Databehandleravtale

1. Partene

Behandlingsansvarlig er du, kunden. Det er du som bestemmer hva som skal ligge på nettstedet ditt og hvorfor.

Databehandler er Nese Media, organisasjonsnummer 913 116 550, Mo 40, 5729 Modalen.

Avtalen gjelder fra du oppretter en konto og så lenge vi behandler personopplysninger på dine vegne. Ved motstrid går denne avtalen foran avtalevilkårene i spørsmål om personopplysninger.

2. Hva vi behandler, og for hvem

Formålet er å levere nettstedstjenesten til deg: lagre innholdet ditt, vise det for besøkende, ta imot skjemasvar og gi deg statistikk.

Typer opplysninger: det du selv legger inn på nettstedet, svar på skjemaer du har laget (typisk navn, e-post, telefonnummer og fritekst), og teknisk statistikk om besøk som beskrevet i personvernerklæringen.

Registrerte: dine kunder og besøkende, og de av dine ansatte som bruker verktøyet.

Du skal ikke legge inn særlige kategorier av personopplysninger – helse, biometri, politisk oppfatning, fagforeningsmedlemskap og lignende – uten å avtale det med oss først. Tjenesten er ikke bygget for det.

3. Våre plikter

• Vi behandler personopplysninger bare etter instruks fra deg. Bruken av tjenesten er instruksen.
• Mener vi en instruks er i strid med loven, sier vi fra.
• Alle som har tilgang hos oss, har taushetsplikt. Tilgang til produksjonsdata er begrenset til dem som trenger den for å drifte tjenesten.
• Vi bruker ikke opplysningene til egne formål, og ikke til å trene AI-modeller.
• Vi hjelper deg med å svare på henvendelser fra registrerte, og med personvernkonsekvensvurdering hvis du trenger en.

4. Sikkerhet

Vi har blant annet disse tiltakene:

• Kryptering under overføring (TLS) og i lagring.
• Hvert nettsted er skilt fra alle andre i databasen, med regler som håndheves av databasen selv og ikke bare av koden. Isolasjonen testes automatisk ved hver endring, for hver eneste tabell.
• Innlogging med engangslenke eller Google – ingen passord å lekke.
• Rollestyrt tilgang: eier, redaktør og leser har ulike rettigheter.
• Sikkerhetskopi av databasen, med mulighet for gjenoppretting til et tidspunkt.
• Spamvern på skjemaer, og grenser mot automatisert misbruk.

5. Underleverandører

Du gir oss generell tillatelse til å bruke underleverandører. De som brukes i dag er listet i personvernerklæringen, med hva de gjør og hvor de behandler opplysningene.

Alle er bundet av vilkår som gir minst samme vern som denne avtalen. Vi svarer for dem som for oss selv.

Skal vi bytte eller legge til en underleverandør som behandler personopplysninger, varsler vi deg på e-post minst 30 dager i forveien. Er du uenig, kan du si opp avtalen uten kostnad før endringen trer i kraft.

6. Overføring ut av EØS

Databasen og driften ligger i Stockholm. Enkelte underleverandører er amerikanske. Der opplysninger overføres ut av EØS, skjer det på EUs standard personvernbestemmelser (SCC), sammen med tekniske tiltak som kryptering.

7. Avvik

Oppdager vi et brudd på personopplysningssikkerheten som gjelder dine data, varsler vi deg uten ugrunnet opphold og senest innen 48 timer. Varselet inneholder hva som skjedde, hvilke opplysninger som er berørt, hva vi har gjort og hva vi anbefaler.

Det er du som eventuelt melder avviket til Datatilsynet, siden det er du som er behandlingsansvarlig. Vi gir deg det du trenger for å gjøre det.

8. Revisjon

Du kan be om dokumentasjon på at vi følger denne avtalen, og vi svarer innen rimelig tid. Vil du gjennomføre en revisjon utover det, avtaler vi tidspunkt og omfang på forhånd. Revisjonen skal ikke gå ut over sikkerheten til våre andre kunder.

9. Sletting

Når avtalen avsluttes, kan du be om en kopi av alle personopplysninger vi behandler for deg. Vi sletter dem 90 dager etter at avtalen er avsluttet, med mindre du ber om sletting tidligere, eller loven krever at noe oppbevares lenger.

Sikkerhetskopier slettes etter sin egen syklus, senest 35 dager etter at dataene er slettet i den ordinære lagringen.

10. Ansvar og lovvalg

Ansvarsbegrensningene i avtalevilkårene gjelder også her, men begrenser ikke noe ansvar som følger av personvernforordningen artikkel 82. Avtalen er underlagt norsk rett.