Databehandleravtale

1. Partene og når avtalen gjelder

Denne databehandleravtalen inngås mellom kunden («Behandlingsansvarlig») og Systemverk AS, organisasjonsnummer 823 415 842 («Databehandler»).

Avtalen er en integrert del av vilkårene for bruk og trer i kraft automatisk når du tar Tjenesten i bruk. Den krever ingen egen signatur, men vi signerer gjerne et eksemplar på forespørsel – send en e-post til post@systemverk.no.

Avtalen gjelder personopplysninger du sender inn i API-kall eller på annen måte gjør tilgjengelig for oss som ledd i din egen behandling. For opplysninger vi behandler om deg som kunde er vi selv behandlingsansvarlig – se personvernerklæringen. Det samme gjelder metadata vi selv genererer om bruken av API-et, som forbrukslogger.

2. Behandlingens gjenstand og varighet

Gjenstand, varighet, art, formål, kategorier av registrerte og typer personopplysninger er beskrevet i Vedlegg A.

Behandlingen varer så lenge avtaleforholdet løper, og opphører når avtalen avsluttes etter punkt 11.

3. Instruks (artikkel 28 nr. 3 bokstav a)

Vi behandler personopplysninger utelukkende etter dokumentert instruks fra deg. Vilkårene, denne avtalen og de kallene du faktisk gjør mot API-et utgjør den fullstendige instruksen.

Vi behandler ikke opplysningene til egne formål, selger dem ikke, og bruker dem ikke til å trene modeller eller til å bygge ut våre egne datasett.

Blir vi pålagt å behandle opplysninger utover instruksen etter EU-/EØS-rett eller norsk rett, varsler vi deg om kravet før behandlingen, med mindre loven forbyr slik varsling.

Mener vi at en instruks er i strid med personvernregelverket, sier vi fra til deg.

4. Konfidensialitet (bokstav b)

Personopplysninger er tilgjengelige bare for de av våre medarbeidere og underdatabehandlere som trenger tilgang for å levere Tjenesten. Alle som gis tilgang er underlagt taushetsplikt, enten avtalefestet eller lovfestet. Taushetsplikten gjelder også etter at avtalen eller arbeidsforholdet er avsluttet.

5. Sikkerhet (bokstav c, artikkel 32)

Vi gjennomfører egnede tekniske og organisatoriske tiltak, blant annet:

• kryptert overføring (TLS) for all trafikk til og fra Tjenesten;
• autentisering med API-nøkler som lagres hashet, med scopes som begrenser hva en nøkkel kan nå;
• dataminimerende forbrukslogging uten spørringsparametere, forespørselskropp eller svarinnhold;
• begrensning av tilgang til personopplysninger til personer som trenger den for å levere eller sikre Tjenesten.

Ytterligere tiltak for valgt driftsmiljø, blant annet kryptering i hvile, sikkerhetskopiering og gjenoppretting, skal bekreftes mot hostingavtalen og dokumenteres. Tiltakene skal til enhver tid være egnet etter artikkel 32.

6. Underdatabehandlere (bokstav d)

Du gir med dette en generell forhåndsgodkjenning til bruk av underdatabehandlere. Gjeldende liste står i Vedlegg B.

Før vi tar i bruk en ny underdatabehandler eller bytter ut en eksisterende, varsler vi deg minst 30 dager i forveien på e-post til adressen som er registrert på arbeidsområdet. Har du saklig grunn til å motsette deg endringen, kan du innen varselfristen si opp avtalen med virkning fra det tidspunktet endringen trer i kraft, uten kostnad for den gjenværende delen av perioden.

Vi pålegger enhver underdatabehandler de samme forpliktelsene som følger av denne avtalen, og er ansvarlig overfor deg for deres gjennomføring av dem.

7. Bistand til Behandlingsansvarlig (bokstav e og f)

Vi bistår deg, så langt det er mulig og forholdsmessig, med:

• å oppfylle forespørsler fra registrerte om innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse;
• å ivareta sikkerheten etter artikkel 32;
• å melde og håndtere brudd på personopplysningssikkerheten etter artiklene 33 og 34;
• å gjennomføre personvernkonsekvensvurdering og eventuell forhåndsdrøfting etter artiklene 35 og 36.

Retter en registrert en henvendelse direkte til oss, svarer vi ikke på den selv, men videreformidler den til deg uten ugrunnet opphold.

Merk at forbrukslogen vår ikke inneholder spørringsparametere eller svarinnhold. En forespørsel om innsyn i «hvilke adresser er slått opp om meg» kan vi derfor normalt ikke besvare ut fra våre data.

Rimelig bistand er inkludert i Tjenesten. For omfattende bistand som går ut over det, kan vi kreve dekket dokumenterte kostnader etter forutgående varsel og avtale.

8. Brudd på personopplysningssikkerheten

Blir vi kjent med et brudd på personopplysningssikkerheten som berører dine personopplysninger, varsler vi deg uten ugrunnet opphold og senest innen 48 timer etter at vi ble kjent med det.

Varselet beskriver bruddets art, hvilke kategorier og omtrentlig antall registrerte og opplysninger som er berørt, sannsynlige konsekvenser, og hvilke tiltak vi har iverksatt eller foreslår. Er ikke alt kjent ved første varsel, ettersendes opplysningene etter hvert.

Vi melder ikke bruddet til tilsynsmyndigheten på dine vegne. Den vurderingen og meldingen er ditt ansvar som behandlingsansvarlig.

9. Revisjon (bokstav h)

Vi stiller på forespørsel til rådighet den informasjonen som er nødvendig for å vise at forpliktelsene i denne avtalen overholdes.

Du kan kreve revisjon, inkludert inspeksjon, én gang per kalenderår, og ellers ved mistanke om vesentlig avvik eller etter pålegg fra tilsynsmyndighet. Revisjon varsles minst 30 dager i forveien når det er praktisk mulig, gjennomføres i normal arbeidstid og skal ikke forstyrre driften unødig. Dette begrenser ikke tilsynsmyndighetens rettigheter eller en revisjon som ikke kan varsles så langt i forveien. Revisor må undertegne taushetserklæring. Du dekker egne kostnader ved revisjonen.

Der vi kan dokumentere etterlevelse gjennom en anerkjent sertifisering eller revisjonsrapport, kan vi foreslå denne som alternativ til inspeksjon på stedet. Det begrenser ikke dine rettigheter etter personvernregelverket.

10. Overføring til tredjeland

Behandlingen skjer innenfor EU/EØS med mindre annet fremgår av Vedlegg B.

Skjer overføring til land utenfor EØS uten beslutning om tilstrekkelig beskyttelsesnivå, bygger overføringen på EUs standard personvernbestemmelser (SCC) supplert med nødvendige tilleggstiltak, og på en vurdering av forholdene i mottakerlandet. Overføringsgrunnlag og behandlingsland skal oppgis for den aktuelle underdatabehandleren i Vedlegg B.

11. Sletting ved opphør (bokstav g)

Ved opphør sletter vi personopplysninger vi oppbevarer på dine vegne uten ugrunnet opphold. Ber du skriftlig om det innen 30 dager etter opphøret, tilbakeleverer vi i stedet opplysningene vi har lagret i et vanlig maskinlesbart format. Vi fører ikke et arkiv over konkrete API-forespørsler og svar, og kan derfor ikke tilbakelevere en historikk over disse.

Forbrukslogger og oppsummeringer som Kilda selv genererer om API-bruken, er beskrevet i personvernerklæringen og følger dens lagringstider. De er ikke Kundedata som lagres på dine vegne etter denne avtalen.

Vi kan beholde opplysninger så langt lagring er påkrevd etter EU-/EØS-rett eller norsk rett. Slike opplysninger behandles da kun for det formålet loven krever.

12. Ansvar, varighet og lovvalg

Ansvarsbegrensningene i vilkårene for bruk gjelder også for denne avtalen, så langt de ikke er i strid med ufravikelige regler i personvernforordningen.

Avtalen løper så lenge vi behandler personopplysninger på dine vegne. Ved motstrid mellom denne avtalen og vilkårene, går denne avtalen foran i spørsmål om behandling av personopplysninger.

Avtalen reguleres av norsk rett, med Agder tingrett, rettssted Arendal som verneting.

13. Vedlegg A – Behandlingen

1. Gjenstand. Levering av Kildas API-er for oppslag, søk, verifisering og geokoding mot norske adresse-, postnummer- og geografiregistre.

2. Varighet. Så lenge avtaleforholdet løper.

3. Art og formål. Mottak av forespørsler, oppslag mot våre datasett og retur av svar. Bruksmetadata Kilda selv genererer for kvotehåndheving, drift og sikkerhet er beskrevet i personvernerklæringen.

4. Kategorier av registrerte. Fysiske personer hvis adresse eller posisjon Behandlingsansvarlig slår opp – typisk Behandlingsansvarliges egne kunder, brukere, søkere eller kontakter. Hvem dette er, bestemmes utelukkende av Behandlingsansvarlig.

5. Typer personopplysninger. Adresseopplysninger, postnummer, poststed og geografiske koordinater slik de inngår i forespørsler og svar. API-et krever ikke navn, fødselsnummer eller kontaktopplysninger, og Behandlingsansvarlig skal ikke sende slike opplysninger med mindre det er nødvendig og lovlig. Frie tekstfelt kan likevel inneholde personopplysninger. Særlige kategorier etter artikkel 9 og opplysninger om straffedommer etter artikkel 10 skal ikke sendes inn.

6. Lagring av forespørselsinnhold. Spørringsparametere, forespørselskropper og svarinnhold registreres ikke i forbruksloggen. Svar fra norske registre kan lagres midlertidig i en intern hurtigbuffer i opptil 7 dager, eller kortere dersom oppføringen utløper eller ugyldiggjøres ved dataoppdatering. Cacheinnholdet er registerbaserte svar, ikke kundens forespørselskropp. Enkelte oppslag bruker identifikatorer i cache-nøkkelen; fritekstsøk og koordinater inngår bare som hash. Hurtigbufferen er ikke knyttet til et bestemt arbeidsområde og brukes ikke til å bygge en egen kundedatabase. Forbrukslogger og oppsummeringer Kilda selv genererer er beskrevet i personvernerklæringen.

7. Sikkerhetstiltak. Kryptert overføring med TLS; hashede API-nøkler og tilgang begrenset med scopes; dataminimering i forbrukslogging; tilgang til personopplysninger begrenset til personer som trenger den for å levere eller sikre Tjenesten. Ytterligere tiltak knyttet til valgt driftsleverandør skal dokumenteres før produksjonsbehandling starter.

14. Vedlegg B – Underdatabehandlere

Vil du varsles om endringer på en annen adresse enn arbeidsområdets, gi oss beskjed på post@systemverk.no.