagstiftning, t.ex. standardiserade dataskyddsbestämmelser som antagits av EU-kommissionen, som omfattar överföringen och Behandlingen av Per­sonupp­gifterna; eller

11.1.3             något annat undantag enligt Tillämplig Per­sonuppgiftslagstiftning föreligger som omfattar Behandlingen av Personuppgifter.

11.2         Till undvikande av tvivel får Personuppgifter inte överföras till eller Behandlas i Tredje Land om ingen av förutsättningarna i punkten 11.1 ovan är tillämpliga.

12. Avtalsperiod och upphörande

• Detta Personuppgiftsbiträdesavtal träder i kraft på Avtalsdagen och ska därefter gälla under Tjänsteavtalets löptid eller den längre tid som Personuppgiftsbiträdet eller av Personuppgiftsbiträdet anlitade Underbiträden Behandlar Personuppgifter för den Personuppgiftsansvariges räkning.

13. Överlåtelse

• Ingen av Parterna ska äga rätt att helt eller delvis överlåta sina rättigheter eller skyldigheter en­ligt detta Personuppgiftsbiträdesavtal utan den andra Partens skriftliga samtycke.

14. Ändringar och tillägg

• Ändringar och tillägg till detta Personuppgiftsbiträdesavtal ska vara skriftliga och underteck­nade av båda Parter för att äga giltighet. Endera Part har rätt att begära ändringar i detta Personuppgiftsbiträdesavtal som motiveras av ändrad Tillämplig Personuppgiftslagstiftning.

15. Tillämplig lag

• Detta Personuppgiftsbiträdesavtal ska tolkas enligt svensk lag, utan tillämpning av dess lagvals­regler, i den utsträckning Tillämplig Personuppgiftslagstiftning inte föreskriver annan lag.

16. Tvist

• Tvist i anledning av detta Personuppgiftsbiträdesavtal ska avgöras i Sverige i den utsträckning Tillämplig Personuppgiftslagstiftning inte föreskriver annan lag.