1. DATABEHANDLING
1.1 I denna policy(databehandlingspolicy) avses med "dataskyddslagstiftning" dataskyddslagen från 1998 och alla tillämpliga lagar och förordningar om behandling av personuppgifter (inklusive, i tillämpliga fall, vägledning och riktlinjer som utfärdats av en behörig myndighet) och som ska omfatta den nationella genomförandelagen för den allmänna dataskyddsförordningen (2016/679/EU) som kommer att ersätta dataskyddslagen från 1998 när den träder i kraft(dataskyddslagstiftning).
1.2 Blue Ridge och/eller dess dotterbolag ("Företaget") ska följa all tillämplig dataskyddslagstiftning med avseende på sina skyldigheter enligt denna dataskyddspolicy som databehandlare. I denna dataskyddspolicy ska "personuppgifter" ha den innebörd som tillskrivs det i dataskyddslagstiftningen (personuppgifter) och ska avse personuppgifter som behandlas av företaget för eller på uppdrag av den personuppgiftsansvarige eller något av dess dotterbolag. Personuppgiftsansvarig och personuppgiftsbiträde har de betydelser som definieras i dataskyddslagstiftningen.
1.3 I bilagan till denna dataskyddspolicy anges omfattningen, arten och syftet med företagets behandling av personuppgifter enligt detta avtal(dataskyddsändamål), inklusive uppgifter om behandlingens varaktighet, de typer av personuppgifter som kommer att behandlas av företaget och kategorier av registrerade (där den registrerade har den betydelse som definieras i dataskyddslagstiftningen). Alla ändringar av syftet med dataskyddet måste överenskommas skriftligen mellan parterna.
1.4 Personuppgiftsansvariga måste se till att de har alla nödvändiga lämpliga samtycken och godkännanden på plats för att möjliggöra laglig överföring av personuppgifter till företaget under den tid och i de syften som anges i denna dataskyddspolicy.
1.5 Utan att det påverkar det allmänna innehållet i klausul 1.2 ska företaget, när det gäller personuppgifter som behandlas i samband med fullgörandet av dess skyldigheter enligt denna dataskyddspolicy:
(a) a behandla dessa Personuppgifter endast i enlighet med Dataskyddsändamålet och de skriftliga instruktionerna från den Personuppgiftsansvarige från tid till annan i enlighet med denna Dataskyddspolicy, och inte för något annat ändamål, såvida inte Bolaget är skyldigt att behandla Personuppgifter enligt lagarna i någon medlem av Europeiska unionen eller enligt de lagar i Europeiska unionen som är tillämpliga på Bolaget (Tillämpliga lagar). Om företaget förlitar sig på lagar i en medlem av Europeiska unionen eller på Europeiska unionens lagstiftning som grund för behandling av personuppgifter, ska företaget omedelbart underrätta den personuppgiftsansvarige om detta innan det utför den behandling som krävs enligt tillämplig lagstiftning, såvida inte den tillämpliga lagstiftningen förbjuder företaget att underrätta den personuppgiftsansvarige;
(b) inte avslöja Personuppgifter eller information som utvinns ur Personuppgifter till tredje part utan föregående skriftligt godkännande från den Personuppgiftsansvarige och se till att all Bolagets personal som har tillgång till och/eller behandlar Personuppgifter får lämplig utbildning i enlighet med Dataskyddslagstiftningen och är medveten om, och skyldig att följa, kraven på att hålla Personuppgifter konfidentiella;
(c) se till att det har infört lämpliga tekniska och organisatoriska åtgärder mot otillåten eller olaglig behandling av Personuppgifter och mot oavsiktlig förlust eller förstörelse av, eller skada på, Personuppgifter, som om det vore den Personuppgiftsansvarige med avseende på dessa Personuppgifter, i enlighet med Dataskyddslagstiftningen, och ska förse den Personuppgiftsansvarige med all information som den Personuppgiftsansvarige rimligen begär i samband med de tekniska och organisatoriska åtgärder som det har infört, och omedelbart uppfylla alla krav som ställs av den Personuppgiftsansvarige för att se till att de tekniska och organisatoriska åtgärderna är förenliga med Dataskyddslagstiftningen;
(d) inte använda en underbiträde om det inte uttryckligen har godkänts skriftligen av den personuppgiftsansvarige eller om det annars är för ett legitimt syfte. Om en underleverantör används ska företaget se till att alla sådana underleverantörer som har tillgång till och/eller behandlar personuppgifter får lämplig utbildning i enlighet med dataskyddslagstiftningen och är medvetna om, och skyldiga att följa, kraven på att hålla personuppgifterna konfidentiella. Företaget måste, som en förutsättning för och som ett fortlöpande villkor för all underbearbetning av personuppgifter, ha ett skriftligt avtal med den tredje part som bearbetar personuppgifterna, vilket inte ger ett sämre skydd än det som den personuppgiftsansvarige får enligt denna dataskyddspolicy;
(e) hjälpa den personuppgiftsansvarige, att svara på förfrågningar och/eller klagomål från alla registrerade som utövar sina rättigheter i förhållande till dataskyddslagstiftningen;
(f) hjälpa den personuppgiftsansvarige att uppfylla sina skyldigheter enligt dataskyddslagstiftningen när det gäller säkerhet, anmälningar om överträdelser, konsekvensbedömningar och samråd med tillsynsmyndigheter eller regleringsmyndigheter;
(g) på begäran av den personuppgiftsansvarige radera eller återlämna alla personuppgifter och kopior av dessa till den personuppgiftsansvarige när det relevanta avtalet mellan företaget och den personuppgiftsansvarige avslutas (eller när som helst på begäran av den personuppgiftsansvarige), såvida inte och i den mån lagring krävs av personuppgiftsbiträdet enligt tillämplig lagstiftning;
(h) Tillhandahålla den personuppgiftsansvarige, eller en tredje part som vederbörligen utsetts av den personuppgiftsansvarige, all information som behövs för att visa att företaget uppfyller kraven i denna dataskyddspolicy och tillåta och på ett rimligt sätt bistå vid revisioner som den personuppgiftsansvarige rimligen begär i samband med att man fastställer företagets efterlevnad av denna dataskyddspolicy;
(i) inte överföra några personuppgifter utanför Europeiska ekonomiska samarbetsområdet utan föregående skriftligt samtycke från den personuppgiftsansvarige och/eller i strid med ett legitimt syfte, och om ett sådant samtycke ges av den personuppgiftsansvarige och/eller ett sådant legitimt syfte har fastställts, kommer företaget att se till att:
- Varje överföring av personuppgifter utanför Europeiska ekonomiska samarbetsområdet sker i enlighet med skriftliga instruktioner och godkännande från den personuppgiftsansvarige och/eller ett sådant legitimt syfte;
- Den har lämpliga skyddsåtgärder i samband med överföringen;
- Den registrerade kommer fortfarande att ha verkställbara rättigheter och effektiva rättsmedel;
- alltid uppfyller sina skyldigheter enligt denna dataskyddspolicy genom att tillhandahålla en adekvat skyddsnivå för alla personuppgifter som överförs, och
- följer alla rimliga instruktioner som den personuppgiftsansvarige i förväg meddelat den personuppgiftsansvarige när det gäller behandling och/eller överföring av personuppgifter (t.ex. genom att införliva de senaste EU-standardkontraktsklausulerna (när det gäller överföring av personuppgifter utanför EES), och
(j) omedelbart informera den personuppgiftsansvarige om någon av den personuppgiftsansvariges instruktioner till företaget strider mot dataskyddslagstiftningen.
1.6 Om företaget får kännedom om ett brott mot datasäkerheten eller någon annan relevant incident som påverkar säkerheten eller integriteten hos personuppgifter (ett brott mot personuppgifter) ska företaget:
(a) informera den Personuppgiftsansvarige omedelbart, och i alla fall inom 24 timmar efter den relevanta Personuppgiftsincidenten;
(b) förse datakontrollanten med all relevant information om personuppgiftsbrottet för att bistå datakontrollantens och/eller den relevanta tillsynsmyndighetens eventuella utredning, och
(c) vidta alla rimliga åtgärder som begärs av datakontrollanten och/eller relevant tillsynsmyndighet för att begränsa och reagera på personuppgiftsbrottet.
