Databehandleravtale

Versjon 0.1 (utkast) · del av vilkårene for bruk

Denne avtalen gjelder når [Selskap AS] («databehandleren») behandler personopplysninger på vegne av kunden («den behandlingsansvarlige») i Sats, slik GDPR art. 28 krever.

1. Formål og varighet

Databehandleren lager dokumenter fra maler og data som den behandlingsansvarlige sender, og lagrer den behandlingsansvarliges maler og filer, så lenge kundeavtalen varer.

2. Behandlingens art

• Data som sendes inn for å lage dokumenter behandles i minnet og lagres ikke. Ferdige PDF-er returneres i svaret og lagres ikke.
• Maler og filer (fonter, bilder, PDF-er) lagres til den behandlingsansvarlige sletter dem eller avtalen opphører.
• Metadata om dokumenter (tidspunkt, mal, sider, størrelse, advarsler; ikke innhold) lagres i arbeidsområdets lagringstid, som standard 24 timer. Månedlige antall dokumenter lagres for fakturering.

3. Typer opplysninger og registrerte

Bestemmes av den behandlingsansvarlige: de personopplysningene maler og forespørsler inneholder, typisk navn, adresser og ordre- eller kundeopplysninger om den behandlingsansvarliges egne kunder og ansatte. Særlige kategorier (art. 9) skal ikke sendes uten at den behandlingsansvarlige har vurdert at det er lovlig og sikkert.

4. Databehandlerens plikter

Databehandleren skal:

• bare behandle personopplysninger etter dokumenterte instrukser fra den behandlingsansvarlige, som er denne avtalen og den behandlingsansvarliges bruk av tjenesten;
• sørge for at de som har tilgang har taushetsplikt;
• gjennomføre sikkerhetstiltakene i punkt 6;
• bare bruke underleverandører etter punkt 5;
• hjelpe den behandlingsansvarlige med henvendelser fra registrerte og med personvernkonsekvensvurderinger, så langt behandlingens art tillater;
• varsle den behandlingsansvarlige uten ugrunnet opphold, og innen 48 timer, etter å ha fått kjennskap til et avvik;
• slette eller tilbakelevere alle personopplysninger når avtalen opphører, innen 30 dager, med mindre lov krever lagring;
• gjøre tilgjengelig informasjonen som trengs for å vise at avtalen følges, og tillate revisjon med rimelig varsel og for den behandlingsansvarliges regning.

5. Underleverandører

Den behandlingsansvarlige gir generell godkjenning til underleverandørene på /subprocessors. Databehandleren varsler nye underleverandører på e-post minst 30 dager i forveien; den behandlingsansvarlige kan protestere og, om det ikke finnes en løsning, si opp avtalen.

6. Sikkerhetstiltak

• Drift i datasentre i EU; kryptert forbindelse (TLS) for all trafikk.
• Ferdige dokumenter og data til dokumenter skrives ikke til disk eller lagring.
• Hver databasespørring er avgrenset til ett arbeidsområde; isolasjonen dekkes av automatiske tester.
• Passord hashes med Argon2, API-nøkler hashes med en hemmelighet på serveren; nøkler kan trekkes tilbake.
• Bilder og PDF-er fra nettadresser hentes bare over HTTPS og aldri fra interne nett.
• Logger inneholder id-er, antall og varighet, aldri dokumentinnhold eller innsendte data.
• Daglige krypterte sikkerhetskopier av databasen lagres i 30 dager, med jevnlige gjenopprettingstester.

7. Overføring

Personopplysninger lagres i EU. Overføring utenfor EØS skjer bare til underleverandører med gyldig overføringsgrunnlag (standard personvernbestemmelser eller beslutning om tilstrekkelig beskyttelse).

8. Lovvalg

Norsk rett gjelder, med verneting som i vilkårene for bruk.