Databehandleravtale – standardtekst

1. Parter og ikrafttredelse

Denne databehandleravtalen («Avtalen») er inngått mellom

Avtalen inngås elektronisk i InfoDesks kundeportal og gjelder fra det tidspunktet den aksepteres der. Avtalen gjelder under enhver omstendighet fra første gang Kunden bruker Tjenestene til å behandle personopplysninger, slik at behandling på Kundens vegne aldri skjer uten avtale. Har Kunden ikke akseptert Avtalen i kundeportalen, gjelder den til enhver tid gjeldende standardversjonen, som er tilgjengelig på https://infodesk.no/databehandleravtale-standard.

2. Avtalens hensikt, forrang og definisjoner

Avtalen regulerer behandlingen av personopplysninger som InfoDesk AS («InfoDesk» eller «Databehandleren») utfører på vegne av Kunden («Behandlingsansvarlig») når Kunden bruker tjenester fra InfoDesk til å lagre, sende eller på annen måte behandle personopplysninger. Avtalen skal sikre at behandlingen skjer i samsvar med personvernforordningen (EU) 2016/679 («GDPR») artikkel 28 og personopplysningsloven.

Ved motstrid mellom Avtalen og InfoDesks alminnelige vilkår eller andre avtaler mellom partene, går Avtalen foran i spørsmål som gjelder behandling av personopplysninger.

Begrepene «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler», «registrert», «brudd på personopplysningssikkerheten» og «særlige kategorier av personopplysninger» har samme betydning som i GDPR artikkel 4 og 9. «Underdatabehandler» betyr en databehandler InfoDesk benytter for å levere Tjenestene. «Tjenestene» betyr tjenestene som er listet i Vedlegg A.

3. Omfang og avgrensning

Avtalen omfatter personopplysninger som Kunden eller Kundens brukere lagrer eller behandler i Tjenestene, det vil si i webhotell, e-postkontoer, databaser, DNS-soner og sikkerhetskopier, og i InfoDesks kundeportal i den grad Kunden selv registrerer opplysninger om egne brukere, kontaktpersoner eller sluttkunder der, i det omfang som er beskrevet i Vedlegg A.

Avtalen omfatter ikke behandling der InfoDesk selv bestemmer formål og midler og derfor er selvstendig behandlingsansvarlig. Det gjelder blant annet:

• registrant- og kontaktopplysninger for domenenavn, som behandles etter registerenhetenes regler (Norid for .no, øvrige registerenheter for andre toppdomener);
• Kundens egne konto-, avtale-, faktura- og betalingsopplysninger hos InfoDesk, herunder kortbetaling via Stripe;
• support- og kommunikasjonshistorikk mellom Kunden og InfoDesk.

Slik behandling er beskrevet i InfoDesks personvernerklæring på https://infodesk.no/personvern.

4. Behandlingens art, formål og varighet

Behandlingens gjenstand, art og formål, typene personopplysninger og kategoriene av registrerte er beskrevet i Vedlegg A. InfoDesk behandler personopplysningene utelukkende for å levere, drifte, sikre og sikkerhetskopiere Tjenestene for Kunden, og ikke for egne formål.

Avtalen gjelder så lenge InfoDesk behandler personopplysninger på vegne av Kunden, og opphører når alle personopplysninger er slettet eller tilbakelevert etter punkt 14.

5. Den behandlingsansvarliges plikter og rettigheter

Kunden er ansvarlig for at behandlingen har et gyldig rettslig grunnlag, at de registrerte har fått den informasjonen de har krav på, og at Kundens instrukser til InfoDesk er i samsvar med gjeldende rett. Kunden avgjør alene hvilke personopplysninger som legges inn i Tjenestene.

Kunden skal

• bruke sterke, unike passord og holde innloggingsopplysninger til kontrollpanel, e-post, FTP/SFTP og databaser konfidensielle;
• sørge for at egne nettsteder, applikasjoner og tilleggsprogrammer holdes oppdatert og konfigureres med riktige tilgangsrettigheter;
• bruke kryptert overføring (HTTPS/TLS) der personopplysninger overføres;
• ikke lagre særlige kategorier av personopplysninger (GDPR artikkel 9) eller opplysninger om straffedommer og lovovertredelser (artikkel 10) i et delt driftsmiljø uten at det på forhånd er avtalt skriftlig med InfoDesk;
• selv eksportere data før Tjenestene avsluttes, jf. punkt 14.

Kunden har rett til å kontrollere at InfoDesk oppfyller Avtalen, jf. punkt 13, og kan si opp de berørte Tjenestene uten gebyr dersom InfoDesk ikke lenger kan gi tilstrekkelige garantier etter GDPR artikkel 28 nr. 1.

6. Instrukser

InfoDesk behandler personopplysningene bare på dokumenterte instrukser fra Kunden. Avtalen med vedlegg, Kundens valg og innstillinger i kontrollpanel og kundeportal, og Kundens bruk av Tjenestene, utgjør Kundens fullstendige dokumenterte instruks. Ytterligere instrukser skal gis skriftlig gjennom kundeportalen eller til [email protected].

Dette gjelder også overføring av personopplysninger til land utenfor EØS, jf. punkt 10. Unntak gjelder dersom norsk rett eller EØS-retten pålegger InfoDesk en bestemt behandling. I så fall skal InfoDesk underrette Kunden om det rettslige kravet før behandlingen, med mindre loven forbyr slik underretning av hensyn til viktige allmenne interesser.

InfoDesk skal omgående underrette Kunden dersom InfoDesk mener en instruks er i strid med GDPR eller andre bestemmelser om vern av personopplysninger. InfoDesk kan avvente gjennomføringen av instruksen inntil Kunden har bekreftet eller endret den. InfoDesk skal også uten ugrunnet opphold underrette Kunden dersom InfoDesk, uansett årsak, ikke lenger kan oppfylle Avtalen.

7. Taushetsplikt og autorisasjon

InfoDesk skal sikre at bare personer med tjenstlig behov får tilgang til personopplysningene, og at disse personene har forpliktet seg til å behandle opplysningene konfidensielt eller er underlagt lovfestet taushetsplikt. Tilgang skal fjernes uten ugrunnet opphold når behovet opphører.

Taushetsplikten gjelder også etter at Avtalen er opphørt.

8. Sikkerhet

InfoDesk skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. GDPR artikkel 32. Som et minimum skal tiltakene i Vedlegg C være gjennomført. InfoDesk kan endre og forbedre tiltakene så lenge det samlede sikkerhetsnivået ikke svekkes.

Tjenestene leveres i et delt driftsmiljø med logisk atskillelse mellom kundene. Kunden er selv ansvarlig for sikkerheten i eget innhold, egne applikasjoner og egne innloggingsopplysninger, jf. punkt 5.

9. Underdatabehandlere

Kunden gir InfoDesk en generell skriftlig tillatelse til å benytte underdatabehandlerne som er listet i Vedlegg B. InfoDesk skal underrette Kunden om planer om å bytte ut eller legge til underdatabehandlere minst 30 dager før endringen trer i kraft, i kundeportalen og per e-post til Kundens registrerte e-postadresse. Kunden kan motsette seg endringen skriftlig innen 14 dager etter underretningen. Underdatabehandleren tas ikke i bruk for Kundens personopplysninger før innsigelsesfristen er utløpt. Kommer partene ikke til enighet, kan Kunden si opp de berørte Tjenestene uten gebyr med virkning fra det tidspunktet endringen trer i kraft.

InfoDesk skal gjennom skriftlig avtale pålegge hver underdatabehandler de samme forpliktelsene med hensyn til vern av personopplysninger som følger av Avtalen. Dersom en underdatabehandler ikke oppfyller sine forpliktelser, har InfoDesk fullt ansvar overfor Kunden for underdatabehandlerens oppfyllelse. Kunden kan på forespørsel få kopi av avtalen med en underdatabehandler, om nødvendig med forretningsmessig informasjon sladdet.

10. Overføring til land utenfor EØS

Personopplysningene lagres og behandles innenfor EØS, jf. Vedlegg A. InfoDesk overfører ikke personopplysninger til land utenfor EØS uten dokumentert instruks fra Kunden eller med hjemmel i denne Avtalen. Der en underdatabehandler i Vedlegg B behandler personopplysninger utenfor EØS, skjer det bare til land med beslutning om tilstrekkelig beskyttelsesnivå fra EU-kommisjonen, til mottakere som er sertifisert under EU-US Data Privacy Framework, eller på grunnlag av EU-kommisjonens standard personvernbestemmelser (SCC) med nødvendige tilleggstiltak.

Kunden er kjent med at DNS-sonedata og trafikk via innholdsleveringsnettverk (CDN) eller proxy kan behandles globalt av hensyn til ytelse og sikkerhet, og at besøkendes IP-adresser da kan passere slike tjenester.

11. Bistand til Kunden

InfoDesk skal, så langt det er mulig og tatt i betraktning behandlingens art, bistå Kunden med egnede tekniske og organisatoriske tiltak slik at Kunden kan oppfylle sin plikt til å svare på henvendelser fra registrerte om innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse. Henvendelser fra registrerte som InfoDesk mottar direkte, videresendes til Kunden uten ugrunnet opphold og besvares ikke av InfoDesk uten Kundens skriftlige godkjenning.

På Kundens instruks skal InfoDesk slette eller gjøre tilgjengelig bestemte personopplysninger innen fem virkedager, i den grad Kunden ikke selv kan utføre dette gjennom kontrollpanelet.

InfoDesk skal bistå Kunden med å oppfylle forpliktelsene etter GDPR artikkel 32 til 36 (sikkerhet, melding av brudd til Datatilsynet og til de registrerte, vurdering av personvernkonsekvenser og forhåndsdrøfting), tatt i betraktning behandlingens art og informasjonen InfoDesk har tilgang til.

Bistand som går ut over det som inngår i Tjenestene, kan faktureres etter medgått tid til InfoDesks til enhver tid gjeldende timepris. InfoDesk skal opplyse om dette før arbeidet påbegynnes.

12. Brudd på personopplysningssikkerheten

InfoDesk skal underrette Kunden uten ugrunnet opphold, og senest innen 24 timer, etter å ha fått kjennskap til et brudd på personopplysningssikkerheten som gjelder personopplysninger behandlet på Kundens vegne. Underretningen sendes til Kundens registrerte e-postadresse og kontaktpunktet i Vedlegg D.

Underretningen skal så langt det er mulig beskrive bruddets art, herunder kategorier av og omtrentlig antall registrerte og registreringer som er berørt, kontaktpunkt hos InfoDesk, sannsynlige konsekvenser av bruddet og tiltakene InfoDesk har truffet eller foreslår for å håndtere bruddet og begrense skadevirkningene. Informasjon som ikke er tilgjengelig i første underretning, ettersendes uten ugrunnet opphold etter hvert som den blir kjent.

InfoDesk skal dokumentere bruddet og bistå Kunden med den informasjonen Kunden trenger for å melde bruddet til Datatilsynet innen 72 timer og eventuelt underrette de registrerte.

13. Dokumentasjon, revisjon og inspeksjon

InfoDesk skal på forespørsel gjøre tilgjengelig den informasjonen som er nødvendig for å påvise at forpliktelsene i GDPR artikkel 28 og denne Avtalen er oppfylt, herunder beskrivelse av sikkerhetstiltak og liste over underdatabehandlere.

Kunden, eller en uavhengig revisor på fullmakt fra Kunden som er underlagt taushetsplikt, kan gjennomføre revisjon eller inspeksjon av InfoDesks oppfyllelse av Avtalen. Revisjon kan gjennomføres inntil én gang per kalenderår med minst fire ukers skriftlig varsel, i InfoDesks ordinære arbeidstid, og uten at driften av Tjenestene eller andre kunders sikkerhet forstyrres. Kunden dekker egne kostnader og InfoDesks dokumenterte medgåtte tid; avdekker revisjonen vesentlige brudd på Avtalen fra InfoDesks side, dekker InfoDesk egen medgått tid. Ved begrunnet mistanke om brudd på Avtalen, eller når Datatilsynet krever det, kan revisjon gjennomføres med kortere varsel og oftere.

14. Varighet, opphør, tilbakelevering og sletting

Kunden kan til enhver tid eksportere eget innhold gjennom kontrollpanelet (nettsider, filer, databaser og e-post) og få utlevert DNS-soner på forespørsel, og skal gjøre dette før Tjenestene avsluttes. InfoDesk bistår med eksport på forespørsel, jf. punkt 11.

Når de berørte Tjenestene er avsluttet, skal InfoDesk etter Kundens valg slette eller tilbakelevere alle personopplysninger som er behandlet på Kundens vegne, og slette eksisterende kopier. Tilbakelevering skjer ved at Kunden eksporterer innholdet gjennom kontrollpanelet, eller ved at InfoDesk på forespørsel innen 30 dager etter avslutning gjør innholdet tilgjengelig i et strukturert, alminnelig anvendt og maskinlesbart format, jf. punkt 11. Uten annen instruks slettes aktive data innen 30 dager etter at Tjenesten er avsluttet. Sikkerhetskopier overskrives i tråd med InfoDesks rotasjon og er slettet senest 90 dager etter avslutning. Inntil sletting har skjedd, gjelder Avtalen fullt ut for de gjenværende opplysningene.

InfoDesk kan beholde personopplysninger som norsk rett eller EØS-retten krever at InfoDesk oppbevarer, og bare så lenge kravet gjelder. InfoDesk sender Kunden skriftlig bekreftelse når slettingen er gjennomført, og senest når fristene i andre avsnitt er utløpt.

InfoDesk er ikke ansvarlig for tap som skyldes at Kunden ikke har eksportert eget innhold før avslutning.

15. Ansvar og endringer

Partenes ansvar overfor hverandre følger av avtalen om Tjenestene og InfoDesks alminnelige vilkår, med de begrensningene som der er avtalt. Ansvar overfor de registrerte følger av GDPR artikkel 82. Hver part er ansvarlig for administrative gebyrer som ilegges parten for egne brudd på GDPR.

InfoDesk kan endre Avtalen når det er nødvendig på grunn av endringer i regelverk, veiledning fra tilsynsmyndigheter eller i Tjenestene. Endringer varsles minst 30 dager før de trer i kraft, i kundeportalen og per e-post. Endringer som ikke er til Kundens ugunst, kan tre i kraft uten varsel. Kunden kan si opp de berørte Tjenestene uten gebyr dersom Kunden ikke godtar en endring. Fortsatt bruk av Tjenestene etter at endringen har trådt i kraft, anses som aksept av den nye versjonen, og den nye versjonen registreres på Kunden i kundeportalen.

16. Lovvalg og verneting

Avtalen er underlagt norsk rett. Tvister som ikke løses i minnelighet, kan bringes inn for de alminnelige domstolene med Vestfold tingrett som verneting, med mindre ufravikelig lovgivning bestemmer noe annet.

17. Aksept og versjonering

Avtalen aksepteres elektronisk i InfoDesks kundeportal av en person som har fullmakt til å binde Kunden. Elektronisk aksept har samme rettsvirkning som en håndskrevet signatur, jf. GDPR artikkel 28 nr. 9 og lov om elektroniske tillitstjenester. InfoDesk registrerer hvem som aksepterte, tidspunkt, IP-adresse, avtaleversjon og en kontrollsum (SHA-256) av avtaleteksten slik den ble akseptert. Den aksepterte versjonen er tilgjengelig som PDF i kundeportalen og sendes partene på e-post.

Gjeldende standardtekst og tidligere versjoner er tilgjengelige i kundeportalen. Denne teksten er versjon 2026.1.