Avtale om databehandling (AVV)

Standardkontraktsklausuler

Offisiell tekst i henhold til EUR-Lex (CELEX 32021D0915), vedlegg til vedtaket. Valgte alternativer er merket med [Valg: …], ikke-valgte er streket over; ellers er teksten uendret.

Avsnitt II: Partenes forpliktelser

Klausul 6: Beskrivelse av behandlingen

Detaljene om behandlingsoperasjonene, særlig kategoriene av personopplysninger og formålene som personopplysningene behandles for på vegne av den behandlingsansvarlige, er angitt i vedlegg II.

Klausul 7: Partenes forpliktelser

7.1. Instruksjoner

a) Behandleren skal kun behandle personopplysninger etter dokumenterte instruksjoner fra den behandlingsansvarlige, med mindre behandleren er forpliktet til å behandle opplysningene i henhold til EU-retten eller lovgivningen i en medlemsstat som behandleren er underlagt. I et slikt tilfelle skal databehandleren underrette den behandlingsansvarlige om disse rettslige kravene før behandlingen påbegynnes, med mindre den aktuelle lovgivningen forbyr dette på grunn av et viktig offentlig interesse. Den behandlingsansvarlige kan gi ytterligere instrukser gjennom hele behandlingsperioden. Disse instruksene skal alltid dokumenteres.

b) Behandleren skal umiddelbart informere den behandlingsansvarlige dersom han mener at instrukser gitt av den behandlingsansvarlige strider mot forordning (EU) 2016/679, forordning (EU) 2018/1725 eller gjeldende personvernbestemmelser i Unionen eller medlemsstatene.

7.2. Formålsbegrensning

Databehandleren behandler personopplysningene kun for det eller de spesifikke formålene som er angitt i vedlegg II, med mindre vedkommende mottar ytterligere instrukser fra den behandlingsansvarlige.

7.3. Varighet av behandlingen av personopplysninger

Opplysningene behandles av databehandleren kun i den perioden som er angitt i vedlegg II.

7.4. Sikkerhet ved behandlingen

a) Databehandleren iverksetter minst de tekniske og organisatoriske tiltakene som er oppført i vedlegg III for å sikre personopplysningene. Dette omfatter beskyttelse av opplysningene mot et sikkerhetsbrudd som, enten det er utilsiktet eller ulovlig, fører til ødeleggelse, tap, endring eller uautorisert utlevering av eller uautorisert tilgang til opplysningene (heretter «brudd på personvernet»). Ved vurderingen av et passende beskyttelsesnivå skal partene ta behørig hensyn til den tekniske utviklingen, implementeringskostnadene, arten, omfanget, omstendighetene og formålene med behandlingen, samt risikoen for de registrerte.

b) Behandleren skal kun gi sitt personell tilgang til de personopplysningene som er gjenstand for behandlingen, i den grad dette er strengt nødvendig for gjennomføring, administrasjon og overvåking av avtalen. Databehandleren skal sikre at personer som har tilgang til de mottatte personopplysningene for behandling, har forpliktet seg til å behandle opplysningene konfidensielt eller er underlagt en tilsvarende lovfestet taushetsplikt.

7.5. Sensitive opplysninger

Dersom behandlingen gjelder personopplysninger som avslører rasemessig eller etnisk opprinnelse, politiske meninger, religiøse eller livssynsmessige overbevisninger eller fagforeningsmedlemskap, eller som inneholder genetiske opplysninger eller biometriske opplysninger med det formål å entydig identifisere en fysisk person, opplysninger om en persons helse, seksualliv eller seksuell orientering, eller opplysninger om straffedommer og straffbare handlinger (heretter «sensible opplysninger»), skal databehandleren anvende spesielle begrensninger og/eller tilleggsgarantier.

7.6. Dokumentasjon og overholdelse av klausulene

a) Partene må kunne dokumentere at disse klausulene overholdes.

b) Behandleren skal behandle henvendelser fra den behandlingsansvarlige vedrørende behandling av opplysninger i henhold til disse klausulene uten unødig forsinkelse og på en hensiktsmessig måte.

c) Behandleren skal stille all informasjon til rådighet for den behandlingsansvarlige som er nødvendig for å dokumentere overholdelse av forpliktelsene fastsatt i disse klausulene og som følger direkte av forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725. På forespørsel fra den behandlingsansvarlige tillater databehandleren også kontroll av behandlingsaktiviteter som omfattes av disse klausulene med rimelige mellomrom eller ved tegn på manglende overholdelse, og bidrar til en slik kontroll. Ved avgjørelsen om en gjennomgang eller kontroll kan den behandlingsansvarlige ta hensyn til relevante sertifiseringer hos databehandleren.

d) Den behandlingsansvarlige kan gjennomføre kontrollen selv eller engasjere en uavhengig kontrollør. Kontrollene kan også omfatte inspeksjoner i databehandlerens lokaler eller fysiske anlegg og gjennomføres, om nødvendig, med rimelig forhåndsvarsel.

e) Partene skal på forespørsel stille den eller de kompetente tilsynsmyndighetene til rådighet den informasjonen som er nevnt i denne klausulen, inkludert resultatene av kontrollene.

7.7. Bruk av underdatabehandlere

a) ALTERNATIV 2: GENERELL SKRIFTLIG GODKJENNING: Behandleren har generell godkjenning fra den behandlingsansvarlige til å engasjere underbehandlere som er oppført på en avtalt liste. Databehandleren skal minst 30 dager i forveien uttrykkelig og skriftlig underrette den behandlingsansvarlige om alle planlagte endringer i denne listen ved å legge til eller erstatte underdatabehandlere, og dermed gi den behandlingsansvarlige tilstrekkelig tid til til å kunne gjøre innvendinger mot disse endringene før den eller de aktuelle underdatabehandlerne engasjeres. Databehandleren stiller den behandlingsansvarlige den nødvendige informasjonen til rådighet, slik at denne kan utøve sin rett til å gjøre innvendinger. [Valg: Alternativ 2, frist 30 dager; avtalt liste er vedlegg IV]

b) Dersom databehandleren engasjerer en underdatabehandler til å utføre bestemte behandlingsoppgaver (på vegne av den behandlingsansvarlige), må denne oppdragsgivningen skje gjennom en avtale som pålegger underleverandøren i det vesentlige de samme personvernforpliktelsene som de som gjelder for databehandleren i henhold til disse klausulene. Databehandleren skal sikre at underdatabehandleren oppfyller de forpliktelsene som databehandleren er underlagt i henhold til disse klausulene og i samsvar med forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

c) Behandleren skal på forespørsel fra den behandlingsansvarlige stille en kopi av en slik underleverandøravtale og eventuelle senere endringer til rådighet. I den grad det er nødvendig for å beskytte forretningshemmeligheter eller annen konfidensiell informasjon, herunder personopplysninger, kan databehandleren redigere avtaleteksten før en kopi utleveres.

d) Behandleren er fullt ut ansvarlig overfor den behandlingsansvarlige for at underbehandleren oppfyller sine forpliktelser i henhold til avtalen inngått med behandleren. Behandleren skal underrette den behandlingsansvarlige dersom underbehandleren ikke oppfyller sine avtaleforpliktelser.

e) Databehandleren avtaler med underdatabehandleren en tredjepartsbegunstigelsesklausul, som innebærer at den behandlingsansvarlige - i tilfelle databehandleren faktisk eller rettslig ikke lenger eksisterer eller er insolvent - har rett til å si opp underleverandøravtalen og pålegge underleverandøren å slette eller returnere personopplysningene.

7.8. Internasjonale dataoverføringer

a) Enhver overføring av opplysninger fra databehandleren til et tredjeland eller en internasjonal organisasjon skal utelukkende skje på grunnlag av dokumenterte instrukser fra den behandlingsansvarlige eller for å overholde en spesifikk bestemmelse i EU-retten eller lovgivningen i en medlemsstat som databehandleren er underlagt, og må være i samsvar med kapittel V i forordning (EU) 2016/679 eller forordning (EU) 2018/1725.

b) Den behandlingsansvarlige samtykker i at i tilfeller der databehandleren benytter en underdatabehandler i henhold til klausul 7.7 for å utføre bestemte behandlingsoppgaver (på vegne av den behandlingsansvarlige), og disse behandlingsoppgavene innebærer overføring av personopplysninger i henhold til kapittel V i forordningen (EU) 2016/679, skal databehandleren og underdatabehandleren kunne sikre overholdelse av kapittel V i forordning (EU) 2016/679 ved å benytte standardkontraktsklausuler som er vedtatt av Kommisjonen i henhold til artikkel 46 nr. 2 i forordning (EU) 2016/679, forutsatt at vilkårene for anvendelse av disse standardkontraktsklausulene er oppfylt.

Klausul 8: Støtte til den behandlingsansvarlige

a) Behandleren skal umiddelbart underrette den behandlingsansvarlige om enhver forespørsel den har mottatt fra den registrerte. Den skal ikke besvare forespørselen selv, med mindre den er bemyndiget til det av den behandlingsansvarlige.

b) Med hensyn til arten av behandlingen skal databehandleren bistå den behandlingsansvarlige med å oppfylle dennes plikt til å besvare forespørsler fra de registrerte om utøvelse av deres rettigheter. Ved oppfyllelsen av sine plikter i henhold til bokstavene a og b skal databehandleren følge instruksene fra den behandlingsansvarlige.

c) I tillegg til databehandlerens plikt til å bistå den behandlingsansvarlige i henhold til klausul 8 bokstav b, skal databehandleren, under hensyntagen til arten av databehandlingen og den informasjonen han har til rådighet, også bistå den behandlingsansvarlige med å oppfylle følgende plikter:

• 1) Plikt til å gjennomføre en konsekvensanalyse av de planlagte behandlingsoperasjonene med hensyn til beskyttelse av personopplysninger (heretter «personvernkonsekvensanalyse»), dersom en form for behandling forventes å medføre en høy risiko for fysiske personers rettigheter og friheter;
• 2) Plikt til å konsultere den eller de kompetente tilsynsmyndighetene før behandlingen, dersom en konsekvensanalyse av personvernet viser at behandlingen vil medføre en høy risiko, med mindre den behandlingsansvarlige iverksetter tiltak for å begrense risikoen;
• 3) Plikt til å sikre at personopplysningene er faktamessig korrekte og oppdaterte, ved at databehandleren umiddelbart underretter den behandlingsansvarlige dersom han konstaterer at personopplysningene han behandler, er uriktige eller utdaterte;
• 4) Forpliktelser i henhold til artikkel 32 i forordning (EU) 2016/679. [Valg: Alternativ 1]

d) Partene fastsetter i vedlegg III de egnede tekniske og organisatoriske tiltakene for databehandlerens støtte til den behandlingsansvarlige ved anvendelsen av denne klausulen, samt anvendelsesområdet og omfanget av den nødvendige støtten.

Klausul 9: Melding om brudd på personvernet

I tilfelle et brudd ### på personvernetskal databehandleren samarbeide med den behandlingsansvarlige og yte ham eller henne nødvendig støtte, slik at den behandlingsansvarlige kan oppfylle sine forpliktelser i henhold til artikkel 33 og 34 i forordning (EU) 2016/679 eller, hvor det er relevant, artikkel 34 og 35 i forordning (EU) 2018/1725, idet databehandleren tar hensyn til arten av behandlingen og den informasjonen som står til hans disposisjon.

9.1. Brudd på beskyttelsen av opplysningene som behandles av den behandlingsansvarlige

I tilfelle et brudd på personvernet knyttet til opplysningene som behandles av den behandlingsansvarlige, skal databehandleren bistå den behandlingsansvarlige på følgende måte:

a) ved umiddelbar melding av bruddet på personvernet til den eller de kompetente tilsynsmyndighetene, etter at den behandlingsansvarlige har blitt kjent med bruddet, dersom det er relevant (med mindre bruddet på personvernet ikke forventes å utgjøre en risiko for fysiske personers personlige rettigheter og friheter);

b) ved innhenting av følgende opplysninger, som i henhold til artikkel 33 nr. 3 i forordning (EU) 2016/679 skal angis i den behandlingsansvarliges melding, og som minst må omfatte følgende: [Valg: Alternativ 1]

• 1) typen personopplysninger, så langt det er mulig, med angivelse av kategoriene og det omtrentlige antallet berørte personer, samt kategoriene og det omtrentlige antallet berørte personopplysningssett;
• 2) de sannsynlige konsekvensene av bruddet på personvernet;
• 3) tiltakene som den behandlingsansvarlige har iverksatt eller foreslått for å avhjelpe bruddet på personvernet, og eventuelt tiltak for å dempe eventuelle skadelige virkninger av dette.

Dersom og i den grad ikke all denne informasjonen kan gjøres tilgjengelig samtidig, skal den første meldingen inneholde den informasjonen som er tilgjengelig på det tidspunktet, og ytterligere informasjon skal deretter gjøres tilgjengelig uten unødig forsinkelse så snart den foreligger;

c) i forbindelse med oppfyllelsen av plikten i henhold til artikkel 34 i forordning (EU) 2016/679 om å underrette den registrerte uten unødig forsinkelse om bruddet på personvernet, dersom dette bruddet forventes å medføre en høy risiko for fysiske personers rettigheter og friheter. [Valg: Alternativ 1]

9.2. Brudd på beskyttelsen av opplysninger som behandles av databehandleren

I tilfelle et brudd påbeskyttelsen avpersonopplysninger i forbindelse medopplysninger som behandles av databehandleren, skal databehandleren umiddelbart melde dette til den behandlingsansvarlige etter at vedkommende har blitt kjent med bruddet. Denne meldingen må minst inneholde følgende opplysninger:

a) en beskrivelse av bruddets art (om mulig med angivelse av kategoriene og det omtrentlige antallet berørte personer samt det omtrentlige antallet berørte dataposter);

b) kontaktopplysninger til et kontaktpunkt hvor ytterligere informasjon om bruddet på personvernet kan innhentes;

c) de forventede konsekvensene og de iverksatte eller foreslåtte tiltakene for å avhjelpe bruddet på personvernet, herunder tiltak for å dempe eventuelle skadelige virkninger.

Dersom og i den grad ikke all denne informasjonen kan gjøres tilgjengelig samtidig, skal den opprinnelige meldingen inneholde den informasjonen som er tilgjengelig på det tidspunktet, og ytterligere informasjon skal deretter gjøres tilgjengelig uten unødig forsinkelse så snart den foreligger.

Partene fastsetter i vedlegg III alle øvrige opplysninger som databehandleren skal stille til rådighet for å bistå den behandlingsansvarlige med å oppfylle sine forpliktelser i henhold til artikkel 33 og 34 i forordning (EU) 2016/679. [Valg: Alternativ 1]

Vedlegg I: Liste over parter

Databehandler

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Sveits, UID CHE-220.381.580, representert av Günter Reichelt, styreleder. Kontakt: privacy@mail.transpareo.com.

Databeskyttelsesansvarlig og representant i EU i henhold til art. 27 i GDPR: DGD Deutsche Gesellschaft für Datenschutz, prof. dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 München, Tyskland, info@mail.dg-datenschutz.de.

Transpareo har sitt hovedkontor i Sveits, som er omfattet av en beslutning om tilstrekkelig beskyttelsesnivå fra Kommisjonen (2000/518/EF). Dataene lagres i Tyskland.

Behandlingsansvarlige

Transpareo inngår disse klausulene individuelt med hver enkelt behandlingsansvarlig. Den behandlingsansvarlige er enten:

1. en kunde som bruker Transpareo-plattformen i henhold til de generelle forretningsvilkårene (AGB). Navn, adresse og kontaktperson er opplysningene som vedkommende oppgir ved inngåelsen av avtalen via plattformen og oppdaterer i sin konto; kontaktpersonen er kontoinnehaveren. Klausulene anses som avtalt ved inngåelsen av denne avtalen (punkt 14 i de generelle forretningsvilkårene).
2. en leverandør som via leverandørsiden videresender en forespørsel til egne leverandører. Den behandlingsansvarlige er det foretaket som lenken er rettet mot, og som forespørselen angir. Kontaktpersonen er den som videresender forespørselen, med det navnet og den e-postadressen vedkommende oppgir i den forbindelse. Leverandøren inngår vilkårene ved å godta dem på vegne av sitt selskap ved videresending; Transpareo lagrer den godkjente versjonen og tidspunktet sammen med lenken som ble videresendt. I tillegg gjelder bruksvilkårene for leverandører for ham.

Transpareo utpeker den behandlingsansvarliges personvernombud så snart han oppgir navnet på vedkommende.

De generelle forretningsvilkårene eller bruksvilkårene for leverandører utgjør i hvert tilfelle hovedavtalen. Vilkårene inngås elektronisk (art. 28 nr. 9 i GDPR); tiltrædelsesdatoen er tidspunktet for inngåelsen.

Vedlegg III: Tekniske og organisatoriske tiltak

Kryptering og pseudonymisering

• Alle tilkoblinger er kryptert med TLS.
• Påloggingsdata og andre hemmelige opplysninger (PIN-kode, nøkler for engangskoder, SMTP-tilgang, API-nøkler) lagres kryptert i databasen med AES-256-GCM, med en egen nøkkel for hvert arbeidsområde.
• Sikkerhetskopier er kryptert.
• Besøksstatistikken lagrer IP-adresser kun som hashverdier med hemmelig nøkkel. Besøk på leverandørsiden inngår ikke i denne statistikken.

Adskillelse

• Hver kunde har sin egen database.

Fysisk sikkerhet

• Serverne og lagringsenhetene står i datasentre tilhørende Hetzner Online GmbH i Falkenstein, Tyskland, som er sertifisert i henhold til ISO 27001.

Identifikasjon og autorisasjon

• Passord lagres kun som bcrypt-hash.
• To-faktor-pålogging med engangskode eller sikkerhetsnøkkel er tilgjengelig for alle brukere; kunden kan kreve dette for sitt arbeidsområde.
• En økt avsluttes etter en periode uten aktivitet, som kunden selv angir (standardinnstilling er åtte timer).
• I arbeidsområdet gjelder roller og rettigheter som kunden tildeler.
• Ansatte hos Transpareo åpner et arbeidsområde kun ved å logge inn på vegne av kunden, noe som registreres i plattformens logg og i arbeidsområdets sikkerhetslogg.
• Leverandørsiden: Lenken inneholder en tilfeldig nøkkel på 16 tegn (80 bit); uten PIN-kode viser siden ingenting av datasettet. Etter fem feilaktige PIN-koder blir lenken sperret i 15 minutter. Siden aksepterer maksimalt 120 besøk per minutt per IP-adresse. Ved opphevelse av sperringen tildeles økten en ny identifikator. Siden er sperret for søkemotorer og videreformidler ikke adressen sin til eksterne sider.

Loggføring

• Endringer i datasett og hendelser på leverandørsiden loggføres med tidspunkt, utførende person og IP-adresse og oppbevares i fem år, mens pålogginger og andre sikkerhetshendelser oppbevares i ett år.
• Serverlogger slettes etter 14 dager.

Integritet

• Bilder fra leverandører oppbevares uten metadata i et beskyttet område utenfor det offentlige lagringsområdet inntil de blir godkjent etter en kontroll. En bekreftelse endrer først dataposten etter at kontrollen er fullført.
• Publiserte passversjoner er kryptografisk signert.

Tilgjengelighet og gjenoppretting

• Hver fjerde time blir databasen og filene til hvert aktivt arbeidsområde sikkerhetskopiert, kryptert og lagret separat fra serverne i objektslagringen i Tyskland. Lokale kopier slettes etter fire dager. Sikkerhetskopiene i objektlagringen oppbevares i 90 dager og slettes endelig innen ytterligere 30 dager.
• Tjenester og servere overvåkes kontinuerlig; sikkerhetsoppdateringer installeres regelmessig.
• Transpareo gjennomgår disse tiltakene regelmessig og tilpasser dem til den nyeste teknologien.

Støtte til den behandlingsansvarlige (klausul 8 og 9)

• En kunde kan se, rette og slette dataene i sitt arbeidsområde på plattformen. En leverandør ser svarene på sine delinger på leverandørsiden og kan tilbakekalle hver enkelt delt lenke.
• Forespørsler fra berørte personer som mottas av Transpareo, videresender Transpareo umiddelbart til den behandlingsansvarlige.
• Meldinger i henhold til klausul 7.7 og 9.2 sendes via e-post til kontoinnehaveren til en kunde og til e-postadressen som en leverandør oppgir ved deling. Kontaktpunktet i henhold til klausul 9.2 bokstav b er privacy@mail.transpareo.com.
• En melding i henhold til punkt 9.2 skal i tillegg oppgi tidspunktet for bruddet og når det ble oppdaget, samt de berørte arbeidsområdene eller lenkene.

Sveitsisk tillegg

Dette tillegget er en ytterligere bestemmelse i henhold til bestemmelse 2 bokstav b. I den grad behandlingen er underlagt den sveitsiske føderale loven om personvern (DSG):

1. gjelder henvisninger til forordning (EU) 2016/679 samtidig som henvisninger til de tilsvarende bestemmelsene i DSG, nemlig art. 28 i GDPR til art. 9 i DSG, art. 32 til art. 8, art. 33 og 34 til art. 24, art. 35 og 36 til art. 22 og 23, kapittel V til artikkel 16 til 18, de registrertes rettigheter til artikkel 25 til 32 i DSG og sensitive opplysninger i henhold til klausul 7.5 til personopplysninger som krever særlig beskyttelse i henhold til artikkel 5 bokstav c i DSG;
2. er den føderale datatilsynsmannen (EDÖB) den kompetente tilsynsmyndigheten; tilsynsmyndighetenes kompetanse i henhold til GDPR forblir uberørt;
3. regnes også sveitsisk rett som en medlemsstats rett.

Per 8. oktober 2026