Databehandleravtale

1. Partene

Behandlingsansvarlig er kunden — virksomheten som bestiller et rolleprat.

Databehandler er Rolleprat ved Behrooz Malaekeh, org.nr. [fylles inn], heretter «Rolleprat».

Avtalen regulerer Rolleprats behandling av personopplysninger på vegne av kunden, og oppfyller kravene i personvernforordningen (GDPR) artikkel 28.

2. Formålet med behandlingen

Rolleprat produserer korte lydintervjuer med ansatte hos kunden, publiserer dem gjennom en avspiller på rolleprat.no, og gir kunden tilgang til opptak og lyttestatistikk gjennom en innlogget side. Behandlingen skjer utelukkende for å levere denne tjenesten.

3. Behandlingens art og omfang

Kategorier av registrerte

• ansatte og ledere hos kunden som deltar i et lydintervju
• kundens kontaktpersoner som har tilgang til innlogget side

Typer personopplysninger

Særlige kategorier av personopplysninger etter artikkel 9 behandles ikke. Kunden skal ikke gi Rolleprat slike opplysninger, og intervjuene skal ikke legges opp slik at de framkommer.

Varighet

Behandlingen varer så lenge avtalen mellom partene løper.

4. Rolleprats plikter

Rolleprat skal:

• bare behandle personopplysninger etter dokumenterte instrukser fra kunden, slik de framgår av denne avtalen og av bestillingen
• sørge for at enhver som får tilgang til opplysningene er underlagt taushetsplikt
• gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak etter artikkel 32
• bistå kunden i rimelig utstrekning med å svare på henvendelser fra registrerte som ber om innsyn, retting, sletting eller begrensning
• bistå kunden med å oppfylle pliktene etter artikkel 32 til 36, tilpasset behandlingens art og de opplysningene Rolleprat har tilgang til
• gjøre tilgjengelig den dokumentasjonen som er nødvendig for å vise at pliktene i denne avtalen er oppfylt
• varsle kunden uten ugrunnet opphold, og normalt innen 72 timer, ved brudd på personopplysningssikkerheten som berører kundens opplysninger

Mener Rolleprat at en instruks fra kunden er i strid med personvernregelverket, skal kunden varsles.

Sikkerhetstiltak

• lydfiler lagres kryptert og er ikke offentlig tilgjengelige; avspilling skjer gjennom midlertidige lenker som utløper automatisk
• all trafikk går over kryptert forbindelse
• tilgang til innlogget side krever autentisering, og tilgangskontroll håndheves i databasen slik at en kunde bare kan se sine egne data
• administrativ tilgang er begrenset til Behrooz Malaekeh og sikret med eget passord
• lyttestatistikk samles inn uten identifiserende opplysninger

5. Kundens plikter

Kunden skal:

• ha et gyldig behandlingsgrunnlag for opptaket, og sørge for at den som intervjues er informert om at opptaket skal publiseres i en stillingsannonse
• innhente nødvendig samtykke fra den som intervjues, og informere Rolleprat dersom samtykket trekkes tilbake
• oppgi hvilke kontaktpersoner som skal ha tilgang til innlogget side, og gi beskjed når noen ikke lenger skal ha tilgang
• ikke bruke lyttestatistikken til å vurdere enkeltsøkere

6. Underdatabehandlere

Kunden gir Rolleprat generell godkjenning til å bruke underdatabehandlere. Rolleprat har inngått avtale med hver av dem som pålegger tilsvarende plikter som denne avtalen, og er ansvarlig overfor kunden for arbeidet de utfører.

Overføring til Sveits skjer på grunnlag av Europakommisjonens beslutning om tilstrekkelig beskyttelsesnivå. Overføring til USA skjer på grunnlag av EUs standard personvernbestemmelser og leverandørens tilslutning til gjeldende rammeverk for dataoverføring.

Rolleprat varsler kunden på e-post minst 14 dager før en underdatabehandler byttes ut eller legges til. Kunden kan innen samme frist motsette seg endringen på saklig grunnlag. Finner partene ingen løsning, kan kunden si opp avtalen for de leveransene endringen gjelder.

7. Sletting og tilbakelevering

Ved opphør av avtalen sletter Rolleprat alle personopplysninger som behandles på vegne av kunden, senest innen 90 dager. Kunden kan i samme periode be om å få utlevert lydfiler og statistikk i vanlig filformat. Opplysninger beholdes bare dersom lov krever det, og da kun så lenge kravet gjelder.

Kunden kan når som helst slette et enkelt opptak selv, fra innlogget side. Sletting fjerner lydfilen umiddelbart og tar opptaket ut av alle publiserte avspillere. Anonym lyttestatistikk beholdes, siden den ikke kan knyttes til enkeltpersoner. Kunden kan alternativt be Rolleprat om å slette, og det skjer da uten ugrunnet opphold.

8. Revisjon

Rolleprat skal på forespørsel, og normalt innen 30 dager, gi kunden skriftlig dokumentasjon på at pliktene etter denne avtalen overholdes. Slik dokumentasjon dekker som hovedregel kundens kontrollbehov. Krever lov eller pålegg fra tilsynsmyndighet en mer omfattende revisjon, gjennomføres den etter forhåndsvarsel på minst 30 dager, i kontortid, uten å forstyrre driften unødig, og høyst én gang i året. Kunden bærer egne og Rolleprats kostnader ved slik revisjon.

9. Ansvar, varighet og lovvalg

Avtalen løper så lenge Rolleprat behandler personopplysninger på vegne av kunden, og erstatter tidligere avtaler om samme forhold. Ansvar mellom partene følger personvernforordningen artikkel 82 og den underliggende avtalen mellom partene.

Avtalen er underlagt norsk rett. Tvister søkes løst i minnelighet, og bringes ellers inn for Oslo tingrett som avtalt verneting.

10. Inngåelse

Avtalen anses inngått når kunden bekrefter den ved å godta den på Min side, eller ved å svare bekreftende på e-post. Bekreftelsen registreres med tidspunkt, navn på den som bekreftet, e-postadresse og hvilken versjon av avtalen som gjaldt. Kunden kan når som helst be om en kopi av registreringen. Endres avtalen, varsles kunden på e-post, og ny godkjenning innhentes på samme måte.