databehandleravtale

Standardavtalevilkår i henhold til artikkel 28 nummer 3 i Europaparlamentets og Rådets forordning 2016/679 (personvernforordningen) med henblikk på databehandlerens behandling av personopplysninger.

1. Parter og inngåelse

Disse standardavtalevilkårene (Vilkårene) er inngått mellom

Kunden, det vil si virksomheten som har inngått avtale om bruk av krdo etter abonnementsvilkårene, heretter «den behandlingsansvarlige»,

og

Kerdoos AS
Org.nr. 938 823 855
Stortorget 1A
9008 Tromsø
Norge
heretter «databehandleren»,

som hver for seg er en «part» og sammen utgjør «partene».

Partene HAR AVTALT følgende standardavtalevilkår (Vilkårene) med henblikk på å overholde personvernforordningen og sikre beskyttelse av fysiske personers grunnleggende rettigheter og friheter.

Vilkårene inngås elektronisk samtidig med abonnementsvilkårene, se vedlegg D. Kunder som ønsker et signert eksemplar, får det ved å kontakte kontakt@krdo.no.

2. Innledning

2.1 Disse Vilkårene fastsetter den behandlingsansvarlige og databehandlerens rettigheter og plikter når databehandleren utfører behandling av personopplysninger på vegne av den behandlingsansvarlige.

2.2 Disse Vilkårene er utformet for å sikre partenes etterlevelse av artikkel 28 nummer 3 i Europaparlamentets og Rådets forordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (personvernforordningen).

2.3 I forbindelse med leveringen av krdo behandler databehandleren personopplysninger på vegne av den behandlingsansvarlige i overensstemmelse med disse Vilkårene.

2.4 Vilkårene har forrang i forhold til eventuelle tilsvarende bestemmelser i andre avtaler mellom partene.

2.5 Det er fire vedlegg til disse Vilkårene, og vedleggene utgjør en integrert del av Vilkårene.

2.6 Vedlegg A inneholder nærmere opplysninger om behandlingen av personopplysninger, herunder om behandlingens formål og art, typen av personopplysninger, kategoriene av registrerte og behandlingens varighet.

2.7 Vedlegg B inneholder den behandlingsansvarliges betingelser for databehandlerens bruk av underdatabehandlere og en liste over underdatabehandlere som den behandlingsansvarlige har godkjent.

2.8 Vedlegg C inneholder den behandlingsansvarliges instruks når det gjelder databehandlerens behandling av personopplysninger, en beskrivelse av de sikkerhetstiltakene som databehandleren som minimum skal gjennomføre, og hvordan revisjoner av databehandleren og eventuelle underdatabehandlere skal utføres.

2.9 Vedlegg D inneholder bestemmelser om andre aktiviteter som ikke er omfattet av Vilkårene.

2.10 Vilkårene med tilhørende vedlegg skal oppbevares skriftlig, herunder elektronisk, av begge parter.

2.11 Disse Vilkårene fritar ikke databehandleren fra plikter som databehandleren er pålagt etter personvernforordningen eller annen lovgivning.

3. Den behandlingsansvarliges rettigheter og plikter

3.1 Den behandlingsansvarlige er ansvarlig for å sikre at behandlingen av personopplysninger skjer i overensstemmelse med personvernforordningen (se personvernforordningen artikkel 24), gjeldende personopplysningsvernbestemmelser i unionsretten eller medlemsstatenes¹ nasjonale rett og disse Vilkårene.

3.2 Den behandlingsansvarlige har rett og plikt til å bestemme formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes.

3.3 Den behandlingsansvarlige er ansvarlig for, blant annet, å sikre at det foreligger et behandlingsgrunnlag for behandlingen av personopplysninger som databehandleren instrueres om å gjøre.

4. Databehandleren handler etter instrukser

4.1 Databehandleren skal bare behandle personopplysninger etter dokumenterte instrukser fra den behandlingsansvarlige, med mindre noe annet kreves av unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt. Disse instruksene skal være spesifisert i vedlegg A og C. Etterfølgende instrukser kan også gis av den behandlingsansvarlige mens det skjer behandling av personopplysninger, men instruksene skal alltid være dokumenterte og oppbevares skriftlig, herunder elektronisk, sammen med disse Vilkårene.

4.2 Databehandleren skal omgående underrette den behandlingsansvarlige dersom en instruks fra den behandlingsansvarlige, etter databehandlerens mening, er i strid med personvernforordningen eller gjeldende personopplysningsvernbestemmelser i unionsretten eller medlemsstatenes nasjonale rett.

5. Konfidensialitet

5.1 Databehandleren kan bare gi tilgang til personopplysninger som behandles på den behandlingsansvarliges vegne til personer underlagt databehandlerens instruksjonsmyndighet som har forpliktet seg til konfidensialitet eller er underlagt en passende lovbestemt taushetsplikt, og bare i det nødvendige omfang. Listen av personer som har fått tilgang skal gjennomgås fortløpende. På bakgrunn av en slik gjennomgang kan tilgangen til personopplysninger stenges, dersom den ikke lenger er nødvendig, og personopplysningene skal deretter ikke lenger være tilgjengelig for disse personene.

5.2 Databehandleren skal etter anmodning fra den behandlingsansvarlige kunne påvise at de aktuelle personene underlagt databehandlerens instruksjonsmyndighet er underlagt ovennevnte taushetsplikt.

6. Sikkerhet ved behandlingen

6.1 Personvernforordningen artikkel 32 fastslår at, idet det tas hensyn til den tekniske utviklingen, gjennomføringskostnadene og behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige og databehandleren gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen.

Den behandlingsansvarlige skal vurdere risikoene for fysiske personers rettigheter og friheter som behandlingen utgjør og gjennomføre tiltak for å imøtegå disse risikoene. Avhengig av relevans kan tiltakene omfatte:

1. pseudonymisering og kryptering av personopplysninger
2. evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemene og -tjenestene
3. evne til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger i rett tid dersom det oppstår en fysisk eller teknisk hendelse
4. en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er.

6.2 Ifølge personvernforordningen artikkel 32 skal databehandleren – uavhengig av den behandlingsansvarlige – også vurdere risikoene for fysiske personers rettigheter og friheter som behandlingen utgjør, og gjennomføre tiltak for å imøtegå risikoene. Med henblikk på denne vurderingen skal den behandlingsansvarlige stille den nødvendige informasjonen til rådighet for databehandleren som gjør vedkommende i stand til å identifisere og vurdere slike risikoer.

6.3 Databehandleren skal også bistå den behandlingsansvarlige med å overholde den behandlingsansvarliges plikter etter personvernforordningen artikkel 32, ved blant annet å stille til den behandlingsansvarliges rådighet nødvendig informasjon om de tekniske og organisatoriske sikkerhetstiltakene som databehandleren allerede har gjennomført i henhold til personvernforordningen artikkel 32, samt all annen informasjon som er nødvendig for at den behandlingsansvarlige skal kunne overholde sine plikter etter personvernforordningen artikkel 32.

Hvis imøtegåelse av de identifiserte risikoene – etter den behandlingsansvarliges vurdering – krever at det gjennomføres ytterligere tiltak enn det databehandleren allerede har gjennomført, skal den behandlingsansvarlige angi disse tiltakene i vedlegg C.

7. Bruk av underdatabehandlere

7.1 Databehandleren skal oppfylle betingelsene som er fastsatt i personvernforordningen artikkel 28 nummer 2 og nummer 4 for å gjøre bruk av en annen databehandler (en underdatabehandler).

7.2 Databehandleren må således ikke bruke en underdatabehandler for å oppfylle Vilkårene uten på forhånd å ha innhentet en generell skriftlig godkjennelse fra den behandlingsansvarlige.

7.3 Databehandleren har den behandlingsansvarliges generelle godkjennelse til å benytte underdatabehandlere. Databehandleren skal skriftlig underrette den behandlingsansvarlige om eventuelle planlagte endringer som gjelder tilføyelse eller utskiftning av underdatabehandlere med minst 30 dagers varsel og dermed gi den behandlingsansvarlige mulighet til å motsette seg slike endringer før den eller de beskrevne underdatabehandler(e) engasjeres. Lengre varslingsfrister for spesifikke underdatabehandlertjenester kan angis i vedlegg B. Listen over underdatabehandlere som den behandlingsansvarlige allerede har godkjent fremgår av vedlegg B.

7.4 Når databehandleren engasjerer en underdatabehandler for å utføre spesifikke behandlingsaktiviteter på vegne av den behandlingsansvarlige, skal underleverandøren pålegges de samme forpliktelsene med hensyn til vern av personopplysninger som er fastsatt i disse Vilkårene, ved hjelp av en avtale eller et annet rettslig dokument i henhold til unionsretten eller medlemsstatenes nasjonale rett, der det særlig gis tilstrekkelige garantier for at det vil bli gjennomført tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i denne forordning.

Databehandleren er derfor ansvarlig for å kreve at underdatabehandleren som minimum overholder databehandlerens forpliktelser etter disse Vilkårene og personvernforordningen.

7.5 En kopi av slik underdatabehandleravtale og eventuelle etterfølgende endringer skal – ved den behandlingsansvarliges anmodning – sendes til den behandlingsansvarlige, som på denne måten har mulighet for å sørge for at underdatabehandleren er pålagt de samme forpliktelsene med hensyn til vern av personopplysninger som er fastsatt i disse Vilkårene. Kommersielle bestemmelser som ikke påvirker det personopplysningsvernrettslige innholdet av underdatabehandleravtalen, er ikke underlagt kravet om kopi til den behandlingsansvarlige.

7.6 Databehandleren skal i underdatabehandleravtalen inkludere den behandlingsansvarlige som begunstiget tredjepart i tilfelle databehandleren går konkurs, slik at den behandlingsansvarlige kan tre inn i databehandlerens rettigheter og gjøre dem gjeldende overfor underdatabehandler, hvilket for eksempel setter den behandlingsansvarlige i stand til å instruere underdatabehandleren om å slette eller tilbakeføre personopplysningene.

7.7 Hvis underdatabehandleren ikke oppfyller sine personopplysningsvernforpliktelser blir databehandleren fullt ut ansvarlig overfor den behandlingsansvarlige når det gjelder oppfyllelse av underdatabehandlerens forpliktelser. Dette påvirker ikke de registrertes rettigheter etter personvernforordningen – særlig de nedfestet i personvernforordningen artikkel 79 og 82 – overfor den behandlingsansvarlige og databehandleren, herunder underdatabehandleren.

8. Overføring til tredjeland eller internasjonale organisasjoner

8.1 Databehandleren kan kun overføre personopplysninger til tredjeland eller internasjonale organisasjoner etter dokumentert instruks fra den behandlingsansvarlige, og slik overføring skal alltid skje i overensstemmelse med personvernforordningen kapittel V.

8.2 Hvis overføring av personopplysninger til tredjeland eller internasjonale organisasjoner, som databehandleren ikke er blitt instruert av den behandlingsansvarlige om å gjennomføre, kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt, skal databehandleren underrette den behandlingsansvarlige om nevnte rettslige krav før behandlingen, med mindre denne rett av hensyn til viktige allmenne interesser forbyr en slik underretning.

8.3 Uten dokumentert instruks fra den behandlingsansvarlige kan databehandleren innenfor rammene av disse Vilkårene således ikke:

1. overføre personopplysninger til en behandlingsansvarlig eller databehandler i et tredjeland eller en internasjonal organisasjon
2. overlate behandling av personopplysninger til en underdatabehandler i et tredjeland
3. behandle personopplysningene i et tredjeland

8.4 Den behandlingsansvarliges instruks når det gjelder overføring av personopplysninger til et tredjeland, herunder det eventuelle overføringsgrunnlaget i personvernforordningen kapittel V som overføringen er basert på, skal angis i vedlegg C.6.

8.5 Disse Vilkårene skal ikke forveksles med standard personvernbestemmelser som omhandlet i personvernforordningen artikkel 46 nummer 2 bokstav c og d, og disse Vilkårene kan ikke utgjøre et grunnlag for overføring av personopplysninger under personvernforordningen kapittel V.

9. Bistand til den behandlingsansvarlige

9.1 Databehandleren bistår, idet det tas hensyn til behandlingens art og i den grad det er mulig, ved hjelp av egnede tekniske og organisatoriske tiltak, den behandlingsansvarlige med å oppfylle vedkommendes plikt til å svare på anmodninger som den registrerte inngir med henblikk på å utøve sine rettigheter fastsatt i personvernforordningen kapittel III.

Dette innebærer at databehandleren så langt det er mulig skal bistå den behandlingsansvarlige i den behandlingsansvarliges oppfyllelse av:

1. opplysningsplikten ved innsamling av personopplysninger fra den registrerte
2. opplysningsplikten dersom personopplysninger ikke er blitt samlet inn fra den registrerte
3. den registrertes rett til innsyn
4. retten til retting
5. retten til sletting («retten til å bli glemt»)
6. retten til begrensning av behandling
7. underretningsplikten i forbindelse med retting eller sletting av personopplysninger eller begrensning av behandling
8. retten til dataportabilitet
9. retten til å protestere
10. retten til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisk behandling, herunder profilering

9.2 I tillegg til databehandlerens forpliktelse til å bistå den behandlingsansvarlige i henhold til Vilkårene 6.3, bistår databehandleren også, idet det tas hensyn til behandlingens art og den informasjonen som er tilgjengelig for databehandleren, den behandlingsansvarlige med:

1. den behandlingsansvarliges forpliktelse ved brudd på personopplysningssikkerheten til uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det, melde bruddet på personopplysningssikkerheten til den kompetente tilsynsmyndigheten, Datatilsynet, med mindre bruddet sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter
2. den behandlingsansvarliges forpliktelse til uten ugrunnet opphold å underrette den registrerte om bruddet på personopplysningssikkerheten når det er sannsynlig at bruddet vil medføre en høy risiko for fysiske personers rettigheter og friheter
3. den behandlingsansvarliges forpliktelse til før behandlingen å foreta en vurdering av hvilke konsekvenser den planlagte behandlingen vil ha for personopplysningsvernet (vurdering av personvernkonsekvenser)
4. den behandlingsansvarliges forpliktelse til å rådføre seg med den kompetente tilsynsmyndigheten, Datatilsynet, før behandlingen dersom en vurdering av personvernkonsekvenser tilsier at behandlingen vil medføre en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen.

9.3 Partene skal i vedlegg C oppgi de egnede tekniske og organisatoriske tiltakene gjennom hvilke databehandleren skal bistå den behandlingsansvarlige, samt omfanget og utstrekningen av den påkrevde bistanden. Dette gjelder for forpliktelsene som følger av Vilkårene 9.1 og 9.2.

10. Underretning om brudd på personopplysningssikkerheten

10.1 Ved brudd på personopplysningssikkerheten skal databehandleren underrette den behandlingsansvarlige om bruddet uten ugrunnet opphold etter å ha fått kjennskap til det.

10.2 Databehandlerens underretning til den behandlingsansvarlige skal om mulig skje innen 48 timer etter at databehandleren har fått kjennskap til bruddet på personopplysningssikkerheten, slik at den behandlingsansvarlige kan overholde sin forpliktelse til å melde bruddet til den kompetente tilsynsmyndigheten, jf. personvernforordningen artikkel 33.

10.3 I overensstemmelse med Vilkår 9 nummer 2 bokstav a skal databehandleren bistå den behandlingsansvarlige med å melde bruddet til den kompetente tilsynsmyndigheten. Det innebærer at databehandleren skal bistå med å fremskaffe informasjon listet opp nedenfor, som ifølge personvernforordningen artikkel 33 nummer 3 skal fremgå av den behandlingsansvarliges melding av bruddet til den kompetente tilsynsmyndigheten:

1. arten av bruddet på personopplysningssikkerheten, herunder, når det er mulig, kategoriene av og omtrentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt
2. de sannsynlige konsekvenser av bruddet på personopplysningssikkerheten
3. de tiltak som den behandlingsansvarlige har truffet eller foreslår å treffe for å håndtere bruddet på personopplysningssikkerheten, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet.

10.4 Partene skal i vedlegg C oppgi all informasjon som databehandleren skal fremskaffe når vedkommende bistår den behandlingsansvarlige med å melde brudd på personopplysningssikkerheten til den kompetente tilsynsmyndigheten.

11. Sletting og returnering av opplysninger

11.1 Ved opphør av databehandlertjenestene skal databehandleren levere tilbake alle personopplysningene og slette eksisterende kopier, med mindre unionsretten eller medlemsstatenes nasjonale rett krever oppbevaring av personopplysningene.

11.2 Databehandleren forplikter seg til å utelukkende behandle personopplysningene til de(t) formål, med den varighet og under de betingelsene som disse reglene fastsetter.

Hvordan tilbakelevering og sletting skjer i praksis, står i vedlegg C.4.

12. Revisjon, herunder inspeksjon

12.1 Databehandleren skal stille til den behandlingsansvarliges disposisjon all informasjon som er nødvendig for å påvise etterlevelse av forpliktelsene etter personvernforordningen artikkel 28 og disse Vilkårene. Videre skal databehandleren muliggjøre og bidra til revisjoner, herunder inspeksjoner, som utføres av den behandlingsansvarlige eller en annen revisor som er bemyndiget av den behandlingsansvarlige.

12.2 Prosedyrene for den behandlingsansvarliges revisjoner, herunder inspeksjoner, av databehandleren og underdatabehandlere er spesifisert i vedlegg C.7 og C.8.

12.3 Databehandleren forplikter seg til å gi tilsynsmyndighetene, som etter gjeldende lovgivning har tilgang til den behandlingsansvarliges eller databehandlerens lokaler, eller representanter som opptrer på slike tilsynsmyndigheters vegne, adgang til databehandlerens fysiske lokaler ved presentasjon av behørig legitimasjon.

13. Partenes avtale om andre forhold

13.1 Partene kan avtale andre bestemmelser som gjelder databehandlertjenestene, f.eks. erstatningsansvar, så lenge disse andre bestemmelsene ikke direkte eller indirekte strider mot disse Vilkårene eller er til skade for den registrertes grunnleggende rettigheter og friheter og beskyttelsen som følger av personvernforordningen.

14. Ikrafttredelse og opphør

14.1 Vilkårene trer i kraft på datoen for begge partenes underskrift. Se vedlegg D om elektronisk inngåelse.

14.2 Begge partene kan kreve Vilkårene reforhandlet dersom lovendringer eller uhensiktsmessigheter i Vilkårene gir grunn til dette.

14.3 Vilkårene gjelder så lenge databehandlertjenestene varer. I denne perioden kan Vilkårene ikke sies opp, med mindre partene avtaler andre vilkår som regulerer levering av databehandlertjenestene.

14.4 Hvis leveringen av databehandlertjenestene opphører, og personopplysningene er slettet eller returnert til den behandlingsansvarlige i overensstemmelse med Vilkårene 11.1 og vedlegg C.4, kan Vilkårene sies opp med skriftlig varsel av begge partene.

15. Kontaktpersoner hos den behandlingsansvarlige og databehandleren

15.1 Partene kan kontakte hverandre via nedenstående kontaktpersoner.

15.2 Partene forplikter seg til å orientere hverandre løpende om endringer som gjelder kontaktpersoner.

Den behandlingsansvarlige: personen som er registrert som eier av kundens konto i krdo, og øvrige brukere med administratorrolle.

Databehandleren: Kerdoos AS, kontakt@krdo.no.

Vedlegg A. Opplysninger om behandlingen

A.1 Formålet med databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige

Å levere tjenesten krdo til den behandlingsansvarlige, slik at den behandlingsansvarlige kan styre personal, arbeid, dokumenter, sikkerhet og drift, innkjøp og handel i de modulene den behandlingsansvarlige har tatt i bruk. Formålet omfatter også drift, sikkerhetskopiering, feilretting og brukerstøtte.

A.2 Behandlingens art

Lagring, strukturering, visning, søk, sammenstilling, utsending av varsler og e-post, utveksling med systemer den behandlingsansvarlige har koblet til, behandling i AI-funksjonene i tjenesten, sikkerhetskopiering og sletting.

A.3 Typer av personopplysninger

Hvilke opplysninger som behandles, avhenger av hvilke moduler den behandlingsansvarlige bruker og hva den behandlingsansvarlige selv legger inn. Behandlingen kan omfatte:

• Bruker og innlogging: navn, e-postadresse, telefonnummer, passord (lagret som enveis hash), opplysninger om tofaktorpålogging, rolle og tilganger, språk og innstillinger, tidspunkt for innlogging og logg over hva brukeren har åpnet og endret.
• Ansatte og mannskap: stilling, avdeling og leder, ansettelsesforhold, fødselsdato, fødested, nasjonalitet, fødselsnummer eller annet identitetsnummer, adresse, pårørende med kontaktopplysninger, kompetanser, kurs, sertifikater med utløpsdato og utviklingsplaner.
• Arbeid og tid: oppgaver, mål, idéer, møter med deltakere og referater, timeregistreringer, fravær med type og periode, turer og mannskapslister, lottoppgjør med fordeling per person.
• Medarbeiderundersøkelser: svar på pulsundersøkelser og oppsummeringer av dem.
• Sikkerhet og drift: avvik og hendelser med involverte personer, risikovurderinger, kvitteringer for leste dokumenter, eksponeringsregister, utførte kontroller i mattrygghet og vedlikehold med navn på den som utførte dem, og signaturer.
• Leverandører og kunder: navn og kontaktopplysninger til kontaktpersoner hos leverandører, og opplysninger om sluttkunder i ordrer som hentes fra den behandlingsansvarliges salgskanaler (navn, adresse, e-post, telefon og hva som er bestilt).
• Dokumenter og fritekst: personopplysninger den behandlingsansvarlige selv legger i dokumenter, skjemaer, kommentarer, vedlegg og samtaler med assistenten Iris.

Særlige kategorier av personopplysninger (personvernforordningen artikkel 9): helseopplysninger kan forekomme i fravær, i eksponeringsregisteret, i avvik og hendelser som gjelder personskade, og i skipsmedisinmodulen der utlevering av legemidler føres. Fagforeningsmedlemskap og andre særlige kategorier behandles bare dersom den behandlingsansvarlige selv legger dem inn.

A.4 Kategorier av registrerte

• den behandlingsansvarliges ansatte, innleide, mannskap og andre brukere av tjenesten
• pårørende til ansatte og mannskap
• jobbsøkere og tidligere ansatte, dersom den behandlingsansvarlige registrerer dem
• kontaktpersoner hos den behandlingsansvarliges leverandører, kunder og samarbeidspartnere
• den behandlingsansvarliges sluttkunder, når ordrer hentes inn fra salgskanaler
• andre personer som omtales i dokumenter og registreringer

A.5 Behandlingens varighet

Databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige kan begynne etter at Vilkårene har trådt i kraft. Behandlingen varer så lenge den behandlingsansvarlige har avtale om bruk av krdo, og deretter til opplysningene er levert tilbake og slettet etter vedlegg C.4.

Vedlegg B. Underdatabehandlere

B.1 Godkjente underdatabehandlere

Ved Vilkårenes ikrafttredelse godkjenner den behandlingsansvarlige bruken av følgende underdatabehandlere:

Den til enhver tid gjeldende listen, med behandlingssted og overføringsgrunnlag, står på siden underleverandører.

Ved Vilkårenes ikrafttredelse har den behandlingsansvarlige godkjent bruken av ovennevnte underdatabehandlere for den behandlingsaktiviteten som er beskrevet for vedkommende. Databehandleren kan ikke – uten å følge fremgangsmåten i punkt 7.3 og B.2 – benytte en underdatabehandler til en annen behandlingsaktivitet enn den som er avtalt for vedkommende eller bruke en annen underdatabehandler til den beskrevne behandlingsaktiviteten.

B.2 Varsel om endring av underdatabehandlere

Databehandleren varsler om tilføyelse eller utskiftning av underdatabehandlere på e-post til den behandlingsansvarliges administratorer minst 30 dager før endringen, og oppdaterer samtidig siden underleverandører.

Den behandlingsansvarlige kan motsette seg endringen skriftlig innen 14 dager etter varselet, dersom innsigelsen har saklig grunn i hensynet til personopplysningsvernet. Partene skal da i god tro forsøke å finne en løsning. Finner de ingen løsning før endringen trer i kraft, kan den behandlingsansvarlige si opp den delen av tjenesten som berøres med virkning fra endringstidspunktet, og får forholdsmessig tilbake forskuddsbetalt vederlag for tiden etter opphøret.

Vedlegg C. Instruks for behandling av personopplysninger

C.1 Behandlingens gjenstand og instruks for behandlingen

Databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige skjer ved at databehandleren leverer tjenesten krdo slik den er beskrevet i abonnementsvilkårene og i tjenesten. Den behandlingsansvarlige gir instrukser gjennom avtalen, gjennom innstillinger og bruk av tjenesten, og ved skriftlige henvendelser til databehandleren.

Databehandleren behandler ikke personopplysningene til egne formål, og bruker dem ikke til å trene AI-modeller.

C.2 Informasjonssikkerhet

Sikkerhetsnivået skal gjenspeile at tjenesten kan inneholde opplysninger om ansettelsesforhold, fødselsnummer og, i enkelte moduler, helseopplysninger etter personvernforordningen artikkel 9. Det skal derfor etableres et høyt sikkerhetsnivå.

Databehandleren har heretter rett og plikt til å treffe beslutninger om hvilke tekniske og organisatoriske sikkerhetstiltak som skal gjennomføres for å etablere det nødvendige (og avtalte) sikkerhetsnivået.

Databehandleren skal likevel – under enhver omstendighet og som minimum – gjennomføre følgende tiltak, som er avtalt med den behandlingsansvarlige:

• Kryptering: all trafikk til og fra tjenesten er kryptert med TLS 1.2 eller nyere. Database, filer, sikkerhetskopier og logger er kryptert ved lagring. Passord lagres som enveis hash. Fødselsnummer og tilsvarende identitetsnummer krypteres i tillegg i databasen.
• Atskillelse: hver kunde har sin egen database, og filer lagres atskilt per kunde.
• Tilgangsstyring i tjenesten: roller og tilganger styres av den behandlingsansvarlige. Tofaktorpålogging er tilgjengelig for alle brukere.
• Databehandlerens egen tilgang: bare ansatte hos databehandleren som trenger det for drift, feilretting eller brukerstøtte har tilgang til kundedata. De har taushetsplikt, bruker personlige kontoer med tofaktorpålogging, og tilgangen gjennomgås jevnlig.
• Tilgjengelighet og robusthet: tjenesten kjører på flere servere bak en lastfordeler, og databasen er speilet mellom to datasentre i samme region.
• Gjenoppretting: databasen sikkerhetskopieres daglig, og sikkerhetskopiene oppbevares i 30 dager. Filer versjoneres. Gjenoppretting testes jevnlig.
• Beskyttelse mot angrep: brannmur for webtrafikk, hastighetsbegrensning og beskyttelse mot tjenestenektangrep. Serverne tar bare imot trafikk gjennom lastfordeleren.
• Sikker utvikling: endringer går gjennom versjonskontroll og automatiske tester før de settes i drift, og programvare vi bygger på holdes oppdatert. Hemmeligheter som nøkler og passord oppbevares i et eget hemmelighetslager.
• Fysisk sikring: data lagres i datasentrene til Amazon Web Services, som er sertifisert etter blant annet ISO 27001. Databehandleren oppbevarer ikke kundedata i egne lokaler.
• Fjernarbeid: ansatte arbeider på enheter med kryptert disk og skjermlås, og kundedata lagres ikke lokalt.
• Logging: tjenesten fører tilgangslogg over hvem som har åpnet og endret opplysninger. Drifts- og sikkerhetslogger oppbevares i 90 dager.
• Testing og vurdering: databehandleren gjennomgår sikkerhetstiltakene minst én gang i året og etter vesentlige endringer eller hendelser.

C.3 Bistand til den behandlingsansvarlige

Databehandleren skal i den grad det er mulig bistå den behandlingsansvarlige i samsvar med Vilkårene 9.1 og 9.2 ved å gjennomføre følgende tekniske og organisatoriske tiltak:

• Tjenesten har funksjoner som lar den behandlingsansvarlige selv finne, rette, eksportere og slette opplysninger om en registrert.
• Henvender en registrert seg direkte til databehandleren, sender databehandleren henvendelsen videre til den behandlingsansvarlige uten ugrunnet opphold og svarer ikke selv på den.
• Ved brudd på personopplysningssikkerheten gir databehandleren den informasjonen som er nevnt i punkt 10.3, så langt den er tilgjengelig, og supplerer etter hvert som mer blir kjent.
• Databehandleren gir på forespørsel den dokumentasjonen om tjenesten og sikkerhetstiltakene som den behandlingsansvarlige trenger til en vurdering av personvernkonsekvenser.

Om vederlag for bistand, se vedlegg D.

C.4 Oppbevaringsperiode og sletteprosedyrer

Personopplysninger oppbevares så lenge avtalen om bruk av krdo løper, med mindre den behandlingsansvarlige sletter dem tidligere. Den behandlingsansvarlige bestemmer selv hvor lenge opplysningene skal lagres i tjenesten, og sletter dem der.

Ved opphør av databehandlertjenestene kan den behandlingsansvarlige hente ut dataene sine i et strukturert, alminnelig brukt og maskinlesbart format i 30 dager etter opphørstidspunktet. Deretter sletter databehandleren personopplysningene fra tjenesten innen 30 dager. Sikkerhetskopier overskrives fortløpende og er slettet senest 90 dager etter at opplysningene ble slettet fra tjenesten. Databehandleren bekrefter slettingen skriftlig når den behandlingsansvarlige ber om det.

C.5 Lokasjon for behandling

Behandling av personopplysninger som omfattes av Vilkårene kan ikke, uten den behandlingsansvarliges skriftlige forhåndsgodkjennelse, finne sted på andre lokasjoner enn følgende:

• Amazon Web Services' datasentre i Frankfurt, Tyskland (lagring og drift)
• databehandlerens kontor i Tromsø og ansattes fjernarbeidsplasser i EØS (drift, feilretting og brukerstøtte)
• lokasjonene til underdatabehandlerne i vedlegg B, slik de er oppgitt på siden underleverandører

C.6 Instruks for overføring av personopplysninger til tredjeland

Kundedata lagres i EØS. Den behandlingsansvarlige instruerer databehandleren om at personopplysninger kan overføres til USA i følgende tilfeller:

• når trafikk til tjenesten passerer gjennom Cloudflares nettverk
• når AI-funksjonene i tjenesten sender innhold til OpenAI
• når underdatabehandlere i EØS får bistand fra tilknyttede selskaper i USA til drift og brukerstøtte

Grunnlaget for overføringene er Europakommisjonens beslutning om tilstrekkelig beskyttelsesnivå for virksomheter som er sertifisert etter EU–US Data Privacy Framework (personvernforordningen artikkel 45). For mottakere som ikke er sertifisert, eller dersom beslutningen bortfaller, er grunnlaget EUs standard personvernbestemmelser (artikkel 46 nummer 2 bokstav c).

Hvis ikke den behandlingsansvarlige i Vilkårene eller etterfølgende gir en dokumentert instruks som gjelder overføring av personopplysninger til et tredjeland eller internasjonal organisasjon, kan ikke databehandleren, innen rammene av Vilkårene, gjennomføre slike overføringer.

C.7 Prosedyrer for den behandlingsansvarliges revisjoner av databehandleren

Databehandleren gir på forespørsel, og inntil én gang i året uten vederlag, en skriftlig redegjørelse for hvordan Vilkårene og sikkerhetstiltakene i C.2 etterleves, sammen med relevante revisjonsrapporter og sertifikater fra underdatabehandlerne.

Den behandlingsansvarlige eller den behandlingsansvarliges representant skal dessuten ha adgang til å inspisere, herunder inspisere fysisk, stedene hvor databehandleren foretar behandling av personopplysninger, herunder fysiske lokaler samt systemer som benyttes til og relatert til behandlingen. Slike inspeksjoner kan gjennomføres når den behandlingsansvarlige finner det nødvendig. Inspeksjoner varsles med minst 30 dager når ikke et sikkerhetsbrudd eller et pålegg fra tilsynsmyndigheten gjør kortere varsel nødvendig, og gjennomføres slik at andre kunders data ikke blir tilgjengelige.

Den behandlingsansvarliges eventuelle utgifter i forbindelse med fysisk inspeksjon dekkes av den behandlingsansvarlige selv. Databehandleren skal likevel avsette de ressurser (hovedsakelig den tid) som er nødvendig for at den behandlingsansvarlige skal kunne gjennomføre sin inspeksjon.

C.8 Prosedyrer for revisjoner av underdatabehandlere

Databehandleren innhenter årlig, for egen regning, revisjonsrapporter eller sertifikater fra uavhengig tredjepart (for eksempel ISO 27001 eller SOC 2) som gjelder underdatabehandlernes etterlevelse av personvernforordningen og Vilkårene, der slike finnes. Dokumentasjonen oversendes til den behandlingsansvarlige på forespørsel.

Den behandlingsansvarlige kan – hvis nødvendig – velge å initiere og delta på en fysisk inspeksjon av underdatabehandleren, i den utstrekning underdatabehandlerens vilkår åpner for det. Dette kan bli aktuelt dersom den behandlingsansvarlige anser at databehandlerens tilsyn med underdatabehandleren ikke har gitt den behandlingsansvarlige tilstrekkelig sikkerhet for at underdatabehandlerens behandling skjer i overensstemmelse med personvernforordningen og Vilkårene.

Den behandlingsansvarliges eventuelle deltakelse i en inspeksjon av underdatabehandleren endrer ikke det faktum at databehandleren fortsetter å bære det fulle ansvaret for at underdatabehandleren etterlever personvernforordningen og Vilkårene.

Vedlegg D. Partenes regulering av andre forhold

D.1 Inngåelse

Vilkårene inngås ved at den behandlingsansvarlige aksepterer abonnementsvilkårene for krdo, ved bestilling, ved opprettelse av konto eller ved signering av tilbud. Slik aksept regnes som underskrift fra den behandlingsansvarlige etter punkt 14.1. Databehandleren er bundet fra samme tidspunkt.

D.2 Ulovlige instrukser

Mener databehandleren at en instruks er i strid med personvernlovgivningen, jf. punkt 4.2, kan databehandleren vente med å følge instruksen til partene har avklart spørsmålet. Databehandleren er ikke ansvarlig for forsinkelser som skyldes dette.

D.3 Vederlag for bistand

Bistand etter punkt 9 og 12 som går ut over funksjonene i tjenesten og den årlige redegjørelsen i C.7, kan databehandleren fakturere etter medgått tid til sine gjeldende timepriser. Dette gjelder ikke bistand som skyldes at databehandleren har brutt Vilkårene.

D.4 Ansvar

Ansvarsbegrensningene i abonnementsvilkårene gjelder også for krav etter disse Vilkårene. De begrenser ikke de registrertes rett til erstatning etter personvernforordningen artikkel 82. Hver part bærer selv overtredelsesgebyr den ilegges etter artikkel 83.

D.5 Egne behandlinger

Kerdoos AS er selv behandlingsansvarlig for opplysninger om kundens kontaktpersoner og brukere som behandles for å administrere kundeforholdet, fakturere og holde tjenesten sikker. Dette er beskrevet i personvernerklæringen.

¹ Henvisninger til «medlemsstater» i disse Vilkårene skal forstås som en henvisning til stater som er del av det europeiske økonomiske samarbeidsområdet (EØS-stater).