Databehandleravtale

Denne databehandleravtalen («Avtalen») regulerer Gripr AS sin behandling av personopplysninger på vegne av kunden, og inngås som vedlegg til avtalen om bruk av Gripr-plattformen. Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28.

1. Formål og omfang

Gripr AS (databehandler) behandler personopplysninger på vegne av kunden (behandlingsansvarlig) som ledd i leveransen av Gripr-plattformen. Behandlingens art, formål, varighet, typer personopplysninger og kategorier av registrerte er beskrevet i vedlegg A. Avtalen skal sikre at behandlingen skjer i samsvar med personvernforordningen (GDPR) og personopplysningsloven.

2. Databehandlers plikter

• Behandler kun personopplysninger etter dokumenterte instrukser fra behandlingsansvarlig (art. 28 (3) a).
• Sikrer at personer med tilgang har taushetsplikt, også etter at Avtalen er opphørt (art. 28 (3) b).
• Utleverer ikke personopplysninger til tredjepart uten uttrykkelig instruks fra behandlingsansvarlig. Henvendelser fra registrerte, myndigheter eller andre videreformidles til behandlingsansvarlig uten ugrunnet opphold.
• Varsler behandlingsansvarlig straks dersom Gripr mener at en instruks er i strid med personvernregelverket (art. 28 (3) annet ledd).
• Gjennomfører egnede tekniske og organisatoriske sikkerhetstiltak (art. 32), se vedlegg B.
• Bistår behandlingsansvarlig med å oppfylle plikter overfor de registrerte, herunder innsyn, retting og sletting (art. 28 (3) e).
• Bistår ved sikkerhetsbrudd, melding til tilsynsmyndighet og personvernkonsekvensvurderinger (art. 28 (3) f).
• Sletter eller tilbakefører personopplysninger ved avtalens opphør, etter behandlingsansvarliges valg (art. 28 (3) g).
• Fører protokoll over behandlingen Gripr utfører på vegne av behandlingsansvarlig (art. 30 (2)), og sender kopi på forespørsel.
• Gjør tilgjengelig all informasjon som er nødvendig for å vise at pliktene overholdes, og muliggjør og bidrar til revisjoner, herunder inspeksjoner, utført av behandlingsansvarlig eller en revisor med fullmakt fra behandlingsansvarlig (art. 28 (3) h). Behandlingsansvarlig dekker kostnadene ved revisjoner den selv ber om.

3. Underdatabehandlere

Behandlingsansvarlig gir generell forhåndsgodkjenning til at Gripr bruker underdatabehandlere. Gripr skal påse at underdatabehandlere er underlagt tilsvarende forpliktelser (art. 28 (4)), og varsle om endringer slik at behandlingsansvarlig kan protestere. Oppfyller en underdatabehandler ikke sine forpliktelser, er Gripr fullt ansvarlig overfor behandlingsansvarlig for at de blir oppfylt. Gjeldende underdatabehandlere på avtaletidspunktet:

Listen holdes oppdatert. Fullstendige DPA-oversikter ligger i GDPR/Leverandører.

4. Overføring til tredjeland

Overføring av personopplysninger til land utenfor EØS skjer kun når det foreligger gyldig overføringsgrunnlag, som en adekvansbeslutning eller EU-kommisjonens standardavtaler (SCC) (art. 44–46). Der underdatabehandlere er lokalisert i USA, skjer overføringen på grunnlag av EU–US Data Privacy Framework eller EU-kommisjonens standardavtaler (SCC).

5. Sikkerhetsbrudd

Ved brudd på personopplysningssikkerheten varsler Gripr behandlingsansvarlig uten ugrunnet opphold etter at bruddet er blitt kjent (art. 33 (2)). Varselet skal minst inneholde:

1. en beskrivelse av bruddet, herunder når det er mulig kategoriene og omtrentlig antall berørte registrerte og personopplysningsposter,
2. navn og kontaktopplysninger til Griprs kontaktpunkt for personvern,
3. en beskrivelse av de sannsynlige konsekvensene av bruddet, og
4. en beskrivelse av tiltakene som er truffet eller foreslås for å håndtere bruddet og begrense skadevirkningene.

Kan ikke alle opplysningene gis samtidig, gis de fortløpende så snart de foreligger. Det er behandlingsansvarlig som melder bruddet til Datatilsynet. Gripr kontakter ikke tilsynsmyndigheten om bruddet uten instruks fra behandlingsansvarlig. Se «Rutine for håndtering av personvernbrudd» (GDPR-04).

6. Varighet og opphør

Avtalen gjelder så lenge Gripr behandler eller har tilgang til personopplysninger på vegne av behandlingsansvarlig. Ved brudd på Avtalen eller personvernregelverket kan behandlingsansvarlig pålegge Gripr å stanse behandlingen med øyeblikkelig virkning.

Ved opphør slettes eller tilbakeføres personopplysningene etter behandlingsansvarliges valg, med mindre lagring er pålagt ved lov. Sikkerhetskopier slettes automatisk etter senest 90 dager. Gripr bekrefter skriftlig at personopplysningene er slettet eller tilbakelevert.

7. Øvrige bestemmelser

• Øvrige rettigheter og plikter følger av avtalen om bruk av Gripr-plattformen («Hovedavtalen», «Avtalevilkår for bruk av Gripr» (AVTALE-01)). Avtalen utvider ikke Griprs erstatningsansvar utover det som følger av Hovedavtalen.
• Overdras Hovedavtalen, overdras Avtalen tilsvarende.
• Meddelelser etter Avtalen sendes skriftlig til hei@gripr.no.
• Avtalen er underlagt norsk rett, og partene vedtar Vestfold Tingrett som verneting, også etter at Avtalen er opphørt.

8. Signering

Vedlegg: A) Beskrivelse av behandlingen, se nedenfor. B) Tekniske og organisatoriske sikkerhetstiltak, se «Tekniske og organisatoriske tiltak (art. 32)» (GDPR-10).

Vedlegg A — Beskrivelse av behandlingen

Referanser

Personvernforordningen (GDPR) art. 28, 30, 32, 33, 44–46. Personopplysningsloven. Bygger på databehandleravtalen av 18.08.2022.