Databehandleravtale

Denne avtalen («Avtalen») regulerer behandlingen av personopplysninger når Preferium AS («Databehandler», «vi», «oss» eller «vår») leverer tjenester til kunder («Behandlingsansvarlig»). Avtalen gjelder for alle tjenester som tilbys av oss, herunder – men ikke begrenset til – SEO- og AI-optimalisering (preferium.no), bookingplattform (Bookingtjeneste.no), AI-drevne chatbots (AIX.chat, AI Chatbot, Selg AI Chatbot), nettsideutvikling og hosting (Nettsidetjeneste.no), nyhetstjeneste (Newsneural.com), SEO AI, AI-tech og IT-rådgivning, IT-support, videoproduksjon med AI (Video AI), Microsoft 365, grafisk design AI, tekstforfatter AI, logo-design, Google Ads og digitale betalingsløsninger.

1. Innledning og Formål

1.1 Formål
Denne Avtalen skal sikre at all behandling av personopplysninger skjer i samsvar med gjeldende personvernforordning (GDPR), norsk personvernlovgivning og annen relevant lovgivning. Avtalen fastsetter vilkårene under hvilke Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig.

1.2 Omfang
Avtalen gjelder for alle tjenester levert av Preferium AS der personopplysninger behandles. Ved å benytte våre tjenester, aksepterer Behandlingsansvarlig at behandlingen av personopplysninger skal skje i henhold til denne Avtalen.

2. Definisjoner

2.1 Personopplysninger:
Enhver opplysning om en identifisert eller identifiserbar fysisk person.

2.2 Behandling:
Enhver operasjon eller sett av operasjoner som utføres på personopplysninger, inkludert innsamling, registrering, lagring, endring, overføring, utløsning, sletting eller annen behandling, enten det skjer manuelt eller automatisk.

2.3 Behandlingsansvarlig:
Den virksomheten som fastsetter formålet med og midlene for behandlingen av personopplysninger.

2.4 Databehandler:
Preferium AS, som behandler personopplysninger på vegne av Behandlingsansvarlig.

2.5 Underleverandør:
Tredjepartsleverandører som Databehandler engasjerer for å utføre deler av behandlingen, under forutsetning av at de forplikter seg til å overholde de samme sikkerhets- og konfidensialitetskravene som fastsatt i denne Avtalen.

2.6 Sikkerhetstiltak:
Tekniske og organisatoriske tiltak som beskytter personopplysninger mot uautorisert tilgang, endring, sletting og annen ulovlig behandling.

3. Behandlingsgrunnlag og Instruksjoner

3.1 Instruksjonsprinsipp
Databehandler skal utelukkende behandle personopplysninger i henhold til dokumenterte, skriftlige instruksjoner fra Behandlingsansvarlig. Dersom lovgivningen krever en annen behandling, skal Databehandler informere Behandlingsansvarlig før igangsettelse.

3.2 Bistand til Behandlingsansvarlig
Databehandler forplikter seg til å bistå Behandlingsansvarlig med å oppfylle sine forpliktelser etter GDPR, herunder håndtering av henvendelser fra registrerte (f.eks. rett til innsyn, retting, sletting, dataportabilitet, begrensning av behandling og innsigelser). Oppstår situasjoner som hindrer full overholdelse av instruksene, skal Databehandler umiddelbart varsle Behandlingsansvarlig.

4. Sikkerhetstiltak

4.1 Generelle Tiltak
Databehandler skal iverksette hensiktsmessige tekniske og organisatoriske sikkerhetstiltak for å beskytte personopplysninger, i samsvar med kravene i GDPR artikkel 32.

4.2 Spesifikke Tiltak

• Kryptering: Data skal krypteres under lagring og overføring, der dette er hensiktsmessig.
• Tilgangskontroll: Strenge rutiner for tilgang og autentisering, med jevnlig gjennomgang av brukerrettigheter.
• Overvåkning og Logging: Kontinuerlig overvåkning og logging av all tilgang til og endringer i systemene.
• Sikkerhetskopiering og Beredskapsplan: Regelmessig sikkerhetskopiering og utarbeidelse, testing og vedlikehold av beredskapsplaner.
• Opplæring: Regelmessig opplæring av ansatte om datasikkerhet og personvern.

Tiltakene skal revideres og oppdateres jevnlig for å sikre at de alltid er tilpasset de nyeste teknologiske og organisatoriske standardene.

5. Underleverandører

5.1 Bruk av Underleverandører
Databehandler har rett til å benytte underleverandører for å utføre deler av behandlingen, forutsatt at slike underleverandører inngår skriftlige avtaler som forplikter dem til å overholde de samme sikkerhets- og konfidensialitetskravene som fastsatt i denne Avtalen.

5.2 Informasjon og Godkjenning
Behandlingsansvarlig skal informeres om nye underleverandører. Dersom en ny underleverandør ikke allerede er vurdert som i samsvar med kravene i denne Avtalen, skal Databehandler innhente skriftlig godkjenning fra Behandlingsansvarlig.

6. Bistand ved Utøvelse av Den Registrertes Rettigheter

6.1 Støtte til Henvendelser
Databehandler skal gi Behandlingsansvarlig all nødvendig bistand for å håndtere henvendelser fra registrerte som ønsker å utøve sine rettigheter, inkludert tilgang, retting, sletting, dataportabilitet, begrensning av behandling og innsigelser.

6.2 Tidsramme og Dokumentasjon
All bistand skal gis innen rimelige tidsfrister, og alle prosesser for sletting eller utlevering av data skal dokumenteres.

7. Oppbevaring og Sletting av Data

7.1 Lagringsperiode
Personopplysninger skal oppbevares så lenge det er nødvendig for å oppfylle formålene de ble samlet inn for, eller så lenge lovpålagte krav stiller det.

7.2 Sletting og Tilbakelevering
Ved opphør av tjenester eller etter skriftlig anmodning fra Behandlingsansvarlig, skal alle personopplysninger returneres eller slettes innen en rimelig tidsfrist, med mindre annen lovgivning krever videre oppbevaring. All sletting eller tilbakelevering skal dokumenteres.

8. Varsling ved Sikkerhetsbrudd

8.1 Umiddelbar Varsling
Ved mistanke om eller konstatering av et sikkerhetsbrudd, skal Databehandler varsle Behandlingsansvarlig uten unødig opphold – senest innen 24 timer. Varslingen skal inneholde:

• En beskrivelse av hendelsen.
• Hvilke data som er berørt.
• Tiltak iverksatt for å begrense skaden.

8.2 Samarbeid med Myndigheter
Databehandler skal samarbeide fullt ut med Behandlingsansvarlig og relevante tilsynsmyndigheter for å håndtere og avhjelpe sikkerhetsbruddet.

9. Revisjon og Kontroll

9.1 Rett til Revisjon
Behandlingsansvarlig har rett til å gjennomføre revisjoner og kontroller for å verifisere at Databehandler etterlever denne Avtalen og gjeldende lovgivning.

9.2 Tilgang til Dokumentasjon
Databehandler forplikter seg til å gi full tilgang til relevante dokumenter, systemer og lokaler under slike revisjoner. Eventuelle avvik skal utbedres snarest, og Behandlingsansvarlig skal informeres om korrigerende tiltak.

10. Konfidensialitet

10.1 Taushetsplikt
Alle ansatte hos Databehandler og eventuelle underleverandører som har tilgang til personopplysninger, skal være bundet av streng taushetsplikt både under og etter avtaleperioden. Taushetsplikten omfatter all informasjon knyttet til behandlingen og annen konfidensiell informasjon om Behandlingsansvarlig.

11. Internasjonale Overføringer

11.1 Overføringskrav
Overføring av personopplysninger til land utenfor EØS skal kun finne sted dersom det er etablert tilstrekkelige sikkerhetstiltak (f.eks. standard kontraktsvilkår) som sikrer et beskyttelsesnivå tilsvarende det som er garantert i EØS.

11.2 Dokumentasjon og Informasjon
Alle internasjonale overføringer skal dokumenteres, og Behandlingsansvarlig skal informeres om hvilke sikkerhetstiltak som er iverksatt.

12. Ansvar og Erstatning

12.1 Ansvarsbegrensning
Partene er enige om at Databehandler, Preferium AS, under ingen omstendigheter skal holdes økonomisk ansvarlig for direkte eller indirekte tap, følgeskader, tapt fortjeneste eller andre økonomiske krav som følge av behandlingen, uavhengig av årsak eller eventuell mislighold.

12.2 Behandlingsansvarliges Ansvar
Behandlingsansvarlig er fullt ansvarlig for at behandlingen av personopplysninger skjer i samsvar med gjeldende lovgivning. Eventuelle krav fra registrerte rettes primært mot Behandlingsansvarlig.

13. Lovvalg og Tvisteløsning

13.1 Lovvalg
Denne Avtalen er underlagt norsk lov.

13.2 Tvisteløsning
Eventuelle tvister som oppstår i forbindelse med Avtalen skal først søkes løst gjennom forhandlinger mellom partene. Hvis enighet ikke oppnås, skal tvisten avgjøres av de ordinære domstoler med Fredrikstad tingrett som verneting.

14. Varighet og Oppsigelse

14.1 Varighet
Avtalen trer i kraft fra signeringsdatoen og gjelder så lenge Databehandler utfører behandling på vegne av Behandlingsansvarlig.

14.2 Oppsigelse
Ved opphør av tjenester eller ved oppsigelse av samarbeidet, skal Databehandler sørge for at all behandling av personopplysninger avsluttes, og data enten returneres eller slettes i henhold til punkt 7. Oppsigelse skal skje skriftlig med en varslingsfrist på 1 måned.

15. Endringer i Avtalen

15.1 Endringsrett
Databehandler forbeholder seg retten til å endre Avtalen ved behov. Endringer som vesentlig påvirker partenes rettigheter og plikter skal kommuniseres skriftlig til Behandlingsansvarlig før de trer i kraft, med mindre annet er avtalt.

15.2 Implementering av Endringer
Endringer trer i kraft umiddelbart etter publisering, med mindre det er avtalt en annen tidsramme. Behandlingsansvarlig vil bli informert om alle vesentlige endringer.

16. Overføring av Oppdrag

16.1 Varsling ved Overdragelse
Ved overdragelse eller salg av virksomheten skal Databehandler umiddelbart informere Behandlingsansvarlig. Nye eiere skal påta seg alle forpliktelser etter denne Avtalen.

16.2 Motforeldrede Endringer
Behandlingsansvarlig har rett til å motsette seg en overdragelse dersom den fører til vesentlige endringer i behandlingsvilkårene.

17. Force Majeure

17.1 Definisjon og Virkning
Ingen av partene skal holdes ansvarlig for manglende oppfyllelse av avtalens forpliktelser dersom dette skyldes forhold utenfor partenes kontroll (Force Majeure), slik som naturkatastrofer, krig, streik, myndighetstiltak eller andre uforutsette hendelser.

17.2 Varslingsplikt
Partene skal, så langt det er mulig, umiddelbart varsle hverandre om slike forhold og søke å finne en rimelig løsning.

18. Avtalens Helhet og Aksept

18.1 Fullstendighet
Denne Avtalen utgjør hele avtalen mellom partene vedrørende databehandling, og erstatter alle tidligere muntlige eller skriftlige avtaler på området.

18.2 Aksept
Ved å benytte tjenestene fra Preferium AS bekrefter Behandlingsansvarlig at Avtalen er gjennomlest, forstått og akseptert.

19. Kontaktinformasjon

For spørsmål om denne Avtalen eller behandlingen av personopplysninger, vennligst kontakt:

Preferium AS

• E-post: post@preferium.no
• Nettside: www.preferium.no