Personuppgiftsbiträdesavtal med webbyrån
Av CodexierPublicerad 4 min läsning
De flesta företag tänker på GDPR i form av cookiebanner och integritetspolicy, och glömmer byrån som bygger och underhåller hemsidan. Ändå har byrån ofta åtkomst till svar från kontaktformulär, kundkonton, nyhetsbrevslistor eller CRM:et. Enligt GDPR gör det byrån till personuppgiftsbiträde som agerar på ert uppdrag, och ni som personuppgiftsansvariga måste ha ett skriftligt personuppgiftsbiträdesavtal. Här förklarar vi när det behövs och vad det måste innehålla.
När byrån blir personuppgiftsbiträde
| Byråns roll | Personuppgiftsbiträde? |
|---|---|
| Designar en sajt med påhittat innehåll och lämnar över den | Oftast inte |
| Driftar sajten och dess formulärsvar | Ja |
| Underhåller en webbshop med kund- och orderdata | Ja |
| Sätter upp och administrerar ert CRM eller nyhetsbrevsverktyg | Ja, så länge den har åtkomst |
| Sköter analys åt er | Ja, för de uppgifter den hanterar |
Vad avtalet måste innehålla
- Föremål, varaktighet, art och ändamål med behandlingen, typer av personuppgifter och kategorier av registrerade.
- Att byrån bara behandlar uppgifterna enligt era dokumenterade instruktioner.
- Sekretess för alla hos byrån som har åtkomst.
- Lämpliga tekniska och organisatoriska säkerhetsåtgärder.
- Regler för att anlita underbiträden, med ert förhandsgodkännande.
- Stöd vid de registrerades begäranden, säkerhetsarbete, incidenthantering och konsekvensbedömningar.
- Radering eller återlämnande av uppgifterna när uppdraget upphör.
- Er rätt till information och granskning för att kontrollera efterlevnaden.
IMY och Europeiska dataskyddsstyrelsen publicerar vägledning och mallar. Många byråer har ett standardavtal; läs det i stället för att skriva under på förtroende, och kontrollera att det stämmer med vad byrån faktiskt gör åt er.
Underbiträden: drift, mejl och analys
Byrån arbetar sällan ensam. Webbhotellet, mejltjänsten, formulärverktyget, backuptjänsten och analysplattformen behandlar samma uppgifter och är underbiträden. Avtalet ska lista dem eller ge er ett sätt att se listan och invända mot ändringar.
| Typ av underbiträde | Vad du ska kontrollera |
|---|---|
| Drift och säkerhetskopior | Var uppgifterna lagras, helst inom EU |
| Mejl och formulärleverans | Om formulärens innehåll passerar en tredjepartstjänst |
| Analys- och taggverktyg | Vilka personuppgifter som skickas, och med vilken rättslig grund |
| Support- och ärendeverktyg | Om era kunders uppgifter hamnar i byråns egna system |
| Leverantörer utanför EU | Överföringsmekanismen, som EU–USA-ramverket för dataskydd eller standardavtalsklausuler |
Säkerhet och skyldigheter vid incidenter
Inträffar en personuppgiftsincident hos byrån eller ett underbiträde kan ni som personuppgiftsansvariga behöva anmäla den till IMY inom 72 timmar från att ni fick kännedom om den. Den klockan fungerar bara om byrån säger till snabbt. Avtalet ska kräva underrättelse utan onödigt dröjsmål, ange vilken information byrån lämnar och namnge kontaktpersoner på båda sidor. Vår guide om personuppgiftsincidenter och 72-timmarsregeln förklarar den ansvariges sida.
- Fråga hur åtkomsten till era system styrs: personliga konton, tvåfaktorsautentisering, borttag när personal slutar.
- Fråga hur uppdateringar och säkerhetskopior sköts för sajten och dess tillägg.
- Kom överens om hur snabbt byrån ska informera er om en incident, och i vilken form.
När avtalet upphör
När ni byter byrå eller avslutar underhållet ska avtalet kräva att byrån återlämnar eller raderar personuppgifterna, även i säkerhetskopior inom en angiven tid, och bekräftar det skriftligt. Kombinera det med en teknisk överlämning: administratörsåtkomst, kod, domän och driftkonton ska redan stå på er. Se vår GDPR-checklista för hemsidan för sajtens övriga skyldigheter.
Oavsett vilken byrå ni väljer, även oss för en hemsidelansering, be om biträdesavtalet och listan över underbiträden innan ni skriver på; priserna för vårt arbete finns på prissidan. När ni inte behöver något avtal: om byrån bara designar och lämnar över en sajt utan att någonsin röra personuppgifter krävs inget biträdesavtal, men dokumentera den rollfördelningen. Vill du gå igenom ert upplägg, boka ett kostnadsfritt samtal.
Vanliga frågor
Vem ansvarar för att skriva biträdesavtalet?
Rättsligt är det den personuppgiftsansvarige, alltså ert företag, som ska se till att det finns. I praktiken erbjuder byrån ofta ett standardavtal som ni granskar och skriver under.
Räcker en klausul i huvudavtalet?
Det kan räcka om den täcker allt som krävs enligt artikel 28. Många företag föredrar en separat bilaga, som är lättare att uppdatera när underbiträden ändras.
Behöver en frilansare också ett biträdesavtal?
Ja, reglerna är desamma. En frilansare med åtkomst till sajtens uppgifter eller ert CRM är personuppgiftsbiträde, oavsett hur stort företaget är.
Vad händer om vi saknar avtal?
Då följer ni inte GDPR, och IMY kan besluta om sanktioner. Mer praktiskt har ni ingen avtalad rätt att kräva radering, underrättelse om incidenter eller information när ni behöver det.
Osäker på vad byrån gör med era kunders uppgifter?
Berätta vem som bygger, driftar och underhåller er sajt i dag. På femton minuter kartlägger vi vilka roller som behandlar personuppgifter och vad avtalet bör täcka.
Boka ett kostnadsfritt 15-minuterssamtal