Databehandleravtale

Parter

Behandlingsansvarlig («Oppdragsgiver»)

Databehandler («Alvoru»)

Heretter samlet: «Parter».

Idet det tas i betraktning at

• Partene har inngått en hovedavtale der Alvoru som Databehandler behandler personopplysninger på vegne av Oppdragsgiver (heretter: den «Hovedavtalen»);
• det på grunnlag av artikkel 28 nr. 3 GDPR kreves en skriftlig databehandleravtale der det er fastsatt avtaler om måten Databehandleren behandler personopplysninger på;
• denne databehandleravtalen (heretter: «DPA») utgjør en integrert del av Hovedavtalen.

Artikkel 1 — Definisjoner

Begrepene som er skrevet med stor forbokstav i denne DPA-en, har den betydningen de tillegges i GDPR, supplert med definisjonene i Alvorus generelle vilkår.

Artikkel 2 — Gjenstand og varighet

2.1 Denne DPA-en regulerer Alvorus behandling av personopplysninger på oppdrag fra Oppdragsgiver innenfor rammen av Hovedavtalen.

2.2 Denne DPA-en trer i kraft på datoen Hovedavtalen begynner og opphører automatisk ved avslutning av Hovedavtalen, med forbehold for de bestemmelsene som etter sin art er ment å fortsette å gjelde.

Artikkel 3 — Behandlingens art og formål

3.1 Behandlingens art og formål består i å levere Tjenesten som er beskrevet i Hovedavtalen (AI-kundeservice, herunder chatbot, e-post og kalender).

3.2 Alvoru behandler personopplysninger utelukkende etter dokumentert instruks fra Oppdragsgiver, med forbehold for avvikende rettslige forpliktelser (art. 28 nr. 3 bokstav a GDPR). I sistnevnte tilfelle informerer Alvoru Oppdragsgiver om behandlingen på forhånd, med mindre denne loven forbyr det av vektige grunner.

Artikkel 4 — Type personopplysninger og kategorier av registrerte

Særlige kategorier personopplysninger (art. 9 GDPR) og strafferettslige opplysninger (art. 10 GDPR) behandles ikke, med mindre det er skriftlig avtalt i tillegg.

Artikkel 5 — Databehandlerens forpliktelser

5.1 Alvoru behandler personopplysninger utelukkende for formålene som er fastsatt i Hovedavtalen og denne DPA-en, og etter skriftlig instruks fra Oppdragsgiver.

5.2 Alvoru sikrer at personer som behandler personopplysninger har taushetsplikt, enten i kraft av loven eller i kraft av en avtale.

5.3 Alvoru yter Oppdragsgiver, idet det tas hensyn til behandlingens art, rimelig bistand med å oppfylle forespørsler fra registrerte om utøvelse av deres rettigheter i henhold til GDPR.

5.4 Alvoru stiller til rådighet for Oppdragsgiver all informasjon som er nødvendig for å påvise overholdelse av artikkel 28 GDPR.

5.5 Forbud mot AI-trening. Alvoru vil aldri bruke personopplysningene den behandler på vegne av den Behandlingsansvarlige til å trene, finjustere eller på annen måte forbedre AI-modeller, og heller ikke til å utvikle egne eller tredjeparts AI-anvendelser.

Artikkel 6 — Sikkerhetstiltak (artikkel 32 GDPR)

Alvoru treffer passende tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå tilpasset risikoen, blant annet:

• Kryptering under transport (TLS 1.2+) og der det er relevant kryptering i ro;
• Tilgangskontroll basert på least privilege; tofaktorautentisering for administratorer;
• Brannmurer, fail2ban og inntrengingsovervåking;
• Daglige krypterte sikkerhetskopier med oppbevaringstid på maksimalt 90 dager;
• Restriktive filrettigheter (600) på konfigurasjons- og datafiler;
• Logging og overvåking av tilgang til produksjonssystemer;
• Periodisk evaluering og oppdatering av sikkerhetstiltak.

Artikkel 7 — Underdatabehandlere

7.1 Oppdragsgiver gir Alvoru et generelt skriftlig samtykke til å bruke underdatabehandlere, forutsatt at Alvoru overholder de øvrige bestemmelsene i denne artikkelen.

7.2 De underdatabehandlerne som for øyeblikket er i bruk er:

7.3 Alvoru pålegger underdatabehandlere de samme databeskyttelsesforpliktelsene som er fastsatt i denne DPA-en (GDPR artikkel 28 nr. 4).

7.4 Alvoru informerer Oppdragsgiver minst 14 dager i forkant om utskifting eller tillegg av underdatabehandlere. Oppdragsgiver kan innen denne fristen fremme en begrunnet innsigelse. Ved berettiget innsigelse har Oppdragsgiver rett til å si opp Hovedavtalen kostnadsfritt.

Artikkel 8 — Overføring utenfor EØS

Overføring av personopplysninger til et land utenfor Det europeiske økonomiske samarbeidsområdet skjer utelukkende på grunnlag av en tilstrekkelighetsbeslutning (GDPR art. 45), bindende virksomhetsregler, EUs standard kontraktsbestemmelser (GDPR art. 46 nr. 2 bokstav c) eller en annen garanti som er fastsatt i GDPR, supplert med ytterligere tekniske og organisatoriske tiltak der det kreves.

Artikkel 9 — De registrertes rettigheter

9.1 Alvoru gir Oppdragsgiver passende støtte ved behandling av henvendelser fra registrerte (innsyn, retting, sletting, begrensning, dataportabilitet, innsigelse) gjennom tekniske funksjoner i kundeportalen og der det er nødvendig ytterligere bistand.

9.2 Alvoru videresender henvendelser fra registrerte som kommer direkte til Alvoru uten opphold til Oppdragsgiver.

Artikkel 10 — Brudd på personopplysningssikkerheten

10.1 Alvoru informerer Oppdragsgiver uten opphold og senest innen 48 timer etter at et brudd på personopplysningssikkerheten er konstatert (GDPR art. 33 nr. 2), slik at Oppdragsgiver i tide kan oppfylle sin meldeplikt innen 72 timer til Autoriteit Persoonsgegevens.

10.2 Meldingen inneholder i det minste: bruddets art, kategoriene og antallet registrerte, kategoriene og antallet berørte poster, de sannsynlige konsekvensene og de iverksatte eller foreslåtte tiltakene.

10.3 Alvoru yter Oppdragsgiver passende bistand ved meldingen til Autoriteit Persoonsgegevens og der det er relevant til de registrerte.

Artikkel 11 — Revisjon

11.1 Oppdragsgiver kan én gang per kalenderår, etter forutgående skriftlig varsel på minst 30 dager, for egen regning (la) gjennomføre en revisjon av Alvorus etterlevelse av denne DPA-en.

11.2 Revisjonen gjennomføres av en uavhengig revisor som er bundet av taushetsplikt, i kontortiden og på en måte som ikke forstyrrer Alvorus normale drift.

11.3 Alvoru kan i stedet for en revisjon på stedet nøye seg med en oppdatert rapport fra en uavhengig tredjepart (for eksempel ISO 27001 eller SOC 2), forutsatt at denne rapporten med rimelighet gir tilstrekkelig sikkerhet.

Artikkel 12 — Opphør og sletting av opplysninger

12.1 Etter opphør av Hovedavtalen vil Alvoru, etter Oppdragsgivers valg og på første skriftlige forespørsel, slette eller tilbakelevere alle personopplysninger til Oppdragsgiver, i samsvar med GDPR artikkel 28 nr. 3 bokstav g.

12.2 En slik forespørsel kan fremmes innen 60 dager etter opphør. I mangel av dette slettes opplysningene automatisk etter 60 dager.

12.3 Offline sikkerhetskopier slettes i samsvar med det ordinære rotasjonsskjemaet senest 90 dager etter opphør.

12.4 Opplysninger som Alvoru er lovpålagt å oppbevare, oppbevares i den lovpålagte perioden.

Artikkel 13 — Ansvar

13.1 Alvorus ansvar under denne DPA-en er omfattet av og begrenset av ansvarsbestemmelsene i de Alminnelige vilkårene som hører til Hovedavtalen.

13.2 Ufravikelige bestemmelser i GDPR berøres ikke.

Artikkel 13a — Protokoll over behandlingsaktiviteter

Alvoru fører en protokoll over behandlingsaktiviteter i samsvar med GDPR artikkel 30. Denne protokollen inneholder i det minste: navnet og kontaktopplysningene til Alvoru som databehandler, kategoriene av behandlinger som utføres på vegne av Behandlingsansvarlige, overføringer til tredjeland og de anvendte garantiene, samt en generell beskrivelse av tekniske og organisatoriske sikkerhetstiltak. Protokollen er på forespørsel tilgjengelig for Autoriteit Persoonsgegevens.

Artikkel 14 — Lovvalg og tvister

Nederlandsk rett gjelder for denne DPA-en. Tvister forelegges domstolen Overijssel, avdeling Almelo.

Signering

Send den signerte versjonen (skannet eller digitalt signert) til info@alvoru.com. Alvoru returnerer en medsignert kopi.