Databehandleravtale

Bestemmelsene fastsetter rettighetene og pliktene til databehandleren når databehandleren behandler personopplysninger på vegne av behandlingsansvarlig.

Bestemmelsene er utformet slik at partene oppfyller artikkel 28 nr. 3 i forordning (EU) 2016/679 fra Europaparlamentet og Rådet av 27. april 2016 (personvernforordningen), som gjelder i Norge gjennom EØS-avtalen og personopplysningsloven.

I forbindelse med leveringen av etterlevelsesplattformen Justparity behandler databehandleren personopplysninger på vegne av behandlingsansvarlig etter Bestemmelsene.

Bestemmelsene går foran tilsvarende bestemmelser i andre avtaler mellom partene.

Fire vedlegg hører til Bestemmelsene, og vedleggene er en integrert del av dem:

• Vedlegg A: Opplysninger om behandlingen (formål, kategorier av opplysninger, registrerte, varighet)
• Vedlegg B: Underdatabehandlere (godkjente underdatabehandlere og vilkår)
• Vedlegg C: Instruks om behandlingen (sikkerhetstiltak, plassering, overføringer, revisjon)
• Vedlegg D: Partenes regulering av andre forhold

Behandlingsansvarlig svarer for at behandlingen av personopplysninger skjer i samsvar med personvernforordningen, personvernregler i annen EØS-rett eller i norsk rett, blant annet personopplysningsloven, og med Bestemmelsene.

Behandlingsansvarlig har rett og plikt til å bestemme hvilke formål personopplysninger skal behandles for, og hvilke midler som skal brukes.

Behandlingsansvarlig svarer for at det foreligger et behandlingsgrunnlag for den behandlingen databehandleren blir instruert om å utføre.

4.1 Databehandleren kan bare behandle personopplysninger etter dokumentert instruks fra behandlingsansvarlig, med mindre annet kreves etter EØS-retten eller etter den nasjonale retten databehandleren er underlagt, som er dansk rett. Instruksen framgår av vedlegg A og C. Senere instrukser kan gis mens behandlingen pågår, men skal alltid dokumenteres og oppbevares skriftlig.

4.2 Databehandleren varsler behandlingsansvarlig umiddelbart dersom en instruks etter databehandlerens oppfatning er i strid med personvernforordningen eller med personvernregler i annen EØS-rett eller i den nasjonale retten som gjelder for partene, det vil si norsk rett for behandlingsansvarlig og dansk rett for databehandleren. Databehandleren plikter ikke å følge en instruks som ville føre til brudd på gjeldende rett.

4.3 At behandlingsansvarlig aktiverer en integrasjon mot et lønnssystem gjennom Justparity-plattformen, er en dokumentert instruks til databehandleren om å motta og behandle personopplysningene som det aktuelle lønnssystemet overfører. Behandlingsansvarlig svarer for at det foreligger et grunnlag for overføringen.

Databehandleren kan bare gi tilgang til personopplysninger som behandles på vegne av behandlingsansvarlig, til personer som er underlagt instruksjonsmyndigheten til databehandleren, som har forpliktet seg til taushet eller er underlagt en egnet lovbestemt taushetsplikt, og bare i det omfanget det er nødvendig.

Listen over personer med tilgang gjennomgås løpende. Tilgangen stenges når den ikke lenger er nødvendig. Taushetsplikten gjelder også etter at Bestemmelsene er opphørt.

Databehandleren gjennomfører egnede tekniske og organisatoriske tiltak for å oppnå et beskyttelsesnivå som er tilpasset risikoen, og tar da hensyn til den tekniske utviklingen, kostnadene ved gjennomføringen, behandlingens art, omfang, formål og sammenheng, og til risikoene for rettighetene og frihetene til fysiske personer, med ulik sannsynlighet og alvorlighetsgrad.

Fordi behandlingen omfatter lønnsopplysninger, opplysninger om kjønn og potensielt opplysninger om fagforeningsmedlemskap (artikkel 9), skal sikkerhetsnivået være høyt.

Databehandleren gjennomfører som et minimum disse tiltakene, jf. vedlegg C:

• Kryptering: TLS 1.3 for opplysninger under overføring, AES-256 for lagrede opplysninger, krypterte databasetilkoblinger og krypterte sikkerhetskopier
• Tilgangsstyring: rollebasert tilgangsstyring (RBAC) etter prinsippet om minste privilegium, tofaktorautentisering (MFA) for privilegert tilgang, egne brukerkontoer, automatisk utlogging ved inaktivitet
• Atskilte kundedata: sikkerhet på radnivå (Row Level Security) i et flerleietakermiljø. Kundedata er logisk atskilt, slik at opplysningene til én kunde er beskyttet mot tilgang fra andre kunder
• Logging og overvåking: all tilgang til personopplysninger logges, aktiviteter utført av systemadministratorer logges særskilt, automatiske varsler ved uautoriserte forsøk på tilgang
• Sårbarhetshåndtering: løpende sårbarhetsskanning, kritiske sikkerhetsoppdateringer installeres så raskt som mulig og innenfor de risikobaserte fristene i rutinen for håndtering av hendelser. Ekstern penetrasjonstesting gjennomføres når plattformen tas i bruk av den første kunden, og deretter minst hvert annet år
• Sikkerhetskopiering og gjenoppretting: daglig automatisk sikkerhetskopiering, gjenoppretting til et valgt tidspunkt, beredskapsplan med dokumentert RTO og RPO
• Håndtering av hendelser: dokumentert rutine for håndtering av sikkerhetshendelser, klassifisering etter alvorlighetsgrad, eskalering og varsling etter punkt 10
• Personell: alle ansatte med tilgang til personopplysninger har undertegnet taushetserklæring og får jevnlig sikkerhetsopplæring

Databehandleren forplikter seg til ikke å redusere det samlede sikkerhetsnivået vesentlig uten skriftlig varsel til behandlingsansvarlig på forhånd.

7.1 Databehandleren har en generell godkjenning fra behandlingsansvarlig til å bruke underdatabehandlerne som er ført opp i vedlegg B. Databehandleren sørger for at det inngås en skriftlig avtale med hver underdatabehandler, som pålegger underdatabehandleren de samme personvernpliktene som følger av Bestemmelsene.

7.2 Databehandleren varsler behandlingsansvarlig skriftlig om planlagte endringer der en underdatabehandler legges til eller byttes ut, med minst 30 dagers varsel, slik at behandlingsansvarlig får anledning til å innvende mot endringen.

7.3 Behandlingsansvarlig kan komme med en begrunnet innvending mot en ny underdatabehandler innen 14 dager etter at varselet er mottatt. Databehandleren gjør et rimelig forsøk på å finne en alternativ løsning. Blir partene ikke enige, kan behandlingsansvarlig si opp den delen av tjenesteavtalen som er berørt, med virkning fra det tidspunktet den nye underdatabehandleren skulle vært tatt i bruk.

7.4 Dersom underdatabehandleren ikke oppfyller personvernpliktene sine, er databehandleren fullt ut ansvarlig overfor behandlingsansvarlig for at pliktene til underdatabehandleren blir oppfylt. Dette påvirker ikke rettighetene de registrerte har etter personvernforordningen, blant annet artikkel 79 og 82.

Enhver overføring av personopplysninger til tredjeland eller internasjonale organisasjoner kan databehandleren bare foreta på grunnlag av dokumentert instruks fra behandlingsansvarlig, og alltid i samsvar med personvernforordningen kapittel V.

Norge er en del av EØS. Overføring av personopplysninger mellom Norge og land i EU eller EØS er derfor ikke overføring til tredjeland.

Personopplysninger lagres og behandles i datasentre i EU og EØS, i hovedsak i Frankfurt i Tyskland. Enkelte underdatabehandlere er amerikanske selskaper der konsernforbundne morselskaper kan ha støttetilgang fra tredjeland. For slike overføringer er det inngått EUs standard personvernbestemmelser (SCC) etter artikkel 46 nr. 2 bokstav c, supplert med EU-US Data Privacy Framework der leverandøren er sertifisert.

Instruksen fra behandlingsansvarlig om overføring av personopplysninger til tredjeland, medregnet overføringsgrunnlaget, framgår av vedlegg C.

9.1 Ut fra behandlingens art bistår databehandleren behandlingsansvarlig så langt det er mulig med å oppfylle plikten til å svare på anmodninger om å utøve rettighetene de registrerte har etter personvernforordningen kapittel III. Bistanden gjelder:

1. informasjonsplikten når personopplysninger samles inn fra den registrerte
2. informasjonsplikten når personopplysningene ikke er samlet inn fra den registrerte
3. retten til innsyn
4. retten til retting
5. retten til sletting ("retten til å bli glemt")
6. retten til begrensning av behandlingen
7. underretningsplikten ved retting eller sletting
8. retten til dataportabilitet
9. retten til å protestere
10. retten til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling

9.2 Databehandleren bistår i tillegg behandlingsansvarlig med:

1. melding om brudd på personopplysningssikkerheten til Datatilsynet i Norge, jf. artikkel 33
2. underretning til de registrerte om et brudd, jf. artikkel 34
3. vurdering av personvernkonsekvenser (DPIA), jf. artikkel 35, ved å stille til rådighet all nødvendig teknisk informasjon om behandlingsaktivitetene, sikkerhetstiltakene og dataflyten i plattformen
4. forhåndsdrøfting med Datatilsynet i Norge, jf. artikkel 36

Tilsynsmyndighet for behandlingen til behandlingsansvarlig er Datatilsynet i Norge (datatilsynet.no). Just Parity ApS er etablert i Danmark, og det danske Datatilsynet er derfor ledende tilsynsmyndighet for databehandlerens egen behandling, jf. artikkel 56.

10.1 Databehandleren varsler behandlingsansvarlig uten ugrunnet opphold etter å ha blitt kjent med at det har skjedd et brudd på personopplysningssikkerheten. Varselet gis senest 24 timer etter at databehandleren ble kjent med bruddet, slik at behandlingsansvarlig kan oppfylle plikten til å melde bruddet til Datatilsynet i Norge innen 72 timer, jf. artikkel 33.

10.2 Varselet skal inneholde disse opplysningene (jf. artikkel 33 nr. 3):

• arten av bruddet, medregnet kategoriene av registrerte og det omtrentlige antallet registrerte som er berørt
• kategoriene av personopplysninger og det omtrentlige antallet registreringer som er berørt
• de sannsynlige følgene av bruddet
• tiltakene som er truffet eller foreslått for å håndtere bruddet, medregnet tiltak for å begrense mulige skadevirkninger
• kontaktopplysningene til kontaktpersonen hos databehandleren

11.1 Når tjenestene som gjelder behandling av personopplysninger opphører, sletter eller tilbakeleverer databehandleren alle personopplysninger etter valget til behandlingsansvarlig. Tilbakelevering skjer i et strukturert, alminnelig anvendt og maskinlesbart format (CSV eller JSON). Sletting av eksisterende kopier i produksjonsmiljøet skjer senest 30 dager etter opphør, med mindre gjeldende rett krever oppbevaring.

11.1 a Personopplysninger i systemsikkerhetskopier slettes ikke enkeltvis, men faller ut av kopisettene når den fastsatte oppbevaringsperioden for sikkerhetskopier er ute, jf. punkt 6. Fram til da er opplysningene isolert fra produksjonsmiljøet og gjenopprettes ikke, med mindre det er nødvendig for å gjenopprette driften etter en driftsfeil.

11.2 Databehandleren bekrefter skriftlig overfor behandlingsansvarlig at slettingen er gjennomført, også hos alle underdatabehandlere.

11.3 Disse reglene krever at databehandleren oppbevarer personopplysninger etter opphør: den danske bokføringsloven (5 år), dansk skatte- og avgiftslovgivning og arbeidsrettslige regler. Fristene er DANSKE og følger av at Just Parity ApS er etablert i Danmark. Slike opplysninger oppbevares fortsatt etter sikkerhetsbestemmelsene i Bestemmelsene og slettes når oppbevaringsplikten opphører. Er behandlingsansvarlig underlagt norsk rett, gjelder egne norske oppbevaringsplikter for materialet til behandlingsansvarlig, blant annet etter bokførings- og skattelovgivningen. Behandlingsansvarlig svarer selv for å etterleve dem.

12.1 Databehandleren stiller til rådighet for behandlingsansvarlig all informasjon som er nødvendig for å vise at personvernforordningen artikkel 28 og Bestemmelsene er oppfylt, og legger til rette for og bidrar til revisjoner, medregnet inspeksjoner, som gjennomføres av behandlingsansvarlig eller en annen revisor behandlingsansvarlig har gitt fullmakt.

12.2 Behandlingsansvarlig kan gjennomføre en ordinær revisjon én gang i året med minst 30 dagers varsel. Revisjonen kan etter avtale gjennomføres av en uavhengig tredjepart. Databehandleren kan supplere med en uavhengig revisjonsrapport som dokumentasjon på etterlevelse. Det begrenser ikke retten behandlingsansvarlig har til å gjennomføre en inspeksjon. Hver part bærer sine egne kostnader ved en ordinær revisjon.

12.3 Ved begrunnet mistanke om brudd, eller etter en sikkerhetshendelse, kan behandlingsansvarlig gjennomføre en ekstraordinær revisjon med rimelig varsel.

12.4 Databehandleren plikter å gi tilsynsmyndigheter som etter gjeldende rett har tilgang til lokalene til behandlingsansvarlig eller databehandleren, tilgang til lokalene til databehandleren mot framvisning av gyldig legitimasjon. Det gjelder Datatilsynet i Norge som tilsynsmyndighet for behandlingen til behandlingsansvarlig, og det danske Datatilsynet som ledende tilsynsmyndighet for databehandlerens egen behandling, jf. artikkel 56.

13.1 Det samlede ansvaret databehandleren har etter Bestemmelsene, er begrenset til beløpet behandlingsansvarlig har betalt i abonnementsavgift i de 12 månedene før hendelsen som utløste kravet. Abonnementsavgiften for det norske markedet er oppgitt i euro (EUR), jf. punkt 3.3 i forretningsvilkårene. Ansvarsbegrensningen gjelder ikke for krav som følger av brudd på rettighetene de registrerte har etter artikkel 82, som er ufravikelig, og heller ikke der tapet er voldt ved grov uaktsomhet eller forsett.

13.2 Bestemmelsene er underlagt dansk rett. Tvister avgjøres av de danske domstolene, med Retten på Frederiksberg som første instans. Norge og Danmark er begge tilsluttet Luganokonvensjonen, som anerkjenner avtaler om verneting mellom næringsdrivende. Verken lovvalget eller vernetingsavtalen begrenser retten de registrerte har til å klage til Datatilsynet i Norge etter personvernforordningen artikkel 77, eller til å reise sak etter artikkel 79.

Bestemmelsene trer i kraft når tjenesteavtalen inngås. Hver av partene kan kreve at Bestemmelsene reforhandles dersom endringer i regelverket eller uhensiktsmessigheter gir grunn til det.

Bestemmelsene gjelder så lenge databehandleren behandler personopplysninger på vegne av behandlingsansvarlig. Etter opphør gjelder bestemmelsene om taushetsplikt (punkt 5) og sletting (punkt 11) fortsatt.

Kontaktpersonene til partene for spørsmål om Bestemmelsene og for varsel om brudd på personopplysningssikkerheten er: