Databehandleravtale

1. Partene

Behandlingsansvarlig:

Databehandler:

2. Avtalens formål og omfang

Avtalen regulerer databehandlers behandling av personopplysninger på vegne av behandlingsansvarlig, jf. personvernforordningen (GDPR) artikkel 28. Hovedavtalen som regulerer det underliggende leveranseforholdet er:

3. Behandlingens art, formål og varighet

Behandlingen omfatter følgende:

4. Kategorier personopplysninger

Følgende kategorier personopplysninger behandles:

5. Kategorier registrerte

6. Behandlingsansvarliges plikter

Behandlingsansvarlig har rettslig grunnlag for behandlingen etter GDPR art. 6 (og eventuelt art. 9/10), gir dokumenterte instrukser til databehandler og ivaretar de registrertes rettigheter. Behandlingsansvarlig kan til enhver tid endre eller utdype instruksene skriftlig.

7. Databehandlers plikter

Databehandler skal kun behandle personopplysninger etter dokumenterte instrukser fra behandlingsansvarlig, også når det gjelder overføring til tredjeland, med mindre annet følger av EØS-rett eller nasjonal rett (i så fall skal behandlingsansvarlig varsles før behandlingen); sørge for at personer med tilgang har taushetsplikt; bistå behandlingsansvarlig ved henvendelser fra registrerte og med å oppfylle pliktene i art. 32–36 (sikkerhet, avviksmelding, personvernkonsekvensvurdering og forhåndsdrøfting); varsle om brudd uten ugrunnet opphold; ved opphør slette eller tilbakelevere opplysningene og slette eksisterende kopier; og stille nødvendig informasjon til rådighet for å dokumentere etterlevelse og muliggjøre revisjon. Databehandler skal umiddelbart varsle behandlingsansvarlig dersom en instruks etter databehandlers vurdering er i strid med personvernregelverket. Bruker databehandler underdatabehandlere, skal de samme pliktene pålegges dem ved avtale, og databehandler forblir fullt ansvarlig overfor behandlingsansvarlig for deres oppfyllelse, jf. GDPR art. 28 nr. 2–4.

8. Sikkerhetstiltak (art. 32)

Databehandler skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre konfidensialitet, integritet, tilgjengelighet og robusthet. Følgende tiltak er minimum:

9. Bruk av underdatabehandlere

Databehandler kan benytte underdatabehandlere på følgende vilkår:

Liste over godkjente underdatabehandlere ved avtaleinngåelse:

10. Overføring til tredjeland

Overføring av personopplysninger til land utenfor EØS skal bygge på et gyldig overføringsgrunnlag etter GDPR kapittel V, og databehandler skal gjennomføre en konkret risikovurdering (TIA) i tråd med Schrems II (C-311/18).

11. Avviksvarsling

Databehandler skal uten ugrunnet opphold, og senest innen 24 timer etter at avviket er oppdaget, varsle behandlingsansvarlig skriftlig om brudd på personopplysningssikkerheten, jf. GDPR art. 33 nr. 2.

12. Revisjon og tilsyn

Behandlingsansvarlig har rett til å gjennomføre revisjon, herunder inspeksjon, av databehandlers etterlevelse av avtalen. Databehandler kan dokumentere etterlevelse gjennom anerkjent tredjepartsrevisjon (f.eks. ISAE 3000/3402). Kostnader bæres av:

13. Opphør og sletting

Ved avtalens opphør skal databehandler etter behandlingsansvarliges valg:

14. Ansvar og erstatning

Partene er ansvarlige etter GDPR art. 82 og personopplysningsloven § 30. Eventuell ansvarsbegrensning i hovedavtalen gjelder så langt den er forenlig med personvernregelverket.

15. Lovvalg og verneting

Avtalen reguleres av norsk rett. Tvister søkes løst ved forhandlinger. Verneting er:

16. Signatur

Avtalen er inngått elektronisk i to eksemplarer, ett til hver part. Signering med BankID via esigner.no gir tilsvarende rettsvirkning som håndskrevet signatur, jf. lov om elektroniske tillitstjenester.