Aimz AS omtales her som «Databehandler» og Kunden (som definert i Kontrakten) omtales som «Behandlingsansvarlig».

Denne Databehandleravtalens («Avtalen») hensikt er å regulere partenes rettigheter og plikter etter gjeldende personvernregelverk, herunder personopplysningsloven av 2018 som inkorporerer EUs Personvernforordning 2016/679 (GDPR) (heretter samlet benevnt som «personvernregelverket»).

Formålet med denne Avtalen er å regulere Databehandlers bruk av personopplysninger på vegne av Behandlingsansvarlig som Databehandler får tilgang til i forbindelse med levering av tjenester under Lisensavtale for bruk av AIMZ («Kontrakten»), herunder bruk av AIMZ («Løsningen»), i samsvar med GDPR artikkel 28.

Vedlegg A, B og C til denne Databehandleravtalen utgjør en integrert del av avtalen, og inneholder henholdsvis nærmere opplysninger om behandlingen av personopplysninger, liste over godkjente underdatabehandlere og en beskrivelse av sikkerhetstiltakene.

Avtalen har forrang i relasjon til eventuelle tilsvarende personvernrettslige bestemmelser i andre avtaler mellom partene, herunder i Kontrakten.

Denne Avtalen fritar ikke Databehandleren fra plikter som Databehandleren er pålagt etter personvernregelverket eller annen lovgivning. Denne Avtalen regulerer kun Databehandlers behandling på vegne av Behandlingsansvarlig i tilknytning til Løsningen. For personopplysninger som Databehandler behandler som egen behandlingsansvarlig (f.eks. CRM, fakturering, leverandør- og supportkanaler utenfor Løsningen), gjelder Databehandlers egne personverndokumenter og ikke denne Avtalen.

Den Behandlingsansvarlige er ansvarlig for å sikre at behandlingen av personopplysninger skjer i overensstemmelse med personvernregelverket.

Den Behandlingsansvarlige har rett og plikt til å bestemme formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes. Den Behandlingsansvarlige er videre ansvarlig for å sikre at det foreligger et behandlingsgrunnlag for behandlingen av personopplysninger som Databehandler er instruert om å gjøre.

Instrukser: Databehandler skal bare behandle personopplysninger etter dokumenterte instrukser fra den Behandlingsansvarlige, med mindre noe annet kreves av nasjonal eller europeisk rett. Databehandler skal omgående underrette den Behandlingsansvarlige dersom Databehandler er av den oppfatning at en instruks er i strid med personvernregelverket. Dersom Databehandler er rettslig forpliktet til å behandle personopplysningene på annen måte, skal Databehandler underrette den Behandlingsansvarlige om dette rettslige kravet før behandlingen, med mindre den aktuelle retten forbyr slik underretning av hensyn til viktige allmenne interesser. Denne Avtalen med vedlegg, Kontrakten og den Behandlingsansvarliges konfigurasjon og bruk av Løsningen utgjør den Behandlingsansvarliges dokumenterte instrukser. Databehandler skal utelukkende behandle personopplysningene til de formål, med den varighet og under de betingelser som fremgår av disse instruksene.

Konfidensialitet: Databehandler kan bare gi tilgang til personopplysninger som behandles på vegne av den Behandlingsansvarlige til personer som er underlagt Databehandlers instruksjonsmyndighet og som har forpliktet seg til konfidensialitet eller er underlagt en passende lovbestemt taushetsplikt, og kun i nødvendig omfang.

Databehandleren skal etter anmodning fra den Behandlingsansvarlige kunne påvise at de aktuelle personene underlagt Databehandlerens instruksjonsmyndighet er underlagt ovennevnte taushetsplikt.

Sikkerhet: Databehandler skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. GDPR artikkel 32. Databehandler skal også bistå den Behandlingsansvarlige med å overholde den Behandlingsansvarliges plikter etter GDPR artikkel 32, blant annet ved å stille nødvendig informasjon til rådighet for den Behandlingsansvarlige. En overordnet beskrivelse av tiltakene fremgår av vedlegg C.

Den Behandlingsansvarlige skal på samme måte stille nødvendig informasjon til rådighet for Databehandleren som gjør vedkommende i stand til å identifisere og vurdere risikoer i samsvar med GDPR artikkel 32.

Databehandler skal oppfylle kravene som følger av GDPR artikkel 28 nummer 2 og 4 i tilfeller hvor Databehandler benytter en annen databehandler (en «underdatabehandler»).

Den Behandlingsansvarlige gir en generell godkjenning til at Databehandler kan benytte underdatabehandlere. Databehandler skal føre en til enhver tid oppdatert liste over gjeldende underdatabehandlere på sin nettside. Endringer i listen (tilføyelse eller utskiftning av underdatabehandlere) vil bli publisert på Databehandlers nettside. Databehandler skal i tillegg varsle per e-post de Behandlingsansvarlige som har bedt om slikt varsel. Den Behandlingsansvarlige kan innen tretti (30) dager etter publisert endring fremsette saklig begrunnede innvendinger mot en ny underdatabehandler. Dersom partene ikke kommer til enighet, kan den Behandlingsansvarlige si opp Kontrakten med virkning fra den dato den nye underdatabehandleren skulle tas i bruk. Fortsatt bruk av Løsningen etter utløpet av innsigelsesfristen anses som aksept av den nye underdatabehandleren. Listen over underdatabehandlere som den Behandlingsansvarlige allerede har godkjent fremgår av vedlegg B.

Ved engasjering av underdatabehandlere skal underdatabehandleren som et minimum pålegges tilsvarende forpliktelser med hensyn til vern av personopplysninger som er fastsatt i denne Avtalen. Ved den Behandlingsansvarliges anmodning skal Databehandler dokumentere underdatabehandlerens forpliktelser med hensyn til vern av personopplysninger, slik at den Behandlingsansvarlige har mulighet til å forsikre seg om at de tilsvarer forpliktelsene i denne Avtalen. Dette kan skje ved henvisning til underdatabehandlerens publiserte databehandlervilkår. Kommersielle bestemmelser i underdatabehandleravtalen omfattes ikke av dokumentasjonsplikten.

Databehandler skal være fullt ut ansvarlig for underdatabehandlerens eventuelle manglende oppfyllelse av sine personvernrettslige forpliktelser.

Databehandler kan kun overføre personopplysninger til tredjeland eller internasjonale organisasjoner etter dokumenterte instrukser fra den Behandlingsansvarlige, med mindre overføring kreves i henhold til nasjonal eller europeisk rett. I så fall skal den Behandlingsansvarlige underrettes om nevnte rettslige krav med mindre allmenne interesser er til hinder for dette. For å unngå tvil, vil en overføring til tredjeland i forbindelse med bruken av godkjente underdatabehandlere, iht. punkt 5 over, alltid regnes som en overføring etter dokumentert instruks fra den Behandlingsansvarlige. Enhver overføring skal alltid skje i overensstemmelse med GDPR kapittel V, herunder være underlagt et lovlig overføringsgrunnlag.

Overføringsgrunnlag ved tredjeland: For overføringer av personopplysninger til tredjeland (herunder USA) skal Databehandler sikre at overføringen skjer i samsvar med GDPR kapittel V, herunder ved bruk av EUs standard kontraktsklausuler (EU SCC 2021/914) og gjennomføring av en Transfer Impact Assessment (TIA) med nødvendige tilleggstiltak. Databehandler skal på forespørsel fra Behandlingsansvarlig gjøre tilgjengelig overordnet dokumentasjon som bekrefter gyldig overføringsgrunnlag.

Denne Avtalen skal ikke forveksles med standard personvernbestemmelser som omhandlet i GDPR artikkel 46 nummer 2 bokstav c og d, og denne Avtalen kan ikke utgjøre et grunnlag for overføring av personopplysninger under GDPR kapittel V.

I den grad det er mulig, skal Databehandler bistå den Behandlingsansvarlige med å besvare anmodninger fra registrerte om oppfyllelse av deres rettigheter, bistå med informasjon og varsling i tilfeller av kvalifiserte brudd på personopplysningssikkerheten, bistå med vurdering av personvernkonsekvenser samt bistå i forbindelse med forhåndsdrøftelser med Datatilsynet. Bistand etter dette punkt som går utover ordinær brukerstøtte, kan faktureres etter Databehandlers til enhver tid gjeldende timepriser, jf. Kontrakten, med mindre bistanden skyldes Databehandlers eget brudd på denne Avtalen eller personvernregelverket. Varsling etter punkt 7.2 er alltid kostnadsfritt for den Behandlingsansvarlige.

Ved brudd på personopplysningssikkerheten skal Databehandleren underrette den Behandlingsansvarlige om bruddet uten ugrunnet opphold etter å ha fått kjennskap til det, slik at den Behandlingsansvarlige kan overholde sin forpliktelse til å melde bruddet til den kompetente tilsynsmyndigheten (i Norge: Datatilsynet), jf. GDPR artikkel 33. Varselet skal, så langt det er kjent, beskrive bruddets art, hvilke kategorier og omtrentlig antall registrerte og personopplysninger som er berørt, sannsynlige konsekvenser og tiltak som er iverksatt eller foreslått. Opplysninger som ikke er kjent ved første varsel, skal ettersendes uten ugrunnet opphold.

Henvendelser om personvern og denne Avtalen rettes til contact@aimz.no.

Hver part er ansvarlig for ethvert økonomisk tap den påfører den andre parten ved mislighold av denne Avtalen. Ansvarsbegrensningene i Kontrakten gjelder også her.

Hver part er ansvarlig overfor den registrerte som har lidd materiell eller ikke-materiell skade hvis skaden er forårsaket av at parten har opptrådt utenfor eller i strid med denne Avtalen eller personvernregelverket, jf. GDPR artikkel 82 nummer 1.

Ved opphør av databehandlertjenestene skal Databehandler, etter den Behandlingsansvarliges valg, slette alle personopplysninger som er blitt behandlet på vegne av den Behandlingsansvarlige eller levere tilbake alle personopplysninger og slette eksisterende kopier, med mindre nasjonal eller europeisk rett krever lagring av personopplysningene. Tilbakelevering skjer i Databehandlers standardformat, jf. Kontrakten. Personopplysninger i sikkerhetskopier slettes etter hvert som sikkerhetskopiene utløper i den ordinære sikkerhetskopisyklusen, og skal frem til da ikke gjenopprettes eller brukes.

Sletting hos underdatabehandlere: Databehandler skal ved opphør instruere relevante underdatabehandlere om sletting eller retur av personopplysninger som behandles på vegne av Behandlingsansvarlig. Databehandler skal bekrefte gjennomført sletting/retur innen rimelig tid (normalt innen 30–90 dager) etter opphør, med mindre annen frist følger av lov.

Databehandler skal stille til den Behandlingsansvarliges disposisjon all informasjon som er nødvendig for å påvise etterlevelse av forpliktelsene etter personvernregelverket og denne Avtalen. Videre skal Databehandler muliggjøre og bidra til revisjoner, herunder inspeksjoner, som utføres av den Behandlingsansvarlige eller en annen revisor som er bemyndiget av den Behandlingsansvarlige.

Revisjon skal varsles skriftlig minst tretti (30) dager i forveien, med mindre Datatilsynet krever noe annet eller det foreligger konkret mistanke om brudd på denne Avtalen. Revisjon gjennomføres ved at Databehandler fremlegger dokumentasjon og besvarer skriftlige spørsmål, som hovedregel ikke oftere enn én gang per år. Inspeksjon på stedet gjennomføres kun dersom dokumentasjonen ikke er tilstrekkelig til å påvise etterlevelse, dersom Datatilsynet krever det, eller dersom det foreligger konkret mistanke om brudd på denne Avtalen. Inspeksjon gjennomføres i ordinær arbeidstid og uten urimelig ulempe for Databehandlers drift. Revisor skal være underlagt taushetsplikt. Den Behandlingsansvarlige dekker egne kostnader og Databehandlers rimelige kostnader ved revisjonen, med mindre revisjonen avdekker vesentlige brudd på denne Avtalen.

Avtalen trer i kraft på samme dato som Kontrakten.

Avtalen gjelder så lenge databehandlertjenestene varer og kan da ikke sies opp, med mindre partene avtaler andre vilkår som regulerer levering av databehandlertjenestene i samsvar med gjeldende personvernregelverk.

Dersom Kontrakten eller leveringen av databehandlertjenestene opphører, og personopplysningene er slettet eller returnert til den Behandlingsansvarlige i overensstemmelse med punkt 9.1 over, opphører denne Avtalen. Avtalen gjelder likevel for personopplysninger i sikkerhetskopier frem til disse er slettet.