Databehandleravtale

1. Partene

Databehandler: [COMPANY NAME], org.nr. [ORG. NO.], [ADDRESS]. Kontakt: [PRIVACY EMAIL].

Behandlingsansvarlig: kunden som eier arbeidsområdet, med opplysningene som er registrert på eierens konto.

2. Formål og art

Vi behandler personopplysninger bare for å levere Etterslep til kunden: lagre, vise, regne ut, eksportere og sende varsler om ressursplaner og førte timer, slik kunden og brukerne bestemmer i tjenesten.

3. Opplysninger og registrerte

Avtalen omfatter:

• Registrerte: kundens ansatte, innleide og andre som planlegges eller inviteres i arbeidsområdet.
• Opplysninger: navn, e-post, roller, stilling, kapasitet, planlagt arbeid, førte timer, fravær med type (for eksempel sykdom), notater, timesatser og endringslogg. Kunden bør ikke legge særlige kategorier av opplysninger i fritekst.

4. Våre plikter

Vi skal:

• bare behandle opplysningene etter kundens dokumenterte instrukser, som er denne avtalen og bruken av tjenesten;
• sørge for at alle med tilgang har taushetsplikt;
• ha sikkerhetstiltak som beskrevet under;
• hjelpe kunden med å oppfylle de registrertes rettigheter, blant annet med eksport og sletting i tjenesten;
• varsle kunden uten ugrunnet opphold, og senest innen 48 timer, etter å ha oppdaget et brudd på personopplysningssikkerheten;
• hjelpe kunden med vurderinger av personvernkonsekvenser og forhåndsdrøftinger når det trengs;
• gjøre tilgjengelig informasjonen som trengs for å vise at avtalen følges, og legge til rette for revisjon.

5. Sikkerhet

Tiltakene omfatter blant annet:

• kryptert forbindelse (HTTPS) og krypterte innstillinger;
• passord, nøkler og lenker lagres bare som hash;
• tilgangsstyring etter roller i arbeidsområdet, team og prosjekter;
• endringslogg over alle endringer i arbeidsområdet;
• daglige sikkerhetskopier i EØS og begrensning av antall forsøk mot innlogging og API.

6. Underleverandører

Kunden gir generell godkjenning til at vi bruker underleverandører. I dag er det [HOSTING PROVIDER] (server i Norge), Resend (utsending av e-post) og en leverandør av lagring for sikkerhetskopier i EØS.

Vi varsler før vi bytter eller legger til underleverandører, og kunden kan protestere. Underleverandører pålegges de samme pliktene som i denne avtalen.

7. Overføring ut av EØS

Opplysningene lagres i Norge. Overføring ut av EØS skjer bare med et gyldig grunnlag etter personvernforordningen kapittel V, for eksempel EUs standard personvernbestemmelser.

8. Varighet og avslutning

Avtalen gjelder så lenge arbeidsområdet finnes. Kunden kan laste ned alle data og slette arbeidsområdet i tjenesten; da slettes alt 30 dager senere, og sikkerhetskopier skrives over innen ytterligere 14 dager.

9. Lovvalg

Avtalen følger norsk rett. Ved motstrid går denne avtalen foran andre vilkår når det gjelder behandling av personopplysninger.