Aimz AS omtales her som «Databehandler» og Kunden (som definert i Kontrakten) omtales som «Behandlingsansvarlig».

Denne Databehandleravtalens («Avtalen») hensikt er å regulere partenes rettigheter og plikter etter gjeldende personvernregelverk, herunder personopplysningsloven av 2018 som inkorporerer EUs Personvernforordning 2016/679 (GDPR) (heretter samlet benevnt som «personvernregelverket»).

Formålet med denne Avtalen er å regulere Databehandlers bruk av personopplysninger på vegne av Behandlingsansvarlig som Databehandler får tilgang til i forbindelse med levering av tjenester under Lisensavtale for bruk av AIMZ («Kontrakten»), i samsvar med GDPR artikkel 28.

Vedlegg A og B til denne Databehandleravtalen utgjør en integrert del av avtalen, og inneholder henholdsvis nærmere opplysninger om behandlingen av personopplysninger og liste over godkjente underdatabehandlere.

Avtalen har forrang i relasjon til eventuelle tilsvarende personvernrettslige bestemmelser i andre avtaler mellom partene, herunder i Kontrakten.

Denne Avtalen fritar ikke Databehandleren fra plikter som Databehandleren er pålagt etter personvernregelverket eller annen lovgivning. Denne Avtalen regulerer kun Databehandlers behandling på vegne av Behandlingsansvarlig i tilknytning til Løsningen. For personopplysninger som Databehandler behandler som egen behandlingsansvarlig (f.eks. CRM, fakturering, leverandør- og supportkanaler utenfor Løsningen), gjelder Databehandlers egne personverndokumenter og ikke denne Avtalen.

Den Behandlingsansvarlige er ansvarlig for å sikre at behandlingen av personopplysninger skjer i overensstemmelse med personvernregelverket.

Den Behandlingsansvarlige har rett og plikt til å bestemme formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes. Den Behandlingsansvarlige er videre ansvarlig for å sikre at det foreligger et behandlingsgrunnlag for behandlingen av personopplysninger som Databehandler er instruert om å gjøre.

Instrukser: Databehandler skal bare behandle personopplysninger etter dokumenterte instrukser fra den Behandlingsansvarlige, med mindre noe annet kreves av nasjonal eller europeisk rett. Databehandler skal omgående underrette den Behandlingsansvarlige dersom Databehandler er av den oppfatning at en instruks er i strid med personvernregelverket.

Konfidensialitet: Databehandler kan bare gi tilgang til personopplysninger som behandles på vegne av den Behandlingsansvarlige til personer som er underlagt Databehandlers instruksjonsmyndighet og som har forpliktet seg til konfidensialitet eller er underlagt en passende lovbestemt taushetsplikt, og kun i nødvendig omfang.

Databehandleren skal etter anmodning fra den Behandlingsansvarlige kunne påvise at de aktuelle personene underlagt Databehandlerens instruksjonsmyndighet er underlagt ovennevnte taushetsplikt.

Sikkerhet: Databehandler skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. GDPR artikkel 32. Databehandler skal også bistå den Behandlingsansvarlige med å overholde den Behandlingsansvarliges plikter etter GDPR artikkel 32, blant annet ved å stille nødvendig informasjon til rådighet for den Behandlingsansvarlige.

Den Behandlingsansvarlige skal på samme måte stille nødvendig informasjon til rådighet for Databehandleren som gjør vedkommende i stand til å identifisere og vurdere risikoer i samsvar med GDPR artikkel 32.

Databehandler skal oppfylle kravene som følger av GDPR artikkel 28 nummer 2 og 4 i tilfeller hvor Databehandler benytter en annen databehandler (en «underdatabehandler»).

Den Behandlingsansvarlige gir en generell godkjenning til at Databehandler kan benytte underdatabehandlere. Databehandler skal føre en til enhver tid oppdatert liste over gjeldende underdatabehandlere på sin nettside. Endringer i listen (tilføyelse eller utskiftning av underdatabehandlere) vil bli publisert på Databehandlers nettside. Databehandler kan i tillegg varsle den Behandlingsansvarlige per e-post, men dette er ikke et krav for at endringen skal være gyldig. Den Behandlingsansvarlige kan innen tretti (30) dager etter publisert endring fremsette saklig begrunnede innvendinger mot en ny underdatabehandler. Dersom partene ikke kommer til enighet, kan den Behandlingsansvarlige si opp Kontrakten med virkning fra den dato den nye underdatabehandleren skulle tas i bruk. Fortsatt bruk av Tjenesten etter utløpet av innsigelsesfristen anses som aksept av den nye underdatabehandleren. Listen over underdatabehandlere som den Behandlingsansvarlige allerede har godkjent fremgår av vedlegg B.

Ved engasjering av underdatabehandlere skal underdatabehandleren som et minimum pålegges tilsvarende forpliktelser med hensyn til vern av personopplysninger som er fastsatt i denne Avtalen. En kopi av underdatabehandleravtale og eventuelle etterfølgende endringer skal – ved den Behandlingsansvarliges anmodning – sendes til den Behandlingsansvarlige, som på denne måten har mulighet til å sørge for at underdatabehandleren er pålagt de samme forpliktelsene med hensyn til vern av personopplysninger som er fastsatt i denne Avtalen. Kommersielle bestemmelser som ikke påvirker det personopplysningsvernrettslige innholdet av underdatabehandleravtalen, er ikke underlagt kravet om kopi til den Behandlingsansvarlige.

Databehandler skal være fullt ut ansvarlig for underdatabehandlerens eventuelle manglende oppfyllelse av sine personvernrettslige forpliktelser.

Databehandler kan kun overføre personopplysninger til tredjeland eller internasjonale organisasjoner etter dokumenterte instrukser fra den Behandlingsansvarlige, med mindre overføring kreves i henhold til nasjonal eller europeisk rett. I så fall skal den Behandlingsansvarlige underrettes om nevnte rettslige krav med mindre allmenne interesser er til hinder for dette. For å unngå tvil, vil en overføring til tredjeland i forbindelse med bruken av godkjente underleverandører, iht. punkt 5 over, alltid regnes som en overføring etter dokumentert instruks fra den Behandlingsansvarlige. Enhver overføring skal alltid skje i overensstemmelse med GDPR kapittel V, herunder være underlagt et lovlig overføringsgrunnlag.

Overføringsgrunnlag ved tredjeland: For overføringer av personopplysninger til tredjeland (herunder USA) skal Databehandler sikre at overføringen skjer i samsvar med GDPR kapittel V, herunder ved bruk av EUs standard kontraktsklausuler (EU SCC 2021/914) og gjennomføring av en Transfer Impact Assessment (TIA) med nødvendige tilleggstiltak. Databehandler skal på forespørsel fra Behandlingsansvarlig gjøre tilgjengelig overordnet dokumentasjon som bekrefter gyldig overføringsgrunnlag.

Denne Avtalen skal ikke forveksles med standard personvernbestemmelser som omhandlet i GDPR artikkel 46 nummer 2 bokstav c og d, og denne Avtalen kan ikke utgjøre et grunnlag for overføring av personopplysninger under GDPR kapittel V.

I den grad det er mulig, skal Databehandler bistå den Behandlingsansvarlige med å besvare anmodninger fra registrerte om oppfyllelse av deres rettigheter, bistå med informasjon og varsling i tilfeller av kvalifiserte brudd på personopplysningssikkerheten, bistå med vurdering av personvernkonsekvenser samt bistå i forbindelse med forhåndsdrøftelser med Datatilsynet.

Ved brudd på personopplysningssikkerheten skal Databehandleren underrette den Behandlingsansvarlige om bruddet uten ugrunnet opphold etter å ha fått kjennskap til det, slik at den Behandlingsansvarlige kan overholde sin forpliktelse til å melde bruddet til den kompetente tilsynsmyndigheten (i Norge: Datatilsynet), jf. GDPR artikkel 33.

Hver part er ansvarlig for ethvert økonomisk tap den påfører den andre parten ved mislighold av denne Avtalen. Ansvarsbegrensningene i Kontrakten gjelder også her.

Hver part er ansvarlig overfor den registrerte som har lidd materiell eller ikke-materiell skade hvis skaden er forårsaket av at parten har opptrådt utenfor eller i strid med denne Avtalen eller personvernregelverket, jf. GDPR artikkel 82 nummer 1.

Ved opphør av databehandlertjenestene skal Databehandler, etter den Behandlingsansvarliges valg, slette alle personopplysninger som er blitt behandlet på vegne av den Behandlingsansvarlige eller levere tilbake alle personopplysninger og slette eksisterende kopier, med mindre nasjonal eller europeisk rett er til hinder for dette, eller annet er avtalt i Kontrakten. Databehandleren forplikter seg til å utelukkende behandle personopplysningene til de(t) formål, med den varighet og under de betingelsene som disse reglene fastsetter.

Sletting hos underdatabehandlere: Databehandler skal ved opphør instruere relevante underdatabehandlere om sletting eller retur av personopplysninger som behandles på vegne av Behandlingsansvarlig. Databehandler skal bekrefte gjennomført sletting/retur innen rimelig tid (normalt innen 30–90 dager) etter opphør, med mindre annen frist følger av lov.

Databehandler skal stille til den Behandlingsansvarliges disposisjon all informasjon som er nødvendig for å påvise etterlevelse av forpliktelsene etter personvernregelverket og denne Avtalen. Videre skal Databehandler muliggjøre og bidra til revisjoner, herunder inspeksjoner, som utføres av den Behandlingsansvarlige eller en annen revisor som er bemyndiget av den Behandlingsansvarlige.

Avtalen trer i kraft på samme dato som Kontrakten.

Avtalen gjelder så lenge databehandlertjenestene varer og kan da ikke sies opp, med mindre partene avtaler andre vilkår som regulerer levering av databehandlertjenestene i samsvar med gjeldende personvernregelverk.

Dersom Kontrakten eller leveringen av databehandlertjenestene opphører, og personopplysningene er slettet eller returnert til den Behandlingsansvarlige i overensstemmelse med punkt 9.1 over, opphører denne Avtalen.