Databehandleravtale

Denne avtalen inngås mellom kundebedriften («behandlingsansvarlig») og Flexibemanning AS, org.nr. 931 015 737, Årvollskogen 103, 1529 Moss («databehandler»). Den regulerer databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige i tjenesten Flexikompetanse, og skal oppfylle kravene i personvernforordningen artikkel 28. Avtalen hører sammen med vilkårene, og går foran dem i spørsmål om personopplysninger. Se også personvernerklæringen.

1. Formål og omfang

Databehandleren behandler personopplysninger bare for å levere tjenesten, etter dokumentert instruks fra den behandlingsansvarlige. Avtalen og den behandlingsansvarliges bruk av tjenesten utgjør instruksen. Hvilke opplysninger, registrerte og formål det gjelder, står i vedlegg A.

2. Den behandlingsansvarliges plikter

• Ha rettslig grunnlag for behandlingen og gi de ansatte informasjon om den.
• Bestemme hvem som skal ha tilgang i tjenesten, og holde brukere og roller oppdatert.
• Bestemme sletterutiner for sykefravær og sluttede ansatte i tjenesten.
• Være ansvarlig for alt som skrives i fritekstfelt og lastes opp. Tjenesten har ikke felt for diagnoser, og helseopplysninger utover fraværstypen, opplysninger om straffbare forhold og fødselsnummer skal ikke legges inn.
• Svare på henvendelser fra de registrerte. Databehandleren hjelper til, se punkt 5.

3. Databehandlerens plikter

• Behandle opplysninger bare etter instruks. Mener databehandleren at en instruks er i strid med personvernregelverket, skal den behandlingsansvarlige varsles straks.
• Sikre at alle som har tilgang til opplysningene, har taushetsplikt, og at tilgang bare gis til dem som trenger den. Tilgangene gjennomgås minst én gang i året.
• Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak etter artikkel 32, se vedlegg C.
• Ikke bruke opplysningene til egne formål.

4. Underleverandører

Den behandlingsansvarlige gir generelt samtykke til at databehandleren bruker underleverandører. Gjeldende underleverandører står i vedlegg B. Databehandleren varsler den behandlingsansvarlige minst 30 dager før en ny underleverandør tas i bruk eller en eksisterende byttes ut. (Forslag, må bekreftes.) Den behandlingsansvarlige kan protestere innen fristen. Fører protesten ikke frem, kan den behandlingsansvarlige si opp avtalen før endringen gjelder.

Underleverandører pålegges de samme pliktene som i denne avtalen. Databehandleren er fullt ansvarlig overfor den behandlingsansvarlige for at underleverandørene oppfyller dem. Databehandleren gir på forespørsel en kopi av de relevante delene av avtalen med en underleverandør.

5. Bistand

Databehandleren hjelper den behandlingsansvarlige, så langt det er mulig, med å oppfylle de registrertes rettigheter til innsyn, retting, sletting, begrensning, dataportabilitet og protest. Mye av dette kan den behandlingsansvarlige gjøre selv i tjenesten, blant annet rette og slette ansattopplysninger og laste ned alle data. Databehandleren hjelper også med sikkerhet, melding om brudd, personvernkonsekvensvurderinger og forhåndsdrøftinger med Datatilsynet. Bistand som går ut over det tjenesten selv gjør mulig, kan faktureres etter avtale. (Forslag, må bekreftes.)

6. Overføring til tredjeland

Personopplysninger overføres bare ut av EU/EØS når det er gyldig overføringsgrunnlag etter personvernforordningen kapittel V. Hvor opplysningene behandles, står i vedlegg C.

7. Brudd på personopplysningssikkerheten

Databehandleren varsler den behandlingsansvarlige uten ugrunnet opphold, og senest innen 24 timer (Forslag, må bekreftes.), etter å ha oppdaget et brudd. Det gjør det mulig for den behandlingsansvarlige å melde bruddet til Datatilsynet innen 72 timer. Varselet sendes til kundens administrator og kontaktperson, og inneholder så langt det er kjent: hva som har skjedd, hvilke typer opplysninger og omtrent hvor mange registrerte som er berørt, sannsynlige følger, og hvilke tiltak som er satt i verk eller foreslås. Opplysninger som ikke er kjent ennå, ettersendes.

8. Sletting og tilbakelevering

Den behandlingsansvarlige kan når som helst laste ned alle bedriftens data i tjenesten, også etter at abonnementet har gått ut. Nedlastingen er en ZIP-fil med dataene i JSON-format og de opplastede filene.

Ved opphør sletter databehandleren alle personopplysninger når den behandlingsansvarlige ber om det, og senest 90 dager etter at avtalen er avsluttet (Forslag, må bekreftes.), med mindre lov krever lengre oppbevaring. Databehandleren bekrefter slettingen skriftlig. Sikkerhetskopier slettes som beskrevet i vedlegg C.

9. Revisjon og tilsyn

Databehandleren gjør tilgjengelig den informasjonen som trengs for å vise at pliktene i avtalen overholdes. Den behandlingsansvarlige, eller en uavhengig revisor den utpeker, kan gjennomføre revisjon, også inspeksjon. Revisjon varsles minst 30 dager i forveien, gjennomføres i vanlig arbeidstid og slik at den ikke forstyrrer driften unødig, og revisoren skal ha taushetsplikt. Hver part dekker egne kostnader. (Forslag, må bekreftes.) Datatilsynet og andre tilsynsmyndigheter får den tilgangen de har krav på etter loven.

10. Ansvar

Partenes ansvar for erstatning følger personvernforordningen artikkel 82 og ansvarsbegrensningen i vilkårene, så langt den kan gjelde. (Forslag, må bekreftes.)

11. Varighet og kontakt

Avtalen gjelder fra kunden tar tjenesten i bruk, og så lenge databehandleren behandler personopplysninger på vegne av den behandlingsansvarlige. Den kan ikke sies opp for seg selv mens kundeforholdet varer. Endres regelverket slik at avtalen må endres, skal partene forhandle om det i god tro.

Kontaktpunkt hos databehandleren er kontakt@flexikompetanse.no og +47 402 80 400. Kontaktpunkt hos den behandlingsansvarlige er kundens administrator i tjenesten og kontaktpersonen som er oppgitt i avtalen.

Vedlegg A. Behandlingen

Registrerte: den behandlingsansvarliges ansatte, innleide og tidligere ansatte, deres pårørende som legges inn, brukere av tjenesten, og andre som nevnes i innhold kunden legger inn, for eksempel deltakere i vernerunder eller personer i avviksmeldinger.

Typer opplysninger:

• Ansattkort: navn, e-post, telefon, stilling, avdeling, ansettelsesform og stillingsprosent, ansattnummer, lønnsform (fast eller time), fødselsdato, start- og sluttdato.
• Pårørende: navn, relasjon, telefon og fødselsdato.
• Fravær og ferie: type fravær (blant annet egenmelding, sykmelding og sykt barn), datoer og saksgang. Sykefravær er helseopplysninger etter artikkel 9.
• Timer: registrerte timer per dag og prosjekt.
• Kurs: påmelding, fremdrift, prøveresultater og kursbevis.
• HMS: avviksmeldinger, risikoanalyser og sikker jobbanalyse med signaturer, vernerunder, AMU-referater og lesebekreftelser av rutiner.
• Utstyr som er utlevert til den ansatte.
• Dokumenter og bilder som lastes opp, og fritekst.
• Brukerkonto, tilgangslogg med IP-adresse og varsler.

Formål: levere tjenesten slik at den behandlingsansvarlige kan drive personaladministrasjon, føre fravær, ferie og timer, følge opp opplæring, og drive systematisk HMS-arbeid og internkontroll.

Behandlingen består av: lagring, visning, endring, varsling, eksport, sikkerhetskopiering og sletting.

Varighet: så lenge avtalen gjelder, og frem til opplysningene er slettet etter punkt 8.

Vedlegg B. Underleverandører

• Hostinger (drift): server og database der tjenesten, alle data og opplastede filer ligger. Serveren står i Litauen, og Hostingers egne sikkerhetskopier lagres i Frankrike.
• Hostinger (e-post): sender invitasjoner, lenker for nytt passord og varsler på e-post. Dette er forutsatt oppsett, og det bekreftes når tjenesten legges ut. (Forslag, må bekreftes.)
• Bunny.net (Bunny Stream): lagrer og viser kursvideoer. Mottar videofilene og tekniske opplysninger fra den som ser på, som IP-adresse. (Forslag, må bekreftes.)
• Google (Firebase Cloud Messaging): leverer varsler til telefon når tjenestens app brukes. Mottar enhetens varslingsnøkkel og varselets tittel og tekst. Tas bare i bruk når appen lanseres. (Forslag, må bekreftes.)

Juridisk navn, organisasjonsnummer og adresse for hver underleverandør legges inn før avtalen tas i bruk.

Vedlegg C. Sikkerhet og behandlingssted

Sikkerhetstiltak:

• Tilgangsstyring per rolle. Hver bedrift ser bare sine egne data.
• Tofaktorpålogging for administratorer.
• Passord lagres bare som en enveis hash (scrypt). Økter holdes i en kapsel som ikke kan leses av skript, og varer i høyst 14 dager.
• Tofaktornøklene er kryptert med AES-256-GCM. Øvrige opplysninger i databasen er ikke kryptert felt for felt.
• Kryptert overføring (HTTPS).
• Tilgangslogg over innlogginger og viktige handlinger, og begrensning av gjentatte innloggingsforsøk.
• Kryptert sikkerhetskopi (AES-256-GCM) av databasen hver sjette time og ved oppstart. Krypteringsnøkkelen oppbevares adskilt fra sikkerhetskopiene.
• Automatisk sletting etter frister: tilgangslogg etter 12 måneder, feillogg etter 90 dager, mislykkede innloggingsforsøk etter 30 dager, og sykefravær og sluttede ansatte etter frister den behandlingsansvarlige setter.

Sikkerhetskopier: det finnes to slags. Portalen lager selv krypterte kopier av databasen, og de ligger på samme server som databasen, i Litauen. Kopien tas hver sjette time. Alle kopier fra de siste 48 timene beholdes, og deretter én kopi per døgn i 14 døgn. Eldre kopier slettes automatisk. Slettede opplysninger er dermed normalt ute av disse kopiene etter omtrent 16 døgn. I tillegg tar Hostinger egne sikkerhetskopier av serveren, og de lagres i Frankrike. Hvor lenge Hostinger beholder dem, følger Hostingers egne rutiner. (Forslag, må bekreftes.)

Behandlingssted: tjenesten driftes hos Hostinger med server i Litauen. Hostingers sikkerhetskopier lagres i Frankrike. Begge land er i EU/EØS. Dette gjelder server, database og Hostingers kopier. For Bunny.net og Google Firebase gjelder punkt 6 om overføringsgrunnlag. Kursvideoer lagres hos Bunny.net. (Forslag, må bekreftes.) Databehandlerens egne ansatte arbeider fra Norge. (Forslag, må bekreftes.)

Denne nettsiden gjengir standardteksten. Den bindende avtalen inngås skriftlig mellom partene.