Vici Eiendom ASDatabehandleravtale
Databehandleravtale
1. Parter og bakgrunn
Denne avtalen gjelder mellom deg som kunde («den behandlingsansvarlige») og Vici Eiendom AS, org.nr. 936 127 290 («databehandleren», «vi»). Den gjelder når du bruker Assistent, Kapital, Builder, Utleiemalen eller Arkiva til å behandle personopplysninger om andre for egne formål, jf. vilkårene punkt 10.
Avtalen er en del av vilkårene for produktene og oppfyller kravene i personvernforordningen (GDPR) artikkel 28 nr. 3. Den inngås når du godtar vilkårene.
2. Behandlingen
Gjenstanden for behandlingen er de personopplysningene du legger inn i, eller henter inn gjennom, produktene. Formålet er å levere produktene til deg. Behandlingens art, kategoriene av registrerte og typene opplysninger for hvert produkt står i vedlegg 1. Behandlingen varer så lenge du bruker produktet, og til opplysningene er slettet etter punkt 11.
3. Instrukser
Vi behandler opplysningene bare etter dokumenterte instrukser fra deg. Avtalen, vilkårene og de valgene du gjør i produktet utgjør de fullstendige instruksene. Dette gjelder også overføring til land utenfor EØS, jf. punkt 7.
Vi kan behandle opplysningene uten instruks bare når det følger av lov som gjelder for oss. Da varsler vi deg før behandlingen, med mindre loven forbyr det.
Mener vi at en instruks er i strid med personvernregelverket, sier vi straks fra til deg.
4. Taushetsplikt
Alle som har tilgang til opplysningene på våre vegne, har taushetsplikt, enten etter avtale eller etter lov. Tilgang gis bare til dem som trenger den for å levere produktene.
5. Sikkerhet
Vi gjennomfører tekniske og organisatoriske tiltak som sikrer et sikkerhetsnivå som er egnet med tanke på risikoen, jf. GDPR artikkel 32. Tiltakene står i vedlegg 2 og oppdateres når risikoen eller teknologien endrer seg.
6. Underdatabehandlere
Du gir oss generell tillatelse til å bruke underdatabehandlerne som står i personvernerklæringen punkt 7. Vi varsler deg minst 30 dager før vi tar i bruk en ny underdatabehandler eller bytter ut en eksisterende. Du kan protestere innen fristen. Kan vi ikke imøtekomme protesten, kan du si opp avtalen om det aktuelle produktet med virkning fra endringen og få refundert ubrukt del av forskuddsbetalt periode.
Vi pålegger hver underdatabehandler de samme personvernforpliktelsene som følger av denne avtalen. Vi er fullt ansvarlige overfor deg for at underdatabehandlerne oppfyller sine forpliktelser, jf. GDPR artikkel 28 nr. 4.
7. Overføring utenfor EØS
Opplysningene kan overføres til land utenfor EØS bare dersom det finnes et gyldig overføringsgrunnlag etter GDPR kapittel V, som en beslutning om tilstrekkelig beskyttelsesnivå, herunder EU-US Data Privacy Framework, eller EU-kommisjonens standard personvernbestemmelser med supplerende tiltak der det er nødvendig. Du gir med denne avtalen instruks om slik overføring til underdatabehandlerne i punkt 6.
8. Bistand
Vi bistår deg, så langt det er mulig og tatt i betraktning behandlingens art, med å
- besvare forespørsler fra registrerte som vil utøve sine rettigheter etter GDPR kapittel III, blant annet ved at du kan hente ut, rette og slette opplysninger i produktet
- oppfylle pliktene dine etter GDPR artikkel 32 til 36, herunder om sikkerhet, varsling av brudd, vurdering av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet
Retter en registrert en forespørsel direkte til oss om opplysninger du er behandlingsansvarlig for, videresender vi den til deg uten ugrunnet opphold og besvarer den ikke selv uten instruks.
9. Brudd på personopplysningssikkerheten
Vi varsler deg uten ugrunnet opphold, og senest 48 timer etter at vi ble kjent med et brudd på personopplysningssikkerheten som gjelder opplysninger du er behandlingsansvarlig for. Varselet skal så langt det er mulig beskrive bruddet, hvilke opplysninger og registrerte som er berørt, sannsynlige konsekvenser og tiltakene vi har satt i verk. Opplysninger vi ikke har ved første varsel, gir vi fortløpende.
10. Dokumentasjon og revisjon
Vi gir deg all informasjon som er nødvendig for å påvise at forpliktelsene i denne avtalen er oppfylt. Du kan selv, eller ved en uavhengig revisor med taushetsplikt, gjennomføre revisjon og inspeksjon. Revisjon varsles minst 30 dager i forveien, gjennomføres slik at den ikke forstyrrer driften unødig, og kan normalt kreves én gang per år, i tillegg til etter et brudd på personopplysningssikkerheten. Hver part bærer egne kostnader.
11. Varighet, sletting og tilbakelevering
Avtalen gjelder så lenge vi behandler personopplysninger på dine vegne. Når avtalen om produktet opphører, kan du hente ut opplysningene i produktet. Deretter sletter vi opplysningene, også hos underdatabehandlerne, senest innen 90 dager, og fra sikkerhetskopier når kopiene roteres. Vi beholder bare opplysninger vi har plikt til å lagre etter lov. På forespørsel bekrefter vi skriftlig at slettingen er gjennomført.
12. Ansvar og motstrid
Ansvar mellom partene følger av GDPR artikkel 82 og vilkårene punkt 11. Ansvarsbegrensningen i vilkårene gjelder ikke for vårt ansvar for underdatabehandlere etter punkt 6.
Ved motstrid går denne avtalen foran vilkårene når det gjelder behandling av personopplysninger.
Vedlegg 1: Beskrivelse av behandlingen
| Produkt | Registrerte | Typer opplysninger | Behandling |
|---|---|---|---|
| Assistent | Personer du kommuniserer med eller har avtaler med | Navn, kontaktopplysninger, innhold i e-post, kalenderhendelser og dokumenter du gir tilgang til | Lesing, sammenstilling og utarbeidelse av utkast etter dine instrukser, utsendelse etter din godkjenning |
| Kapital | Investorer, styremedlemmer, ledere, eiere og kontaktpersoner | Navn, kontaktopplysninger, roller, eierandeler, tegnings- og interesseopplysninger og opplysninger i opplastet materiell | Lagring, sammenstilling, publisering på sider du godkjenner og deling med personer du gir tilgang |
| Builder | Personer som omtales på nettsidene, og besøkende som sender inn skjema | Navn, bilder, roller, kontaktopplysninger og innsendte meldinger | Lagring, generering av innhold og publisering etter din godkjenning |
| Utleiemalen | Personer som nevnes i dokumenter du laster opp, for eksempel selgere og meglere | Navn, adresse og andre opplysninger i salgsoppgave, tilstandsrapport og lignende dokumenter | Lagring, tekstuttrekk og analyse |
| Arkiva | Leietakere, leverandører og andre som fremgår av bilag | Navn, adresse, beløp, datoer, fakturaopplysninger og kontonummer slik de står på bilagene | Lagring, tekstuttrekk, kategorisering etter din bekreftelse og eksport |
Vi ber deg om ikke å legge inn særlige kategorier av personopplysninger eller fødselsnummer med mindre det er nødvendig for oppgaven.
Vedlegg 2: Sikkerhetstiltak
- Kryptert overføring (TLS) mellom brukere, produktene og leverandørene
- Kryptering av lagrede data hos lagringsleverandørene
- Tilgangsstyring basert på roller, slik at hver bruker bare får tilgang til egne data og data som er delt med vedkommende
- Personlig og begrenset administrativ tilgang med totrinnsinnlogging
- Adskilte kodebaser og miljøer for produktene
- Logging av sikkerhetsrelevante hendelser
- Sikkerhetskopiering og rutiner for gjenoppretting
- Rutiner for å håndtere og varsle brudd på personopplysningssikkerheten