Denne databehandleravtalen («avtalen») er en del av brukervilkårene mellom Nordic USV AS («Nordic USV», databehandleren) og kunden (den behandlingsansvarlige). Den gjelder der Nordic USV behandler personopplysninger på vegne av kunden i Kystdata.io. Kunden inngår avtalen på vegne av organisasjonen sin ved å bruke plattformen. Har kunden en signert databehandleravtale med Nordic USV, gjelder den signerte avtalen foran.
1. Hva behandlingen omfatter
Gjenstand og formål. Å levere Kystdata.io til kunden: lagre, vise, analysere og eksportere kundens data, og KI-funksjonene når kunden har slått dem på.
Kategorier av registrerte. Kundens brukere og kontaktpersoner, og andre personer kundens brukere nevner i fritekst eller opplastede filer.
Kategorier av personopplysninger. Navn, e-postadresser, telefonnumre og roller for brukere og kontaktpersoner; aktivitet i plattformen knyttet til brukerkontoer; og personopplysninger kundens brukere tar med i fritekst, figurtekster, kommentarer, opplastede filer og meldinger til KI-assistenten. Plattformen er ikke laget for særlige kategorier av personopplysninger (GDPR artikkel 9), og kunden skal ikke legge slike opplysninger inn i den.
Varighet. Så lenge kundeforholdet varer, pluss sletteperioden i punkt 8.
Personopplysninger Nordic USV behandler for egne formål (administrasjon av brukerkontoer, support, fakturering, sikkerhet, produktanalyse) er dekket av personvernerklæringen, der Nordic USV er behandlingsansvarlig.
2. Instrukser
Nordic USV behandler personopplysninger bare etter dokumenterte instrukser fra kunden, med mindre loven krever noe annet. Da informerer Nordic USV kunden før behandlingen, med mindre loven forbyr det. Brukervilkårene, denne avtalen og innstillingene kundens organisasjonsadministratorer velger i plattformen, inkludert å slå KI-funksjonene på eller av, er kundens instrukser. Nordic USV sier fra til kunden hvis Nordic USV mener en instruks er i strid med loven.
3. Taushetsplikt
Bare personer som trenger tilgang for å drifte plattformen, har tilgang til kundens personopplysninger. De har taushetsplikt.
4. Sikkerhet
Nordic USV bruker tekniske og organisatoriske tiltak som passer til risikoen, slik det er beskrevet i punkt 7 i personvernerklæringen: kryptering under overføring, tilgangsstyring på databasenivå, aktivitetslogging, sikker håndtering av nøkler og passord til systemene, og begrenset tilgang til produksjonsdata.
5. Underleverandører
Kunden gir Nordic USV en generell godkjenning til å bruke underleverandørene i underleverandørlisten. Nordic USV varsler kundens organisasjonsadministratorer minst 30 dager før en ny underleverandør begynner å behandle personopplysninger. Kunden kan innvende innen fristen på saklig grunnlag som gjelder personvern. Blir partene ikke enige om innvendingen, kan kunden si opp den berørte tjenesten fra den dagen den nye underleverandøren tas i bruk. Nordic USV pålegger underleverandørene sine de samme personvernforpliktelsene som i denne avtalen, og er fortsatt ansvarlig overfor kunden for det de gjør.
6. Bistand
Nordic USV hjelper kunden, så langt det er rimelig mulig, med å svare på henvendelser fra registrerte og med å oppfylle kundens plikter om sikkerhet, varsling av brudd, vurdering av personvernkonsekvenser og forhåndsdrøftinger med tilsynsmyndigheten. Nordic USV kan ta betalt for bistand som går utover det plattformen tilbyr som standard.
7. Brudd på personopplysningssikkerheten
Nordic USV varsler kundens organisasjonsadministratorer uten ugrunnet opphold, og senest innen 48 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten som gjelder kundens personopplysninger. Varselet beskriver hva som har skjedd, de sannsynlige konsekvensene, tiltakene som er satt i verk, og hvem kunden kan kontakte.
8. Sletting og tilbakelevering
Så lenge kundeforholdet varer, kan kunden når som helst eksportere dataene sine fra plattformen. Når forholdet slutter, hjelper Nordic USV til med eksport på forespørsel i inntil 30 dager, og sletter deretter kundens personopplysninger innen 90 dager, med mindre loven krever at de lagres. Sikkerhetskopier slettes etter den vanlige rulleringen, senest 12 måneder senere.
9. Dokumentasjon og revisjon
Nordic USV gjør tilgjengelig den informasjonen som trengs for å vise at denne avtalen følges, og tillater revisjoner av kunden eller en revisor kunden utpeker, høyst én gang i året med mindre en tilsynsmyndighet krever noe annet eller det har skjedd et brudd. Revisjoner avtales på forhånd, skjer i vanlig arbeidstid og skal ikke forstyrre driften av plattformen. Hver part dekker sine egne kostnader.
10. Overføring ut av EU/EØS
Nordic USV overfører personopplysninger ut av EU/EØS bare med et lovlig grunnlag etter GDPR kapittel V, slik det står i underleverandørlisten.
11. Ansvar og varighet
Ansvarsreglene i brukervilkårene gjelder også for denne avtalen. Avtalen varer så lenge Nordic USV behandler personopplysninger på vegne av kunden.
Avtalen finnes på norsk og engelsk. Ved motstrid går den norske versjonen foran.