Databehandleravtale

Denne databehandleravtalen (“Avtalen”) er en del av de de alminnelige vilkårene og gjelder i den utstrekning Seviranta, et handelsnavn for 1Star BV, Zonnehorst 5, 7207 BT Zutphen, KvK 65195876 (“Databehandler”), behandler personopplysninger på vegne av Kunden (“Behandlingsansvarlig”) innenfor rammen av den betalte tjenesten. Begrepene har den betydningen som følger av personvernforordningen (“GDPR”).

1. Gjenstand, art og varighet

Databehandler behandler personopplysninger utelukkende for å levere den avtalte tjenesten: å teste og løpende overvåke Kundens nettsted(er) for tilgjengelighet og, dersom det er tatt, for AI-transparens (deteksjon av chat-widget og AI-varsel), å oppbevare de tilhørende Rapportene, Dossieret og AI-registeret, og å administrere kontoen og faktureringen. Avtalen varer så lenge Databehandler behandler personopplysninger for Kunden.

2. Typer personopplysninger og registrerte

• Opplysninger: konto- og kontaktopplysninger (navn, e-postadresse, firmanavn), faktureringsopplysninger (fakturaadresse, mva-nummer) og bruks-/abonnementsopplysninger. De skannede nettsidene er offentlige og testes utelukkende teknisk for tilgjengelighet og AI-transparenssignaler.
• Registrerte: Kundens kontaktpersoner og brukere.
• Det behandles ingen særlige kategorier av personopplysninger.

3. Instrukser

Databehandler behandler personopplysningene utelukkende på grunnlag av skriftlige instrukser fra Kunden, herunder denne Avtalen og bruken av tjenesten, med mindre en rettslig forpliktelse bestemmer noe annet. Dersom Databehandler mener at en instruks er i strid med GDPR, gir Databehandler beskjed om det.

4. Konfidensialitet

Databehandler sørger for at personer som behandler personopplysningene, er underlagt taushetsplikt.

5. Sikkerhet

Databehandler treffer egnede tekniske og organisatoriske tiltak (GDPR art. 32), herunder kryptering under overføring (TLS), kryptert lagring av passord, tilgang etter behov (least privilege), tilgangskontroll på radnivå i databasen, og behandling fortrinnsvis innenfor EU.

6. Underdatabehandlere

Kunden gir generelt samtykke til bruk av underdatabehandlere. Databehandler pålegger hver underdatabehandler minst de samme forpliktelsene som i denne Avtalen, og velger primært partnere med datalagring i EU. Funksjonelt gjelder det blant annet: en database-/autentiserings-/lagringspartner, skanne- og overvåkingsinfrastruktur, webhosting, en betalingsleverandør, en leverandør for transaksjonell e-post og en infrastruktur-/sikkerhetspartner.

En oppdatert liste over de konkrete underdatabehandlerne (med navn, funksjon og lokasjon) er tilgjengelig for Kunden på forespørsel. Ved en planlagt endring av underdatabehandlere informerer Databehandler Kunden på forhånd, slik at Kunden kan komme med innsigelser.

7. Bistand

Databehandler yter Kunden, idet det tas hensyn til behandlingens art, rimelig bistand med å besvare henvendelser fra de registrerte (innsyn, retting, sletting osv.) og med å overholde forpliktelsene etter GDPR art. 32-36 (sikkerhet, brudd på personopplysningssikkerheten, vurdering av personvernkonsekvenser).

8. Brudd på personopplysningssikkerheten

Databehandler informerer Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten, med den relevante informasjonen som er tilgjengelig, slik at Kunden kan oppfylle sin meldeplikt.

9. Tilbakelevering og sletting

Etter opphør sletter Databehandler personopplysningene eller leverer dem tilbake, etter Kundens valg, med unntak av opplysninger som Databehandler er rettslig forpliktet til å oppbevare (som fakturaer underlagt den skattemessige oppbevaringsplikten). Kunden kan selv eksportere Dossieret før opphør.

10. Revisjoner

Databehandler stiller til rådighet for Kunden den informasjonen som er nødvendig for å dokumentere overholdelsen av denne Avtalen, og medvirker til rimelige revisjoner, etter avtale og under hensyn til konfidensialitet og kontinuiteten i tjenesten.

11. Overføring utenfor EØS

Dersom en underdatabehandler behandler opplysninger utenfor Det europeiske økonomiske samarbeidsområdet, skjer dette med egnede garantier slik GDPR krever (for eksempel EU-kommisjonens standardavtaleklausuler).

12. Gjeldende personvernlovgivning (internasjonale regimer)

Denne Avtalen er utarbeidet med GDPR som høyeste standard. I den grad annen personvernlovgivning kommer til anvendelse på en behandling, gjelder bestemmelsene i denne Avtalen mutatis mutandis også under den lovgivningen, herunder UK GDPR (Storbritannia), den sveitsiske loven (nFADP) og gjeldende amerikanske delstatslover (som CCPA/CPRA). For internasjonal overføring gjelder de tilhørende anerkjente mekanismene i den grad de kommer til anvendelse: EUs standardavtaleklausuler (SCC), UK International Data Transfer Addendum (IDTA) og det sveitsiske tillegget. Databehandler foretrekker datalagring i EU.

13. California (CCPA/CPRA)

I den grad Databehandler behandler personopplysninger som omfattes av California Consumer Privacy Act (CCPA), som endret ved CPRA, opptrer Databehandler som “service provider”. Databehandler: (a) verken selger eller deler disse opplysningene (ingen “sale” eller “share” i CCPAs forstand); (b) behandler dem utelukkende for forretningsformålene som er beskrevet i denne Avtalen, og ikke for egne kommersielle formål; (c) oppbevarer, bruker eller utleverer dem ikke utenfor det direkte forretningsforholdet med Kunden; og (d) yter Kunden rimelig bistand ved henvendelser fra de registrerte etter CCPA.

14. Sluttbestemmelser

Ved motstrid mellom denne Avtalen og de alminnelige vilkårene går denne Avtalen foran når det gjelder behandlingen av personopplysninger. På denne Avtalen gjelder nederlandsk rett. Spørsmål eller ønske om et signert eksemplar? info@seviranta.com.