1. Parter og formål
Denne databehandleravtalen inngås mellom kunden som behandlingsansvarlig og Explain AS, org.nr. 938 334 625, som databehandler, når Explain behandler personopplysninger på vegne av kunden.
Avtalen regulerer behandling av personopplysninger som følger av hovedavtalen mellom partene.
2. Behandling etter dokumentert instruks
Explain skal bare behandle personopplysninger etter dokumenterte instrukser fra kunden, inkludert instrukser om eventuell overføring til tredjeland, med mindre norsk eller annen bindende lov krever en bestemt behandling.
Hvis Explain mener en instruks er i strid med personvernregelverket, skal kunden varsles uten ugrunnet opphold.
3. Fortrolighet og tilgang
Explain skal sikre at personer som får tilgang til personopplysninger er underlagt fortrolighet og bare har tilgang når dette er nødvendig for oppdraget.
Tilgang skal fjernes når behovet opphører.
4. Informasjonssikkerhet
Explain skal gjennomføre egnede tekniske og organisatoriske tiltak i tråd med risikoen og GDPR artikkel 32. Tiltakene beskrives nærmere i vedlegg B.
Tiltak kan blant annet omfatte tilgangsstyring, tofaktorautentisering, kryptering, logging, oppdateringer, sikkerhetskopiering, sårbarhetshåndtering og rutiner for sletting.
5. Underleverandører
Explain kan bare bruke underdatabehandlere i samsvar med kundens skriftlige godkjenning. Partene kan avtale generell godkjenning, forutsatt at kunden varsles om planlagte endringer og får rimelig anledning til å protestere.
Explain skal pålegge underdatabehandleren personvernforpliktelser som i det vesentlige tilsvarer kravene i denne avtalen.
Godkjente underdatabehandlere føres i vedlegg C.
6. Bistand til kunden
Explain skal, så langt det er mulig og rimelig sett opp mot behandlingens art, bistå kunden med å oppfylle plikter knyttet til:
- innsyn, retting, sletting, begrensning og andre registrertrettigheter
- informasjonssikkerhet
- vurdering og varsling av personvernbrudd
- vurdering av personvernkonsekvenser, DPIA
- forhåndsdrøftelser med Datatilsynet når dette kreves
7. Brudd på personopplysningssikkerheten
Explain skal varsle kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som gjelder kundens personopplysninger.
Varslet skal, så langt informasjonen er tilgjengelig, beskrive hendelsen, berørte data, mulige konsekvenser og tiltak som er gjennomført eller foreslått.
8. Overføring utenfor EØS
Personopplysninger skal ikke overføres til eller gjøres tilgjengelige fra land utenfor EØS uten at det foreligger et gyldig overføringsgrunnlag og nødvendige garantier etter GDPR kapittel V.
Eventuelle slike overføringer og mekanismer beskrives i vedlegg C.
9. Retur og sletting
Når databehandleroppdraget avsluttes, skal Explain etter kundens valg slette eller returnere personopplysningene og slette eksisterende kopier, med mindre lov krever videre oppbevaring.
Praktisk gjennomføring og frister beskrives i vedlegg A eller hovedavtalen.
10. Dokumentasjon og kontroll
Explain skal gjøre informasjon tilgjengelig som er nødvendig for å påvise etterlevelse av denne avtalen og relevante krav i GDPR artikkel 28.
Kunden kan gjennomføre eller få gjennomført rimelige kontroller etter nærmere avtale. Kontroller skal planlegges slik at de i minst mulig grad forstyrrer normal drift og ikke gir tilgang til andre kunders fortrolige opplysninger.