Databehandleravtale

Når arbeidet vårt innebærer at vi behandler personopplysninger på dine vegne — kunderegistre i en database vi migrerer, brukerkontoer i et system vi drifter — er du behandlingsansvarlig, og vi er databehandler. Etter personvernforordningen (GDPR) artikkel 28 skal den behandlingen reguleres av en skriftlig avtale, så vi signerer en før arbeidet med dataene begynner. Denne siden forteller hva den inneholder.

Din mal eller en standard

Har du en egen databehandleravtale, så send den med oppdragsbeskrivelsen. Ellers finnes det to standardtekster som er skrevet for nettopp dette forholdet: EU-kommisjonens standardvilkår for avtaler mellom behandlingsansvarlige og databehandlere (gjennomføringsbeslutning (EU) 2021/915) og standardavtalen som det danske Datatilsynet har publisert på dansk og engelsk.

Det vi forplikter oss til som databehandler

Dette er pliktene artikkel 28 legger på enhver databehandler, sagt med vanlige ord. De er lov før de er et løfte.

• Bare etter dine instrukser. Vi behandler opplysningene etter dine dokumenterte instrukser, også når det gjelder overføring til land utenfor EU og EØS. Skulle loven en dag kreve noe annet av oss, sier vi fra til deg før vi handler, med mindre nettopp den loven forbyr oss å si det.
• Taushetsplikt. Alle som arbeider med opplysningene, har taushetsplikt.
• Sikkerhet. Vi treffer de tiltakene artikkel 32 krever. Hvordan vi bygger og drifter systemer, står på sikkerhetssiden.
• De registrertes rettigheter. Når noen ber om å se, rette eller slette opplysningene sine, hjelper vi deg med å svare, så langt arbeidet gjør det mulig.
• Dine egne plikter. Vi hjelper deg med sikkerheten, melding av brudd og en eventuell vurdering av personvernkonsekvenser, ut fra det vi vet om behandlingen.
• Dokumentasjon. Vi gir deg den informasjonen som trengs for å vise at pliktene er oppfylt, og vi gir rom for og bidrar til revisjoner, herunder inspeksjoner, utført av deg eller av en revisor du har gitt fullmakt.
• Instrukser som er i strid med loven. Mener vi at en instruks er i strid med personvernreglene, gir vi deg beskjed umiddelbart.

Underdatabehandlere

Vi bruker bare en annen databehandler med din skriftlige forhåndsgodkjenning, enten av den bestemte databehandleren eller som en generell godkjenning. Ved en generell godkjenning gir vi deg beskjed om enhver planlagt tilføyelse eller utskifting på forhånd, slik at du kan protestere. En underdatabehandler er bundet av de samme pliktene i sin egen kontrakt, og vi er fortsatt ansvarlige overfor deg for arbeidet den gjør.

Hvis det skjer et brudd på personopplysningssikkerheten

Vi underretter deg uten ugrunnet opphold etter at vi har fått kjennskap til et brudd på personopplysningssikkerheten, med det vi vet på det tidspunktet, og vi fyller ut resten etter hvert som vi får vite mer. Det gir deg det du trenger for din egen plikt til å melde bruddet til tilsynsmyndigheten innen 72 timer, med mindre det er lite sannsynlig at bruddet medfører en risiko for noen.

Mindre data, ikke mer

Vi sier rett ut hvilke data vi helst ikke vil at du gir oss tilgang til. Der en kopi uten personopplysningene, eller testdata, kan gjøre jobben, ber vi om det i stedet.

Når arbeidet avsluttes

Når oppdraget er over, sletter vi personopplysningene eller leverer dem tilbake til deg, etter ditt valg, og vi sletter alle kopier vi har, med mindre loven krever at vi oppbevarer dem.

Det som binder oss

Denne siden beskriver avtalen; avtalen er det du signerer. Der de to er forskjellige, er det den signerte avtalen som gjelder. Hva dette nettstedet registrerer om sine egne besøkende, er en annen sak, der vi selv er behandlingsansvarlige, og det står på personvernsiden.

Trenger du en databehandleravtale på plass før arbeidet starter? send den til oss.