Databehandleravtale

1.1 Denne databehandleravtalen («Avtalen») regulerer databehandlerens behandling av personopplysninger på vegne av behandlingsansvarlig i forbindelse med levering av OwnersRooms selvbetjente investorportal for unoterte aksjeselskaper («Tjenesten»).

1.2 Avtalen er utformet for å oppfylle kravene i personvernforordningen (forordning (EU) 2016/679, «personvernforordningen»), som gjelder som norsk lov etter personopplysningsloven § 1, særlig artikkel 28 nr. 3.

1.3 Begreper som ikke er særskilt definert i Avtalen, har samme betydning som i personvernforordningen artikkel 4.

1.4 Ved motstrid mellom Avtalen og øvrige avtaler mellom partene, går Avtalen foran i spørsmål som gjelder behandling av personopplysninger.

1.5 Vedlegg A, B og C utgjør en integrert del av Avtalen. Vedlegg A beskriver behandlingen, vedlegg B lister godkjente underdatabehandlere, og vedlegg C inneholder behandlingsansvarliges instruks, avtalte sikkerhetstiltak, sletterutine og behandlingssted.

1.6 Avtalen gjelder ikke personopplysninger OwnersRoom behandler som selvstendig behandlingsansvarlig, slik som opplysninger om Kundens kontaktpersoner knyttet til kundeforholdet, avtaleinngåelse og fakturering. Slik behandling reguleres av OwnersRooms personvernerklæring.

2.1 Behandlingsansvarlig bestemmer formålet med behandlingen og hvilke midler som skal benyttes, innenfor Tjenestens funksjonalitet.

2.2 Behandlingsansvarlig er ansvarlig for at det foreligger gyldig behandlingsgrunnlag etter personvernforordningen artikkel 6, og eventuelt artikkel 9 og 10, for de behandlingene databehandleren instrueres om, og for at informasjonsplikten overfor de registrerte er oppfylt.

2.3 Behandlingsansvarlig skal ikke laste opp eller på annen måte gjøre tilgjengelig i Tjenesten personopplysninger som går ut over kategoriene angitt i vedlegg A. Særlige kategorier av personopplysninger (artikkel 9) og opplysninger om straffedommer og lovovertredelser (artikkel 10) skal ikke behandles i Tjenesten uten forutgående skriftlig avtale mellom partene.

3.1 Databehandleren skal bare behandle personopplysninger etter dokumenterte instrukser fra behandlingsansvarlig, herunder når det gjelder overføring av personopplysninger til tredjeland eller internasjonale organisasjoner. Instruksen ved avtaleinngåelsen framgår av vedlegg A og C.

3.2 Etterfølgende instrukser skal gis skriftlig. Instrukser som ligger utenfor Tjenestens funksjonalitet, gjennomføres etter nærmere avtale mellom partene.

3.3 Dersom databehandleren er rettslig forpliktet etter EØS-retten eller norsk rett til å behandle personopplysninger ut over instruksen, herunder ved pålegg fra offentlig myndighet om utlevering, skal databehandleren underrette behandlingsansvarlig om det rettslige kravet før behandlingen finner sted, med mindre lovgivningen forbyr slik underretning av hensyn til viktige samfunnsinteresser.

3.4 Databehandleren skal umiddelbart underrette behandlingsansvarlig dersom en instruks etter databehandlerens vurdering er i strid med personvernforordningen eller annen gjeldende personvernlovgivning.

4.1 Databehandleren skal bare gi tilgang til personopplysninger som behandles på vegne av behandlingsansvarlig, til personer underlagt databehandlerens instruksjonsmyndighet som har behov for tilgangen for å oppfylle Avtalen, og som har forpliktet seg til konfidensialitet eller er underlagt lovbestemt taushetsplikt. Taushetsplikten gjelder også etter Avtalens opphør.

5.1 Databehandleren skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32.

5.2 Databehandleren skal minst gjennomføre tiltakene som er angitt i vedlegg C.2.

6.1 Behandlingsansvarlig gir databehandleren generell skriftlig godkjenning til å benytte underdatabehandlere, jf. personvernforordningen artikkel 28 nr. 2. Underdatabehandlere som er godkjent ved avtaleinngåelsen, framgår av vedlegg B.

6.2 Databehandleren skal varsle behandlingsansvarlig skriftlig minst 30 dager før en ny underdatabehandler tas i bruk, eller før en eksisterende underdatabehandler erstattes. Varsel sendes til behandlingsansvarliges kontaktpunkt etter punkt 12 sammen med oppdatert vedlegg B.

6.3 Behandlingsansvarlig kan innen 30 dager fra varselet protestere skriftlig mot endringen på saklig grunnlag knyttet til vern av personopplysninger. Partene skal da søke å finne en løsning. Oppnås ikke enighet, kan behandlingsansvarlig si opp Tjenesteavtalen med virkning fra det tidspunktet endringen trer i kraft, uten annet oppgjør enn betaling for allerede leverte ytelser.

6.4 Databehandleren skal ved skriftlig avtale pålegge underdatabehandleren de samme forpliktelsene med hensyn til vern av personopplysninger som følger av Avtalen, herunder tilstrekkelige garantier for at det gjennomføres egnede tekniske og organisatoriske tiltak.

6.5 Databehandleren er fullt ut ansvarlig overfor behandlingsansvarlig for at underdatabehandleren oppfyller sine forpliktelser.

7.1 Behandling av personopplysninger etter Avtalen skjer innenfor EØS, med mindre annet framgår av vedlegg B og C.5.

7.2 Overføring til land utenfor EØS skal bare skje når det foreligger et gyldig overføringsgrunnlag etter personvernforordningen kapittel V, som beslutning om tilstrekkelig beskyttelsesnivå (artikkel 45) eller EU-kommisjonens standard personvernbestemmelser (artikkel 46 nr. 2 bokstav c).

7.3 Behandlingsansvarlig gir databehandleren fullmakt til på behandlingsansvarliges vegne å inngå EU-kommisjonens standard personvernbestemmelser med underdatabehandlere der dette er nødvendig.

8.1 Databehandleren skal, idet det tas hensyn til behandlingens art og så langt det er mulig, ved egnede tekniske og organisatoriske tiltak bistå behandlingsansvarlig med å oppfylle plikten til å besvare anmodninger fra registrerte om å utøve sine rettigheter etter personvernforordningen kapittel III (artikkel 12 til 22).

8.2 Henvendelser fra registrerte som rettes direkte til databehandleren, skal uten ugrunnet opphold videreformidles til behandlingsansvarlig. Databehandleren skal ikke besvare slike henvendelser på selvstendig grunnlag uten instruks.

8.3 Databehandleren skal, idet det tas hensyn til behandlingens art og den informasjonen databehandleren har tilgang til, bistå behandlingsansvarlig med å oppfylle pliktene etter personvernforordningen artikkel 32 til 36 (sikkerhet, melding av brudd til Datatilsynet, underretning til registrerte, vurdering av personvernkonsekvenser og forhåndsdrøfting).

8.4 Bistanden ytes gjennom tiltakene angitt i vedlegg C.3. Bistand som er nødvendig for at behandlingsansvarlig skal kunne oppfylle sine plikter etter personvernforordningen, ytes uten særskilt vederlag. Bistand som går vesentlig ut over dette, kan faktureres etter databehandlerens gjeldende timesatser etter forutgående varsel.

9.1 Databehandleren skal underrette behandlingsansvarlig om brudd på personopplysningssikkerheten uten ugrunnet opphold, og senest 48 timer etter å ha fått kjennskap til bruddet, jf. personvernforordningen artikkel 33 nr. 2.

9.2 Underretningen skal, så langt opplysningene foreligger, inneholde informasjonen nevnt i personvernforordningen artikkel 33 nr. 3. Opplysninger som ikke foreligger ved første underretning, ettersendes uten ugrunnet opphold.

9.3 Melding til Datatilsynet og underretning til de registrerte er behandlingsansvarliges ansvar. Databehandleren skal ikke melde eller underrette på vegne av behandlingsansvarlig uten instruks.

10.1 Ved opphør av behandlingen skal databehandleren, etter behandlingsansvarliges valg, slette eller tilbakelevere alle personopplysninger som er behandlet på vegne av behandlingsansvarlig, og deretter slette eksisterende kopier.

10.2 Behandlingsansvarlig skal meddele sitt valg skriftlig senest 30 dager etter opphør. I samme periode er personopplysningene tilgjengelige for eksport i et alminnelig anvendt, maskinlesbart format. Gis ingen meddelelse innen fristen, slettes personopplysningene.

10.3 Sletting fra produksjonsmiljøet gjennomføres ved utløpet av fristen i punkt 10.2. Sikkerhetskopier overskrives i en rullerende syklus på 30 dager, slik at opplysningene senest 60 dager etter opphør også er slettet fra sikkerhetskopier, jf. vedlegg C.4.

10.4 Punkt 10.1 gjelder ikke i den utstrekning EØS-retten eller norsk rett pålegger databehandleren å oppbevare personopplysningene. Databehandleren skal i så fall opplyse hvilke opplysninger dette gjelder og det rettslige grunnlaget, og skal ikke behandle opplysningene til andre formål enn oppbevaringsplikten tilsier.

11.1 Databehandleren skal stille til behandlingsansvarliges disposisjon all informasjon som er nødvendig for å påvise at forpliktelsene etter personvernforordningen artikkel 28 og Avtalen er oppfylt.

11.2 Databehandleren skal muliggjøre og bidra til revisjoner, herunder inspeksjoner, som gjennomføres av behandlingsansvarlig eller en revisor bemyndiget av behandlingsansvarlig.

11.3 Databehandleren kan oppfylle punkt 11.1 og 11.2 ved å framlegge oppdatert sikkerhetsdokumentasjon og gjeldende uttalelse eller sertifisering fra uavhengig tredjepart, i den utstrekning dokumentasjonen dekker de forholdene behandlingsansvarlig ønsker å kontrollere.

11.4 Fysisk inspeksjon skal varsles skriftlig minst 30 dager i forveien og gjennomføres i ordinær arbeidstid, som hovedregel én gang per kalenderår. Hyppigere inspeksjon kan kreves dersom det har vært brudd på personopplysningssikkerheten, eller dersom tilsynsmyndighet krever det. Inspeksjonen begrenses til det som er nødvendig for å kontrollere etterlevelsen av Avtalen og gir ikke tilgang til andre kunders personopplysninger. Behandlingsansvarlig dekker egne kostnader. Revisor skal være underlagt taushetsplikt.

12.1 Meddelelser etter Avtalen gis skriftlig til partenes kontaktpunkter:

– Behandlingsansvarlig: den kontaktpersonen som er angitt i Ordrebekreftelsen, eller Kundens administrator i Tjenesten.

– Databehandler: Christian Petersen, daglig leder, post@ownersroom.com, tlf. +47 982 55 052.

13.1 Avtalen trer i kraft ved Kundens aksept av Ordrebekreftelsen, som henviser til Avtalen, og gjelder så lenge databehandleren behandler personopplysninger på vegne av behandlingsansvarlig.

14.1 Erstatningsansvar mellom partene reguleres av Tjenesteavtalen.

14.2 Avtalen reguleres av norsk rett. Tvister skal søkes løst ved forhandlinger. Oslo tingrett vedtas som verneting.