Behöver vi teckna ett särskilt PUL-avtal med leverantören eller räcker det med avropsavtalet?

Ja, ni ansvarar för era personuppgifter och behöver alltid teckna ett särskilt avtal med den som behandlar dem för er räkning.