Vedlegg Databehandleravtale

Databehandleravtale

mellom

Den som er registrert som Bruker av GastroPlanner

og Gastro Planner AS

(Databehandler)

i fellesskap ”Partene”

1. Avtalens bakgrunn og hensikt

1.1 Partene har inngått en sluttbrukeravtale («Sluttbrukeravtalen») som gir Behandlingsansvarlig en bruksrett til tjenester levert av Databehandler gjennom nettsiden gastroplanner.no Denne avtalen er et vedlegg til Sluttbrukeravtalen, og skal anses inngått på samme tidspunkt som Sluttbrukeravtalen trer i kraft.

1.2 Som ledd i oppfyllelsen av pliktene etter Sluttbrukeravtalen, skal Databehandler behandle personopplysninger på vegne av Behandlingsansvarlig. Avtalens hensikt er derfor å regulere Partenes rettigheter og plikter etter den til enhver tid gjeldende personopplysningslov, herunder rammene for Databehandlers behandling av personopplysninger. Avtalen skal sikre at databehandlingen er i samsvar med gjeldende personopplysningslov og at personopplysninger om de registrerte ikke brukes urettmessig eller kommer uberettigede i hende.

1.3 Ved å godta Sluttbrukeravtalen, herunder denne avtalen, bekrefter Partene at Databehandler har avgitt tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at databehandlingen oppfyller kravene i den til enhver tid gjeldende personvernlovgivning, herunder vern av de registrertes rettigheter.

2. Formålet med databehandlingen

2.1 Databehandler skal i henhold til Sluttbrukeravtalen tilby et nettbasert restaurant manage system gjennom gastroplanner.no som tilrettelegger for Behandlingsansvarliges administrasjon av gjester og ansatte. Databehandler vil også yte supporttjenester til Behandlingsansvarlig (samlet benevnt «Tjenestene»).

2.2 Databehandlers Tjenester gjør det mulig for Behandlingsansvarlig å blant annet holde orden på sine gjester og ansatte, samt ha oversikt over rutiner rundt gjester, ansatte, varehåndtering og matsikkerhet.

2.3 Behandlingsansvarlig vil i forbindelse med bruk av Tjenestene registrere personopplysninger i egen konto i Databehandlers nettløsning. For at Databehandler skal kunne levere Tjenestene til Behandlingsansvarlig og oppfylle sine forpliktelser etter Sluttbrukeravtalen, vil Databehandler få tilgang til og behandle personopplysninger lagret i Behandlingsansvarliges personlige konto, på vegne av Behandlingsansvarlig. Databehandler vil videre behandle personopplysninger lagret i nettjenesten gastroplanner.no, for å administrere kundeforholdet med Behandlingsansvarlig og sikre optimal drift av Tjenestene, herunder forbedre, effektivisere og vedlikeholde Tjenestene levert i henhold til Sluttbrukeravtalen.

2.4 Dersom Behandlingsansvarlig har inngått avtale om tilleggstjenester, vil Databehandler også behandle personopplysninger mottatt fra samarbeidspartnere for å sikre at Tjenestene fungerer sammen med valgt(e) tilleggstjeneste(r).

2.5 Databehandler vil bruke anonymiserte personopplysninger til å generere statistikk og for å utvikle nye tjenester og produkter.

2.6 Med behandling menes enhver operasjon foretatt av Databehandler, enten automatisert eller ikke, for eksempel innsamling, registrering, organisering, strukturering, lagring, tilpasning, endring, bruk, utlevering, overføring, sammenstilling og sletting.

2.7 Databehandler vil behandle alle opplysninger om Behandlingsansvarliges gjester og ansatte. De registrerte kan være for eksempel Behandlingsansvarliges kunder, medlemmer, kurs- eller arrangement, ansatte eller lignende. De registrerte kan også være mindreårige. Alle de registrerte vil ha en form for avtaleforhold med Behandlingsansvarlig.

2.8 Databehandler vil behandle opplysninger som navn, telefonnummer , e-postadresse, adresse, IP-adresse, historikk, kontonummer og annen informasjon den Behandlingsansvarlige finner nødvendig å registrere i nettløsningen for å gjennomføre korrekt oppfølging av gjester og ansatte.

2.9 Eksempler på historikk er informasjon om aktiviteten til gjester og ansatte, bookinger, innbetalinger, inn og ut stempling, lønn, produkter og tjenester, beløp, dato, kontonummer og andre opplysninger som normalt fremgår av driften til Behandlingsansvarlig.

3. Behandlingsansvarliges plikter

3.1 Behandlingsansvarlig er ansvarlig for hvilken informasjon som legges inn og registreres i nettløsningen, herunder Behandlingsansvarliges personlige profil og at denne informasjonen er adekvat, relevant og begrenset til det som er nødvendig for at Behandlingsansvarlig skal kunne oppnå formålet med bruk av Tjenestene.

3.2 Behandlingsansvarlig garanterer for at alle personopplysninger som lagres, registreres og ellers behandles i nettløsningen til Databehandler har rettslig grunnlag, herunder at det foreligger særskilt rettslig grunnlag ved behandling av sensitive personopplysninger. Med sensitive personopplysninger menes informasjon om rasemessig eller etnisk opprinnelse, politisk oppfatning (for eksempel deltakelse i politiske organisasjoner eller partier), religion, overbevisning eller fagforeningsmedlemskap, helseopplysninger (som for eksempel allergier) eller seksuelle forhold eller legning.

3.3 Dersom Behandlingsansvarlig oppretter egendefinerte felt på gjester eller ansatte er Behandlingsansvarlig forpliktet til å utvise særlig varsomhet da egendefinerte felt gir Behandlingsansvarliges gjester og ansatte mulighet til å legge inn informasjon som Behandlingsansvarlig ikke har full kontroll over. Behandlingsansvarlig bærer den fulle risikoen for at personopplysninger registrert i Behandlingsansvarliges egendefinerte felt har rettslig grunnlag og ellers er adekvat, relevant og begrenset til det som er nødvendig for at Behandlingsansvarlig skal kunne oppnå formålet med sin behandling.

3.4 For behandling av personopplysninger om mindreårige, det vil si personer under 16 år, er Behandlingsansvarlig ansvarlig for å innhente gyldig samtykke fra den som har foreldreansvaret for barnet.

3.5 Behandlingsansvarlig har ansvar for at behandling av personopplysninger i forbindelse med bruk av Tjenestene skjer i samsvar med den til enhver tid gjeldende personopplysningslov, herunder at de grunnleggende prinsipper for behandling av personopplysninger overholdes. Dette innebærer at Behandlingsansvarlig blant annet er forpliktet til å oppfylle personopplysningslovens krav til å informere de registrerte, det vil si de fysiske personene opplysningene kan knyttes til, om databehandlingen og de registrertes rettigheter.

3.6 Brukeren er ansvarlig for å svare på anmodninger som Brukerens kunder inngir med hensyn til å utøve sine rettigheter etter den til enhver til gjeldende personvernlovgivning.

3.7 Behandlingsansvarlig har før inngåelsen av Sluttbrukeravtalen foretatt en vurdering av risikoen knyttet til bruken av Tjenestene og Databehandler, og funnet dette forsvarlig og i samsvar med personvernlovgivningen.

4. Databehandlers plikter

4.1 Databehandler har ikke råderett over personopplysningene som behandles i henhold til denne avtalen og kan ikke behandle disse til egne formål. Databehandler kan bare behandle personopplysninger for å levere de Tjenester som Behandlingsansvarlig bestiller i samsvar med Sluttbrukeravtalen, og bare på dokumenterte instrukser fra Behandlingsansvarlig, herunder med hensyn til overføring av personopplysninger til land utenfor EU/EØS. Unntak gjelder dersom annet er påkrevd etter lov . Databehandler skal i så fall opplyse Behandlingsansvarlig om den rettslige forpliktelsen før behandlingen starter ved å sende en e-post til Behandlingsansvarliges registrerte e-postadresse. Databehandler skal i alle tilfeller behandle personopplysninger i samsvar med den til enhver tid gjeldende personopplysningslov.

4.2 Databehandler plikter å gi Behandlingsansvarlig tilgang til sin sikkerhetsdokumentasjon på skriftlig forespørsel, samt ellers bistå slik at Behandlingsansvarlig kan ivareta sitt eget ansvar etter personvernlovgivningen. Dette innebærer, men er ikke begrenset til, å gi Behandlingsansvarlig tilgang til all nødvendig informasjon om databehandlingen og innsyn i personopplysningene som behandles av Databehandler og systemene som benyttes til dette formålet.

4.3 Databehandler plikter etter skriftlig forespørsel fra Behandlingsansvarlig å bistå Behandlingsansvarlig i å ivareta sitt ansvar for vurdering av personvernkonsekvenser og forhåndsdrøfting med Datatilsynet i den grad dette er påkrevd etter personvernlovgivningen. Bistanden kan for eksempel gå ut på å utlevere kopi av sikkerhetsdokumentasjonen til Databehandler. De overordnede sikkerhetsprinsipper er også tilgjengelig på gastroplanner.no/sikkerhet.

4.4 Databehandler skal ved hjelp av organisatoriske og tekniske tiltak, bistå Behandlingsansvarlig med å oppfylle sin plikt til å svare på anmodninger som den registrerte inngir med hensyn til å utøve sine rettigheter etter den til enhver tid gjeldende personvernlovgivning. Eksempler på bistand Databehandler plikter å yte er utlevering av sikkerhetsdokumentasjon og tilrettelegge for sletting av data.

4.5 Dersom de registrerte gjør sine rettigheter gjeldende ved å ta direkte kontakt med Databehandler , skal Databehandler umiddelbart informere Behandlingsansvarlig om forholdet og deretter i den grad det er pålagt i gjeldende personvernlovgivning bistå Behandlingsansvarlig i den videre håndteringen av henvendelsen. Dersom Databehandler ikke får tak i Behandlingsansvarlig, skal Databehandler gi den registrerte beskjed om dette uten å oppfylle den registrertes anmodning. På denne måten vil Behandlingsansvarlig være sikker på at Databehandler for eksempel ikke sletter personopplysninger som Behandlingsansvarlig er lovpålagt å beholde. Behandlingsansvarlig bærer all risiko knyttet til manglende oppfyllelse av de registrertes anmodninger.

4.6 Kostnader Databehandler pådrar seg i forbindelse med å bistå Behandlingsansvarlig med å oppfylle sin plikt til å svare på anmodninger som den registrerte inngir med hensyn til å utøve sine rettigheter, kan Databehandler fakturere Behandlingsansvarlig for.

4.7 Dersom Behandlingsansvarlig trenger bistand fra Databehandler i forbindelse med oppfyllelse av egne plikter etter personopplysningsloven og i henhold til punkt 4.2 til 4.5, skal Behandlingsansvarlig sende en skriftlig forespørsel til Databehandler på support@gastroplanner.no med en beskrivelse av hva forespørselen gjelder.

4.8 Databehandlers plikt til å bistå Behandlingsansvarlig slik at Behandlingsansvarlig kan ivareta sitt eget ansvar etter personvernlovgivningen innebærer, for ordens skyld, ingen plikt for Databehandler til å gi Behandlingsansvarlig opplæring i dennes plikter etter personvernlovgivningen.

4.9 Databehandler har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til i henhold til denne avtalen. Dette gjelder også etter avtalens opphør. Tilgangen til personopplysningene skal begrenses til de av Databehandlers ansatte som har behov for tilgang til opplysningene for å utføre sine arbeidsoppgaver og gjennomføringen av Databehandlers forpliktelser etter Sluttbrukeravtalen og denne avtalen. Databehandler skal sikre at personer som er autoriserte til å behandle personopplysninger har forpliktet seg til å behandle opplysningene fortrolig eller er underlagt en egnet lovfestet taushetsplikt.

5. Utlevering av personopplysninger til tredjeparter

5.1 Behandlingsansvarlig kan bestille tilleggstjenester fra andre leverandører som innebærer at Databehandler må utlevere personopplysninger til disse tredjepartene. Ved bestilling av tilleggstjenester må Behandlingsansvarlig akseptere den aktuelle leverandørens vilkår, og det opprettes en separat avtale mellom Behandlingsansvarlig og den eksterne leverandøren som er uavhengig av Sluttbrukeravtalen.

5.2 Databehandler vil kun utlevere personopplysninger til eksterne leverandører dersom dette er nødvendig for at den aktuelle leverandøren skal kunne levere tilleggstjenesten den Behandlingsansvarlige har bestilt gjennom gastroplanner.no. Ved utlevering i henhold til dette punkt 5 handler Databehandler etter instruks og på vegne av Behandlingsansvarlig. Behandlingsansvarlig er ansvarlig for at bruken av den aktuelle eksterne leverandører i samsvar med personopplysningsloven.

5.3 En oversikt over eksterne leverandører som tilbyr tilleggstjenester er tilgjengelig på gastroplanner.no/partnere.

6. Bruk av underleverandør

6.1 Databehandler har rett til å benytte underleverandører til behandlingen så langt det er nødvendig for at Databehandler skal kunne utføre sine forpliktelser etter Sluttbrukeravtalen. Dette vil for eksempel være tredjeparter som leverer tjenester innen drift, vedlikehold, servere for lagring eller andre tekniske løsninger til gastroplanner.no.

6.2 Databehandleren underretter den Behandlingsansvarlige om endringer i benyttede underleverandører ved å publisere informasjon om endringene på den Behandlingsansvarliges personlige konto på my.gastroplanner.no/. Varsel om endring av underleverandører gis i rimelig tid før underleverandøren tas i bruk for å gi den Behandlingsansvarlige mulighet til å heve Sluttbrukeravtalen om ønskelig før underleverandøren benyttes.

6.3 Databehandler er ansvarlig for at bruken av underleverandører skjer i samsvar med lov og evt. forskrift, herunder at det er inngått tilfredsstillende databehandleravtale. Databehandler skal sikre at underleverandørene er kjent med Databehandlers avtalemessige og lovmessige forpliktelser, og underleverandørene skal være forpliktet til å oppfylle vilkårene etter disse på samme måte som databehandler.

6.4 Dersom Databehandler benytter seg av underleverandører som medfører en overføring av personopplysninger til et land utenfor EU/EØS, plikter Databehandler å sørge for at overføringen har et lovlig overføringsgrunnlag og ellers er i samsvar med den til enhver tid gjeldende personvernlovgivning. Ved overføring til USA vil Databehandler søke å benytte underleverandører som er tilsluttet Privacy Shield.

6.5 Databehandler plikter å gi Behandlingsansvarlig en kopi av databehandleravtalen mellom Databehandler og underleverandør på skriftlig forespørsel.

6.6 En oversikt over de til enhver tid benyttede underleverandører er tilgjengelig på nettsiden gastroplanner.no

7. Sikkerhet og avvikshåndtering

7.1 Databehandler skal oppfylle de krav til sikkerhetstiltak som stilles i den til enhver tid gjeldende personopplysningslov. Dette innebærer blant annet at det skal treffes tekniske og organisatoriske tiltak for å sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger.

7.2 Databehandler skal dokumentere rutiner og andre tiltak for å oppfylle kravene til informasjonssikkerhet. Dette innebærer blant annet at Databehandler på eget initiativ skal gjennomføre dokumenterte internkontroller. Dokumentasjonen skal også være tilgjengelig på Behandlingsansvarliges skriftlige forespørsel. Databehandlers overordnede prinsipper for informasjonssikkerhet er tilgjengelig på gastroplanner.no

7.3 Databehandler plikter å underrette Behandlingsansvarlig skriftlig om brudd på personopplysningssikkerheten uten ugrunnet opphold etter å ha fått kunnskap om bruddet. Melding om brudd skal sendes til Behandlingsansvarliges registrerte e-postadresse.

7.4 Behandlingsansvarlig er ansvarlig for å sende avviksmelding til Datatilsynet. Databehandler plikter å bistå Behandlingsansvarlig med informasjon for å sikre at kravene til varsling til Datatilsynet og de berørte registrerte blir møtt.

7.5 Dersom Databehandler får kunnskap om et brudd på personopplysningssikkerheten som ikke bare påvirker Behandlingsansvarlig, men flere av Databehandlers brukere, kan Databehandler sende inn en egen avviksmelding til Datatilsynet på vegne av Databehandlers brukere, herunder Behandlingsansvarlig. Databehandler vil i så fall gi Behandlingsansvarlig beskjed om dette samtidig som melding om brudd sendes i henhold til punkt 7.3, slik at Behandlingsansvarlig kan inngi innsigelse mot at meldingen sendes på Behandlingsansvarliges vegne.

8. Sikkerhetsrevisjoner

8.1 Databehandler skal legge til rette for at sikkerhetsrevisjoner kan gjennomføres, ved å gjøre nødvendig dokumentasjon og fysiske lokaler tilgjengelig for Behandlingsansvarlig for inspeksjon.

8.2 Behandlingsansvarlig skal benytte ekstern revisor for gjennomføring av sikkerhetsrevisjon i henhold til punkt 8.1. Kostnadene dekkes av Behandlingsansvarlig.

8.3 Databehandler kan, men er ikke forpliktet til, å benytte seg av eksterne partnere som gjennomfører sikkerhetstester av systemet og Tjenestene.

9. Lagring

9.1 Lagring av personopplysninger skjer i samsvar med Sluttbrukeravtalens punkt 8.

10. Avtalens varighet

10.1 Denne avtalen gjelder så lenge Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig etter Sluttbrukeravtalen.

11. Ved opphør

11.1 Ved opphør av avtalen sletter Databehandler alle registrerte opplysninger som er mottatt på vegne av Behandlingsansvarlig og som omfattes av denne avtalen, med mindre det kreves i lov at opplysningene lagres.

11.2 Før registrerte opplysninger slettes skal Behandlingsansvarlig varsles. Varsling vil bli sendt til Behandlingsansvarlig i henhold til punkt 12.1. Behandlingsansvarlig sin rett til å laste ned kopi av opplysningene før Databehandler gjennomfører sletting følger av Sluttbrukeravtalen. Kostnader knyttet til eventuell tilbakelevering dekkes av Behandlingsansvarlig.

11.3 Sletting av registrerte personopplysninger lagret i Databehandlers backup-løsning skjer innen tre måneder etter sletting av de registrerte personopplysningene. Bakgrunnen for dette er å sikre at det er mulig å gjenopprette data ved en hendelse som ødelegger den primære backup-løsningen. Sikring skjer ved å ta øyeblikksbilder av databasen. En eventuell gjenopprettelse gjøres basert på øyeblikksbildene. Forsøk på å fjerne data fra øyeblikksbilder medfører en stor risiko for at det blir umulig å benytte disse til å gjenopprette databasen. Derfor vil det ikke fjernes data fra øyeblikksbildene. Øyeblikksbildene lagres i tre måneder for å sikre muligheten til å gjenopprette data fra øyeblikksbildene i tilfeller der det tar tid å oppdage den underliggende feilen. Dersom data som er slettet fra den primære lagringsløsningen gjenopprettes ved bruk av øyeblikksbilder, slettes denne dataen så snart gjenopprettelsen er fullført.

11.4 Databehandler skal skriftlig bekrefte at sletting og eller destruksjon er foretatt i henhold til avtalen innen rimelig tid etter avtalens opphør, og senest innen 4 måneder etter avtalens opphør. Dokumentasjonen utleveres til Behandlingsansvarlig på forespørsel.

12. Meddelelser

12.1 Alle meddelelser og/eller varsler fra Databehandler vil bli sendt til Behandlingsansvarliges registrerte kontaktpersons e-postadresse under firmainnstillinger i GastroPlanner.

12.2 Alle meddelelser og/eller instrukser relatert til behandling av personopplysninger fra Behandlingsansvarlig til Databehandler skal bli sendt til support@gastroplanner.no

12.3 Databehandleren skal omgående underrette den Behandlingsansvarlige dersom Databehandleren mener at en instruks er i strid med lov.

13. Lovvalg og verneting

13.1 Avtalen er underlagt norsk rett og Partene vedtar Bergen tingrett som verneting. Dette gjelder også etter opphør av avtalen.