Databehandleravtale
Denne avtalen regulerer hvordan vi behandler personopplysninger på vegne av deg som kunde. Den gjelder automatisk for alle kunder og aksepteres ved registrering og bestilling.
1. Bakgrunn og formål
Avtalen inngås mellom kunden som bruker BomAdmin (behandlingsansvarlig) og Sandum Søndre AS, org.nr. 991 395 741 (databehandler). Den oppfyller kravene i personvernforordningen (GDPR) artikkel 28 og er en del av vilkårene for tjenesten.
Formålet er å sikre at personopplysninger kunden lar tjenesten behandle, blir behandlet lovlig, sikkert og bare etter kundens instrukser.
2. Beskrivelse av behandlingen
| Formål | Levere tjenesten: styre og overvåke kundens bommer, administrere bombrukere og SMS-koder, og lagre og vise bomloggen. |
|---|---|
| Behandlingens art | Innhenting fra bommens styringsenhet, lagring, strukturering, søk, visning, utlevering til kundens brukere, eksport og sletting. |
| Kategorier registrerte | Personer som ringer eller sender SMS til bommen (beboere, hytteeiere, gjester, leverandører, brøytemannskap m.fl.), og personer registrert som bombrukere. |
| Kategorier opplysninger | Telefonnummer, tidspunkt, hendelsestype, innhold i SMS sendt til bommen, SMS-koder, og eventuelle navn eller merknader kunden registrerer om bombrukere. Tjenesten er ikke beregnet for særlige kategorier av personopplysninger. |
| Varighet | Så lenge kunden bruker tjenesten. Den enkelte oppføring lagres i den lagringstiden kunden har valgt for bommen, og slettes deretter automatisk. |
3. Kundens plikter
- Kunden er ansvarlig for at behandlingen har et gyldig behandlingsgrunnlag, og for å informere de registrerte.
- Kunden gir instrukser gjennom denne avtalen og gjennom valg i tjenesten, blant annet lagringstid, hvem som får tilgang og sletting av logg.
- Kunden skal ikke registrere flere personopplysninger i tjenesten enn nødvendig, og ikke særlige kategorier av personopplysninger.
4. Databehandlerens plikter
- Databehandleren behandler personopplysningene kun etter dokumenterte instrukser fra kunden, og aldri for egne formål. Mener databehandleren at en instruks er i strid med regelverket, varsles kunden straks.
- Alle som behandler opplysningene på vegne av databehandleren, har taushetsplikt.
- Databehandleren gir kun tilgang til kundens opplysninger når det er nødvendig for drift, feilretting eller kundestøtte som kunden har bedt om.
- Opplysningene utleveres ikke til andre enn kunden og godkjente underdatabehandlere, med mindre det følger av lov. Mottar databehandleren en slik anmodning, varsles kunden så langt loven tillater det.
5. Informasjonssikkerhet
Databehandleren gjennomfører tekniske og organisatoriske tiltak som gir et sikkerhetsnivå tilpasset risikoen, jf. GDPR artikkel 32. Tiltakene omfatter blant annet kryptert overføring (TLS), kryptert lagring av enhetspassord (AES-256-GCM), rollebasert tilgangsstyring, radnivåsikkerhet i databasen, automatisk sletting etter valgt lagringstid og bruk av sertifiserte driftsleverandører. Tiltakene er nærmere beskrevet på sikkerhetssiden.
6. Underdatabehandlere
Kunden gir generell forhåndsgodkjenning til bruk av underdatabehandlere. Disse er godkjent ved avtaleinngåelsen:
| Leverandør | Formål | Lokasjon og overføringsgrunnlag |
|---|---|---|
| Supabase Inc. | Database, innlogging og utsending av innloggings-e-post | Datasenter i EU/EØS. Selskapet er amerikansk; eventuell overføring skjer på grunnlag av EUs standardkontraktsklausuler. |
| Vercel Inc. | Drift og kjøring av webapplikasjonen og planlagte jobber | Applikasjonen kjøres i EU (Frankfurt). Selskapet er amerikansk; eventuell overføring skjer på grunnlag av EUs standardkontraktsklausuler og EU–US Data Privacy Framework. |
Databehandleren inngår skriftlige avtaler med underdatabehandlerne som gir tilsvarende vern som denne avtalen, og er ansvarlig overfor kunden for deres oppfyllelse. Planlagte endringer varsles minst 30 dager i forveien. Kunden kan protestere, og hvis partene ikke finner en løsning, si opp avtalen med virkning fra endringen og få refundert forholdsmessig forskuddsbetalt vederlag.
7. Overføring til land utenfor EØS
Personopplysninger overføres ikke til land utenfor EØS uten et gyldig overføringsgrunnlag etter GDPR kapittel V, for eksempel en beslutning om tilstrekkelig beskyttelsesnivå eller EUs standardkontraktsklausuler med nødvendige supplerende tiltak.
8. Brudd på personopplysningssikkerheten
Databehandleren varsler kunden uten ugrunnet opphold, og senest innen 48 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører kundens opplysninger. Varselet skal så langt mulig beskrive bruddet, berørte kategorier og antall registrerte og oppføringer, sannsynlige konsekvenser og tiltak som er eller vil bli iverksatt. Databehandleren bistår kunden med eventuell melding til Datatilsynet og de registrerte.
9. Bistand og de registrertes rettigheter
Tjenesten gir kunden verktøy for å oppfylle de registrertes rettigheter: søk i loggen, sletting av alle oppføringer for et telefonnummer, sletting av hele loggen, eksport til CSV og valg av lagringstid. Utover dette bistår databehandleren kunden, så langt det er rimelig, med henvendelser fra registrerte, vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet. Henvendelser fra registrerte som kommer direkte til databehandleren, videresendes til kunden.
10. Dokumentasjon og revisjon
Databehandleren gjør tilgjengelig den informasjonen som trengs for å vise at avtalen overholdes, og legger til rette for revisjoner og inspeksjoner fra kunden eller en uavhengig revisor kunden utpeker. Revisjoner varsles med rimelig frist, gjennomføres uten å forstyrre driften unødig, og dekkes av kunden med mindre revisjonen avdekker vesentlige avvik.
11. Sletting og tilbakelevering
Kunden kan selv slette og eksportere opplysningene i tjenesten til enhver tid. Når avtalen opphører, stanses innhentingen, og alle personopplysninger databehandleren behandler på vegne av kunden slettes senest 90 dager etter opphør. Opplysninger i sikkerhetskopier slettes når kopiene overskrives. På forespørsel bekrefter databehandleren skriftlig at slettingen er gjennomført.
12. Varighet og forholdet til vilkårene
Avtalen gjelder så lenge databehandleren behandler personopplysninger på vegne av kunden. Ved motstrid går denne avtalen foran vilkårene for tjenesten når det gjelder behandling av personopplysninger. Endringer varsles etter reglene i vilkårene. Avtalen reguleres av norsk rett.
Kontakt for personvern: Sandum Søndre AS, v/ Guro Knutsdotter Gulsvik, guro@norefjell.as.