Databehandleravtale (mal)

Denne databehandleravtalen («avtalen») regulerer LingoStudio Dabrowski (enkeltpersonforetak) sin behandling av personopplysninger på vegne av kunden («behandlingsansvarlig»), i forbindelse med oversettelse, norskkurs og relaterte tjenester bestilt via mylingostudio.com/no/bedrift. Avtalen gjelder automatisk når kunden sender oss materiale som inneholder personopplysninger, og kan også fylles ut og signeres som eget dokument, slik malen under viser.

01 Formål og omfang

Avtalen regulerer databehandlerens (LingoStudios) behandling av personopplysninger på vegne av behandlingsansvarlig (kunden), i samsvar med GDPR artikkel 28. Behandlingen skjer kun for å levere de tjenestene behandlingsansvarlig har bestilt (oversettelse, kvalitetssjekk, norskkurs/HMS-norsk, oversettelse av informasjonsskriv), slik dette er beskrevet i salgsvilkårene for bedrifter.

02 Hvilke opplysninger og hvem det gjelder

Behandlingen kan omfatte personopplysninger i dokumenter som skal oversettes eller kvalitetssjekkes (for eksempel navn, kontaktinformasjon og i noen tilfeller sensitive opplysninger som helseopplysninger i HMS-dokumenter), samt navn og kontaktinformasjon til ansatte som deltar på kurs. De registrerte er normalt behandlingsansvarliges ansatte, elever, innbyggere eller foresatte, avhengig av oppdraget.

Kunden skal på forhånd opplyse dersom materialet inneholder særlige kategorier av personopplysninger, for eksempel helseopplysninger, og er ansvarlig for at det finnes behandlingsgrunnlag.

03 Instrukser

Databehandleren behandler personopplysninger kun etter dokumenterte instrukser fra behandlingsansvarlig, slik disse følger av bestillingen og disse avtalene. Databehandleren informerer behandlingsansvarlig dersom en instruks etter databehandlerens mening er i strid med GDPR eller annen personvernlovgivning.

04 Taushetsplikt

Databehandleren sørger for at alle personer som får tilgang til personopplysningene (herunder databehandleren selv og eventuelle underdatabehandlere), er underlagt taushetsplikt.

05 Sikkerhet

Databehandleren gjennomfører egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som passer risikoen, blant annet: tofaktorautentisering på tjenester som brukes til lagring og e-post, begrenset tilgang til dokumenter (kun den som utfører oppdraget), og sletting i tråd med punkt 09.

06 Underdatabehandlere

Databehandleren kan bruke følgende underdatabehandlere til lagring og håndtering av dokumenter og kommunikasjon:

• Dropbox – sikker lagring av dokumenter
• E-postleverandør (WordPress.com/Titan) – e-post og kommunikasjon
• Google (Google Meet) – kurs online
• ________________________________ (fylles ut ved behov)

Databehandleren informerer behandlingsansvarlig om endringer i listen over underdatabehandlere, og behandlingsansvarlig kan motsette seg en ny underdatabehandler på saklig grunnlag.

07 Bistand

Databehandleren bistår behandlingsansvarlig, så langt det er rimelig, med å oppfylle sine forpliktelser etter GDPR, blant annet ved henvendelser fra registrerte om innsyn, retting eller sletting, og ved vurdering av personvernkonsekvenser (DPIA) dersom dette er relevant for oppdraget.

08 Avvik

Blir databehandleren kjent med et avvik (sikkerhetsbrudd) som gjelder personopplysninger behandlet under denne avtalen, varsler databehandleren behandlingsansvarlig uten ugrunnet opphold, og senest innen 48 timer etter å ha blitt kjent med avviket, med den informasjonen som er tilgjengelig på det tidspunktet.

09 Sletting og tilbakelevering

Dokumenter som inneholder personopplysninger slettes senest 12 måneder etter levering av tjenesten, med mindre behandlingsansvarlig skriftlig ber om tidligere sletting eller om å få dokumentene tilbakelevert. Etter avtalens opphør slettes eller tilbakeleveres alle personopplysninger databehandleren har mottatt under avtalen, med mindre lov krever lagring (for eksempel regnskapsmateriale, som følger egne lovbestemte frister).

10 Kontroll

Behandlingsansvarlig kan be om dokumentasjon som viser at databehandleren oppfyller forpliktelsene i denne avtalen, og kan, etter forutgående varsel og på egen kostnad, gjennomføre eller få gjennomført revisjon av databehandlerens relevante rutiner.

11 Varighet og lovvalg

Avtalen gjelder så lenge databehandleren behandler personopplysninger på vegne av behandlingsansvarlig i forbindelse med leverte tjenester, og reguleres av norsk rett. Tvister søkes løst i minnelighet; løses de ikke, gjelder lovvalgs- og tvistebestemmelsen i salgsvilkårene for bedrifter.

12 Signaturer