Databehandleravtale

Bakgrunn for databehandleravtalen

Denne avtalen fastsetter rettighetene og forpliktelsene som gjelder når Booking Board (databehandleren) behandler personopplysninger på vegne av en kunde (den behandlingsansvarlige).

Avtalen er utformet for å sikre samsvar med artikkel 28(3) i Personvernforordningen (EU) 2016/679, som stiller spesifikke krav til innholdet i en databehandleravtale.

Databehandlerens behandling av personopplysninger skjer i forbindelse med den behandlingsansvarliges bruk av Booking Board-systemet, som beskrevet i Booking Boards forretningsvilkår.

Databehandleravtalen og Booking Boards forretningsvilkår er gjensidig avhengige og kan ikke sies opp separat. Databehandleravtalen kan imidlertid erstattes av en annen gyldig databehandleravtale uten å påvirke forretningsvilkårene. Ved endring må Booking Board varsle den behandlingsansvarlige og fremlegge den nye avtalen.

Denne databehandleravtalen har forrang fremfor lignende bestemmelser i andre avtaler mellom partene, inkludert Booking Boards forretningsvilkår.

Rettigheter og forpliktelser

Den behandlingsansvarlige er i siste instans ansvarlig for å sikre at behandlingen av personopplysninger utføres innenfor rammen av Personvernforordningen og personopplysningsloven.

Databehandleren må alltid uten ugrunnet opphold etterkomme rimelige henvendelser fra den behandlingsansvarlige for å sikre samsvar med Personvernforordningen og personopplysningsloven.

Databehandleren handler etter instrukser

• Databehandleren kan kun behandle personopplysninger i samsvar med dokumenterte instrukser fra den behandlingsansvarlige, med mindre EU-rett eller nasjonal rett krever det. I slike tilfeller skal databehandleren informere den behandlingsansvarlige om dette rettslige kravet før behandlingen, med mindre gjeldende lov forbyr slik varsling av viktige samfunnsmessige hensyn.
• Databehandleren skal umiddelbart informere den behandlingsansvarlige dersom en instruks etter databehandlerens oppfatning er i strid med Personvernforordningen eller personvernbestemmelser i annen EU- eller nasjonal lovgivning.

Konfidensialitet

Databehandleren sikrer at kun personer som trenger tilgang for sitt arbeid for Booking Board har tilgang til personopplysningene som behandles på vegne av den behandlingsansvarlige. Tilgangen til dataene må umiddelbart oppheves dersom personen ikke lenger har behov for tilgang eller ikke lenger er tilknyttet Booking Board.

Datasikkerhet

Databehandleren skal iverksette alle tiltak som kreves i henhold til artikkel 32 i Personvernforordningen, og sikre hensiktsmessige tekniske og organisatoriske sikkerhetstiltak basert på risikoen for fysiske personers rettigheter og friheter:

1. Pseudonymisering og kryptering av personopplysninger
2. Evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemene
3. Evne til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger innen rimelig tid ved en fysisk eller teknisk hendelse
4. En prosess for regelmessig testing, vurdering og evaluering av effektiviteten til tekniske og organisatoriske tiltak for å sikre behandlingssikkerheten

Bruk av underdatabehandlere

Databehandleren må oppfylle vilkårene fastsatt i artikkel 28(2) og (4) i Personvernforordningen for å engasjere en annen databehandler (underdatabehandler). Databehandleren kan ikke engasjere en underdatabehandler uten forhåndsgodkjenning, spesifikk eller generell, skriftlig fra den behandlingsansvarlige.

Overføring av informasjon til tredjeland eller internasjonale organisasjoner

Databehandleren kan kun behandle personopplysninger i samsvar med dokumenterte instrukser fra den behandlingsansvarlige, herunder for overføringer til tredjeland eller internasjonale organisasjoner, med mindre EU- eller nasjonal rett krever det.

Bistand til den behandlingsansvarlige

Databehandleren skal bistå den behandlingsansvarlige med å oppfylle sine forpliktelser til å besvare henvendelser fra registrerte vedrørende deres rettigheter i henhold til kapittel 3 i Personvernforordningen.

Varsling om brudd på personopplysningssikkerheten

Databehandleren skal varsle den behandlingsansvarlige uten ugrunnet opphold når databehandleren blir oppmerksom på et brudd på personopplysningssikkerheten.

Sletting og tilbakelevering av data

Ved opphør av tjenestene knyttet til behandlingen skal databehandleren, etter den behandlingsansvarliges valg, slette eller tilbakelevere alle personopplysninger til den behandlingsansvarlige og slette eventuelle eksisterende kopier, med mindre EU- eller nasjonal rett krever oppbevaring av personopplysningene.

Tilsyn og revisjon

Databehandleren skal stille all nødvendig informasjon til rådighet for å påvise samsvar med artikkel 28 i Personvernforordningen og denne avtalen, og tillate revisjon eller inspeksjon utført av den behandlingsansvarlige.

Ikrafttredelse og opphør

Denne avtalen trer i kraft når den behandlingsansvarlige begynner å bruke Booking Boards system. Avtalen forblir gjeldende så lenge behandlingen pågår og kan ikke sies opp separat fra Booking Boards forretningsvilkår.