Databehandleravtale for Ansattmappa

*Standardavtale etter personvernforordningen (GDPR) artikkel 28 nr. 3. Utkast, sist oppdatert [DATO].*

1. Parter og inngåelse

Behandlingsansvarlig: Kunden, det vil si virksomheten som registrerer konto i Ansattmappa («Kunden»).

Databehandler: Massiv Media AS, org.nr. 999 056 679, c/o Knut Eirik Gården, Lerkevegen 36, 6443 Tornes i Romsdal («Ansattmappa»).

Avtalen inngås elektronisk når Kunden krysser av for at Kunden godtar databehandleravtalen ved registrering. Avtalen er da skriftlig og bindende i tråd med art. 28 nr. 9. Den er et vedlegg til Ansattmappas vilkår for bruk («Vilkårene»). Hvis avtalen og Vilkårene er i strid med hverandre når det gjelder personopplysninger, gjelder denne avtalen. Ansattmappa lagrer tidspunkt, avtaleversjon og hvilken bruker som godtok.

2. Definisjoner

Begrepene i avtalen betyr det samme som i GDPR art. 4, for eksempel «personopplysninger», «behandling», «brudd på personopplysningssikkerheten» og «underdatabehandler».

3. Formål, gjenstand og varighet

Ansattmappa behandler personopplysninger på vegne av Kunden for å levere tjenesten. Det vil si å lage, lagre, kopiere og gjøre tilgjengelig arbeidsavtaler, arbeidsattester og støttedokumenter som arbeidsgiveren trenger etter arbeidsmiljøloven, og eventuelt å sende dokumenter til elektronisk signering. Avtalen gjelder så lenge Ansattmappa behandler personopplysninger for Kunden, også etter at kundeforholdet er slutt og fram til opplysningene er slettet eller levert tilbake etter punkt 13. Se også vedlegg 1.

4. Kundens plikter og rettigheter

Kunden skal:

• ha behandlingsgrunnlag for opplysningene Kunden legger inn, og gi de ansatte informasjon etter art. 13 og 14,
• bare legge inn opplysninger som er nødvendige for dokumentene, og ikke legge inn fødselsnummer eller særlige kategorier av personopplysninger (art. 9) i tjenesten (se vedlegg 1),
• sørge for at bare personer med tjenstlig behov får tilgang til Kundens konto,
• svare på krav fra de registrerte. Ansattmappa hjelper til etter punkt 7.

Kunden gir instrukser gjennom innstillingene og valgene i tjenesten, gjennom denne avtalen og gjennom skriftlige instrukser på e-post. Instrukser som går utover tjenestens normale funksjoner, kan Ansattmappa takke nei til. Kunden kan i så fall si opp avtalen.

5. Ansattmappas plikter

Ansattmappa skal:

a) bare behandle opplysningene etter Kundens dokumenterte instrukser, også når det gjelder overføring til tredjeland, med mindre annet følger av lov. I så fall varsler Ansattmappa Kunden før behandlingen, så langt loven tillater det (art. 28 nr. 3 a). Mener Ansattmappa at en instruks er i strid med personvernregelverket, varsler Ansattmappa Kunden straks (art. 28 nr. 3 siste ledd),

b) sørge for at alle med tilgang til opplysningene har taushetsplikt (art. 28 nr. 3 b),

c) gjennomføre de sikkerhetstiltakene som kreves etter art. 32. Se vedlegg 2,

d) følge reglene om underdatabehandlere i punkt 6,

e) hjelpe Kunden med å svare på krav fra de registrerte etter kapittel III, så langt det er mulig og ut fra hva slags behandling det er (art. 28 nr. 3 e). Tjenesten lar Kunden se, rette, eksportere og slette egne data selv,

f) hjelpe Kunden med å oppfylle pliktene etter art. 32–36, det vil si sikkerhet, avviksvarsling, konsekvensvurdering og forhåndsdrøfting, ut fra hva slags behandling det er og hvilken informasjon Ansattmappa har (art. 28 nr. 3 f),

g) slette eller levere tilbake opplysningene når avtalen opphører, etter punkt 13 (art. 28 nr. 3 g),

h) gi Kunden den informasjonen som trengs for å vise at art. 28 er overholdt, og legge til rette for revisjoner etter punkt 10 (art. 28 nr. 3 h).

Ansattmappa bruker ikke opplysningene til egne formål. Ansattmappa bruker dem heller ikke til å trene, forbedre eller teste KI-modeller, og deler dem ikke med andre enn godkjente underdatabehandlere. Anonymisert, aggregert statistikk som ikke kan knyttes til enkeltpersoner eller til Kunden, for eksempel antall dokumenter per måned, er ikke personopplysninger.

6. Underdatabehandlere

1. Kunden gir med dette en generell skriftlig godkjenning av at Ansattmappa bruker underdatabehandlere (art. 28 nr. 2). De som er i bruk når avtalen inngås, står i vedlegg 3.

2. Ansattmappa varsler Kunden på e-post og på [ansattmappa.no/underleverandorer] minst 30 dager før en ny underdatabehandler tas i bruk eller en eksisterende byttes ut.

3. Kunden kan protestere på saklig grunnlag innen fristen. Finner partene ingen løsning, kan Kunden si opp avtalen med virkning fra endringen. Kunden får da tilbake forholdsmessig forhåndsbetalt vederlag for tiden som gjenstår av perioden.

4. Ansattmappa skal pålegge underdatabehandlere de samme personvernpliktene som i denne avtalen, gjennom avtale (art. 28 nr. 4). Ansattmappa er ansvarlig overfor Kunden for at underdatabehandlerne oppfyller pliktene sine.

7. Bistand ved krav fra registrerte

Får Ansattmappa en henvendelse direkte fra en registrert, for eksempel en ansatt hos Kunden, sender Ansattmappa den videre til Kunden uten ugrunnet opphold og svarer ikke på den selv uten instruks. Hjelp som går utover funksjonene i tjenesten, kan faktureres etter medgått tid til [PRIS] kr per time, med beskjed om pris på forhånd.

8. Brudd på personopplysningssikkerheten (avvik)

1. Ansattmappa varsler Kunden uten ugrunnet opphold, og senest innen 48 timer, etter å ha blitt kjent med et brudd som gjelder Kundens opplysninger (art. 33 nr. 2).

2. Varselet skal så langt det er mulig beskrive det som kreves i art. 33 nr. 3. Det er bruddets art, kategorier og omtrentlig antall registrerte og opplysninger som er berørt, kontaktpunkt, sannsynlige konsekvenser og hvilke tiltak som er satt i verk eller foreslås. Informasjon som ikke er klar ennå, kan gis etter hvert.

3. Kunden har ansvaret for å melde fra til Datatilsynet og til de registrerte. Ansattmappa hjelper til.

9. Overføring til land utenfor EU/EØS

Ansattmappa skal behandle og lagre Kundens personopplysninger i EU/EØS. Overføring til tredjeland, også fjerntilgang, skjer bare hvis det følger av vedlegg 3 eller Kunden har godkjent det etter punkt 6, og bare med gyldig overføringsgrunnlag etter kapittel V i GDPR. Det kan være en adekvansbeslutning, for eksempel EU–US Data Privacy Framework for sertifiserte selskaper, eller EUs standardkontraktsbestemmelser med nødvendige tilleggstiltak.

10. Revisjon og dokumentasjon

Ansattmappa gir Kunden på forespørsel en skriftlig redegjørelse for sikkerhetstiltakene og underdatabehandlerne, i første omgang i form av vedlegg 2 og 3 og eventuelle sertifiseringer eller rapporter fra underdatabehandlerne. Kunden kan i tillegg gjennomføre en revisjon selv, eller med en uavhengig revisor med taushetsplikt, én gang i året, med 30 dagers varsel. Revisjon kan også gjennomføres når det er grunn til å tro at avtalen er brutt, eller når Datatilsynet krever det. Kunden dekker egne kostnader til revisjonen.

11. Ansvar

Partene er ansvarlige etter GDPR art. 82 overfor de registrerte. Mellom partene gjelder ansvarsbegrensningen i Vilkårene, men den begrenser ikke ansvar for grov uaktsomhet eller forsett. Den begrenser heller ikke de registrertes rettigheter.

12. Endringer

Ansattmappa kan endre avtalen med 30 dagers skriftlig varsel når det er nødvendig på grunn av regelverksendringer, pålegg fra myndighetene eller endringer i tjenesten, så lenge endringen ikke svekker vernet av personopplysningene. Andre endringer krever at Kunden godtar dem.

13. Opphør, tilbakelevering og sletting

1. Når kundeforholdet opphører, har Kunden [90] dager på seg til å laste ned dokumentene sine i PDF-format og dataene sine i et maskinlesbart format, for eksempel CSV eller JSON. Kunden kan også be om å få dem utlevert.

2. Etter fristen sletter Ansattmappa Kundens personopplysninger innen 30 dager. Kopier i sikkerhetskopier slettes fortløpende etter hvert som sikkerhetskopiene roteres, senest innen [35] dager. Fram til da er kopiene beskyttet og brukes ikke.

3. Opplysninger Ansattmappa må oppbevare etter lov, slettes når plikten opphører. Kundens egne regnskapsbilag fra Ansattmappa er ikke personopplysninger om Kundens ansatte.

4. Kunden kan når som helst slette enkeltdokumenter og ansattposter selv. Det som slettes, fjernes fra produksjonsdatabasen straks og fra sikkerhetskopier etter punkt 2.

5. Ansattmappa bekrefter skriftlig at slettingen er gjennomført hvis Kunden ber om det.

14. Lovvalg og verneting

Avtalen følger norsk rett. Tvister løses ved [Oslo tingrett] som avtalt verneting.

Vedlegg 1: Beskrivelse av behandlingen

Vedlegg 2: Sikkerhetstiltak (art. 32)

• Kryptering under overføring (TLS) og ved lagring, gjennom hosting-leverandøren.
• Tilgangsstyring på kundenivå (radnivå), slik at én kunde aldri ser en annen kundes data. Dette testes før lansering og ved hver større endring.
• Innlogging med e-post og passord eller engangskode. Tofaktor for alle med administratortilgang hos Ansattmappa.
• Prinsippet om minst mulig tilgang. Ansattmappa går ikke inn i Kundens data uten at det trengs for support Kunden har bedt om, sikkerhet eller feilretting, og slik tilgang logges.
• Automatiske sikkerhetskopier hos hosting-leverandøren, med rotasjon etter punkt 13.
• Logg over innlogging og administrative handlinger.
• Rutine for å håndtere avvik, med varsling etter punkt 8.
• Leverandører velges med databehandleravtale og datalagring i EU/EØS.
• [UTFYLLES: resultat av sikkerhetsgjennomgang før lansering, dato]

Vedlegg 3: Godkjente underdatabehandlere

*Stripe behandler bare Kundens betalingsopplysninger, ikke opplysninger om ansatte, og står derfor ikke på denne listen. Se personvernerklæringen.*

Kilder (fjernes før publisering)

• Datatilsynet, *Hva må en databehandleravtale inneholde?*: https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/hvordan-lage-en-databehandleravtale/hva-ma-en-databehandleravtale-inneholde/
• Datatilsynet, *Konsekvensene av om det foreligger et databehandleroppdrag eller ikke* (skriftlig, kan være elektronisk; ansvar for underleverandører, art. 28 nr. 4): https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/behandlingsansvarlig-og-databehandler/konsekvensene-av-om-det-foreligger-et-databehandleroppdrag-eller-ikke/
• Datatilsynet, *Fødselsnummer*: https://www.datatilsynet.no/rettigheter-og-plikter/personopplysninger/fodselsnummer/