Databehandleravtale

1. Formål og omfang

1.1 Denne avtalen fastsetter vilkårene for hvordan Databehandleren behandler personopplysninger på vegne av den Behandlingsansvarlige.

1.2 Databehandleren skal kun behandle personopplysninger:

• Etter dokumenterte instrukser fra den Behandlingsansvarlige
• I samsvar med GDPR
• I samsvar med gjeldende norske personvernlover

1.3 Denne avtalen oppfyller kravene i GDPR artikkel 28(3).

2. Definisjoner

For formålene i denne avtalen:

• "Personopplysninger" betyr enhver opplysning om en identifisert eller identifiserbar fysisk person som definert i GDPR art. 4(1).
• "Behandling" har den betydningen som er angitt i GDPR art. 4(2).
• "Den registrerte" betyr den personen personopplysningene knytter seg til.
• "Underdatabehandler" betyr enhver tredjepart engasjert av Databehandleren for å behandle personopplysninger på vegne av den Behandlingsansvarlige.
• "Sikkerhetshendelse" betyr ethvert bekreftet eller rimelig mistenkt brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjørelse, tap, endring, uautorisert utlevering av eller tilgang til personopplysninger.

3. Art og formål med behandlingen

3.1 Databehandleren leverer en SaaS-plattform som gjør det mulig for den Behandlingsansvarlige å administrere forretningsdriften.

3.2 Behandlingsaktiviteter kan inkludere:

• Hosting og lagring av personopplysninger
• Overføring av data
• Tilgangskontroll og autentisering
• Sikkerhetskopiering og gjenoppretting ved katastrofer
• Teknisk støtte
• Systemvedlikehold

3.3 Varigheten av behandlingen tilsvarer varigheten av MSA med mindre annet er avtalt.

4. Kategorier av registrerte og personopplysninger

4.1 Registrerte kan inkludere:

• Ansatte hos den Behandlingsansvarlige
• Kunder av den Behandlingsansvarlige
• Entreprenører
• Forretningspartnere

4.2 Kategorier av personopplysninger kan inkludere:

• Navn
• E-postadresse
• Kontaktdetaljer
• Stillingstittel
• Kontoopplysninger
• Bruksdata
• Økonomi- eller faktureringsinformasjon (der det er relevant)

Den Behandlingsansvarlige bestemmer hvilke kategorier av data som behandles.

5. Forpliktelser for den Behandlingsansvarlige

Den Behandlingsansvarlige skal:

5.1 Sikre at de har et lovlig grunnlag for å behandle personopplysninger.

5.2 Gi de registrerte nødvendige personvernerklæringer.

5.3 Sikre at instruksjoner til Databehandleren overholder gjeldende lover.

5.4 Være eneansvarlig for å bestemme formålene med og virkemidlene for behandlingen.

6. Forpliktelser for Databehandleren

Databehandleren skal:

6.1 Kun behandle personopplysninger etter dokumenterte instrukser fra den Behandlingsansvarlige.

6.2 Sikre at personer som er autorisert til å behandle personopplysninger:

• Er underlagt taushetsplikt
• Mottar egnet opplæring i databeskyttelse

6.3 Implementere egnede tekniske og organisatoriske tiltak som kreves under GDPR art. 32.

6.4 Bistå den Behandlingsansvarlige med å overholde forpliktelser i henhold til GDPR artikkel 32–36, inkludert:

• Sikkerhet
• Varsling av avvik
• Vurdering av personvernkonsekvenser (DPIA)
• Forhåndsdrøfting med tilsynsmyndigheter

7. Sikkerhetstiltak for informasjon

Databehandleren opprettholder et rammeverk for informasjonssikkerhet i tråd med ISO/IEC 27001-prinsipper og risikobaserte kontroller.

Sikkerhetstiltak inkluderer:

7.1 Organisatoriske kontroller

• Dokumenterte sikkerhetsretningslinjer
• Risikovurderinger
• Rollebasert tilgangskontroll
• Taushetserklæringer
• Sikkerhetsbevissthetsopplæring
• Risikohåndtering av leverandører
• Prosedyrer for endringshåndtering

7.2 Tekniske kontroller

• Kryptering under overføring (TLS)
• Kryptering ved hvile (der det er relevant)
• Mekanismer for tilgangskontroll
• Tofaktorautentisering (der det er relevant)
• Loggføring og overvåking
• Håndtering av sårbarheter
• Sikker utviklingslivssyklus
• Prosedyrer for sikkerhetskopiering og gjenoppretting

7.3 Fysiske kontroller

• Sikre datasenterfasiliteter
• Tilgangskontroller
• Miljømessige sikkerhetstiltak

Sikkerhetskontroller gjennomgås med jevne mellomrom.

8. Underdatabehandlere

8.1 Databehandleren kan engasjere underdatabehandlere.

8.2 Databehandleren skal:

• Inngå skriftlige avtaler med underdatabehandlere
• Pålegge tilsvarende forpliktelser for databeskyttelse
• Være fullt ut ansvarlig for underdatabehandlerens ytelse

8.3 Databehandleren skal gi den Behandlingsansvarlige en liste over underdatabehandlere på forespørsel.

8.4 Den Behandlingsansvarlige kan motsette seg nye underdatabehandlere på rimelig grunnlag knyttet til databeskyttelse.

9. Internasjonale overføringer

9.1 Personopplysninger skal behandles innenfor EØS med mindre annet er avtalt.

9.2 Dersom det forekommer overføringer utenfor EØS, skal Databehandleren sikre egnede garantier, inkludert:

• EUs standard personvernbestemmelser (SCCs)
• Beslutninger om tilstrekkelig beskyttelsesnivå
• Ytterligere tekniske sikkerhetstiltak

10. Registrertes rettigheter

Databehandleren skal:

10.1 Bistå den Behandlingsansvarlige med å svare på henvendelser fra registrerte, inkludert:

• Innsyn
• Retting
• Sletting
• Begrensning
• Portabilitet
• Protest

10.2 Varsle den Behandlingsansvarlige raskt dersom de mottar en forespørsel direkte fra en registrert.

11. Brudd på personopplysningssikkerheten

11.1 Databehandleren skal varsle den Behandlingsansvarlige uten ugrunnet opphold etter å ha blitt oppmerksom på en sikkerhetshendelse.

11.2 Varslingen skal inneholde:

• Arten av bruddet
• Kategorier av berørte data
• Sannsynlige konsekvenser
• Tiltak som er iverksatt eller foreslått

11.3 Databehandleren skal samarbeide om utbedring og etterforskning.

12. Revisjon og overholdelse

12.1 Databehandleren skal gjøre tilgjengelig nødvendig informasjon for å demonstrere overholdelse av denne avtalen.

12.2 Den Behandlingsansvarlige kan gjennomføre revisjoner:

• Høyst én gang per år (med mindre loven krever det)
• I normal arbeidstid
• Med rimelig varsel

12.3 Databehandleren kan gi tredjeparts revisjonsrapporter (f.eks. ISO, SOC 2) i stedet for direkte revisjoner der dette er hensiktsmessig.

13. Datalagring og sletting

13.1 Ved opphør av tjenester skal Databehandleren:

• Slette eller returnere personopplysninger
• Med mindre lagring er påkrevd ved lov

13.2 Sletting skal utføres på en sikker måte.

Lagring av sikkerhetskopier kan gjelde for en begrenset periode under standard gjenopprettingsprosedyrer.

14. Konfidensialitet

Databehandleren skal behandle alle personopplysninger som konfidensielle og skal ikke utlevere dem med mindre det kreves ved lov.

15. Ansvar

Ansvaret skal styres av MSA.

Ingenting i denne avtalen begrenser ansvaret i henhold til gjeldende personvernlovgivning.

16. Gjeldende lov

Denne avtalen skal være underlagt norsk lov med mindre annet er avtalt i MSA.

17. Gjennomføring

Denne avtalen inngås av autoriserte representanter for Jelpify AS ("Databehandler") og kunden identifisert i den gjeldende kundekontrakten ("Behandlingsansvarlig"), som en del av den aktuelle kundekontrakten.