Databehandleravtale

Dersom Databehandler bytter eller inkluderer nye underleverandører skal Behandlingsansvarlig varsles om dette 90 kalenderdager før ny underleverandør starter behandling av personopplysninger, og Behandlingsansvarlig kan innen 30 kalenderdager motsette seg endringen. Dersom Behandlingsansvarlig motsetter seg endringen, kan Behandlingsansvarlig si opp Bruksrettavtalen med 60 kalenderdagers oppsigelsestid. Varsel om oppsigelse må gis samtidig med at Behandlingsansvarlig motsetter seg endringen. Dersom Behandlingsansvarlig ikke sier opp Bruksrettavtalen, anses den nye underleverandøren akseptert.

Ved bytte av underleverandør skal tidligere underleverandør skriftlig bekrefte overfor Databehandler at alle personopplysninger er permanent slettet fra vedkommendes systemer.

Dersom Databehandler skal inngå avtale med Underleverandører i land utenfor EU/EØS skal dette kun skje i henhold til gyldig rammeverk for slik overføring så som EUs modellavtaler for overføring av personopplysninger til tredjeland eller annet til enhver tid gjeldende grunnlag for overføring til tredjeland i henhold til GDPR kapittel 5. Det samme gjelder selv om Personopplysningene oppbevares eller lagres i EU/EØS når personell med tilgang til dataene befinner seg utenfor EU/EØS.

5. Informasjonssikkerhet

Databehandler skal ved egnede planlagte, systematiske, organisatoriske og tekniske tiltak sikre tilstrekkelig informasjonssikkerhet med hensyn til konfidensialitet, integritet, og tilgjengelighet i forbindelse med Behandling av Personopplysninger i samsvar med GDPR artikkel 32.

Databehandler skal kunne dokumentere sikkerhetstiltakene. Dokumentasjonen skal gjøres tilgjengelig på Behandlingsansvarliges forespørsel.

Databehandler skal sørge for tilfredsstillende informasjonssikkerhet med hensyn til:

• konfidensialitet, dvs. at opplysningene ikke blir tilgjengelige for personer som ikke har lovlig tilgang til opplysningene,
• integritet, dvs. at opplysningene ikke endres på uautorisert eller utilsiktet måte og
• tilgjengelighet, dvs. at opplysningene er tilgjengelige og operative for lovlig og autorisert bruk.

Databehandler skal ha rutiner og systematiske prosesser for å følge opp brudd på personopplysningssikkerheten («Avvik»). Dersom Avviket skyldes den Behandlingsansvarlige, eller forhold innenfor Behandlingsansvarlig sin kontroll, kan Databehandler fakturere Behandlingsansvarlig for arbeid knyttet til oppfølging av Avviket i henhold til priser angitt i Bruksrettavtalen og/eller Service Level Agreement.

Databehandler skal uten ugrunnet opphold varsle Behandlingsansvarlig om Avvik.

Databehandler skal gi Behandlingsansvarlig nødvendig informasjon for å sette Behandlingsansvarlig i stand til å overholde gjeldende lovgivning om behandling av Personopplysninger og sette Behandlingsansvarlig i stand til å besvare henvendelser fra datatilsynsmyndigheter ifm. avvik. Det er Behandlingsansvarlig sitt ansvar å melde avvik til Datatilsynet i henhold til gjeldende lovgivning.

Databehandler vil ikke levere ut passord til Behandlingsansvarliges brukere uten at Behandlingsansvarlige ber om dette skriftlig. Alle passord til Behandlingsansvarliges brukere er lagret med irreversibel kryptering, og det er fysisk umulig for Databehandler å utlevere passord i klartekst.

Databehandler sørger for sikkerhetskopier av systemet og data iht. gjeldende Service Level Agreement (SLA).

Dersom personopplysninger skal oversendes elektronisk internt hos Behandlingsansvarlig eller fra Behandlingsansvarlig til Databehandler, skal overføring skje i kryptert form eller sikret på annen måte etter nærmere avtale med Databehandler. Leverandøren tilbyr tjenester for sikker utveksling av midlertidige filer mellom Kunden og Leverandøren. Typiske scenarioer er utveksling av filer for å populere systemet med data i forbindelse med oppstart av tjenesten og ved tilbakelevering av Kundens data ved avslutning av tjenesten.

6. Sikkerhetsrevisjoner

Behandlingsansvarlig anerkjenner at Behandlingsansvarliges rett til å gjennomføre revisjon etter GDPR oppfylles gjennom at Databehandler sørger for at en uavhengig tredjepart, som er utpekt av Databehandler, gjennomfører sikkerhetsrevisjon av systemet på jevnlig basis. Hovedresultatene fra revisjonen gjøres tilgjengelig for Behandlingsansvarlig på forespørsel.

7. Ansvar og ansvarsbegrensning

Krav fra en part som følge av den andre partens manglende oppfyllelse etter Databehandleravtalen skal være omfattet av de samme ansvarsreguleringer og ansvarsbegrensninger som følger av Bruksrettavtalen.

8. Databehandleravtalens varighet

Denne Databehandleravtalen skal gjelde fra den dato den er signert av begge parter og inntil Bruksrettavtalen utløper, eller inntil Databehandlers plikt til ytelse av tjenester i henhold til Bruksrettavtalen opphører av annen grunn, med unntak av de bestemmelser i Bruksrettavtalen og Databehandleravtalen som fortsetter å løpe etter avslutning.

Ved vesentlig brudd på Databehandleravtalen kan Behandlingsansvarlig pålegge Databehandler å stoppe den videre behandlingen av personopplysningene med øyeblikkelig virkning. Databehandler kan med samme begrunnelse stoppe all databehandling for Behandlingsansvarlig med øyeblikkelig virkning. Sletting av data som omfattes av Databehandleravtalen vil imidlertid ikke iverksettes før Bruksrettsavtalen utløper i samsvar med punkt 9 nedenfor.

9. Ved opphør

Etter Bruksrettavtalens utløp plikter Databehandler å anonymisere alle personopplysninger som omfattes av denne Databehandleravtalen og deretter slette alle kundens data. Anonymisering innebærer at opplysningene ikke lenger er personopplysninger og dermed ikke omfattet av regelverket om personvern. Databehandler skal gi Behandlingsansvarlig en skriftlig erklæring, hvoretter Databehandler garanterer at alle personopplysninger eller data nevnt ovenfor har blitt anonymisert, og at Databehandler ikke har beholdt noen kopi, utskrift eller beholdt personopplysningene i annet medium.

Behandlingsansvarlig kan ved opphør av Bruksrettavtalen kreve å få tilbakelevert sine Kundedata. Måten tilbakelevering skal foregå på reguleres av Service Level Agreement (SLA).

10. Meddelelser

Meddelelser etter denne Databehandleravtalen skal sendes skriftlig til Behandlingsansvarliges kontaktperson som oppgitt i Bruksrettavtalen.

11. Endring av Databehandleravtalen

Databehandler kan endre innholdet i Databehandleravtalen dersom Behandlingsansvarlig varsles om dette 90 kalenderdager før endringen trer i kraft. Behandlingsansvarlig kan innen 30 kalenderdager motsette seg endringen. Dersom Behandlingsansvarlig motsetter seg endringen, kan Behandlingsansvarlig si opp Bruksrettavtalen med 60 kalenderdagers oppsigelsestid. Varsel om oppsigelse må gis samtidig med at Behandlingsansvarlig motsetter seg endringen. Dersom Behandlingsansvarlig ikke varsler oppsigelse av Bruksrettavtalen, anses endringen akseptert.

Vedlegg A til Databehandleravtale - Insights / Integrasjonsgrensesnitt («API»)

Vedlegg A gjelder kun dersom Kunden har kjøpt tilgang til Insights/integrasjonsgrensesnitt, heretter kalt «API». API-er fra Simployer eksponerer integrasjonsgrensesnitt som utvalgte brukere hos kunden får tilgang til, og som gjør det mulig for kunden å overføre opplysninger, inkludert personopplysninger, fra kundens data generert i Simployer, for videre bearbeidelse og analyse i tredjepart programvare.

Integrasjonsgrensesnittet er teknisk beskyttet på en slik måte at kunden får en nøkkel (API-key) som brukes til å autentisere den enkelte tjeneste som skal samhandle med grensesnittet. Kunden får overlevert denne nøkkelen, og er alene ansvarlig å kun benytte denne til å autentisere de systemer, og de brukerne, som skal ha tilgang til tjenesten.

Grensesnittet gir mulighet for tilgang til Kundens data, inkludert personopplysninger som er registrert eller generert i systemet og Kundens database, og har ikke samme tilgangskontroll og mekanismer for å sikre personvern som er bygget inn i Simployer som standard. Det er derfor svært viktig at Kunden kun benytter tjenesten til formål-, og kun autentiserer systemer og brukere mot grensesnittet, som Kunden har gjort nødvendige vurderinger av (juridiske og tekniske vurderinger).

Leverandøren har ansvar for tilgjengelighet og konfidensialitet av data frem til Leverandørens endepunkt. Etter at data har forlatt Leverandørens endepunkt, er det Kunden som har ansvar for all bruk av tjenesten og all bruk av data tilgjengeliggjort via grensesnittet. Simployer, inkludert underleverandører, tar ikke ansvar for Kundens bruk av grensesnittet eller Kundens behandling av data hentet ut fra grensesnittet, eller integriteten av data levert inn til grensesnittet (fra Kundens systemer eller tredjeparter Kunden ansvarer for).

Der integrasjoner ikke benytter endepunkter for overføring av data, men fil-basert overføring av data, gjelder de samme prinsippene som nevnt over.

Vedlegg B til Databehandleravtale - Engagement

Vedlegg B gjelder kun dersom Kunden har kjøpt modulen Engagement. Når det gjelder utlevering av data fra denne modulen, kan Databehandler ikke gi Behandlingsansvarlig svarinformasjon på annen måte enn i anonymisert og avidentifisert form. Svarinformasjon vil si svarene medarbeiderne har gitt på medarbeiderundersøkelser hentet inn ved hjelp av Engagement-modulen.

Hvis Behandlingsansvarlig har til hensikt å benytte tjenesten også for ansatte i andre selskaper enn deres eget, skal de på egen hånd innhente selskapenes tillatelse til å behandle personopplysninger om de berørte ansatte. Når det gjelder selskaper og ansatte som er bosatt utenfor EU/EØS, skal Behandlingsansvarlig uavhengig føre tilsyn med, og være ansvarlig for overholdelse av juridiske krav i samsvar med gjeldende utenlandsk lov.

Behandlingsansvarlig er også ansvarlig for at deres bruk av, og innholdet i spørsmål og svar som lagres i Engagement-modulen. Behandlingsansvarlig bør unngå og eller vise forsiktighet med å stille spørsmål som berører, eller resulterer i svarinformasjon som inneholder personopplysninger, og som de ikke behøver, eller har grunnlag for å behandle. Dette kan f.eks. være kategorier av sensitive opplysninger som for eksempel helseopplysninger, eller opplysninger som reguleres særskilt, så som forretningshemmeligheter e.l.

Ved bruk av modulen Engagement, aksepterer Behandlingsansvarlig de underlevererandører som beskrevet her. Denne listen holdes oppdatert på nettstedet nevnt over, og eventuelle endringer vil bli kommunisert som beskrevet i punkt 4. Merk muligheten for «Reduced Processing Mode» som innebærer databehandling kun innenfor EU/EØS.

Vedlegg C til Databehandleravtale - Varsling

Vedlegg C gjelder kun dersom Kunden har kjøpt modulen «Varsling» og aktivert denne for bruk.

For i støtte opp under EUs Direktiv 2019/1937 om varsling (såkalt «whistleblowing»), tilbyr Simployer en digital tjeneste for å underlette og støtte prosessen med å varsle.
Tjenesten gjør det mulig for alle personer som kjenner til adressen til varsle-funksjonaliteten hos Kunden å sende inn varsler. Den som varsler kan velge å sende inn varselet med sitt navn og kontaktopplysninger, eller å være anonym. Varslet vil derfor kunne inneholde personopplysninger om den som varsler. Selve varselet er et fritekstfelt, og dette vil kunne medføre registrering-, og lagring av, personopplysninger, også om andre enn varsler, dvs. berørte tredjeparter.

Kunden har ansvar for at varslene behandles og lagres i tråd med gjeldende regelverk, dvs. både de nasjonale reguleringene for varsling, og reglene i personvernforordningen («GDPR»). Dette innebærer bl.a. ansvar for å slette personopplysninger som ikke er relevant for varselet. Systemet sletter automatisk data i rapporter 2 år etter at de ble opprettet, men sletting bør ellers foretas av administrator for modulen, og skal gjøres løpende og uten ugrunnet opphold. Lagring av varsler og rapporter som inneholder personopplysninger, skal ikke gjøres lenger enn det som er nødvendig og proporsjonalt med bestemmelsene i EUs Direktiv 2019/1937 artikkel 17 og relevant nasjonal implementering av dette regelverket.

Tjenesten endrer ikke på listen over aktuelle underleverandører, jf. Punkt 4 over.

 

V.2.1.8 - sist oppdatert 25.11.2024