Databehandleravtale

Denne databehandleravtalen inngås mellom FRAMTID TECH AS, org.nr. 837 596 092, Luhrtoppen 2, 1470 Lørenskog («databehandleren»), og den virksomheten som tar i bruk tjenesten («den behandlingsansvarlige»).

Avtalen inngås ved at den behandlingsansvarlige aksepterer tjenestens vilkår, og gjelder så lenge tjenesten brukes. Den utfyller de øvrige vilkårene, og går foran dem ved motstrid om behandling av personopplysninger.

Avtalen gjelder personopplysninger databehandleren behandler på vegne av den behandlingsansvarlige. Opplysninger om den behandlingsansvarlige som kunde — kontaktinformasjon, fakturering, innlogging — behandler databehandleren som selvstendig behandlingsansvarlig. Det er beskrevet i personvernerklæringen, ikke her.

Databehandleren behandler personopplysninger kun etter dokumenterte instrukser fra den behandlingsansvarlige. Instruksen består av denne avtalen med vedlegg, tjenestens vilkår, og den bruken den behandlingsansvarlige selv gjør av tjenestens funksjoner.

Databehandleren sier fra dersom en instruks etter dens syn er i strid med personvernregelverket.

Formål, kategorier av registrerte og typer personopplysninger følger av Vedlegg A, som beskriver hvert produkt for seg.

Behandlingen varer så lenge kundeforholdet varer, med den etterfølgende sletting som følger av punkt 10.

Særlige kategorier av personopplysninger etter artikkel 9 er ikke omfattet. Den behandlingsansvarlige skal ikke legge inn slike opplysninger i tjenesten.

Databehandleren behandler personopplysninger kun etter instruks og ikke for egne formål, og sikrer at alle med tilgang er underlagt taushetsplikt.

Databehandleren iverksetter egnede tekniske og organisatoriske tiltak etter artikkel 32, beskrevet i Vedlegg C.

Databehandleren bistår den behandlingsansvarlige med å oppfylle plikter knyttet til de registrertes rettigheter etter artikkel 12 til 22, og med sikkerhet, melding om brudd og personvernkonsekvensvurdering etter artikkel 32 til 36.

Databehandleren gjør tilgjengelig den informasjonen som er nødvendig for å påvise at pliktene overholdes, og muliggjør revisjon etter punkt 9.

Den behandlingsansvarlige gir generell forhåndsgodkjenning etter artikkel 28 nr. 2 til databehandlerens bruk av underdatabehandlere.

Den til enhver tid gjeldende oversikten er publisert på https://framtidtech.no/underdatabehandlere, med opplysning om hva hver enkelt gjør, hvor opplysningene lagres og hvilket overføringsgrunnlag som gjelder.

Ved planlagt bruk av ny eller erstattet underdatabehandler varsler databehandleren skriftlig minst 30 kalenderdager før endringen trer i kraft. Den behandlingsansvarlige kan protestere innen fristen på saklig grunnlag knyttet til personvern. Blir partene ikke enige, kan den behandlingsansvarlige si opp den berørte tjenesten uten kostnad utover allerede leverte ytelser. Utløper fristen uten protest, anses endringen som godkjent.

Endring i en eksisterende underdatabehandlers lagringssted eller overføringsgrunnlag til tredjeland behandles som ny underdatabehandler etter denne bestemmelsen.

Databehandleren pålegger enhver underdatabehandler tilsvarende forpliktelser som i denne avtalen, og er fullt ut ansvarlig overfor den behandlingsansvarlige for deres utførelse.

Overføring utenfor EØS skjer kun når det foreligger gyldig overføringsgrunnlag, som EU-kommisjonens standardvilkår (SCC) eller EU-US Data Privacy Framework.

Hvilket grunnlag som gjelder for den enkelte underdatabehandler fremgår av oversikten i punkt 5.

Databehandleren iverksetter tekniske og organisatoriske tiltak i tråd med artikkel 32, beskrevet i Vedlegg C. Tiltakene omfatter kryptering i transitt og hvile, tilgangsstyring med sikkerhet på radnivå i database, sikkerhetskopiering med automatisk verifisering og testet gjenoppretting, samt logging og overvåking.

Databehandleren varsler den behandlingsansvarlige uten ugrunnet opphold etter å ha blitt kjent med et brudd, med den informasjonen som er tilgjengelig.

Varsel sendes til den e-postadressen som er registrert på kontoen. Den behandlingsansvarlige er selv ansvarlig for at adressen er oppdatert.

Den behandlingsansvarlige er ansvarlig for eventuell melding til Datatilsynet og til de registrerte.

Den behandlingsansvarlige kan, med rimelig varsel og høyst én gang per år, kontrollere at avtalen overholdes.

Kontrollen skjer i utgangspunktet ved dokumentasjon — denne avtalen, oversikten over underdatabehandlere, og underdatabehandlernes egne sertifiseringer og avtaler. Er dokumentasjonen ikke tilstrekkelig, avtales omfang og gjennomføring av videre kontroll mellom partene.

Avtalen gjelder så lenge databehandleren behandler personopplysninger for den behandlingsansvarlige.

Ved opphør skal databehandleren, etter den behandlingsansvarliges valg, slette eller tilbakelevere alle personopplysninger og slette eksisterende kopier, med mindre lagring kreves av lov.

Den behandlingsansvarlige har 30 dager etter opphør til å eksportere sine data. Deretter slettes de fra produksjonssystemene. Sikkerhetskopier slettes etter sin ordinære oppbevaringstid, senest 90 dager.

Sletting bekreftes skriftlig ved forespørsel.

Partenes ansvar følger personvernforordningen artikkel 82 og tjenestens øvrige vilkår.

Databehandleren kan endre denne avtalen når regelverk, tjenestens funksjonalitet eller leverandørkjeden gjør det nødvendig.

Ved endringer som har betydning for den behandlingsansvarlige, varsles det minst 30 kalenderdager før endringen trer i kraft, til den e-postadressen som er registrert på kontoen. Den behandlingsansvarlige som ikke aksepterer endringen, kan si opp tjenesten før ikrafttredelse.

Hver versjon får eget versjonsnummer og ikrafttredelsesdato, og tidligere versjoner er tilgjengelige ved forespørsel.

Norsk rett. Verneting er Romerike og Glåmdal tingrett.