Del 1: Avtalens formål
Databehandler skal bistå Behandlingsansvarlig med leveranse av tjenester og tilhørende oppfølging ("Oppdraget") i henhold til oppdragsavtale tegnet mellom Databehandler og Behandlingsansvarlige. Gjennomføring av tjenestene etter Oppdragsavtalen innebærer at Databehandler vil behandle personopplysninger på vegne av Behandlingsansvarlig. Denne avtalen skal avklare forholdet mellom partene med hensyn til personvern og gjeldende personvernlovgivning.
Avtalen skal sikre at personopplysningene behandles i samsvar med de til enhver tid gjeldende kravene til behandling av personopplysninger, herunder bla:
- Lov av 20. juli 2018 om behandling av personopplysninger og forskrifter om behandling av personopplysninger, som er gjeldende til enhver tid
- EUs personvernforordning (EU 2016/679, GDPR)
De øvrige nevnte regelverkene vil i det følgende omtales som "Regelverket".
Begge parter har rett til å kreve endringer i denne Avtalen i den utstrekning det er nødvendig for å overholde og møte krav i Regelverket.
Dersom endringer fører til vesentlige kostnader som skyver på balanseforholdet mellom partene skal Databehandler ha anledning til å avslutte denne avtalen før slike endringer er trådt i kraft.
Definisjoner
Definisjoner som gjelder for denne Avtalen i henhold til Regelverket (Regulation EU 679/2016 GDPR article 4):
Personopplysninger: enhver opplysning om en identifisert eller identifiserbar fysisk person "den registrerte"; en identifiserbar fysisk person er en som direkte eller indirekte kan identifiseres særlig ved hjelp av identifikator, f.eks. et navn eller identifikasjonsnummer. (GDPR art. 4 1).
Behandling av personopplysninger: enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, f.eks. innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring etc. (GDPR art. 4 2).
Del 2: Partenes plikter
Behandlingsansvarliges plikter
Behandlingsansvarlig skal legge til rette for at den registrerte er i stand til å utøve sine rettigheter knyttet til personvern i Regelverket.
Behandlingsansvarlig skal sørge for at alle persondata samles inn på gyldig rettslig grunnlag og til spesifiserte formål. Behandlingsansvarlig er ansvarlig for å sørge for at personopplysninger som deles med databehandler dekkes av nødvendig lovlig grunnlag.
Behandlingsansvarlig bekrefter at den:
- Har tilstrekkelig lovlig grunnlag for behandlingen av personopplysninger
- Har ansvaret for riktigheten, integriteten, innholdet, påliteligheten og lovligheten av personopplysningene
- Er i overensstemmelse med gjeldende lov når det gjelder notifikasjon til og fra relevante myndigheter
- Har informert den registrerte i samsvar med gjeldende lov
Behandlingsansvarlig skal gjennomføre tilstrekkelige tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen av personopplysninger er i samsvar med Regelverket og de spesifiserte formål for behandlingen.
Ved databrudd skal dette varsles av behandlingsansvarlig til Datatilsynet senest 72 timer etter å ha fått kunnskap til det og uten unødig opphold. Hvis det er nødvendig i henhold til Regelverket skal den registrerte uten unødig opphold også varsles i samsvar med gjeldende regelverk.
Behandlingsansvarlig plikter og står ansvarlig for hvilke innhentede personopplysninger de utgir til Databehandler og at det foreligger lovlig grunnlag for behandlingen av personopplysninger som oppdragsavtalen med Databehandler legger opp til.
Databehandlers plikter
Databehandler skal kun behandle personopplysningene etter instrukser fra Behandlingsansvarlig og på den måten som er beskrevet i denne avtalen.
Databehandler vil ikke behandle personopplysningene på annen måte enn det som er nødvendig for å levere tjenestene etter denne Avtalen og oppdragsavtalen, eller ut over det som er tillatt etter Regelverket.
Databehandleren bekrefter at all behandling av personopplysninger på vegne av Behandlingsansvarlig skal være lovlig, rettferdig og transparent. Databehandler bekrefter også at denne vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at all behandling under denne Avtalen oppfyller kravene i Regelverket og vern av den registrertes rettigheter, herunder innfrir alle kravene etter GDPR artikkel 32.
Ved mistanke om databrudd skal Databehandler varsle Behandlingsansvarlig uten ugrunnet opphold etter kunnskap om slik mulig brudd. Databehandler skal bistå Behandlingsansvarlig i oppfyllelsen av de krav som følger av GDPR artikkel 34-36 etter beste evne ved henvendelse fra Behandlingsansvarlig.
Databehandler plikter så langt det er praktisk mulig å utlevere, slette eller endre informasjon de besitter om et datasubjekt ved forespørsel fra datasubjektet eller Behandlingsansvarlig.
Databehandler plikter å be om bekreftelse på at Behandlingsansvarlig innhenter personopplysningene basert på lovlig grunnlag som beskrevet her og under behandlingsansvarliges øvrige plikter. Dersom en instruks fra den behandlingsansvarlige er i strid med GDPR eller annen personvernrettslig lovgivning plikter Databehandler å omgående underrette Behandlingsansvarlig om dette.
Bruk av underleverandører
Behandlingsansvarlige samtykker til at Databehandler kan bruke underleverandører til å oppfylle sine forpliktelser overfor Behandlingsansvarlige etter oppdragsavtalen.
Ved bruk av underleverandører er Databehandler ansvarlig for underleverandørens utførelse av tjenestene og pliktene etter denne avtalen, på samme måte som om databehandleren selv stod for utførelsen.
Liste over Databehandlerens gjeldende eller fremtidige underleverandører:
- Bing
- Hubspot
- Webflow
- Asana
- Harvest
- Collector
- Signit
- Fiken
- Snap Inc.
Databehandleren må ikke engasjere en annen underleverandør utover disse uten at det på forhånd er innhentet en skriftlig tillatelse til dette fra Behandlingsansvarlig.
Sikkerhet
Databehandleren skal oppfylle de krav til sikkerhet som stilles etter Regelverket. Sikkerhetstiltakene som iverksettes skal ivareta kravene til konfidensialitet, integritet og tilgjengelighet, og stå i forhold til den risikoen som behandlingen av personopplysningene representerer.
Databehandler bekrefter at de vil gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet i forhold til risikoen ved behandlingen. Databehandler bekrefter at deres lokaler, relevante sikkerhetstiltak, organisasjonen, bruk av tredjeparter eller andre aspekter relevante til formålet med denne Avtalen og gjeldende personvernlovgivning kan være gjenstand for besøk og inspeksjoner fra Behandlingsansvarlig eller en tredjepart på vegne av Behandlingsansvarlig. Formålet med slike inspeksjoner skal være for at Behandlingsansvarlig kan sikre seg at Databehandler oppfyller kravene etter oppdragsavtalen, denne Databehandleravtalen og gjeldende lovgivning. Slike besøk eller inspeksjoner skal ikke forekomme mer enn én (1) gang per kalenderår, med mindre det foreligger grunn til å tro at det foreligger et databrudd.
Behandlingsansvarlig kan kreve sikkerhetsinspeksjon utført av selvstendig tredjepart. Tredjeparten skal levere en rapport til Behandlingsansvarlig ved forespørsel. Hver part dekker sin del av en eventuell inspeksjon og/eller besøket. Hvis det oppdages materielle eller ikke-materielle brudd under inspeksjonen eller besøket, skal Databehandler dekke rimelige kostnader i sammenheng med en slik inspeksjon/besøk.
Databehandler krever på forhånd skriftlig varsel om inspeksjon minimum 1 uke før inspeksjonen skal skje.
Avvik
Brudd på sikkerhetstiltak for personopplysningene skal behandles som avvik. Det omfatter bruk av personopplysningene eller informasjonssystemet som er i strid med etablerte personvernrutiner, denne avtalen og personvernregelverket.
Databehandler skal ha på plass rutiner og systematiske prosesser for å følge opp avvik. Det skal omfatte gjenoppretting av normalsituasjonen, fjerne årsaken til avviket og å hindre gjentakelse.
Dersom det foreligger et brudd på personopplysningssikkerheten skal Databehandleren ved kjennskap til bruddet uten ugrunnet opphold underrette Behandlingsansvarlig i melding med nødvendig informasjon for at Behandlingsansvarlig kan varsle relevant tilsynsmyndighet.
Melding om brudd skal minimum inneholde:
- Beskrivelse av arten av bruddet på personopplysningssikkerheten, herunder, når det er mulig, kategoriene av og omtrentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall personopplysningsposter som er berørt.
- Navnet på og kontaktopplysningene til personvernrådgiveren eller et annet kontaktpunkt der mer informasjon kan innhentes.
- Beskrivelse av de sannsynlige konsekvensene av bruddet på personopplysningssikkerheten.
- Beskrivelse av de tiltak som er truffet eller foreslår å treffe for å håndtere bruddet på personopplysningssikkerheten, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet.
Den Behandlingsansvarlige har ansvaret for å sende melding til Datatilsynet, og Databehandler skal ikke sende slik melding eller kontakte Datatilsynet uten at den Behandlingsansvarlige har gitt instruks om dette.
Taushetsplikt
Databehandler har taushetsplikt om konfidensiell informasjon og personopplysninger som vedkommende får tilgang til gjennom Behandlingsansvarlig i henhold til oppdragsavtalen og denne Avtalen.
Behandlingsansvarlig skal beskytte fortrolig sikkerhets- og kundeinformasjon som mottas fra Databehandler og underleverandører eller som Behandlingsansvarlig blir kjent med i forbindelse med gjennomføring av oppdragsavtalen og denne Avtalen. Behandlingsansvarlig skal ikke uberettiget utnytte, dele eller videreformidle slik taushetsbelagt informasjon.
Taushetsplikten gjelder også etter at avtalen er opphørt. Ansatte eller andre som fratrer sin tjeneste, skal pålegges taushetsplikt også etter fratredelsen.
Overføring til tredjeland
M51 lagrer ikke personopplysninger på servere utenfor EU/EØS. Våre tredjepartstjenester plikter å opplyse om dette dersom de bruker servere utenfor EU/EØS.
Databehandler skal overholde alle instruksjoner gitt av Behandlingsansvarlig vedrørende lovpålagte krav til lovlig overføring av personopplysninger og skal ikke overføre personopplysninger til tredjeland uten på forhånd gitt skriftlig samtykke fra Behandlingsansvarlig. Det samme gjelder tilgang til Personopplysninger fra et tredjeland.
I et tilfelle som øvrig nevnt skal Databehandler, når det anses relevant fra Behandlingsansvarlig, samarbeide med Behandlingsansvarlig i forbindelse med utøvelsen av overføringsavtaler for personopplysninger basert på EU Standard Contractual Clauses for overføringen av personopplysninger til databehandlere etablert i tredjeland i samsvar med Avgjørelse 2010/87/EU, eller en tilsvarende eller alternative klausuler godkjent av EU-kommisjonen.
På grunnlag av GDPR artikkel 28 kreves at det ved bruk av Standard Contractual Clauses suppleres med en databehandleravtale som forsikrer at kravene i artikkel 28 er møtt.
Behandlingsansvarlig gir Databehandler retten til å signere slike klausuler på behandlingsansvarliges vegne når og hvis Behandlingsansvarlig har godtatt overføringen og underleverandøren.
Ansvar og mislighold
Databehandleren står ansvarlig for sine handlinger og skal erstatte det direkte tap som følger av uaktsom eller forsettlig handling utover behandlingsansvarliges instrukser og denne Avtalen. Databehandler skal ikke stå ansvarlig for indirekte tap hos behandlingsansvarlig eller deres kunder.
Tap som skyldes ekstraordinære uforutsette risikoer og hendelser eller konsekvenser av disse, herunder force majeure, som er utenfor partenes kontroll tilfaller ikke partenes ansvar så lenge hendelsen vedvarer.
Maksimalt erstatningsbeløp er oppad begrenset til det avtalte vederlaget Databehandler har krav på etter oppdragsavtalen for den gjeldende avtaleperioden.
Avtalens varighet
Med mindre noe annet er avtalt gjelder denne avtalen så lenge Databehandler behandler eller har tilgang til personopplysninger på vegne av Behandlingsansvarlig etter oppdragsavtalen.
Ved brudd på denne Avtalen eller gjeldende Regelverk, kan Behandlingsansvarlig pålegge Databehandleren å stoppe den videre behandlingen av personopplysninger med øyeblikkelig virkning.
Plikter ved opphør/oppsigelse
Ved opphør eller oppsigelse av Avtalen plikter Databehandleren å tilbakelevere alle dokumenter, data, lagringsmedier mv. som inneholder (kopier) av opplysninger eller data som omfattes av avtalen. Deretter plikter Databehandler å slette og/eller destruere alle slike nevnte data (og spor av disse og eventuelle sikkerhetskopier). Med unntak for de dokumenter Databehandler med hjemmel i annen lov er pålagt å oppbevare.
Den Behandlingsansvarlige skal motta en skriftlig bekreftelse fra Databehandleren på at alle personopplysninger er returnert eller slettet i henhold til den behandlingsansvarliges instruksjoner og at Databehandleren ikke har beholdt kopi, utskrifter eller andre former for personopplysninger i noen form.
Partene har gjensidig oppsigelsesadgang for denne avtalen. Oppsigelse må varsles skriftlig til den andre part 1 måned i forveien.
Øvrige plikter og rettigheter
Øvrige plikter og rettigheter følger av oppdragsavtalen som gjelder mellom Databehandleren og Behandlingsansvarlige om tjeneste som nødvendiggjør behandling av personopplysninger og denne Avtalen. De samme kontaktpersoner gjelder for Avtalen som etter oppdragsavtalen.
Ved eventuell overdragelse av oppdragsavtalen til andre parter, skal denne avtale overdras samtidig.
Lovvalg og verneting
Avtalen reguleres av norsk rett.
Eventuelle tvister knyttet til denne avtalen skal forsøkes løst ved forhandlinger. Dersom partene ikke kommer til enighet ved forhandlinger skal eventuelle søksmål rettes etter norsk lov.
Oslo tingrett vedtas som rett verneting.