Databehandleravtale (DPA)

1. Partene og bakgrunn

Behandlingsansvarlig: virksomheten som kjøper LeadResearch («Kunden»), identifisert ved organisasjonsnummeret som oppgis ved kjøpet. Databehandler: Brødrene Gåsdal AS, org.nr. 935 519 640, Ålesund («Databehandleren»).

Avtalen er inngått etter personvernforordningen (GDPR) artikkel 28 og personopplysningsloven. Den gjelder den behandlingen av personopplysninger Databehandleren gjør på vegne av Kunden når Kunden bruker Tjenesten.

2. Gjenstand og varighet

Gjenstanden for behandlingen er personopplysninger som Kunden henter inn, lagrer, vurderer og sender meldinger til gjennom Tjenesten.

Avtalen gjelder fra Kunden godtar den og så lenge Databehandleren behandler personopplysninger på vegne av Kunden. Den opphører når sletting eller tilbakelevering etter punkt 14 er gjennomført.

3. Behandlingens art og formål

Behandlingen består i innsamling fra offentlige registre og åpne nettsider, lagring, sammenstilling, maskinell vurdering og tekstgenerering, utsending av meldinger Kunden godkjenner, mottak av svar, eksport og sletting.

Formålet er å levere Tjenesten til Kunden: å finne og vurdere aktuelle virksomheter, lage meldingsutkast med begrunnelse og sende meldinger som Kunden selv har godkjent. Databehandleren behandler ikke opplysningene til egne formål.

4. Typer personopplysninger

Behandlingen omfatter:

• Kontaktopplysninger til personer i deres yrkesrolle i virksomhetene Kunden vurderer: navn, arbeids-e-post, telefon på arbeidsplassen og rolle.
• Offentlig tilgjengelig virksomhetsinformasjon fra Brønnøysundregistrene og åpne nettsider, herunder roller i registrene.
• Anslag om virksomheten som en språkmodell lager ut fra registeropplysninger og virksomhetens åpne nettside: digital modenhet, forbedringsområder, mulige tjenestebehov og prioritet. Anslagene er merket som anslag, ikke som oppslag eller målte tall.
• Lenker til virksomhetens offentlige profiler på sosiale medier som virksomhetens egen nettside lenker til: plattform, lenke og profilnavn. Selve profilene besøkes ikke, og innlegg, følgere eller aktivitet hentes ikke.
• Innhold i meldinger Kunden godkjenner, og svar som kommer inn på Kundens avsenderadresse.
• Kundens egne brukere: navn, e-post og innloggingsmetadata.

5. Kategorier av registrerte

De registrerte er:

• Ansatte, eiere og rolleinnehavere i virksomhetene Kunden vurderer eller kontakter.
• Personer som svarer på meldinger Kunden har sendt.
• Kundens egne brukere av Tjenesten.

6. Kundens instrukser

Databehandleren behandler personopplysningene bare etter dokumenterte instrukser fra Kunden. Denne avtalen, vilkårene for bruk og Kundens valg og innstillinger i Tjenesten er Kundens instrukser. Det gjelder også overføring til land utenfor EU/EØS, se punkt 10.

Krever lov at Databehandleren behandler opplysningene på annen måte, varsler Databehandleren Kunden om det før behandlingen, med mindre loven forbyr slik varsling.

Mener Databehandleren at en instruks er i strid med personvernregelverket, varsler Databehandleren Kunden uten ugrunnet opphold.

Kunden er ansvarlig for at det finnes et rettslig grunnlag for behandlingen og for at meldingene Kunden sender, følger markedsføringsloven og personvernregelverket.

7. Taushetsplikt

Databehandleren sørger for at personer som har tilgang til personopplysningene, har forpliktet seg til konfidensialitet eller har lovbestemt taushetsplikt. Tilgang gis bare den som trenger det for å levere eller drifte Tjenesten.

8. Sikkerhet (GDPR art. 32)

Databehandleren har tekniske og organisatoriske tiltak som gir et sikkerhetsnivå tilpasset risikoen, og minst disse:

• Rad-nivå sikkerhet i databasen, slik at data er isolert per arbeidsområde.
• Kryptering under overføring (TLS 1.2 eller nyere) og ved lagring (AES-256).
• Tilgangskontroll basert på medlemskap og rolle i arbeidsområdet.
• Logg over utgående meldinger, godkjenninger og administrative handlinger.
• Automatisert isolasjonstest som kontrollerer at et arbeidsområde ikke kan lese, endre eller slette et annet arbeidsområdes rader.

9. Underleverandører

Kunden gir med denne avtalen en generell forhåndsgodkjenning av at Databehandleren bruker underleverandører for drift og hosting, database, e-postutsending, betaling, maskinell tekstgenerering og anslag, og innhenting av åpne nettsider. Kategoriene står også i personvernerklæringen.

Den fullstendige listen over navngitte underleverandører utgjør Vedlegg B. Vedlegg B publiseres ikke offentlig. Kunden kan laste det ned under Konto og data.

Databehandleren varsler Kunden minst 30 dager før en ny underleverandør tas i bruk eller en underleverandør byttes ut, slik at Kunden kan protestere. Protesterer Kunden, kan Kunden si opp avtalen med virkning fra periodeslutt.

Databehandleren pålegger underleverandørene de samme personvernforpliktelsene som i denne avtalen, og er ansvarlig overfor Kunden for at underleverandørene oppfyller dem.

10. Overføring ut av EU/EØS

Dataene lagres i EU/EØS, men maskinell tekstgenerering og anslag, e-postutsending og innhenting av nettsider kan skje i USA. Overføring til land utenfor EU/EØS skjer bare på et gyldig grunnlag etter GDPR kapittel V, som EU-kommisjonens standardvilkår med nødvendige tilleggstiltak eller en beslutning om tilstrekkelig beskyttelsesnivå.

11. Bistand med de registrertes rettigheter

Databehandleren bistår Kunden, så langt det er mulig, med egnede tekniske og organisatoriske tiltak slik at Kunden kan besvare krav om innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse. Kunden kan selv eksportere og slette opplysninger i appen.

Får Databehandleren en henvendelse direkte fra en registrert om Kundens behandling, videresender Databehandleren den til Kunden uten ugrunnet opphold og svarer ikke selv på vegne av Kunden uten instruks.

12. Bistand etter GDPR art. 32–36

Databehandleren bistår Kunden med å oppfylle pliktene om sikkerhet (art. 32), melding om brudd til Datatilsynet og underretning til de registrerte (art. 33 og 34), vurdering av personvernkonsekvenser (art. 35) og forhåndsdrøfting med Datatilsynet (art. 36), ut fra behandlingens art og de opplysningene Databehandleren har.

13. Brudd på personopplysningssikkerheten

Databehandleren varsler Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten. Varselet beskriver så langt det er kjent hva som har skjedd, hvilke kategorier og omtrent hvor mange registrerte og opplysninger som er berørt, sannsynlige konsekvenser og hvilke tiltak som er satt i verk. Opplysninger som ikke er kjent ennå, ettersendes.

14. Sletting eller tilbakelevering ved opphør

Etter at abonnementet er avsluttet, kan Kunden i 30 dager lese og eksportere dataene sine til CSV (tilbakelevering). Deretter slettes Kundens data. Slettingen kjøres som en fast nattlig jobb og omfatter rader i databasen og filer i lagringen. Det skrives én rad i en slettelogg som dokumenterer at slettingen er utført.

Opplysninger Databehandleren er lovpålagt å oppbevare, for eksempel regnskapsbilag, beholdes så lenge plikten varer, og brukes ikke til noe annet.

15. Revisjon og kontroll

Databehandleren gjør tilgjengelig all informasjon som trengs for å påvise at pliktene i denne avtalen er oppfylt. Kunden kan be om dokumentasjon, og Databehandleren svarer med egenerklæring og teknisk dokumentasjon.

Er dokumentasjonen ikke tilstrekkelig, kan Kunden, eller en uavhengig revisor Kunden utpeker og som har taushetsplikt, gjennomføre revisjon, også inspeksjon, etter minst 30 dagers skriftlig varsel. Kunden bærer egne kostnader og revisorens kostnader, med mindre revisjonen avdekker vesentlige brudd på avtalen.

16. Ansvar

Mellom partene gjelder ansvarsbestemmelsene i vilkårene for bruk, også ansvarsbegrensningen, så langt ufravikelig lov tillater det. Begrensningen gjelder ikke ved forsett eller grov uaktsomhet, og den begrenser ikke ansvar overfor de registrerte eller overtredelsesgebyr ilagt av en tilsynsmyndighet.

17. Forholdet til vilkårene

Avtalen er et tillegg til vilkårene for bruk. Ved motstrid om behandling av personopplysninger går denne avtalen foran vilkårene.

18. Lovvalg og verneting

Avtalen reguleres av norsk rett. Tvister søkes løst i dialog. Kommer partene ikke til enighet, er verneting Møre og Romsdal tingrett, rettssted Ålesund.