Databehandleravtale

1. Parter og omfang

1. Avtalen gjelder mellom kunden som behandlingsansvarlig og Muuh AS, Sukkevannslia 4, 4638 Kristiansand, Norway, som databehandler («vi»).
2. Den er en del av vilkårene og inngås sammen med dem når kunden godtar vilkårene og denne avtalen ved kjøpet.
3. Den gjelder så lenge vi behandler data på vegne av kunden. Er den i strid med vilkårene, går denne avtalen foran i spørsmål om personvern.

2. Formål og art

1. Vi sjekker nettsteder som kunden oppgir, automatisk for universell utforming, lagrer resultatene og gjør dem tilgjengelige som rapport, PDF, guidet manuell sjekk og utkast til tilgjengelighetserklæring.
2. For å gjøre det leser vi offentlig tilgjengelige sider. Vi behandler bare personopplysninger som står på disse sidene, eller som kunden selv legger inn i Luentis. Vi analyserer dem ikke om enkeltpersoner.
3. Opplysninger om konto, kjøp og betaling behandler vi som selvstendig behandlingsansvarlig. For dem gjelder personvernerklæringen, ikke denne avtalen.

3. Opplysninger og registrerte

Vi behandler ikke bevisst særlige kategorier personopplysninger etter art. 9. De kan bare forekomme hvis de står offentlig på sidene som sjekkes.

4. Instrukser

1. Vi behandler opplysningene bare etter dokumenterte instrukser fra kunden. Instruksene følger av denne avtalen, vilkårene og kundens bruk av funksjonene i Luentis. Andre instrukser gir kunden skriftlig til [email protected].
2. Krever EU-retten eller nasjonal rett en annen behandling, sier vi fra til kunden på forhånd, så langt loven tillater det.
3. Mener vi at en instruks er ulovlig, sier vi fra til kunden med en gang. Vi kan vente med å følge den til saken er avklart.

5. Taushetsplikt

Alle hos oss som har tilgang til opplysningene, har taushetsplikt. Bare de som trenger tilgang for å drive Luentis, får det.

6. Sikkerhet

Vi har tekniske og organisatoriske tiltak etter art. 32. Blant dem er:

1. Sted: lagring og behandling i datasentre i EU, i Frankfurt am Main.
2. Kryptering: overføring bare over TLS. Passord lagres bare som hash.
3. Tilgang: innlogging med passord og, om ønsket, en ekstra faktor. Dataene hører til kundens team, og medlemmer av andre team kan ikke se dem. Delte rapporter kan bare nås gjennom en lenke som ikke kan gjettes, og som kunden kan trekke tilbake når som helst.
4. Atskillelse: skanneren kjører atskilt fra appen. Oppdrag til skanneren og svarene fra den er signert. Skanneren åpner ikke interne eller private nettverksadresser, heller ikke etter videresendinger.
5. Tilgjengelighet: jevnlige sikkerhetskopier av databasen hos driftsleverandøren.
6. Kontroll: vi gjennomgår tiltakene jevnlig og oppdaterer dem etter den tekniske utviklingen. De kan bare endres slik at beskyttelsen ikke blir svakere.

7. Underdatabehandlere

1. Kunden godtar at vi bruker disse underdatabehandlerne:

2. Vi pålegger hver underdatabehandler plikter i avtale som svarer til denne avtalen.
3. Nye eller andre underdatabehandlere varsler vi på e-post minst 30 dager før. Kunden kan protestere innen fristen av saklige grunner knyttet til personvern. Finner vi ingen løsning, kan kunden si opp den aktuelle avtalen og få tilbake det som er betalt for tjenester som ikke er levert.

8. Overføring til tredjeland

Vi behandler opplysningene i EU og EØS. Noen underdatabehandlere har hovedkontor i USA. Der opplysninger kan havne der, bygger vi på EUs beslutning om EU-US Data Privacy Framework når leverandøren er sertifisert, og ellers på EU-kommisjonens standardkontraktsbestemmelser.

9. Bistand

1. Vi hjelper kunden med egnede tiltak for å svare på henvendelser fra registrerte. Henvender en registrert seg til oss, sender vi henvendelsen videre til kunden.
2. Vi hjelper kunden med pliktene etter art. 32 til 36 så langt det gjelder vår behandling.

10. Brudd på personopplysningssikkerheten

Vi varsler kunden om brudd på personopplysningssikkerheten uten ugrunnet opphold og senest 48 timer etter at vi ble kjent med det. Så langt vi vet det, sier varselet hva som skjedde, hvilke opplysninger og personer som er berørt, de sannsynlige følgene og hva vi gjør med det.

11. Sletting og tilbakelevering

1. Kunden kan laste ned rapporter som PDF når som helst mens avtalen gjelder. Sletting av enkeltskann eller nettsteder kan kunden be om på e-post til [email protected].
2. Avslutter kunden kontoen eller ber om sletting, sletter vi opplysningene som denne avtalen gjelder, innen 30 dager. Sikkerhetskopier blir overskrevet i den vanlige syklusen, senest etter 30 nye dager.
3. Dette gjelder ikke der EU-retten eller nasjonal rett krever at vi oppbevarer opplysningene.

12. Dokumentasjon og revisjon

1. Vi gir kunden på forespørsel opplysningene som trengs for å vise at avtalen blir fulgt.
2. Kunden, eller en revisor kunden velger og som har taushetsplikt, kan kontrollere at avtalen blir fulgt, med minst 30 dagers varsel, i vanlig arbeidstid og høyst én gang i året, med mindre det har vært et brudd. Kunden betaler kostnadene ved revisjonen.
3. For underdatabehandlere holder det med deres gjeldende revisjonsrapporter og sertifikater, for eksempel etter ISO 27001 eller SOC 2.

13. Ansvar og sluttbestemmelser

1. Ansvar følger av vilkårene. Art. 82 gjelder uansett.
2. Norsk rett gjelder, så langt personvernforordningen ikke sier noe annet. Verneting er Kristiansand.
3. Er en bestemmelse ugyldig, gjelder de andre fortsatt.