Bilaga 1: Villkor för behandling av personuppgifter (DPA)

1.1 Denna bilaga tillämpas när eWatt Smart Power Systems Oy (”Personuppgiftsbiträdet”) i samband med tillhandahållandet av tjänsten Smart Power (”Tjänsten”) behandlar personuppgifter för Kundens (”den Personuppgiftsansvariges”) räkning. Sådan behandling är framför allt behandling av fastighetens mätdata i den mån en fysisk person kan identifieras från dem, samt behandling av kontaktuppgifter till de larm- och rapportmottagare som Kunden har utsett, enligt Kundens instruktioner.

1.2 Behandling för vilken eWatt självt är personuppgiftsansvarig (bl.a. användarkonton, kundrelationshantering, fakturering och marknadsföring) beskrivs i eWatts integritetspolicy och omfattas inte av denna bilaga.

1.3 Parterna följer EU:s allmänna dataskyddsförordning (EU) 2016/679 (”GDPR”) och tillämplig nationell lagstiftning. Begreppen har samma betydelse som i GDPR. Vid motstridighet har denna bilaga företräde framför tjänstevillkoren när det gäller behandling av personuppgifter.

3.1 Den Personuppgiftsansvarige ansvarar för att ha rätt att behandla personuppgifterna och överföra dem till Personuppgiftsbiträdet för tillhandahållandet av Tjänsten, samt för att för sin del informera de registrerade.

3.2 Personuppgiftsbiträdet behandlar personuppgifter endast enligt den Personuppgiftsansvariges dokumenterade instruktioner. Dokumenterade instruktioner är tjänstevillkoren, orderbekräftelsen, denna bilaga samt de val Kunden gör i Tjänstens inställningar (t.ex. larmmottagare). Om Personuppgiftsbiträdet anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning ska det utan dröjsmål meddela den Personuppgiftsansvarige.

3.3 Personuppgiftsbiträdet säkerställer att de personer som behandlar personuppgifter har åtagit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt.

Personuppgiftsbiträdet vidtar tekniska och organisatoriska åtgärder som motsvarar risken, inklusive minst:

• kryptering av dataöverföring från läsaren till tjänsteplattformen och till tjänstens användargränssnitt (TLS)
• lagring av data i datacenter inom EU/EES
• åtkomstkontroll enligt arbetsuppgifter, personliga användaruppgifter och flerfaktorsautentisering vid administration
• övervakning av miljöer, loggning, regelbundna säkerhetskopior och en återställningsplan
• dataskyddsinstruktioner för personalen.

5.1 Den Personuppgiftsansvarige ger ett allmänt förhandstillstånd till att anlita underbiträden i behandlingen. De underbiträden som används och var de finns anges i slutet av denna bilaga.

5.2 Personuppgiftsbiträdet meddelar tillägg och byten av underbiträden minst 30 dagar i förväg. Den Personuppgiftsansvarige kan invända mot ändringen av välgrundade dataskyddsskäl; om ingen lösning nås kan den Personuppgiftsansvarige säga upp avtalet för den del av Tjänsten som ändringen gäller.

5.3 Personuppgiftsbiträdet ålägger genom skriftligt avtal underbiträdena dataskyddsskyldigheter som minst motsvarar denna bilaga och ansvarar för underbiträdenas arbete som för sitt eget.

Personuppgifterna behandlas inom EU/EES. Uppgifter överförs inte utanför EU eller EES utan den Personuppgiftsansvariges skriftliga förhandsgodkännande, och en eventuell överföring genomförs med skyddsåtgärder enligt kapitel V i GDPR (t.ex. Europeiska kommissionens standardavtalsklausuler).

7.1 Personuppgiftsbiträdet bistår den Personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder med att besvara begäranden som gäller de registrerades rättigheter (kapitel III i GDPR). Om en registrerad riktar en begäran direkt till Personuppgiftsbiträdet vidarebefordrar Personuppgiftsbiträdet den till den Personuppgiftsansvarige utan onödigt dröjsmål.

7.2 Personuppgiftsbiträdet bistår den Personuppgiftsansvarige med att fullgöra skyldigheterna enligt artiklarna 32–36 i GDPR (säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd), med beaktande av behandlingens art och den information som Personuppgiftsbiträdet har tillgång till.

7.3 Bistånd i sedvanlig omfattning ingår i priset för Tjänsten; för mer omfattande bistånd kan timdebitering enligt den vid varje tidpunkt gällande prislistan tas ut.

Personuppgiftsbiträdet underrättar den Personuppgiftsansvarige om en personuppgiftsincident som gäller de personuppgifter som behandlas för dennes räkning utan onödigt dröjsmål och senast inom 48 timmar efter att ha fått kännedom om den. Underrättelsen innehåller de uppgifter enligt artikel 33.3 i GDPR som finns tillgängliga: en beskrivning av incidenten, de kategorier och det ungefärliga antal uppgifter som berörs, de sannolika konsekvenserna samt de åtgärder som vidtagits och föreslagits för att åtgärda den. Personuppgiftsbiträdet dokumenterar incidenterna och samarbetar med den Personuppgiftsansvarige för att utreda dem.

9.1 När avtalet upphör återlämnar Personuppgiftsbiträdet på den Personuppgiftsansvariges begäran personuppgifterna i maskinläsbart format och raderar dem från sina system inom 90 dagar från avtalets upphörande, om inte unionsrätten eller nationell lagstiftning kräver att de bevaras.

9.2 Personuppgiftsbiträdet har rätt att anonymisera mätdata så att varken de registrerade eller Kunden kan identifieras och att använda de anonymiserade data i enlighet med tjänstevillkoren. Anonymiserade data är inte personuppgifter.

10.1 Personuppgiftsbiträdet lämnar på den Personuppgiftsansvariges begäran den information som behövs för att visa att skyldigheterna enligt artikel 28 i GDPR fullgörs (t.ex. beskrivningar av säkerhetsåtgärder och underbiträden).

10.2 Den Personuppgiftsansvarige eller en oberoende granskare som denne utsett (som inte får vara en konkurrent till Personuppgiftsbiträdet) kan granska efterlevnaden av denna bilaga högst en gång per år genom att meddela detta minst 60 dagar i förväg. Granskningen genomförs utan att i onödan störa den normala verksamheten, och vardera parten står för sina egna kostnader. Personuppgiftsbiträdet kan ta ut skäliga kostnader för att bistå vid granskningen.

11.1 På parternas ansvar tillämpas tjänstevillkorens ansvarsbegränsningar, om inte tvingande lagstiftning föranleder annat.

11.2 Denna bilaga gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning.