Databehandleravtale

Parter

Denne databehandleravtalen inngås mellom - kunden som er angitt i Tilleggsbilaget og i Bestillingsordren (heretter «Behandlingsansvarlig»), og - Fastpath AS, org.nr. 920 497 837 (heretter «Databehandler» eller «Fastpath»).

Innledning

Denne databehandleravtalen (heretter «Avtalen») regulerer den behandlingen av personopplysninger som Databehandler foretar på vegne av Behandlingsansvarlig. Avtalen inngås i tilknytning til tjenesteavtalen mellom partene. Den publiseres med versjonsnummer på https://fastpath.no/databehandleravtale og inngås ved at begge parter signerer Tilleggsbilaget, som viser til den versjonen som gjelder. Med «Hovedavtalen» menes den samlede tjenesteavtalen mellom Databehandler som leverandør og Behandlingsansvarlig som kunde. Den omfatter Fastpaths til enhver tid gjeldende Kundevilkår, eventuelle Produktvilkår og den eller de Bestillingsordrene som er inngått, eller en særskilt avtale for konkrete leveranser, for eksempel konsulent- eller plattformtjenester. Med «Tjenestene» menes Waysayer-plattformen og de support-, konsulent- og plattformtjenestene Fastpath leverer etter Hovedavtalen. Avtalen består av: - denne avtaleteksten; - Vedlegg 1, standard beskrivelse av behandlingen; - Vedlegg 2, underdatabehandlere; og - Tilleggsbilaget, som angir forhold som gjelder for den enkelte Behandlingsansvarlige. Formålet med behandlingen, varigheten, behandlingens art, typer personopplysninger og kategorier av registrerte følger av Vedlegg 1, slik det er supplert av Tilleggsbilaget. Ved motstrid mellom Hovedavtalen og Avtalen om behandling av personopplysninger går Avtalen foran. Ved motstrid mellom Vedlegg 1 og Tilleggsbilaget går Tilleggsbilaget foran. Tilleggsbilaget går foran avtaleteksten bare der det uttrykkelig angir et avvik i punktet om avvik. Begreper og definisjoner i Avtalen skal forstås på samme måte som i personopplysningsloven og personvernforordningen.

1. Avtalens formål

Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig på det grunnlaget som følger ovenfor. Avtalen skal sikre at personopplysninger behandles i samsvar med de til enhver tid gjeldende kravene, herunder personvernforordningen (forordning (EU) 2016/679) og personopplysningsloven med forskrifter. Databehandler skal behandle personopplysningene slik det er beskrevet i Avtalen, og på annen måte bare dersom partene har avtalt det skriftlig.

2. Databehandlers plikter

Databehandler skal gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at all behandling under Avtalen oppfyller kravene i personopplysningsloven og vern av den registrertes rettigheter, herunder kravene i personvernforordningen artikkel 32. Se også punkt 4. Databehandler skal bare behandle personopplysningene etter dokumenterte instrukser fra Behandlingsansvarlig, og skal til enhver tid kunne dokumentere slike instrukser. Behandlingsansvarliges instrukser er Avtalen, Hovedavtalen, Tilleggsbilaget, Behandlingsansvarliges og dennes brukeres bruk og konfigurasjon av Tjenestene, og øvrige skriftlige instrukser partene blir enige om. Databehandler skal ikke behandle personopplysninger på annen måte enn det som er nødvendig for å utføre oppdragene for Behandlingsansvarlig, heller ikke ved overføring til tredjeland, med mindre EØS-retten eller norsk rett som Databehandler er underlagt, pålegger det. I så fall skal Databehandler underrette Behandlingsansvarlig om kravet før behandlingen, med mindre loven forbyr slik underretning av hensyn til viktige allmenne interesser. Databehandler skal bistå Behandlingsansvarlig med å svare på anmodninger fra registrerte, hensyntatt behandlingens art og så langt det er mulig, ved hjelp av egnede tekniske og organisatoriske tiltak. Dette gjelder både anmodninger fra de registrerte om å utøve sine rettigheter etter personvernforordningen kapittel III, og bistand med å sikre overholdelse av forpliktelsene knyttet til sikkerhet ved behandlingen, melding om brudd, vurdering av personvernkonsekvenser og forhåndsdrøftinger etter artikkel 32 til 36, hensyntatt behandlingens art og informasjonen som er tilgjengelig for Databehandler. Databehandler skal føre protokoll over behandlingsaktivitetene som utføres på vegne av Behandlingsansvarlig, med minst den informasjonen som kreves etter personvernforordningen artikkel 30 nr. 2. Databehandler skal gjøre tilgjengelig for Behandlingsansvarlig all informasjon som er nødvendig for å påvise at forpliktelsene etter Avtalen og personvernforordningen artikkel 28 er oppfylt, og muliggjøre og bidra til revisjoner, herunder inspeksjoner, som gjennomføres av Behandlingsansvarlig eller av en revisor med fullmakt fra Behandlingsansvarlig. Behandlingsansvarlig har selv ansvaret for kontakt og kommunikasjon med tilsynsmyndigheter, herunder Datatilsynet. Databehandler har taushetsplikt om personopplysninger som Databehandler får tilgang til som følge av Avtalen, og skal sikre at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til fortrolighet eller er underlagt egnet lovfestet taushetsplikt. Bestemmelsen gjelder også etter at Avtalen har opphørt. Databehandler skal ikke utlevere opplysninger som behandles for Behandlingsansvarlig, til tredjepart uten uttrykkelig instruks fra Behandlingsansvarlig. Henvendelser skal videreformidles til Behandlingsansvarlig så raskt som mulig. Overføringer som Behandlingsansvarlig selv setter i gang eller konfigurerer gjennom Tjenestene, for eksempel integrasjoner mot andre systemer, utsendelser og deling, er dokumenterte instrukser fra Behandlingsansvarlig. Mener Databehandler at en instruks er i strid med personvernforordningen, personopplysningsloven eller annen regulering, skal Databehandler straks underrette Behandlingsansvarlig.

3. Bruk av underleverandører for behandling av personopplysninger («underdatabehandlere»)

Underdatabehandlere som er godkjent når Avtalen inngås, er de som er oppført i oversikten det vises til i Vedlegg 2 på det tidspunktet, slik det eventuelt er justert i Tilleggsbilaget. Behandlingsansvarlig gir Databehandler generell tillatelse til å bruke og endre underdatabehandlere. Planlegger Databehandler å ta i bruk nye underdatabehandlere eller skifte ut eksisterende, skal Databehandler underrette Behandlingsansvarlig skriftlig (herunder elektronisk) og gi mulighet til å motsette seg endringen. Oversikten over underdatabehandlere er til enhver tid tilgjengelig på https://fastpath.no/databehandlere. Databehandler underretter om planlagte endringer ved å oppdatere oversikten og varsle på e-post kontaktpersonen som er angitt i Tilleggsbilaget, eller ellers Behandlingsansvarliges kontaktperson etter Hovedavtalen. Behandlingsansvarlig kan motsette seg endringen skriftlig senest 14 dager etter varselet, dersom det er saklig begrunnet i hensynet til vern av personopplysninger. Innsigelsen skal begrunnes. Partene skal da i god tro søke å finne en løsning, for eksempel at den nye underdatabehandleren ikke brukes for Behandlingsansvarliges personopplysninger, eller at endringen tilpasses. Databehandler kan gjennomføre endringen når fristen er ute. Databehandler kan likevel ta i bruk eller bytte underdatabehandler med kortere varsel når akutte forhold utenfor Databehandlers rimelige kontroll gjør dette nødvendig av hensyn til sikkerhet, rettslige krav eller for å unngå vesentlig avbrudd i Tjenestene. Databehandler varsler så tidlig som mulig, om mulig før endringen og ellers uten ugrunnet opphold etterpå. Behandlingsansvarliges rett til å motsette seg endringen gjelder tilsvarende, regnet fra varselet. Dersom Databehandler beslutter å gjennomføre endringen uten å ta en rettidig, begrunnet innsigelse til følge, kan Behandlingsansvarlig si opp de Tjenestene som ikke kan leveres uten den nye underdatabehandleren. Ved ordinære endringer skal Databehandler varsle Behandlingsansvarlig skriftlig om dette og gi reell mulighet til å gjøre oppsigelsesretten gjeldende før den nye underdatabehandleren tas i bruk for Behandlingsansvarliges personopplysninger. Oppsigelsen får da virkning fra det tidspunktet den nye underdatabehandleren ellers skulle tas i bruk for disse personopplysningene. Ved endringer som allerede er gjennomført etter forrige ledd, får oppsigelsen virkning når den er mottatt. Forhåndsbetalt vederlag for de oppsagte Tjenestene for perioden etter at oppsigelsen har fått virkning, tilbakebetales forholdsmessig. Dette er Behandlingsansvarliges eneste avtalte beføyelse som følge av selve endringen av underdatabehandler. Bestemmelsen begrenser ikke rettigheter etter ufravikelig lovgivning eller beføyelser ved brudd på Avtalen. Underdatabehandlere skal gjennom avtale pålegges de samme forpliktelsene til vern av personopplysninger som er fastsatt i Avtalen, og gi tilstrekkelige garantier for egnede tekniske og organisatoriske tiltak. Oppfyller en underdatabehandler ikke sine forpliktelser, har Databehandler fullt ansvar overfor Behandlingsansvarlig. Tjenester som Behandlingsansvarlig selv velger å koble til Tjenestene, for eksempel egne systemer, identitetsleverandører eller KI-agenter, er Behandlingsansvarliges egne mottakere eller databehandlere og ikke underdatabehandlere for Databehandler, med mindre Databehandler leverer dem som del av Tjenestene.

4. Sikkerhet og avvik

Databehandler skal oppfylle kravene til sikkerhetstiltak etter personopplysningsloven med forskrifter, og kunne dokumentere rutiner og tiltak. Dokumentasjonen skal være tilgjengelig for Behandlingsansvarlig på forespørsel. Ved brudd på personopplysningssikkerheten skal Databehandler varsle Behandlingsansvarlig uten ugrunnet opphold. Varselet sendes til kontaktpersonen for avvik som er angitt i Tilleggsbilaget, og ellers til Behandlingsansvarliges kontaktperson etter Hovedavtalen. Varselet skal minst inneholde: 1. en beskrivelse av bruddets art, herunder, når det er mulig, kategoriene av og omtrentlig antall berørte registrerte og personopplysningsposter; 2. navn og kontaktopplysninger til et kontaktpunkt der mer informasjon kan innhentes; 3. en beskrivelse av de sannsynlige konsekvensene av bruddet; og 4. en beskrivelse av tiltak som er truffet eller foreslått for å håndtere bruddet, herunder tiltak for å redusere mulige skadevirkninger. Kan ikke alle opplysninger gis i første varsel, gis de fortløpende så snart de foreligger. Behandlingsansvarlig har ansvaret for å melde fra til tilsynsmyndigheten. Databehandler skal ikke sende slik melding eller kontakte tilsynsmyndigheten om bruddet uten instruks fra Behandlingsansvarlig, med mindre lov krever det.

5. Overføring til tredjeland

Personopplysninger kan overføres til land utenfor EU/EØS (tredjeland). Overføring forutsetter at kravene til sikkerhet og vern av de registrertes rettigheter etter personopplysningsloven og annet regelverk er ivaretatt, herunder at det finnes et gyldig overføringsgrunnlag etter personvernforordningen kapittel V, for eksempel en beslutning om tilstrekkelig beskyttelsesnivå eller EU-kommisjonens standardavtaler. Oversikten det vises til i Vedlegg 2, angir behandlingssted og overføringsgrunnlag for den enkelte underdatabehandler.

6. Avtalens varighet, pålegg om stans og plikter ved opphør

Avtalen gjelder så lenge Databehandler behandler eller har tilgang til personopplysninger på vegne av Behandlingsansvarlig etter Hovedavtalen. Ved brudd på Avtalen, personopplysningsloven eller annet relevant regelverk kan Behandlingsansvarlig pålegge Databehandler å stanse videre behandling med øyeblikkelig virkning. Databehandler skal, etter Behandlingsansvarliges instruks, slette eller tilbakelevere alle personopplysninger når tjenestene knyttet til behandlingen er levert, og slette eksisterende kopier, med mindre lagring er lovpålagt. Tilbakelevering skjer i et vanlig brukt, maskinlesbart format som partene blir enige om. Plikten gjelder også sikkerhetskopier, men det er tilstrekkelig at sikkerhetskopier utløper etter etablerte rutiner for sikkerhetskopiering, senest 90 dager etter at personopplysningene er slettet fra aktive systemer.

7. Øvrige plikter og rettigheter

Øvrige plikter og rettigheter følger av Hovedavtalen. De samme kontaktpersonene gjelder for Avtalen som for Hovedavtalen, med mindre Tilleggsbilaget angir andre. Utførelse av oppgaver etter Avtalen faktureres etter Hovedavtalen. Avtalen utvider ikke Behandlingsansvarliges sanksjonsmuligheter, herunder Databehandlers erstatningsansvar, utover det som følger av Hovedavtalen. Dette begrenser ikke de registrertes rettigheter etter personvernforordningen artikkel 82. Overdras Hovedavtalen til en annen part, skal Avtalen overdras tilsvarende. Avtalen foreligger på norsk og engelsk. Ved motstrid går den norske teksten foran.

Vedlegg 1 — Standard beskrivelse av behandlingen

Beskrivelsen gjelder med mindre Tilleggsbilaget angir noe annet.

Formålet med behandlingen

Formålet er å levere Tjenestene til Behandlingsansvarlig etter Hovedavtalen. Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig i den utstrekning det er nødvendig for å levere Tjenestene. Det omfatter å lagre og behandle personopplysningene Behandlingsansvarlig laster opp til, samler inn gjennom eller på annen måte gjør tilgjengelig i Tjenestene, og nødvendig support, drift, feilsøking, videreutvikling og sikkerhet. Ved support- og konsulentoppdrag omfatter formålet også å utføre oppdraget slik det er avtalt.

Varigheten av behandlingen

Behandlingen varer så lenge Databehandler leverer Tjenestene til Behandlingsansvarlig etter Hovedavtalen. Ved opphør slettes eller tilbakeleveres personopplysningene etter Avtalens punkt 6.

Behandlingens art

Behandlingen omfatter de operasjonene som er nødvendige for å levere Tjenestene, herunder innsamling, registrering, lagring, organisering, strukturering, sammenstilling, søk, visning, overføring (for eksempel e-post, varsler og datautveksling med systemer Behandlingsansvarlig kobler til), automatisert behandling i prosesser og integrasjoner som Behandlingsansvarlig konfigurerer, sikkerhetskopiering, tilgjengeliggjøring for Behandlingsansvarlig og sletting. Behandlingen skjer på instruks fra Behandlingsansvarlig, blant annet gjennom Behandlingsansvarliges bruk og konfigurasjon av Tjenestene.

Typer personopplysninger

Hvilke personopplysninger som behandles, bestemmes og styres av Behandlingsansvarlig gjennom bruken av Tjenestene. Det vil typisk omfatte kontaktopplysninger (som navn, e-postadresse, telefonnummer og organisasjon), bruker- og kontoopplysninger, innholdet i saker, forespørsler, skjemaer, undersøkelsessvar, bookinger, meldinger og filer, opplysninger som utveksles med systemer Behandlingsansvarlig kobler til, og logg over hvem som har gjort hva i Behandlingsansvarliges arbeidsområde. Behandlingsansvarlig skal ikke behandle særlige kategorier av personopplysninger (personvernforordningen artikkel 9) eller opplysninger om straffedommer og lovovertredelser (artikkel 10) gjennom Tjenestene, med mindre dette er særskilt avtalt i Tilleggsbilaget og har et eget rettslig grunnlag.

Kategorier av registrerte

Hvilke kategorier av registrerte som omfattes, bestemmes av Behandlingsansvarlig gjennom bruken av Tjenestene. Det vil typisk omfatte Behandlingsansvarliges brukere, ansatte, kontakter, kunder, medlemmer, leverandører og respondenter.

Tilleggsbilag

Tilleggsbilaget fylles ut for hver Behandlingsansvarlig og angir kontaktpersoner og eventuelle avvik eller tillegg. Et endret Tilleggsbilag gjelder når begge parter har godtatt det skriftlig.

Inngåelse

Avtalen inngås når begge parter har signert Tilleggsbilaget, normalt sammen med Bestillingsordren. Elektronisk signatur er tilstrekkelig. Den versjonen av Avtalen som Tilleggsbilaget viser til, gjelder for Behandlingsansvarlig.