Databehandleravtale

Parter, rang og varighet

Behandlingsansvarlig er kunden som identifiseres i hovedavtalen, bestillingen eller den elektroniske aksepten. Databehandler er Fargeland AS, org.nr. 937171366, Svenskerud 141, 3409 Tranby, som leverer XTI. Kontakt: post@xti.no.

Avtalen er en del av avtaleverket for XTI og regulerer behandling av personopplysninger som XTI utfører på vegne av kunden. Ved motstrid går denne databehandleravtalen foran hovedavtalen for spørsmål om slik behandling.

Avtalen gjelder fra den aksepteres og så lenge XTI behandler personopplysninger på vegne av kunden, herunder nødvendig avvikling og sletting. Kunden kan avslutte den delen av tjenesten som innebærer behandling dersom XTI ikke lenger oppfyller kravene til databehandler etter personvernforordningen artikkel 28 nr. 1.

Behandlingens tema, art, formål og dokumenterte instrukser

XTI stiller valgte XTI-tjenester til rådighet og utfører nødvendig teknisk drift. Dette kan omfatte Event, deltakeradministrasjon, program, kurs, innsjekk, Crew, Lager, CRM, Booking, Learn, Medlem, Marketing/Morph, Print/Navnelapper, Spill og andre XTI-moduler kunden aktiverer.

Behandlingen kan bestå av innsamling, registrering, organisering, lagring, søk, fremhenting, visning til autoriserte brukere, endring, kommunikasjon, eksport, sikkerhetskopiering og sletting. Formålet er utelukkende å levere funksjonene kunden har valgt og å drifte, sikre og vedlikeholde tjenesten.

Kundens valg i løsningen, oppsett, import, skjema, funksjonsbruk og skriftlige henvendelser utgjør dokumenterte instrukser. XTI behandler ikke kundens personopplysninger til egne markedsføringsformål eller til trening av egne eller eksterne KI-modeller.

XTI skal straks varsle kunden dersom en instruks etter XTI sin vurdering er i strid med personvernforordningen, personopplysningsloven eller annet relevant personvernregelverk. Dersom lov pålegger XTI behandling utenfor kundens instruks, skal kunden informeres på forhånd når loven tillater det.

Kategorier av registrerte og personopplysninger

Registrerte kan være deltakere, frivillige, medlemmer, kunder, kontaktpersoner, ansatte, crew, kursholdere, leverandørkontakter, administratorer og andre personer kunden velger å administrere i XTI.

Opplysningene kan omfatte navn, kontaktopplysninger, virksomhet eller tilhørighet, rolle, kurs- og programpåmelding, deltakelses- og innsjekkingsstatus, booking- og medlemsopplysninger, ikke-sensitive skjemasvar, interne koblingsreferanser, meldings- og leveringsstatus, bruker- og tilgangsinformasjon og tekniske logger. Betalingskortdata lagres ikke i deltakerbasen.

XTI er ikke beregnet for fødselsnummer, helseopplysninger, allergier eller andre særlige kategorier av personopplysninger etter artikkel 9, med mindre dette er særskilt avtalt skriftlig og nødvendige tekniske, organisatoriske og rettslige tiltak er etablert før behandlingen starter.

Kundens ansvar som behandlingsansvarlig

Kunden bestemmer formålene med behandlingen og har ansvar for lovlig behandlingsgrunnlag, informasjon til de registrerte, dataminimering, datakvalitet, oppbevaringsbehov og at instruksene til XTI er lovlige.

Kunden skal sørge for at bare personer med tjenstlig behov gis tilgang til XTI, og skal fjerne eller endre tilganger når behovet opphører. Kunden skal ikke instruere XTI til behandling som er ulovlig eller går ut over avtalt tjeneste.

Fortrolighet og tilgangsstyring

XTI skal begrense tilgang til personopplysninger til autoriserte personer med nødvendig tjenstlig behov. Autoriserte personer skal være bundet av lovbestemt eller avtalefestet taushetsplikt. Fortrolighetsplikten gjelder også etter at oppdraget eller tilgangen er avsluttet.

Tilganger skal etableres, endres og fjernes etter behov. På forespørsel skal XTI kunne dokumentere relevante rutiner for autorisasjon og fortrolighet uten å utlevere opplysninger som i seg selv svekker sikkerheten.

Tekniske og organisatoriske sikkerhetstiltak

XTI skal treffe egnede tekniske og organisatoriske tiltak etter personvernforordningen artikkel 32, basert på behandlingens art, omfang, sammenheng, formål og risiko. Tiltakene skal vurderes og oppdateres når risiko eller teknologi endrer seg.

Som minimum omfatter XTI sin driftsmodell HTTPS/TLS for nettjenester, tilgangsstyring per bruker og prosjekt, passordhashing og nøkkel-/tokenmekanismer, validering og dataminimering, kryptering av utvalgte kontakt- og tilgangsdata der dette er implementert, sikkerhetskopiering, oppdateringsrutiner, begrenset administrativ tilgang og rutiner for hendelseshåndtering og gjenoppretting.

Varig lagring av XTI sine kunde-, prosjekt-, deltaker- og arrangementsdata skjer i one.com-miljøet. one.com opplyser at data for EU-kunder hostes i datasentre i Danmark. Utgående XTI-e-post går via one.com. E-post som er levert til en mottaker, behandles deretter av mottakerens valgte e-postleverandør.

Bistand ved de registrertes rettigheter

XTI skal, så langt det er mulig og hensyntatt behandlingens art, bistå kunden med egnede tekniske og organisatoriske tiltak slik at kunden kan oppfylle krav om innsyn, retting, sletting, begrensning, dataportabilitet og andre rettigheter etter personvernforordningens kapittel III.

Henvendelser fra registrerte som gjelder data kunden er behandlingsansvarlig for, videresendes til kunden uten ugrunnet opphold med mindre XTI er uttrykkelig instruert og rettslig berettiget til å håndtere henvendelsen på kundens vegne.

Sikkerhetsbrudd og bistand etter artikkel 32–36

Ved brudd på personopplysningssikkerheten som gjelder kundens data skal XTI varsle kunden uten ugrunnet opphold etter at XTI har fått kjennskap til bruddet. XTI skal etter hvert som informasjonen blir tilgjengelig opplyse om hendelsens art og omfang, berørte kategorier og omtrentlig antall registrerte og opplysninger, sannsynlige konsekvenser, kontaktpunkt og iverksatte eller planlagte tiltak.

XTI skal bistå kunden med relevante forpliktelser etter artikkel 32–36, herunder sikkerhet, avviksvurdering og -melding, eventuell varsling av registrerte, vurdering av personvernkonsekvenser og forhåndsdrøftelser med tilsynsmyndigheten. Kunden er ansvarlig for å avgjøre om og hvordan melding til Datatilsynet eller de registrerte skal gis.

Underdatabehandlere

Kunden gir generell skriftlig godkjenning til underdatabehandlerne som er oppført i vedlegg C. Betingede leverandører omfattes bare når kunden eller en autorisert bruker aktiverer den aktuelle funksjonen. XTI skal pålegge underdatabehandleren personvernforpliktelser som gir minst tilsvarende vern for den behandlingen underleverandøren utfører.

Planlagt bruk av en ny eller erstattet underdatabehandler for kundedata skal varsles minst 30 dager før behandlingen starter. Kunden kan fremme saklig og relevant personverninnsigelse innen 14 dager etter varselet. Partene skal forsøke å finne en forsvarlig løsning. Hvis dette ikke lykkes, kan berørt tjeneste avsluttes før endringen trer i kraft.

XTI er ansvarlig overfor kunden for at underdatabehandleren oppfyller sine databehandlerforpliktelser i den utstrekning personvernforordningen krever det.

Overføringer utenfor EØS

XTI skal ikke overføre eller gjøre kundens personopplysninger tilgjengelig utenfor EØS i strid med kundens dokumenterte instrukser eller personvernforordningens kapittel V. Dersom en lovlig overføring er nødvendig, skal gyldig overføringsgrunnlag og eventuelle nødvendige supplerende tiltak være dokumentert.

At den varige lagringen hos one.com er i Danmark betyr ikke i seg selv at alle tekniske underleverandører eller all supporttilgang nødvendigvis er begrenset til EØS. Slike forhold reguleres av one.com sin databehandleravtale og leverandørkjede og skal inngå i XTI sin løpende leverandørkontroll.

Dokumentasjon, kontroll og revisjon

XTI skal gjøre tilgjengelig informasjon som er nødvendig for å påvise etterlevelse av artikkel 28 og denne avtalen, og skal muliggjøre og bidra til revisjoner og inspeksjoner som gjennomføres av kunden eller en uavhengig revisor kunden utpeker.

Ordinær kontroll gjennomføres som dokumentgjennomgang eller fjernrevisjon med rimelig forhåndsvarsel. Fysisk inspeksjon kan gjennomføres når det er saklig nødvendig. Revisjon skal utføres konfidensielt og uten unødig å eksponere andre kunders data eller sikkerhetshemmeligheter. Begrensningene gjelder ikke Datatilsynets eller annen kompetent myndighets lovlige kontrollrett.

Tilbakelevering, sletting og opphør

Kunden kan eksportere tilgjengelige opplysninger før opphør. Ved avslutning av databehandleroppdraget skal XTI, etter kundens valg, tilbakelevere tilgjengelige personopplysninger og deretter slette egne kopier, eller slette opplysningene direkte, med unntak av opplysninger XTI er rettslig forpliktet til å oppbevare.

Hvis kunden ikke gir annen instruks, instruerer kunden XTI til å beholde inaktive driftsdata i inntil 90 dager etter utløpet av siste betalte periode for å muliggjøre eksport, feilretting eller gjenoppretting, og deretter slette dem. Kunden kan be om tidligere sletting. Slettede data forsvinner fra ordinær drift først og fra roterende sikkerhetskopier senest 14 dager etterpå.

Hvis en sikkerhetskopi gjenopprettes, skal tidligere gjennomførte slettinger gjennomføres på nytt. Regnskaps- og kjøpsdokumentasjon som XTI må behandle som selvstendig behandlingsansvarlig etter lov, omfattes ikke av kundens sletteinstruks før den lovbestemte oppbevaringstiden er utløpt.