Databehandleravtale
1. Bakgrunn
Leverandøren og Kunden har inngått en avtale som omfatter Takeback-tjenesten(e) som er oppført i Allmenne Kjøpsvilkår – Bedrift ("Avtalen") kjøpt av Kunden ("Tjenestene"). Under Avtalen og i henhold til denne DBA (som definert nedenfor), vil Leverandøren fra tid til annen og på vegne av Kunden behandle personopplysninger som Kunden er behandlingsansvarlig for.
2. Definisjoner
"Gjeldende Personvernlovgivning" betyr, med mindre annet er skriftlig avtalt mellom Partene; (i) personvernforordningen, (ii) den nasjonale personvernlovgivningen i Sverige, Danmark, Norge og/eller Finland, som anvendelig for Tjenestene; og (iii) tilsynsmyndigheters forskrifter og beslutninger slik de kommer til anvendelse for behandling av personopplysninger i henhold til denne DBA i Sverige, Danmark, Norge og/eller Finland.
"Kundeutstyr" betyr datamaskiner og annet utstyr som eies, leies eller leases av Kunden eller Kundens driftsleverandør.
"Leverandør" betyr relevant Dustin-selskap i Dustingruppen, som oppført i Vedlegg A, og der det er relevant, enhver fysisk eller juridisk person som er autorisert til å utføre arbeid på vegne av et selskap oppført i Vedlegg A.
"Leverandørutstyr" betyr datamaskiner og annet utstyr som eies, leies eller leases av Leverandøren eller Leverandørens driftsleverandør.
"DBA" betyr denne databehandlingsavtalen og tilhørende vedlegg, samt alle endringer i ovennevnte som følger av bestemmelsene i Avtalen.
"Sikkerhetstiltak" betyr egnede tekniske og organisatoriske tiltak som er nødvendige for å overholde Gjeldende Personvernlovgivning, oppført i Vedlegg A eller som ellers anses nødvendig for å beskytte personopplysningene som behandles mot databrudd.
"Tredjeland" betyr et land utenfor EU/EØS.
3. Behandling av personopplysninger
3.1 Instruks
Kunden er ansvarlig for at behandlingen av personopplysninger utføres i samsvar med Gjeldende Personvernlovgivning i egenskap av å være behandlingsansvarlig. Kunden må sørge for at Leverandøren ikke behandler andre kategorier av personopplysninger på vegne av Kunden enn kategoriene av personopplysninger som er oppført i Vedlegg A for de aktuelle Tjenestene og i det omfanget som er angitt der.
Leverandøren skal kun behandle personopplysninger i samsvar med dokumenterte instruksjoner fra Kunden med mindre Leverandøren er forpliktet til å behandle personopplysninger under gjeldende svensk, dansk, norsk, finsk og/eller EU-rett. I slike tilfeller vil Leverandøren, i den utstrekning det er anledning til under gjeldende lov, informere Kunden om slike rettslige forpliktelser før behandlingen igangsettes.
Hver Part må sørge for at den andre Part har rett til å behandle kontaktinformasjon og andre typer personopplysninger til førstnevntes ansatte i den grad slik behandling er nødvendig for å levere Tjenestene.
Leverandøren kan ikke behandle personopplysninger til egne formål eller andre formål annet enn hva som fremgår av DBA og Avtalen. Leverandøren har rett til å behandle personopplysninger med det formål å levere, vedlikeholde og yte støtte til Tjenestene.
Denne DBA sammenholdt med Kundens bruk av Tjenestene utgjør Kundens fullstendige og endelige instruksjoner til Leverandøren for behandling av personopplysninger, med unntak for eventuelle skriftlige instruksjoner Kunden er forpliktet til å gi Leverandøren for å etterleve Gjeldende Personvernlovgivning. Eventuelle andre endringer må skriftlig avtales sørskilt mellom Partene, inkludert, men ikke begrenset til, endringer knyttet til Vedlegg A. Dersom Leverandøren aksepterer de justerte instruksjonene, er Leverandøren berettiget til rimelig kompensasjon for å innrette seg slike instruksjoner.
3.2 Sikkerhetstiltak
Leverandøren skal treffe hensiktsmessige tekniske og organisatoriske sikkerhetstiltak, som inkluderer tiltakene som er angitt i Vedlegg A, i tillegg til Leverandørens gjeldende interne IT-sikkerhetsforskrifter som gjelder for levering av Tjenestene, og Leverandøren kan justere slike reguleringer under avtaleperioden.
Ved gjennomføring av de ovennevnte tekniske og organisatoriske sikkerhetstiltakene har Leverandøren tatt hensyn til den tekniske utviklingen, gjennomføringskostnadene, behandlingens art, omfang og kontekst, formålene og den tiltenkte bruken av Tjenestene, samt risikoen av varierende sannsynlighets- og alvorlighetsgrad for de registrertes rettigheter og friheter som kan forventes i lys av den tiltenkte bruken av Tjenestene.
Kunden er ansvarlig for at Sikkerhetstiltakene oppfyller Kundens forpliktelser til tilfredsstillende sikkerhet for behandlingen av personopplysningene, i henhold til Gjeldende Personvernslovgivning.
4. Rapportering av datainnbrudd
Hvis Leverandøren blir oppmerksom på et databrudd, må Leverandøren informere Kunden uten ugrunnet opphold og i samsvar med Gjeldende Personvernlovgivning.
5. Underdatabehandlere og Tredjelandsoverføringer
Leverandøren har rett til å sette bort behandling av personopplysninger til underbehandlere innenfor og utenfor EU/EØS. Kunden godkjenner herved at behandling av personopplysninger kan utføres av eventuelle underdatabehandlere som er oppført i Vedlegg A i landene som der er angitt. Leverandøren må sørge for at underdatabehandlere er bundet av skriftlige avtaler som gir minst et tilsvarende nivå av datasikkerhet som følger av forpliktelsene i denne DBAen. Hvis en underdatabehandler ikke oppfyller forpliktelsene i samsvar med ovenstående, er Leverandøren ansvarlig for manglende oppfyllelse av underbehandlers forpliktelser.
Leverandøren skal informere Kunden om eventuelle planer om å erstatte eller engasjere en ny underdatabehandler. Varfselet skal inneholde navnet på underprosessoren og den geografiske lokasjonen for behandling av personopplysningene. Kunden har rett til å sende inn en skriftlig innsigelse mot utskifting eller engasjerment av en slik ny underdatabehandler innen fjorten dager fra varselet er mottatt.
Leverandøren skal sørge for at det foreligger rettslig grunnlag for overføring av personopplysninger til Tredjeland. Slikt rettslig grunnlag kan være EUkommisjonens Standard Personvernbestemmelser (SCCs) eller andre, tilsvarende bestemmelser.
6. Bistand ved forespørsler fra registrerte
I tillegg til det som følger av punkt 3.2, må Leverandøren iverksette tilstrekkelige tekniske og organisatoriske tiltak for å kunne bistå Kunden med å oppfylle rettighetene til de registrerte som angitt i den personvernforordningen, etter skriftlig forespørsel fra Kunden. Leverandørens forpliktelse etter denne bestemmelsen gjelder kun i den grad slik bistand er rimelig og i den utstrekning behandling av personopplysninger fordrer slik forpliktelse.
I tillegg til det ovennevnte, og tatt i betraktning behandlingens art og informasjonen som er tilgjengelig for Leverandøren, skal Leverandøren på skriftlig forespørsel fra Kunden bistå slik at Kunden kan oppfylle forpliktelsene som er pålagt den knyttet til personopplysningssikkerhet, databrudd, konsekvensvurderinger for personvern og forhåndsdrøftelser i henhold til Gjeldende Personvernlovgivning.
Leverandøren er berettiget rimelig kompensasjon for bistand etter dette punkt 6.
7. Konfidensialitet og utlevering av personopplysninger
Leverandøren skal ikke utlevere Kundens personopplysninger etter denne DBA til en registrert eller en tredjepart, med mindre annet er fastsatt i Avtalen eller følger av lov, en rettslig avgjørelse eller en offentlig vedtak. Hvis Leverandøren utleverer slik informasjon på grunn av rettslige krav, en rettslig avgjørelse eller en offentlig vedtak, skal Leverandøren informere Kunden om utleveringen, med mindre det er forbudt ved lov, eller det aktuelle rettslige eller offentlige vedtaket.
Leverandøren skal uten ugrunnet opphold informere Kunden dersom den registrerte ber om informasjon knyttet til behandling av personopplysninger under denne DBA og henvise den registrerte til Kunden. Leverandøren skal bistå Kunden med å svare på slike forespørsler i henhold til punkt 6 ovenfor.
Leverandøren og dennes representanter er etter Gjeldende Personvernlovgivning forpliktet til å samarbeide med kompetente tilsynsmyndigheter. Leverandøren skal informere Kunden om en slik forespørsel uten urimelig forsinkelse dersom forespørselen spesifikt gjelder behandling av personopplysninger i henhold til denne DBA. Leverandøren skal ikke representere Kunden eller handle på vegne av Kunden i slike forespørsler fra en tilsynsmyndighet. Leverandøren har rett til rimelig kompensasjon for sitt arbeid med slike henvendelser knyttet til Kunden, forutsatt at ikke skyldes Leverandørens brudd på sine forpliktelser under denne DBA.
8. Kompensasjon
I tillegg til det som er angitt i denne DBA, er Leverandøren berettiget til rimelig kompensasjon for å etterleve Kundens skriftlige instruksjoner, med mindre den etterspurte handlingen er spesifikt angitt i Avtalen. Dersom Leverandøren har krav på kompensasjon for utført arbeid, vil Leverandørens til enhver tid gjeldende prisliste gjelde, med mindre annet fremgår av Avtalen.
9. Ansvar
9.1 Generelt
Hvis Leverandøren er ansvarlig for å betale erstatning til registrerte i henhold til Gjeldende Personvernlovgivning, og Kunden har deltatt i behandlingen av personopplysninger som danner grunnlaget for de registrertes krav, skal Kunden refundere Leverandøren for den andel av erstatningssummen som Leverandøren er forpliktet til å betale til registrerte som skyldes Kundens manglende oppfyllelse av sine forpliktelser eller Kundens instruksjoner til Leverandøren. I tillegg skal Kunden refundere Leverandøren for rimelige kostnader knyttet til Leverandørens forsvar mot krav fra registrerte (inkludert hva Leverandøren har blitt pålagt å betale til registrerte).
Hvis Kunden er ansvarlig for å betale erstatning til registrerte i henhold til Gjeldende Personvernlovgivning, og Leverandøren har deltatt i behandlingen av personopplysninger som danner grunnlaget for de registrertes krav, skal Leverandøren refundere Kunden for den andel av erstatningssummen som Kunden er forpliktet til å betale og som skyldes Leverandørens manglende oppfyllelse av sine forpliktelser i henhold til Gjeldende Personvernlovgivning eller denne DBA. I tillegg må Leverandøren refundere Kunden for rimelige kostnader knyttet til Kundens forsvar mot krav fra registrerte (inkludert hva Kunden har blitt dømt til å betale til registrerte). Leverandørens samlede ansvar etter denne DBA er begrenset til 150 prosent av servicegebyret for de første tolv månedene av Tjenestene, med mindre Leverandøren har forårsaket skaden ved forsett eller grov uaktsomhet.
En Parts ansvar for erstatning annet enn det som her er uttrykkelig angitt, er underlagt Avtalen.
9.2 Varsling, innsynsrett, mv.
En Part som er gjenstand for krav fra registrerte, må innen rimelig tid (i) skriftlig underrette den annen Part om eventuelle krav som kan føre til krav mot den annen Part etter dette punkt 9; og (ii) gi den annen Part innsyn i dokumentene i slike prosesser, både fra Parten og fra den registrerte, og la den annen Part inngi kommentarer til slike dokumenter.
Krav om refusjon fra den annen Part etter dette punkt 9 forutsetter etterlevelse av bestemmelsene ovenfor og kan reises senest seks måneder etter at Parten har vært forpliktet til å betale erstatning til de registrerte.
10. Revisjoner
Leverandøren vil gi Kunden tilgang til all informasjon som med rimelighet kan være nødvendig for å bevise at forpliktelsene pålagt databehandler i henhold til Gjeldende Personvernlovgivning er oppfylt. Dette inkluderer å yte rimelig bistand i revisjoner og inspeksjoner utført av Kunden eller en revisor utpekt av Kunden. Inspeksjoner kan kun utføres dersom en revisjon ikke kan gjennomføres ved Leverandørens utleverering av informasjon. Leverandøren skal informeres om en inspeksjon i god tid før planlagt inspeksjonsdato med angivelse av inspeksjonens omfang og formål. Leverandøren er berettiget til rimelig kompensasjon for kostnadene forbundet med gjennomføringen av slik revisjon eller inspeksjon.
Før en revisjon eller inspeksjon må Kunden, eller revisoren utpekt av Kunden, oppfylle de nødvendige konfidensialitetsforpliktelser og overholde Leverandørens sikkerhetsregulering på inspeksjonsstedet. Inspeksjonen må ikke hindre Leverandørens virksomhet eller medføre risiko for beskyttelsen av andre kunders informasjon. Opplysninger som er innhentet som ledd i revisjonen skal slettes etter gjennomført revisjon eller når oppbevaring av opplysningene ikke lenger er nødvendig for formålet med revisjonen.
11. Varighet og oppsigelse
Denne DBA er gyldig så lenge Leverandøren behandler personopplysninger på vegne av Kunden, og opphører automatisk samtidig sommed Avtalen når Leverandøren ikke lenger yter Tjenesteme for Kunden; En Parts ansvar i henhold til denne DBA gjelder imidlertid også etter opphør av Avtalen.
Ved opphør av denne DBA skal Leverandøren slette eller returnere Kundens personopplysninger til Kunden eller til en tredjepart etter instruks fra Kunden, inkludert data som behandles på Leverandørutstyr, men unntatt data som behandles på Kundensutstyr. Personopplysningene som er lagret elektronisk, kan leveres elektronisk etter Kundens rimelige instruksjoner. Kundens forespørsel om sletting eller retur må sendes innen seksti dager etter oppsigelsen av denne DBA. Etter utløpet av tidsperioden ovenfor, kan Leverandøren slette eksisterende kopier av personopplysningene, med mindre annet kreves i henhold til gjeldende svensk, dansk, norsk, finsk og/eller EU-rett.. Etter retur av personopplysningene, eller hvis retur av personopplysninger ikke er forespurt av Kunden etter utløpet av ovennevnte tidsperiode, vil Leverandøren slette Kundens personopplysninger innen rimelig tid, men senest seks måneder etter oppsigelsen av denne DBA.
Etter oppsigelsen av denne DBA kan Leverandøren ikke behandle personopplysninger for andre formål enn å lagre, slette eller beskytte personopplysningene mot databrudd, med mindre annet følger av gjeldende svensk, dansk, norsk, finsk og/eller EU-rett. Leverandøren er berettiget til rimelig kompensasjon for utført arbeid etter dette punkt 11.
VEDLEGG A. TIL DATABEHANDLERAVTALE
Spesifikasjon over behandling av personopplysninger tilknyttetreturtjenester
INSTRUKS | ||
|---|---|---|
1.1 Kort beskrivelse av Tjenestene og formålet med behandlingsaktiviteten | Oppgi alle formål som Leverandøren skal behandle personopplysninger for: Leverandøren skal behandle personopplysninger i den grad det er nødvendig for å utføre Tjenestene i henhold til Avtalen og som nærmere angitt i Tjenestebeskrivelsen samt etter nærmere instruksjoner fra Kunden vedrørende bruk av Tjenestene. | |
1.2 Kategorier av personopplysninger | Oppgi hvilke typer personopplysninger som vil bli behandlet av Leverandøren: Kategorier av personopplysninger Oppgi hvilke særlige kategorier av personopplysninger som vil bli behandlet av Leverandøren (hvis noen): Personopplysninger lagret på Kundens enheter som leveres til Leverandøren ved utføring av Tjenestene er avhengig av brukernes bruk av enhetene. Enhver form for sensitive personopplysninger kan derved inngå i behandlingen (slettingen). | |
1.3 Kategorier av registrerte | Oppgi kategoriene av registrerte som Leverandøren vil behandle personopplysninger til, og omfanget av behandlingen: Innholdet i eventuelle lagringsmedier levert av Kunden er avhengig av brukernes bruk av IT-utstyret, og det er derfor ikke kjent for Leverandøren hvilke kategorier av registrerte personopplysningene kan omhandle. | |
1.4 Behandlingsaktiviteter (lagring, administrasjon etc.) | Oppgi behandlingsaktivitetene som skal utføres av Leverandøren: Oppbevaring og sletting av lagringsmedier på IT-utstyr levert av Kunden, enten ved sikker overskriving av lagringsmedium eller sikker destruksjon av lagringsmedium/utstyr. | |
1.5 Sted for behandling | Oppgi alle land der personopplysninger kan lagres og/eller behandles av Leverandøren: Personopplysninger vil bli behandlet av Dustin AB i Sverige. Fullstendig liste over allle land hvor personopplysninger kan bli behandlet av Leverandøren og underleverandører i forbindelses med Dustin. |
SIKKERHETSTILTAK | ||
|---|---|---|
2.1 Fysisk tilgangskontroll | Tiltak for å forhindre fysisk tilgang for uvedkommende til IT-systemer som behandler personopplysninger: Adgang til bygninger er begrenset ved bruk av personlige adgangskort med personlig pinkode, og tilgang gis kun til autorisert personell innenfor bestemte tider på døgnet. Dette gjelder både kontor- og produksjonsområder. Tilgang til produksjonsområde er ytterligere begrenset ved å kun omfatte autorisert personell som arbeider for å levere Tjenesten. Bygningene er beskyttet med sikkerhetsnivå 2 alarm som er koblet til et tredjeparts vaktselskap. Vaktselskapet foretar daglig inspeksjon av lokalene. Aktivering av alarm er automatisert og satt til et bestemt tidspunkt på kvelden. | |
2.2 Kontroll av systemtilgang | Tiltak som hindrer uvedkommende i å bruke IT-systemer og prosesser: Tilgangsrettigheter opprettes ved spesifikt behov, slik at personell kun har tilgang til den informasjon de trenger for å kunne utføre sine oppgaver innenfor deres ansvarsområde.Tilgangsrettigheter gjennomgås regelmessig innenfor en forhåndsdefinert tidsfrekvens for å sikre at tilgangsrettighetene forblir oppdaterte og relevante. | |
2.3 Kontroll av datatilgang | Tiltak for å sikre at personer som er autorisert til å bruke IT-systemet kun har tilgang til personopplysningene i henhold til deres tilgangsrettigheter: På grunn av Tjenestens art vil Leverandøren ikke få tilgang til dataene og ingen behandling vil bli utført av Leverandøren unntatt sletting. | |
2.4 Adgangskontroll for overføring | Tiltak for å sikre at personopplysninger ikke kan leses, kopieres, endres eller slettes av uautoriserte personer under elektronisk overføring eller under transport eller lagring på datamedier, og at disse områdene kan kontrolleres og identifiseres der overføring av personopplysninger skal gjøres via dataoverføringssystemer: På grunn av Tjenestens art vil Leverandøren ikke overføre personopplysninger elektronisk. Enheter transporteres i låste sikkerhetsbokser og resirkuleringsbur, hvor hver boks og hvert bur har en individuell pinkode. Produksjonsteamet skanner de aktuelle boks/bur-numrene og knytter de aktuelle sikkerhetsboksene og resirkuleringsburene til den spesifikke ordren. Sikkerhetsboksene og resirkuleringsburene låses når de sendes ut tomme til Kunden, og Kunden er ansvarlig for å låse boksene og burene før forsendelse tilbake til Leverandøren. Sikkerhetsboksene og resirkuleringsburene åpnes ved ankomst til Leverandør og det tas bilder for å dokumentere innholdet. Pinkodene endres med en forhåndsinnstilt tidsfrekvens for å forhindre uautorisert tilgang til bokser og bur. | |
2.5 Tilgangskontroll for dataregistrering | Tiltak for å sikre at det i ettertid kan gjennomgås og fastslås om og fra hvem personopplysninger ble lagt inn, endret eller slettet i IT-systemet: Tilgang til systemer logges og overvåkes, for å skape et spor for revisjoner og inspeksjoner av sikkerhet og prosesser for ansvarliggjøring. | |
2.6 Tilgjengelighet kontroll | Tiltak for å sikre at personopplysninger er beskyttet mot utilsiktet ødeleggelse eller tap: På grunn av arten av Tjenestene vil hensikten alltid være å slette data som er lagret på enheter levert av Kunden til Leverandøren. | |
2.7 Separasjonskontroll | Tiltak for å sikre at personopplysninger som samles inn for ulike formål, kan behandles separat: Leverandøren vil ikke behandle personopplysninger på vegne av Kunden til andre formål enn fysisk lagring av IT utstyret frem til sletting. | |
2.8 Kontroller for sikker sletting | Prosessen for retur, sletting og videre levering er bygget for å sikre sikker håndtering av varene som returneres til enhver tid. De viktigste sikkerhetstiltakene er som følger:
| |
2.9 Regler for oppbevaring | Tiltak for å sikre at personopplysninger blir tilstrekkelig slettet eller destruert når bruken av personopplysningene ikke lenger er rimelig eller nødvendig: I avtaleperioden: På grunn av Tjenestenes art vil Leverandøren alltid slette eller destruere personopplysningene som en del av Tjenestene,innen to (2) måneder fra datoen enhetene ble overlevert til Dustin. Etter avtaleperiodens utløp: Leverandøren vil ikke behandle personopplysningene for andre formål enn sletting. Sletting eller retur av personopplysninger etter utløpet av avtaleperioden kommer derfor ikke til anvendelse for Tjenestene. |