Databehandleravtale

1. Roller og omfang

Denne databehandleravtalen («Avtalen») er en del av vilkårene mellom NelMil AS («NelMil», «vi», «databehandler») og kunden («Kunden», «behandlingsansvarlig»), og gjelder når Kunden bruker Lekko til å behandle personopplysninger.

Avtalen inngås etter artikkel 28 i personvernforordningen (EU 2016/679, «GDPR») og annen gjeldende personvernlovgivning. Ved motstrid mellom Avtalen og vilkårene for øvrig i spørsmål om behandling av personopplysninger, går Avtalen foran.

Kunden er behandlingsansvarlig og NelMil er databehandler for personopplysninger som behandles gjennom Lekko.

2. Formål og varighet

Tjenesten. Lekko er en skytjeneste (SaaS) for internkontroll av lekeplassapparater: distribusjon og gjennomføring av ettersyn, registrering og oppfølging av avvik, og generering av dokumentasjon.

Varighet. Avtalen gjelder så lenge Kundens abonnement varer, og en eventuell etterfølgende periode der NelMil behandler personopplysninger på vegne av Kunden.

Behandlingens art og formål. Drift, lagring, overføring og behandling av personopplysninger som er nødvendig for å levere Lekko, herunder utsending av ettersyns- og påminnelsesvarsler, registrering av utført arbeid og avvik, og generering av rapporter og dokumentasjon.

Kategorier registrerte. Kundens ansatte, innleide, styremedlemmer, administratorer og andre som får tilgang til Lekko, inkludert personer med ettersynstilgang.

Kategorier personopplysninger. Identitetsdata (navn), kontaktdata (e-postadresse), organisatorisk tilhørighet, aktivitets- og innloggingslogg med tidsstempler, samt begrenset teknisk metadata (IP-adresse og nettleserinformasjon).

3. Databehandlers plikter

NelMil skal:

• Bare behandle personopplysninger etter dokumenterte instrukser fra Kunden, slik de fremgår av vilkårene, denne Avtalen og Kundens egen konfigurasjon av Lekko. Instruksene omfatter drift, sikkerhet, misbruksforebygging, feilsøking og vedlikehold av Lekko.
• Sørge for at personer som er autorisert til å behandle personopplysningene, er underlagt taushetsplikt som varer også etter at engasjementet er avsluttet.
• Gjennomføre de tekniske og organisatoriske tiltakene som er beskrevet i punkt 7.
• Bare bruke underdatabehandlere i tråd med punkt 4.
• Bistå Kunden, så langt det er mulig og ut fra behandlingens art, med å svare på henvendelser om de registrertes rettigheter etter GDPR kapittel III.
• Bistå Kunden med å overholde pliktene etter GDPR artikkel 32 til 36.
• Gjøre tilgjengelig for Kunden den informasjonen som er nødvendig for å vise at pliktene etter GDPR artikkel 28 er oppfylt.
• Varsle Kunden dersom en instruks etter NelMils vurdering er i strid med GDPR eller annen gjeldende personvernlovgivning.

4. Underdatabehandlere

Kunden gir NelMil generell tillatelse til å bruke underdatabehandlere for å levere Lekko, på vilkårene i dette punktet.

Den til enhver tid gjeldende listen over underdatabehandlere, med behandlingssteder og overføringsgrunnlag, er publisert på lekko.no/subprosessorer og utgjør en del av Avtalen.

NelMil skal:

• Sørge for at hver underdatabehandler er underlagt personvernforpliktelser som oppfyller kravene i GDPR artikkel 28 nr. 4.
• Forbli ansvarlig overfor Kunden for underdatabehandlerens oppfyllelse av sine plikter.
• Varsle på forhånd ved tillegg eller utskifting av underdatabehandlere.

Dersom Kunden på rimelig personverngrunnlag motsetter seg en ny underdatabehandler, og partene ikke blir enige om en løsning, kan Kunden si opp den berørte tjenesten i tråd med vilkårene.

5. Overføring til utlandet

Overføres personopplysninger utenfor EØS til et land uten tilstrekkelig beskyttelsesnivå (adekvansbeslutning), sørger NelMil for et gyldig overføringsgrunnlag. Slike grunnlag omfatter EUs standardkontraktsbestemmelser (SCC), EU-US Data Privacy Framework eller andre lovlige overføringsmekanismer etter gjeldende personvernlovgivning.

Overføringsgrunnlaget for hver underdatabehandler fremgår av lekko.no/subprosessorer.

6. Brudd på personopplysningssikkerheten

NelMil skal varsle Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører personopplysninger som behandles under Avtalen.

Varselet skal, så langt informasjonen er tilgjengelig, inneholde:

• Bruddets art, herunder kategoriene og omtrentlig antall registrerte og poster som er berørt.
• De sannsynlige konsekvensene av bruddet.
• Tiltak som er truffet eller foreslås for å håndtere bruddet.
• Kontaktpunkt for mer informasjon.

NelMil skal samarbeide med Kunden og gi rimelig bistand slik at Kunden kan overholde sine varslingsplikter etter GDPR artikkel 33 og 34.

7. Tekniske og organisatoriske tiltak

NelMil gjennomfører tekniske og organisatoriske tiltak for å beskytte personopplysninger i tråd med GDPR artikkel 32.

Tilgang til personopplysninger er begrenset gjennom rollebasert tilgangsstyring. Innlogging skjer med engangslenke på e-post (magic link), uten passord. Alle med tilgang til personopplysninger er underlagt taushetsplikt.

Personopplysninger krypteres under overføring og lagring med anerkjente mekanismer. Sikkerhetskopier tas jevnlig, og administrative handlinger logges. NelMil følger sikker utviklingspraksis, herunder kodegjennomgang og oppfølging av avhengigheter, og har en dokumentert prosess for håndtering av hendelser. Underdatabehandlere er underlagt personvernforpliktelser i tråd med denne Avtalen.

Tiltakene kan oppdateres over tid, forutsatt at beskyttelsesnivået ikke svekkes vesentlig.

8. Revisjon

NelMil skal gjøre tilgjengelig for Kunden den informasjonen som er nødvendig for å vise at Avtalen overholdes.

Med rimelig skriftlig varsel kan Kunden (eller en uavhengig revisor engasjert av Kunden og som NelMil med rimelighet kan godta) gjennomføre revisjon av NelMils behandling under Avtalen, høyst én gang per kalenderår, med mindre gjeldende rett krever noe annet eller det har vært et bekreftet brudd på personopplysningssikkerheten.

NelMil kan oppfylle sine plikter etter dette punktet ved å legge fram oppdaterte tredjeparts revisjonsrapporter, sertifiseringer eller tilsvarende dokumentasjon der dette er rimelig tilgjengelig.

9. De registrertes rettigheter

Ut fra behandlingens art skal NelMil, så langt det er mulig, bistå Kunden med egnede tekniske og organisatoriske tiltak slik at Kunden kan oppfylle sin plikt til å svare på henvendelser om de registrertes rettigheter etter GDPR kapittel III.

Mottar NelMil en henvendelse direkte fra en registrert om personopplysninger som behandles på vegne av Kunden, videresender NelMil henvendelsen til Kunden uten opphold, og svarer ikke selv med mindre Kunden gir fullmakt til det.

10. Retur eller sletting av personopplysninger

Før abonnementet avsluttes eller utløper, kan Kunden eksportere rapporter og dokumentasjon fra Lekko med den tilgjengelige eksportfunksjonaliteten (PDF/CSV der dette tilbys).

Etter avslutning kan Kunden instruere NelMil om å enten returnere eller slette alle personopplysninger som behandles på vegne av Kunden. Uten slik instruks innen tretti (30) dager etter avslutning, sletter NelMil personopplysningene innen nitti (90) dager deretter.

Lagring utover dette er bare tillatt der gjeldende rett krever det, eller etter dokumentert instruks fra Kunden. Personopplysninger kan ligge igjen i sikkerhetskopier i en begrenset periode i tråd med rutinene for sikkerhetskopiering, og slettes deretter.

11. Ansvar

Hver parts ansvar i tilknytning til Avtalen er underlagt de ansvarsbegrensningene og -unntakene som følger av vilkårene, med mindre slike begrensninger eller unntak er forbudt etter gjeldende personvernlovgivning.

12. Varighet og opphør

Avtalen trer i kraft når Kunden godtar vilkårene, og gjelder så lenge Kundens abonnement varer og en eventuell etterfølgende periode der NelMil behandler personopplysninger på vegne av Kunden.

Opphør av vilkårene medfører automatisk opphør av Avtalen, med forbehold for de pliktene som etter sin art skal bestå etter opphør, herunder punkt 7, 10 og 11.

13. Lovvalg og verneting

Avtalen reguleres av norsk rett. Tvister som oppstår i tilknytning til Avtalen, hører under de norske domstolene, med Oslo tingrett som avtalt verneting, med mindre ufravikelig rett i Kundens jurisdiksjon bestemmer noe annet.

Kontakt

For spørsmål om denne databehandleravtalen, kontakt oss på:

NelMil AS Terrasseveien 31 E, 1363 Høvik, Norge hei@lekko.no