Databehandleravtale

Databehandleravtalen

Denne databehandleravtalen («Avtalen») ble inngått den __.__.2023 mellom:

1. «Kundens navn», en organisasjon som er underlagt lovgivningen i Norge, med organisasjonsnummer 123123123 («Kunden» eller «Behandlingsansvarlig») og
2. Vieri AS, et firma som er underlagt norsk lov, med organisasjonsnummer 991913823 («Leverandøren» eller «Databehandler»)

(firmaene henvises til som «part» eller «parter»).

1. INNLEDNING

   1. Databehandler vil yte tjenester til Behandlingsansvarlig etter avtale inngått den 9.3. 2022 («Hovedavtalen»). Gjennomføring av tjenester etter Hovedavtalen vil kunne innebære at Databehandler mottar personopplysninger fra og behandler personopplysninger på vegne av Behandlingsansvarlig. Denne Avtalen gjelder i den utstrekning Databehandler behandler personopplysninger.
   2. I Avtalen skal begrepene «personopplysninger», «databehandler», «behandlingsansvarlig», «registrerte» og «behandling» ha samme betydning som i Personvernlovgivningen (som definert nedenfor).
   3. Ved eventuell motstrid mellom Hovedavtalen og Avtalen hva gjelder behandling av personopplysninger, skal denne Avtalen ha forrang.

2. INNHOLDET I DENNE AVTALEN, OG OMFANGET AV BEHANDLINGEN

   1. Formålet med Avtalen

      Denne Avtalen regulerer rettigheter og plikter i henhold til gjeldende personvernlovgivning i forbindelse med Databehandlers behandling av personopplysninger på vegne av Behandlingsansvarlig. Avtalen skal sikre at personopplysningene behandles i samsvar med kravene EUs personvernforordning (2016/679) («GDPR») fra det tidspunkt denne trer i kraft og til enhver tid gjeldende nasjonal lovgivning relatert til personvern, herunder lovgivning som implementerer eller supplerer GDPR (samlet benevnt som «Personvernlovgivning»).

      Avtalen skal sikre at personopplysninger behandles i samsvar med Personvernlovgivningen og ikke benyttes på ulovlig måte eller havner i besittelsen til uautoriserte personer.

   2. Behandlingsansvarliges rett til å administrere behandlingen

      Behandlingsansvarlig bestemmer formålet med behandlingen og gir instrukser. Databehandler, dennes underleverandører og andre som på vegne av Databehandler utfører oppdrag og har tilgang til personopplysninger, skal utføre behandlingen kun på vegne av Behandlingsansvarlig og i henhold til denne Avtalen og skriftlige instrukser fra Behandlingsansvarlig, og i tråd med denne Avtalen, med mindre noe annet fremgår i gjeldende lovgivning. Databehandler skal omgående underrette Behandlingsansvarlig dersom Databehandler mener at en instruks er i strid med Personvernlovgivningen.

   3. Formålet med behandlingen

      Avtalen gjelder Databehandlers behandling av personopplysninger på vegne av Behandlingsanvarlig. Formålet med behandling av personopplysninger er at Databehandleren skal levere tjenester til Behandlingsansvarlig i samsvar med Hovedavtalen, samt at alle regler og rutiner som partene har avtalt, blir fulgt.

   4. Omfanget av behandlingen

      Omfanget og formålet med Databehandlers behandling av personopplysninger på vegne av Behandlingsansvarlig er knyttet til levering av tjenester som nærmere beskrevet i Hovedavtalen.

   5. Kategorier av personopplysninger som og registrerte

3. RETTIGHETER OG PLIKTER

   1. Generelt

      Partene skal overholde gjeldende Personvernlovgivning uavhengig av type behandling (manuell eller automatisk). Hvis det oppstår en konflikt mellom kravene i denne Avtalen og Personvernlovgivningen, har Personvernlovgivningen forrang.

   2. Behandlingsansvarliges rettigheter og plikter

      1. Behandlingsansvarlig skal gi Databehandleren skriftlige instrukser om behandlingen av personopplysninger. Dersom Behandlingsansvarlig gir instrukser til en underleverandør oppnevnt i samsvar med pkt. 4, skal Behandlingsansvarlig informere Databehandler om dette. Databehandler kan ikke holdes ansvarlig for behandling utført av en underleverandør som et resultat av instrukser fra Behandlingsansvarlig, og som medfører et brudd på denne Avtalen, Hovedavtalen eller Personvernlovgivningen.
      2. Behandlingsansvarlig bekrefter at personopplysninger behandles for legitime og objektive formål, samt at Databehandler ikke behandler personopplysninger i større omfang enn det som er nødvendig for formålet.
      3. Behandlingsansvarlig er ansvarlig for at det foreligger et gyldig rettslig grunnlag for behandlingen på det tidspunktet personopplysninger overføres til Databehandler. På forespørsel skal Behandlingsansvarlig fremlegge skriftlig redegjørelse og/eller dokumentasjon for det rettslige grunnlaget for behandlingen.
      4. Behandlingsansvarlig bekrefter at de registrerte som har oppgitt personopplysninger har blitt varslet og informert på riktig måte om behandlingen av deres personopplysninger.

   3. Databehandlers rettigheter og plikter

      1. Databehandler skal kun behandle personopplysningene på vegne av behandlingsansvarlig og i samsvar med skriftlige instrukser fra Behandlingsansvarlig. Databehandler kan ikke behandle personopplysninger på annen måte enn det som er nødvendig for å levere tjenestene etter Hovedavtalen.
      2. Med mindre annet er avtalt eller følger av gjeldende lovgivning, skal Behandlingsansvarlig ha rett til å kreve tilgang til personopplysninger som behandles av Databehandler på vegne av Behandlingsansvarlig. Databehandler skal bistå Behandlingsansvarlig med å oppfylle Behandlingsansvarliges plikt til å svare på anmodninger som de registrerte inngir for å utøve sine rettigheter som fastsatt i Personvernlovgivningen, herunder retten til innsyn, korrigering, sletting, begrensning eller å motsett seg en behandling samt til å få utlevert egne personopplysninger i et hensiktsmessig og vanlig format. Databehandler skal kompenseres for slik bistand, etter nærmere avtale mellom partene. Dersom Databehandler eller Underleverandør (som definert nedenfor) mottar en forespørsel fra en registrert om behandlingen av vedkommendes personopplysninger, skal Databehandleren videresende forespørselen til Behandlingsansvarlig, med mindre Databehandleren etter gjeldende lovgivning eller etter Behandlingsansvarliges instrukser kan håndtere forespørselen.
      3. Dersom Databehandler eller en Underleverandør mottar en forespørsel fra relevant tilsynsmyndighet om innsyn i eller informasjon om registrerte personopplysninger eller behandlinger under denne Avtalen skal Databehandleren varsle Behandlingsansvarlig, med mindre Databehandleren etter gjeldende lovgivning eller Behandlingsansvarliges instrukser kan håndtere forespørselen.
      4. Databehandler skal bistå Behandlingsansvarlig ved gjennomføring av personvernkonsekvensutredning dersom Behandlingsansvarlig er forpliktet til å gjennomføre en slik utredning. Behandlingsansvarlig skal dekke kostnader påført Databehandler som følge av sin bistand.
      5. Databehandler skal ikke lagre personopplysningene lenger enn nødvendig for å kunne levere tjenestene som beskrives i Hovedavtalen, med mindre det kreves av Behandlingsansvarlig eller gjeldende lovgivning. Databehandleren skal ikke korrigere, slette eller låse personopplysninger uten instruksjon fra Behandlingsansvarlig, med mindre lovverket krever det.
      6. Databehandler skal påse at de ansatte får informasjon om forpliktelsene i denne Avtalen, spesielt med hensyn til sikkerhet og beskyttelse av personopplysninger.

4. BRUK AV UNDERLEVERANDØRER

   1. Databehandler skal ikke engasjere annen databehandler («Underleverandør») uten at det på forhånd er innhentet skriftlig tillatelse til dette fra Behandlingsansvarlig.
   2. Databehandler skal informere Behandlingsansvarlig om endringer eller suppleringer av Underleverandører, og Behandlingsansvarlig har rett til å motsette seg slike endringer.
   3. Databehandler skal sikre at Underleverandører er underlagt de samme rettighetene og forpliktelsene som Databehandler i samsvar med denne Avtalen og Personvernlovgivningen gjennom skriftlig avtale, herunder at Underleverandør skal gi tilstrekkelige garantier for at det blir gjennomført tekniske og organisatoriske tiltak som oppfyller kravene i Personvernlovgivningen, og gi Behandlingsansvarlig og relevant tilsynsmyndighet tilgang og informasjon som er nødvendig for verifikasjon i den forbindelse. Databehandler skal være ansvarlig ovenfor Behandlingsansvarlig for at Underleverandører oppfyller sine forpliktelser.

5. OVERFØRING AV PERSONOPPLYSNINGER

   1. Overføring, utlevering eller tilgang til personopplysninger fra land utenfor EU/EØS («Tredjeland») kan bare skje etter skriftlig forhåndsgodkjenning fra Behandlingsansvarlig og ved bruk av EUs standardvilkår, eller basert på annet rettslig grunnlag for slik overføring eller utlevering.

6. INFORMASJONSSIKKERHET

   1. Databehandler skal implementere hensiktsmessige organisatoriske og tekniske tiltak som er fastsatt i Personvernlovgivningen og/eller pålagt av relevant tilsynsmyndighet for å sikre tilstrekkelig informasjonssikkerhet for å oppnå et egnet sikkerhetsnivå. Databehandler skal vurdere egnet sikkerhetsnivå og iverksette tiltak som ivaretar kravene til taushetsplikt, integritet og tilgjengelighet som står i forhold til den risikoen som behandlingen av personopplysninger representerer, herunder risiko for ulovlig ødeleggelse, tap, endring, uautorisert utlevering og tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet. På forespørsel fra Behandlingsansvarlig skal Databehandler fremvise dokumentasjon på sikkerhetsstrategi og sikkerhetstiltak. Behandlingsansvarlig skal ivareta sikkerhetsnivå som referert over når Databehandler utøver sine tjenester i Behandlingsansvarliges tekniske miljø.
   2. All overføring av personopplysninger mellom partene eller mellom Databehandler og en tredjepart skal gjøres ved bruk av tilstrekkelige sikkerhetstiltak, eller som avtalt mellom partene.
   3. På forespørsel skal Databehandler gi dokumentasjon for tekniske og organisatoriske tiltak som er implementert for å sikre et tilstrekkelig nivå av sikkerhet. I den grad Databehandler har tilgang til det, gjelder det også beskrivelser av eventuelle sikkerhetstiltak som eventuelle Underleverandører har implementert.
   4. Databehandler skal gi nødvendig opplæring til personell med tilgang til personopplysningene eller informasjonssystemet om personvern, sikkerhet og sikkerhetskrav som følger av denne Avtalen.

7. MELDING OM SIKKERHETSBRUDD

   1. Brudd på personopplysningssikkerheten og andre sikkerhetsbrudd («Sikkerhetsbrudd») skal behandles som avvik. Dersom avvik blir oppdaget, eller dersom det er grunn til å tro at det foreligger avvik, skal Databehandler uten ugrunnet opphold varsle Behandlingsansvarlig. Behandlingsansvarlig er ansvarlig for å melde Sikkerhetsbrudd til relevant tilsynsmyndighet.
   2. Meldingen til Behandlingsansvarlig skal inneholde den informasjon som er påkrevd etter Personvernlovgivningen, herunder tilstrekkelig oversikt over bruddets konsekvenser for tjenestene, samt de korrigerende tiltakene som Databehandler skal iverksette.
   3. Databehandler skal yte rimelig bistand slik at Behandlingsansvarlig kan oppfylle sine forpliktelser til å gi utfyllende informasjon til relevant tilsynsmyndighet og de registrerte.
   4. Databehandler skal iverksette nødvendige og tilrådelige korrigerende tiltak. Databehandler skal også samarbeide med Behandlingsansvarlig for å forebygge, minimere konsekvensene av eller korrigere Sikkerhetsbrudd.

8. SIKKERHETSKONTROLLER OG REVISJON

   1. Databehandler skal på skriftlig forespørsel gi Behandlingsansvarlig dokumentasjon på gjennomførte tekniske og organisatoriske tiltak for i sikre et egnet sikkerhetsnivå samt annen informasjon som er nødvendig for å dokumentere at Databehandler oppfyller sine plikter etter denne Avtalen og Personvernlovgivningen. Behandlingsansvarlig og relevant tilsynsmyndighet har rett til å gjennomføre revisjon, herunder inspeksjon av personopplysninger som behandles, systemene for benyttes til dette, tekniske og organisatoriske sikkerhetstiltak og Underleverandører. Behandlingsansvarlig har rett til å gjennomføre slik revisjon en gang pr år. Kontrollen skal begrenset til en vurdering av om Databehandler oppfyller sine forpliktelser i samsvar med denne Avtalen. Dersom Behandlingsansvarlig utpeker en ekstern kontrollør til å gjennomføre revisjonen, skal den eksterne kontrolløren ikke være en konkurrent av Databehandler. I god tid på forhånd skal partene avtale tidspunktet og andre detaljer knyttet til gjennomføringen av slike kontroller. Kontrollen skal ikke inkludere tilgang til opplysninger om andre kunder som Databehandler innehar, eller opplysninger om hvordan Databehandler bruker sikkerhetstiltak. Alle Databehandlers representanter eller eksterne kontrollører som deltar i kontrollen, skal være underlagt taushetsplikt overfor Databehandler.
   2. Behandlingsansvarlig skal dekke alle utgifter i forbindelse med kontrollen, og Databehandler har krav på kompensasjon for alle kostnader som oppstår som følge av kontrollen, inkludert kompensasjon til Databehandler for rimelig medgått tid for Databehandler og dennes ansatte for bistand under kontrollen. Databehandler skal likevel dekke slike kostnader dersom en revisjon avdekker vesentlige mangler ved oppfyllelse av forpliktelser etter Avtalen eller Personvernlovgivningen.

9. TAUSHETSPLIKT

   1. Databehandler, dennes Underleverandører og andre som på vegne av Behandlingsansvarlig utfører tjenester og har tilgang til personopplysninger er underlagt taushetsplikt og skal etterleve taushetsplikten i forbindelse med behandling av personopplysninger og sikkerhetsdokumentasjon i henhold til gjeldende Personvernlovgivning.
   2. Databehandler skal sørge for at alt de som opptrer på vegne av Databehandler er underlagt slik taushetsplikt og gjøres kjent med hva taushetsplikten innebærer.
   3. Ved pålegg om utlevering av personopplysninger fra offentlig myndighet, skal Databehandler varsle Behandlingsansvarlig, med mindre annet følger av gjeldende lovgivning.
   4. Behandlingsansvarlig og representanter for Behandlingsansvarlige, inkludert eksterne kontrollører som deltar på kontroller (se avsnitt 8) eller får informasjon fra Databehandleren i samsvar med denne Avtalen, er underlagt taushetsplikt, med mindre annet følger av gjeldende lovgivning.
   5. Taushetsplikten gjelder også etter at Avtalen er opphørt. Ansatte eller andre som fratrer sin tjeneste skal pålegges taushetsplikt også etter fratredelsen.

10. ANSVAR

    1. Ingen part skal overfor den annen part være ansvarlig for indirekte tap eller følgeskader av noen art (inkludert, men ikke begrenset til tap som følge av driftsavbrudd, tap av data, tapt fortjeneste eller lignende) uavhengig av ansvarsgrunnlag, hva enten i kontrakt, culpaansvar, produktansvar eller annet, selv om parten er underrettet om muligheten for slike skader (i fellesskap omtalt som «Indirekte Tap»).
    2. Ingen part skal være ansvarlig overfor den annen part for;
       1. feil eller forsinkelser som ligger utenfor partens rimelige kontroll, herunder generelle internett eller linjeforsinkelser, strømbrudd eller feil på maskiner; eller
       2. feil forårsaket av den annen parts systemer eller handlinger, uaktsomhet eller unnlatelser, som alene skal være den partens ansvar.
    3. Det totale og maksimale ansvaret for hver tolv (12) måneders periode, for en part overfor den annen part under eller i medhold av denne Databehandleravtalen, skal under ingen omstendighet overstige et beløp tilsvarende det totalbeløp betalt for Tjenesten under Avtalen i løpet av de tolv (12) siste månedene forut for den skadevoldende handlingen.
    4. Ovennevnte begrensninger skal ikke gjelde for skader som skyldes svindel, grov uaktsomhet eller forsett.

11. AVTALEVILKÅR OG OPPSIGELSE

    1. Denne Avtalen gjelder fra datoen den signeres og frem til Hovedavtalen utløper, eller til Databehandlerens forpliktelser til å levere tjenester i samsvar med Hovedavtalen avsluttes, med unntak for bestemmelser som fortsetter å gjelde.
    2. Når denne Avtalen opphører, kan Behandlingsansvarlig kreve å få tilbakelevert personopplysningene fra Databehandleren (kun opplysninger som lagres i sikkerhetskopier) i en periode på en måned. Databehandleren skal gi rimelig bistand for å tilbakelevere personopplysningene i et lesbart, tilgjengelig og kommersielt fornuftig filformat. Behandlingsansvarlige skal dekke Databehandlers rimelige kostnader knyttet til tilbakelevering av personopplysninger. Etter tilbakeleveringsperioden kan Databehandleren slette personopplysningene uten ytterligere forvarsel, med mindre avtalen mellom Databehandleren og den Behandlingsansvarlige, eller lovverket, krever at personopplysningene lagres.
    3. Med hensyn til personopplysninger som lagres på sikkerhetskopiservere, skal disse opplysningene slettes i samsvar med ordinære rutiner og bransjestandarder.
    4. Når Behandlingsansvarlig ber om det, skal Databehandleren gi Behandlingsansvarlig en skriftlig bekreftelse på at alle de nevnte personopplysningene har blitt returnert eller slettet, med mindre annet følger av gjeldende lovgivning.

12. GJELDENDE LOVVERK OG STED

    1. Avtalen er underlagt norsk rett.
    2. Tvister eller krav som oppstår på grunn av denne Avtalen, skal løses av Oslo tingrett.

Denne Avtale er i 2 – to eksemplarer, hvorav partene har hvert sitt.

Sted og dato:
På vegne av Behandlingsansvarlig

(underskrift)

På vegne av Databehandler

(underskrift)

Vedlegg 1: Behandlingen og kategoriene for personopplysninger som skal behandles

Tjenesteleveransen kan innebære behandling av personopplysninger og Behandlingsansvarliges kunder, leverandører eller ansatte gjennom informasjonssystemene ERP, CRM og/eller HRS, avhengig av den Behandlingsansvarliges konkrete bruk av tjenester som beskrevet i Hovedavtalen.

Behandlingen kan omfatte følgende kategorier av personopplysninger, avhengig av den Behandlingsansvarliges konkrete bruk av tjenester som beskrevet i Hovedavtalen:

1. Alminnelige personopplysninger om ansatte hos Kunden, herunder navn, telefonnummer, adresse, stilling, e-post, mv.
2. Alminnelige personopplysninger om ansatte hos leverandører, herunder navn, telefonnummer, adresse, stilling, e-post, mv.
3. Innholdet i e-postkommunikasjon og EHF-meldinger mellom ansatte og leverandør, herunder varekataloger og ordre.

Vedlegg 2: Godkjente underleverandører

Databehandler har følgende underleverandører:

Microsoft Norge AS
Org nr: 957 485 030
Adresse: Dronning Eufemias gate 71, 0194 Oslo

Beskrivelse av behandling:
Hosting provider for Vieri Katalog (Microsoft Azure)

Behandlingssted: Nederland og Irland

Kategorier av personopplysninger:
Ansatte hos Kunden og, ansatte hos Leverandøren: Navn, telefonnummer, e- postadresse, stilling

Orbyt AS
Org nr: 980 131 726
Adresse: Kjøita 6, 4630 Kristiansand S

Beskrivelse av behandling:
Underleverandør programvare for Vieri Connect (transaksjonsmotor)

Behandlingssted: Norge

Kategorier av personopplysninger:
Ansatte hos Kunden og, ansatte hos Leverandøren: Navn, telefonnummer, e- postadresse, stilling

EMP Secure AS (tidl. Hatteland)
Org nr: 968 504 436
Adresse: Raglamyrvegen 30, 5536 Haugesund

Beskrivelse av behandling:
Hosting provider for Vieri Connect

Behandlingssted: Norge

Kategorier av personopplysninger:
Ansatte hos Kunden og, ansatte hos Leverandøren: Navn, telefonnummer, e- postadresse, stilling