Personuppgiftsbiträdesavtal (PUB-avtal)

När ett företag låter en tjänsteleverantör behandla personuppgifter för dess räkning kräver GDPR ett skriftligt avtal. Personuppgiftsbiträdesavtalet definierar föremålet, varaktigheten, arten och syftet med behandlingen, typerna av uppgifter och kategorier av registrerade, samt biträdets skyldigheter: att endast agera enligt dokumenterade instruktioner, att hålla uppgifterna konfidentiella och säkra, att bistå vid begäranden från registrerade och anmälan av incidenter, att radera eller återlämna uppgifterna vid avtalets slut och att tillåta revisioner.

Avtalet reglerar också underbiträden: biträdet får endast anlita dem med den personuppgiftsansvariges allmänna eller särskilda tillstånd och måste låta samma skyldigheter gälla vidare. För bokföringsprogram är användaren personuppgiftsansvarig för uppgifterna i sina dokument, och programvaruleverantören är personuppgiftsbiträde. Kontevias PUB-avtal utgör en del av dess villkor och listar de underbiträden som är involverade i tillhandahållandet av tjänsten.