• Databehandler har ikke eierskap over personopplysninger som behandles på vegne av behandlingsansvarlig, men skal kun behandle disse på vegne av behandlingsansvarlig og i henhold til behandlingsansvarliges instruksjoner som regulert i denne databehandleravtalen.
• Databehandler skal omgående underrette den behandlingsansvarlige dersom databehandler mener at en instruks fra behandlingsansvarlig er i strid med personvernlovgivningen.
• Databehandler skal sikre adekvat beskyttelse av personopplysninger gjennom både tekniske og organisatoriske tiltak i samsvar med GDPR artikkel 32. Dette gjøres blant annet gjennom en risiko- og sårbarhetsanalyse som gir grunnlag for organisatoriske rutiner og tekniske tiltak.
• Databehandleren skal opprettholde et sikkerhetsnivå for behandlingen av personopplysningene som er tilstrekkelig i forhold til risikoen ved behandlingen. Databehandleren skal beskytte personopplysningene fra ødeleggelse, endring, ikke-autorisert utlevering, eller ikke-autorisert tilgang.
• Databehandler bekrefter at alle personer som er autorisert til å behandle personopplysningene, har forpliktet seg til å behandle opplysningene fortrolig.

• Databehandler skal ved forespørsel bistå behandlingsansvarlig med hensyn til arbeid med å oppfylle sistnevntes plikter etter personvernlovgivningen, for eksempel etter GDPR kapittel III og artikkel 32-36. Arbeidet faktureres i henhold til medgått tid og gjeldende timepriser.
• Databehandler skal uten unødig opphold varsle behandlingsansvarlig dersom det er konstatert, eller det er mistanke om, et brudd på personopplysningssikkerheten.
• Databehandler kan generere aggregert og anonymisert statistikk og analyser av bruksmønster i Løsningen som ledd i oppfyllelsen av Bruksavtalen, og for å effektivisere behandlingsansvarliges valgalternativer og bruk av Løsningen.
• For å kunne følge opp kundeforholdet med behandlingsansvarlig (som å fakturere eller kontakte), kan databehandler få tilgang til og benytte registrerte personopplysninger som bruker- og foretaksnavn, adresse, e-post og telefonnummer.
• Databehandler kan få tilgang til registrerte personopplysninger ved mistanke om feil i eller misbruk av Løsningen.

Revisjoner

Databehandler skal bistå behandlingsansvarlig ved å gjøre dokumentasjon tilgjengelig i den grad det er nødvendig for behandlingsansvarlig for å kunne påvise at databehandlers forpliktelser etter databehandleravtalen og personvernlovgivningen er oppfylt. All slik bistand fra databehandler til behandlingsansvarlig gjøres på skriftlig anmodning og faktureres etter medgått tid.

Behandlingsansvarlig og relevant tilsynsmyndighet har rett til å gjennomføre revisjoner, herunder inspeksjoner, av personopplysninger som behandles, gjennomførte tekniske og organisatoriske sikkerhetstiltak. Behandlingsansvarlig skal ikke gis tilgang til informasjon vedrørende databehandlers andre kunder og informasjon som er underlagt konfidensialitetsforpliktelser. Behandlingsansvarlig skal dekke kostnader knyttet til revisjoner som er initiert av behandlingsansvarlig eller som påløper ved revisjon av behandlingsansvarlig, med mindre revisjonen avdekker manglende oppfyllelse av forpliktelser etter databehandleravtalen eller personvernlovgivningen.

Taushetsplikt

Databehandler, dennes underleverandører og andre som på vegne av databehandler har tilgang til personopplysningene, er underlagt taushetsplikt og skal etterleve taushetsplikten i forbindelse med behandling av personopplysninger i henhold til personvernlovgivningen. Databehandler har ansvaret for at underleverandører og andre som opptrer på vegne av databehandler er underlagt slik taushetsplikt.

Behandlingsansvarlig er underlagt taushetsplikt når det gjelder dokumentasjon og informasjon knyttet til databehandlers og dennes underleverandørers gjennomføring av tekniske og organisatoriske sikkerhetstiltak, og informasjon som databehandler ellers ønsker å bevare som konfidensiell. Behandlingsansvarlig kan imidlertid alltid dele slik informasjon med relevante tilsynsmyndigheter, såfremt dette er nødvendig for å overholde den behandlingsansvarliges forpliktelser etter personvernlovgivningen eller andre lovpålagte plikter.

Taushetsplikten gjelder også etter databehandleravtalens opphør.

Sletting av og tilgang til personopplysninger

Behandlingsansvarlig er ansvarlig for å fastsette oppbevaringstiden for personopplysningene, slik at personopplysninger ikke oppbevares lenger enn det som er nødvendig for formålet de ble samlet inn for.

Behandlingsansvarlig kan velge å slette all eller deler av informasjonen i Løsningen. Ved sletting av informasjon vil også alle tilknyttede data, herunder personopplysninger bli slettet.

Tilgang til og endring av personopplysninger

Fremhenting av informasjon på forespørsel lagret i Løsningen som ikke er inkludert i den automatiserte løsningen, men som krever egne arbeidsoperasjoner av databehandler vil faktureres behandlingsansvarlig.

I tilfeller der det ikke finnes funksjonalitet for å endre personopplysninger i Løsningen kan en skriftlig henvendelse sendes til databehandler. Endring av personopplysninger vil kun utføres dersom det ikke er i strid med gjeldende lovgivning. Databehandler vil fakturere behandlingsansvarlig for medgått tid for arbeid i forbindelse med endring av personopplysninger.

Ved endringer vil gamle verdier finnes som backup i inntil 3  måneder. Denne tidsperioden er satt for å hindre inkonsistens i registrerte personopplysninger ved uforutsette hendelser.

Navn:                          ONwork AS 

Org.nr.:                        824948232 

Adresse:                     Nordre gate 8, 7011 TRONDHEIM 

Kontaktperson:           Anne Hegle Jespersen 

E-post:                        anne@onwork.no