1. Parter, virkeområde og prioritet
Denne avtalen inngås mellom virksomheten som er identifisert som kunde i bestillingen («kunden» eller «behandlingsansvarlig») og Aasen Apps, organisasjonsnummer 938 545 022, Torggata 110, 2317 Hamar («databehandleren»). Kontakt for instrukser, avvik og personvern: support@oppdragsboka.no. Kundens kontaktperson er den autoriserte administratoren eller en annen dokumentert fullmektig.
Avtalen regulerer behandling av personopplysninger på kundens vegne i Oppdragsboka etter personvernforordningen artikkel 28. Den er en del av abonnementsavtalen og gjelder frem til opplysningene er tilbakelevert eller slettet etter punkt 10. Kravene her går foran motstridende abonnementsvilkår om personopplysninger. Lovpålagte rettigheter og myndigheters fullmakter begrenses ikke.
Behandling der leverandøren selv bestemmer egne formål, for eksempel nødvendige abonnements- og regnskapsopplysninger, beskrives separat i personvernerklæringen. Rollen avgjøres av faktisk behandling. Denne avtalen gir ikke grunnlag for å bruke kundens oppdragsinnhold til egne, uforenlige formål.
2. Dokumenterte instrukser og kundens ansvar
Kunden bestemmer formål og har ansvar for lovlig behandlingsgrunnlag, nødvendig informasjon til de registrerte, riktige tilganger og dataminimering. Instruksene består av denne avtalen, vedlegg A, kundens valg av funksjoner og dokumenterte tilleggsinstrukser fra en autorisert person.
Databehandleren behandler opplysninger bare etter dokumenterte, lovlige instrukser, også ved overføring utenfor EØS. Dersom bindende unionsrett eller nasjonal rett som databehandleren er underlagt krever annen behandling, skal kunden informeres før behandlingen, med mindre loven forbyr slik informasjon av hensyn til viktige samfunnsinteresser. Databehandleren varsler kunden straks dersom en instruks etter databehandlerens vurdering strider mot personvernregelverket.
En instruks som krever nye funksjoner eller arbeid utover ordinær leveranse, avklares med omfang, pris og frist på forhånd. Slik avklaring fritar ikke for plikter som allerede følger av avtalen eller loven, og skal ikke forsinke nødvendig håndtering av avvik eller rettigheter.
Dersom databehandleren ikke lenger oppfyller lovens eller avtalens krav, kan kunden kreve at berørt behandling stanses til forholdet er rettet. Kunden kan avslutte databehandleroppdraget ved vesentlige eller vedvarende brudd som ikke blir rettet innen forsvarlig frist. Databehandleren skal ikke fortsette en ulovlig behandling mens partene avklarer avslutningen.
3. Autorisasjon og fortrolighet
Bare personer med tjenstlig behov skal autoriseres. De skal være bundet av fortrolighetsplikt ved avtale eller lov og få nødvendig opplæring. Tilgang skal begrenses til oppgaven, gjennomgås og fjernes når behovet opphører. Fortrolighetsplikten gjelder også etter at oppdrag eller arbeidsforhold er avsluttet.
Databehandleren skal kunne dokumentere autorisasjons- og fortrolighetstiltak overfor kunden. Kundens administrator styrer brukere i eget firma; dette erstatter ikke databehandlerens ansvar for at firmaseparasjon og servertilganger fungerer.
4. Sikkerhet, testing og gjenoppretting
Databehandleren skal gjennomføre egnede tekniske og organisatoriske tiltak etter artikkel 32, basert på opplysningene, behandlingen, truslene og risikoen for de registrerte. Tiltakene skal omfatte relevant tilgangsstyring, fortrolighet, integritet, tilgjengelighet, hendelseshåndtering og regelmessig vurdering av om tiltakene virker.
Konkrete tiltak og sikkerhetskopier skal beskrives i vedlegg B. Tiltakene kan forbedres og oppdateres, men ikke svekkes vesentlig uten nødvendig avtale og risikovurdering. Databehandleren skal dokumentere hvordan opplysninger kan gjenopprettes innen rimelig tid ved en hendelse. En teknisk backup er ikke det samme som en avtalt garanti om bestemt oppetid eller gjenopprettingstid.
Bruk av Supabase til plattformdrift og backup er en del av leverandørkjeden. Aasen Apps skal velge og følge opp egnede tjenester og sørge for at tiltakene samlet oppfyller avtalen. En feil hos Supabase skal håndteres etter avtalens regler om sikkerhet, avvik og bistand; kundens kontaktpunkt er fortsatt Aasen Apps. Ansvar for underdatabehandlere følger punkt 5.
5. Underdatabehandlere
Kunden gir en generell skriftlig godkjenning av underdatabehandlerne som er identifisert og beskrevet i ferdigstilt vedlegg C ved avtaleinngåelsen. Godkjenningen omfatter ikke uidentifiserte leverandører eller behandling utenfor den oppgitte rammen.
Ved tillegg eller utskifting skal kunden varsles skriftlig med leverandør, oppgave, behandlingssteder og relevant overføringsgrunnlag minst 30 dager før den nye behandlingen starter. Kunden kan fremme en begrunnet personverninnsigelse innen fristen. Partene skal forsøke å finne et forsvarlig alternativ. Hvis dette ikke lar seg gjøre, skal kunden kunne avslutte berørt tjeneste før endringen, med tilbakebetaling for forhåndsbetalt, ikke levert tid. Innsigelse innebærer ikke automatisk godkjenning.
Underdatabehandleren skal bindes av tilsvarende personvernforpliktelser gjennom skriftlig avtale. Databehandleren er fullt ansvarlig overfor kunden for underdatabehandlerens oppfyllelse av disse pliktene. Kunden skal kunne få nødvendig informasjon og relevante avtaledeler for å kontrollere dette, med vern om andre kunders opplysninger og fortrolige forhold.
Forslag: 30 dagers forhåndsvarsel. Dette krever en fungerende varslingsrutine og kontroll med egne leverandøravtaler. Vedlegg C må ferdigstilles før noen godkjenning innhentes.
6. Behandling og tilgang utenfor EØS
Behandling utenfor EØS, også relevant fjerntilgang, skal være innenfor kundens dokumenterte instruks og opplysningene i vedlegg C, og ha et gyldig overføringsgrunnlag etter personvernforordningen kapittel V. Eventuelle standard personvernbestemmelser, overføringsvurderinger og supplerende tiltak skal være dokumentert der dette kreves.
En databehandleravtale etter artikkel 28 er ikke i seg selv et overføringsgrunnlag til tredjeland. Databehandleren skal bistå med informasjon om underleverandører, land og myndighetstilgang, og varsle dersom forutsetningene for lovlig behandling endres. Kunden kan be om kopi av relevante garantier.
7. Bistand, innsyn og kontroll
Databehandleren skal, ut fra behandlingens art, bistå med egnede tiltak slik at kunden kan oppfylle registrertes rettigheter. En henvendelse som gjelder kundens opplysninger videreformidles uten ugrunnet opphold, og besvares på kundens vegne bare etter instruks eller rettslig plikt.
Databehandleren skal også bistå med plikter etter artikkel 32–36, herunder sikkerhet, personvernkonsekvensvurderinger, eventuell forhåndsdrøftelse og bruddhåndtering, under hensyn til behandlingens art og tilgjengelig informasjon.
Databehandleren skal gjøre nødvendig informasjon tilgjengelig og tillate og bidra til kontroller og revisjoner fra kunden eller en uavhengig kontrollør kunden gir fullmakt. Dokumentasjon og fjernkontroll kan brukes der dette er tilstrekkelig. Praktisk gjennomføring avtales med rimelig varsel og vern av andre kunders data. Ved alvorlig avvik eller myndighetskrav må kontroll kunne gjennomføres raskere. Taushetsavtale, varsel eller prisvilkår skal ikke hindre lovpålagt kontroll.
8. Brudd på personopplysningssikkerheten
Databehandleren varsler kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd som berører kundens personopplysninger. Varsling skal ikke utsettes til alle fakta er avklart. Tilgjengelig informasjon gis først og suppleres etter hvert.
Varselet skal så langt mulig beskrive hendelsen, berørte opplysninger og personer, omtrentlige antall, sannsynlige konsekvenser, kontaktpunkt og tiltak som er gjennomført eller foreslått. Databehandleren dokumenterer hendelsen, begrenser skade, sikrer relevante bevis og bistår kunden videre.
Kunden vurderer melding til tilsynsmyndigheten, normalt innen 72 timer etter at kunden ble kjent med bruddet når meldeplikt foreligger, og eventuell informasjon til de registrerte etter artikkel 34. Dette er ikke en 72-timers frist databehandleren kan vente ut. Databehandlerens egne plikter og eventuelle lovpålagte meldinger består.
9. Kostnader og ansvar
Ordinær sikkerhet og nødvendig etterlevelse i standardleveransen inngår i abonnementet. Særskilt arbeid bestilt av kunden kan prises etter skriftlig forhåndsavtale. Retting av databehandlerens egne brudd kan ikke uten videre faktureres som kundebestilt bistand.
Abonnementsvilkårenes regler om kontraktsansvar gjelder bare så langt de er lovlige og forenlige med denne avtalen. De begrenser ikke registrertes krav etter artikkel 82, myndigheters fullmakter eller partenes lovpålagte plikter.
10. Opphør, tilbakelevering og sletting
Ved opphør skal databehandleren etter kundens valg tilbakelevere eller slette personopplysningene og slette gjenværende kopier, med mindre lagring kreves av bindende rett. En slik plikt må identifiseres og avgrenses; data skal da beskyttes og ikke brukes til andre formål. Kunden kan kreve bekreftelse på utført sletting.
Avtalen gjelder under tilbakelevering og frem til sletting er fullført. Tilgang for sluttbrukere kan opphøre før slettingen, men nødvendig håndtering av data og registrertes rettigheter skal fortsatt være mulig. Databehandleren skal ikke holde tilbake personopplysninger i strid med disse pliktene som pressmiddel ved en betalingskonflikt.
Vedlegg D skal angi en praktisk fremgangsmåte, format, frister, kostnader for eventuell tilleggsbistand og hvordan kopier hos underleverandører og i sikkerhetskopier håndteres. Tidligere slettinger må håndteres også dersom en backup gjenopprettes. Kundestyrte kopier i eksterne kalendere og e-postsystemer inngår ikke automatisk i databehandlerens sletterutine.
Vedlegg A – behandling og instrukser
- Formål
- Levere kundens registrering og oppfølging av befaringer og oppdrag, planlegging, tildeling, føring av timer og kilometer, økonomioversikt, bilder og valgte e-post-/kalenderfunksjoner.
- Behandlingens art
- Innsamling gjennom kunden og dens brukere, registrering, lagring, organisering, visning, oppdatering, søk, tilgangsstyring, avtalte overføringer, teknisk support, tilbakelevering og sletting. E-postsending brukes bare når kunden velger funksjonen og gir instruks.
- Registrerte
- Kundens ansatte og innleide, kunder, mulige kunder, kontaktpersoner og andre personer som lovlig fremgår av oppdrag eller bilder.
- Opplysningstyper
- Navn, kontaktopplysninger, bruker- og firmareferanser, roller og innstillinger, adresse og koordinater, oppdrags- og befaringsopplysninger, bilder, arbeidsøkter og tildelinger, timer, kilometer, satser, økonomiopplysninger, relevante e-postdata og kalender-/synkroniseringsreferanser.
- Avgrensning
- Ingen avtalt behandling av særlige kategorier etter artikkel 9, straffedommer etter artikkel 10 eller fødselsnummer. Et eventuelt slikt behov krever en særskilt avtale og vurdering før registrering.
- Instruks om utlevering
- Gi bare tilgang innenfor kundens lovlige brukeroppsett og bruk de navngitte, avtalte leverandørene. Ingen egen annonsering eller modelltrening med oppdragsinnhold. Valg av kart, e-post og kalender kan føre til overføring som beskrevet i vedlegg C og personverninformasjonen.
- Varighet
- Mens kunden bruker tjenesten og frem til tilbakelevering/sletting etter vedlegg D. Fortrolighets- og dokumentasjonsplikter som må bestå gjelder videre.
Dersom opplysninger utenfor den avtalte rammen likevel oppdages, skal forholdet avklares med kunden og håndteres med nødvendig beskyttelse, begrensning og eventuell sletting. Avgrensningen fritar ikke partene for plikter knyttet til opplysninger som faktisk er behandlet.
Vedlegg B – konkrete sikkerhetstiltak og backup
Arbeidsdeling ved Supabase-drift
Valgt plattformabonnement: Supabase Pro. Supabase beskriver standarddekningen for Pro som daglig databasebackup med sju dagers oppbevaring. Eventuell aktivert Point-in-Time Recovery har et annet backupoppsett og må beskrives særskilt. Planvalget er bekreftet av Aasen Apps, men tilgjengelige kopier, eventuelle tillegg og praktisk gjenoppretting må fortsatt kontrolleres før dette vedlegget ferdigstilles. Pro-planen gir ikke i seg selv Supabase sin Enterprise-oppetidsgaranti.
Supabase leverer den tekniske database-, autentiserings-, Storage- og funksjonsplattformen som er bestilt. Aasen Apps har ansvar for eget applikasjonsoppsett, firmaseparasjon, tilgangsregler og nøkler, samt valg, kontroll og oppfølging av backup- og gjenopprettingsløsningen. Kunden styrer egne autoriserte brukere og lovlig innhold, men overtar ikke Aasen Apps sine drifts- og databehandlerplikter.
Databasebackup hos Supabase er ikke en kopi av selve filene i Storage API. Vedlegget må angi separat dekning for bilder, og om og hvordan autentisering, konfigurasjon og nødvendige referanser kan gjenopprettes. Oppetid for en plattformkomponent er heller ikke et løfte om tilgjengelighet for hele appen.
Må avklares før bruk: Sikkerhetsvedlegg: dokumenter og kontroller faktisk firmaseparasjon, server- og bildelagringstilganger, privilegerte kontoer, kryptering, nøkler, logging, avvikshåndtering og rutinemessige tester. Dette utkastet bekrefter ikke at alle tiltakene allerede er innført.
Vedlegget skal konkretisere firmaseparasjon på serveren, tilgang til bilder, autentisering og privilegerte kontoer, håndtering av nøkler, kryptert overføring, leverandørens lagringsvern, logging, oppdateringer, risikovurdering, hendelsesrutine og regelmessig kontroll. Tiltakene må være innført og testet før de beskrives som garantier.
Må avklares før bruk: Sikkerhetskopiering: bekreft faktisk Supabase-abonnement, hva som kopieres (database, bilder og autentisering), intervall, oppbevaringstid og testet gjenoppretting. Ikke anta at databasebackup også inneholder bildefilene. Mål for datatap og gjenopprettingstid er ikke avtalt.
Vedlegg C – leverandører, land og godkjenning
Må avklares før bruk: Leverandørregister: fullfør juridiske avtalepartnavn, konkrete oppgaver, opplysningstyper, land for lagring/support, videre leverandører og rollefordeling. Kontroller de avtalene som gjelder for akkurat denne tjenesten.
Supabase er identifisert for database, autentisering, lagring og serverfunksjoner. Resend er identifisert for e-post når dette brukes på kundens vegne. Juridiske avtalepartnavn, oppgaver, data, lagrings-/tilgangsland, videre leverandører og gyldige avtaler må fremgå av det ferdige registeret. Webhuset, Stripe, kart- og kalenderleverandører skal bare føres som underdatabehandlere her for behandling der de faktisk har denne rollen; egne formål beskrives separat.
Må avklares før bruk: Behandlingsland og tredjeland: prosjektregion, backup-/supportsteder, mottakere og land utenfor EØS er ikke bekreftet. Dokumenter gyldig overføringsgrunnlag, nødvendige vurderinger og hvordan kopi av garantiene kan fås før teksten ferdigstilles.
Registeret skal være tilgjengelig før avtalen aksepteres og deretter versjoneres. Nye underdatabehandlere håndteres etter punkt 5. Dette uferdige vedlegget kan ikke brukes som en generell godkjenning av alle nåværende eller fremtidige leverandører.
Vedlegg D – tilbakelevering og slettefrister
Må avklares før bruk: Tilbakelevering og sletting: bekreft kontaktvei, eksportformat, omfang, frister og håndtering av bilder, kontoer, underleverandører og sikkerhetskopier. En samlet eksport- og avslutningsrutine er ikke verifisert.
Må avklares før bruk: Lagringstider: fastsett og gjennomfør konkrete frister for henvendelser, konto-/abonnementsopplysninger, avtaleaksept, tekniske logger, aktive kundedata og kopier etter avslutning. Beskriv eventuelle rettskrav og lovpålagte unntak særskilt.
Rutinen må dekke database, autentiseringskontoer, bilder, e-post-/domenedata, kalenderkoblinger, underleverandører og backup. Sletting av én bruker er ikke det samme som sletting av alle opplysninger om vedkommende, eller avslutning av firmaets abonnement.