Databehandleravtale - Mynder
Mynders databehandleravtale regulerer behandling av personopplysninger på vegne av våre kunder gjennom Mynder-plattformen.
Mynder AS og sluttkunde
Denne avtalen bygger på strukturen i Datatilsynets standardmal for databehandleravtaler (GDPR artikkel 28). Fordi både denne avtalen og databehandleravtalen for partnere følger samme myndighetsmal, har dokumentene lik oppbygning og mange sammenfallende bestemmelser. Det er tilsiktet, og sikrer at begge partsforhold oppfyller de samme lovkravene på samme måte.
Denne databehandleravtalen regulerer hvordan Mynder AS behandler personopplysninger på vegne av virksomheten som bruker Mynder-plattformen («kunden»).
Kunden er behandlingsansvarlig. Vi i Mynder AS er databehandler. Vi har inngått avtalen i samsvar med personvernforordningen (GDPR) artikkel 28 nr. 3, og den er en del av avtalegrunnlaget for bruk av Mynder-plattformen.
Avtalen fastsetter rammene for vår behandling av personopplysninger: kundens instrukser, sikkerhetstiltak, bruk av underdatabehandlere, bistand til kunden og håndtering av personopplysninger når kundeforholdet avsluttes.
Databehandler: Mynder AS, org.nr. 831 377 372, Edvard Griegs vei 3C, 5059 Bergen.
Vi omtaler virksomheten som bruker Mynder-plattformen som «kunden» eller «behandlingsansvarlig», og oss selv som «Mynder» eller «databehandleren».
1. Hvem avtalen gjelder for
Avtalen gjelder mellom Mynder AS og virksomheten som bruker Mynder-plattformen («Tjenesten»).
Kunden er behandlingsansvarlig for personopplysningene som Tjenesten behandler. Vi behandler disse opplysningene på kundens vegne og er databehandler.
Dette gjelder enten kunden kjøper Tjenesten direkte fra oss eller får tilgang gjennom en partner. En partner som bestiller, aktiverer eller administrerer Tjenesten på kundens vegne, blir ikke part i denne avtalen av den grunn.
Hvis kunden bruker en partner til administrasjon eller bistand i Tjenesten, beskriver vi dette nærmere i Vedlegg D. Partneren er ikke vår underdatabehandler med mindre vi har avtalt det særskilt og ført partneren opp i Vedlegg B.
2. Hva vi bruker personopplysningene til
Vi behandler personopplysninger bare for å levere, drifte, sikre og forbedre Tjenesten for kunden.
Med forbedring av Tjenesten mener vi blant annet feilretting, sikkerhet, stabilitet, ytelse og videreutvikling av funksjonalitet — alltid innenfor kundens instruks. Vi bruker ikke kundens personopplysninger til egne, selvstendige formål eller til å trene generelle modeller.
Vedlegg A beskriver mer detaljert hva vi behandler, hvorfor, hvilke personer og opplysningstyper det gjelder, og hvor lenge behandlingen varer.
3. Kundens ansvar
Kunden bestemmer hvorfor vi skal behandle personopplysningene og hvordan Tjenesten skal brukes innenfor funksjonaliteten vi tilbyr.
Kunden er ansvarlig for at behandlingen har et gyldig rettslig grunnlag og ellers skjer i samsvar med GDPR og annet relevant personvernregelverk — blant annet behandlingsgrunnlag etter GDPR artikkel 6 og, der det er aktuelt, vilkårene for behandling av særlige kategorier av personopplysninger etter artikkel 9.
Kunden er også ansvarlig for at personopplysningene som legges inn i Tjenesten, er relevante og nødvendige for formålet.
4. Vi følger kundens instruks
Vi behandler personopplysninger på kundens vegne og bare innenfor dokumenterte instrukser.
Instruksen består av denne avtalen med vedlegg, kundens valg og konfigurasjon i Tjenesten, og eventuelle andre skriftlige instrukser som kunden gir innenfor Tjenestens funksjonalitet.
Vi bruker ikke personopplysningene til egne, selvstendige formål, med mindre EØS-rett eller norsk rett pålegger oss det.
Hvis vi mener at en instruks strider mot personvernregelverket, varsler vi kunden uten ugrunnet opphold. Da avklarer partene sammen hvordan vi skal håndtere instruksen. Vi kan utsette gjennomføringen i den grad det er nødvendig for å unngå ulovlig behandling.
5. Hvem får tilgang
Bare personer som trenger tilgang for å levere, drifte, sikre eller støtte Tjenesten, får tilgang til personopplysningene.
Alle som får tilgang er underlagt konfidensialitet eller lovbestemt taushetsplikt. Vi gjennomgår tilganger jevnlig og fjerner dem når de ikke lenger er nødvendige.
På forespørsel dokumenterer vi at relevante personer er underlagt slike krav.
6. Slik beskytter vi personopplysningene
Vi har tekniske og organisatoriske sikkerhetstiltak tilpasset risikoen ved behandlingen, i tråd med GDPR artikkel 32.
Tiltakene omfatter der det er relevant blant annet tilgangsstyring, kryptering, logging, sikkerhetskopiering, gjenoppretting og rutiner for sikkerhetshendelser.
Kunden gir oss den informasjonen vi trenger for å forstå særskilte risikoer ved kundens bruk av Tjenesten. Vi vurderer samtidig selv risikoen ved behandlingen vi utfører og opprettholder et egnet sikkerhetsnivå.
Vedlegg C beskriver minimumstiltakene og hvordan vi bistår kunden med sikkerhetspliktene etter GDPR.
7. Leverandører som behandler data for oss
Vi bruker enkelte leverandører for å levere Tjenesten. Når en leverandør behandler personopplysninger på våre vegne, er leverandøren en underdatabehandler.
Den oppdaterte oversikten står i Vedlegg B — Underdatabehandlere og på den offentlige underbehandler-siden avtalen lenker til.
Hvis vi vil legge til eller bytte ut en underdatabehandler, varsler vi kunden minst 30 dager før endringen trer i kraft. Kunden kan ta kontakt hvis endringen gir saklig grunn til bekymring for personvern eller informasjonssikkerhet.
Vi inngår nødvendige avtaler med underdatabehandlerne og sikrer at de får relevante personvern- og sikkerhetsforpliktelser. På forespørsel gir vi relevant dokumentasjon på dette, med unntak for kommersielle eller sikkerhetssensitive opplysninger som ikke er nødvendige for vurderingen.
Vi er fortsatt ansvarlige overfor kunden for behandlingen underdatabehandlerne utfører, i samsvar med GDPR.
8. Hvor vi behandler data
Ved vanlig bruk og drift av Mynder-plattformen lagrer og behandler vi personopplysninger innenfor EU/EØS.
Hvis behandling utenfor EU/EØS blir nødvendig, gjør vi det bare når vilkårene i GDPR kapittel V er oppfylt og behandlingen er dekket av kundens dokumenterte instruks. Vedlegg C.6 gir nærmere regler.
Denne avtalen gir ikke i seg selv tillatelse til å overføre personopplysninger utenfor EU/EØS.
9. Når kunden trenger hjelp med personvernpliktene sine
Vi bistår kunden når informasjon eller funksjonalitet i Tjenesten er nødvendig for at kunden skal oppfylle personvernpliktene sine.
Dette gjelder blant annet forespørsler om innsyn, retting, sletting, begrensning, dataportabilitet og andre registrertrettigheter. Vi bistår også med tilgjengelig informasjon ved sikkerhetsbrudd, personvernkonsekvensvurderinger (DPIA) og eventuell forhåndskonsultasjon med Datatilsynet.
Vi gir bistanden ut fra behandlingens art, Tjenestens funksjonalitet og informasjonen vi faktisk har tilgang til. Vedlegg C beskriver dette nærmere.
10. Hvis det skjer et sikkerhetsbrudd
Hvis vi oppdager et brudd på personopplysningssikkerheten som gjelder Tjenesten, varsler vi kunden uten ugrunnet opphold — når det er mulig, innen 24 timer etter at vi fikk kjennskap til bruddet.
Vi deler informasjonen vi har tilgjengelig og som kunden trenger for å vurdere videre oppfølging, blant annet eventuell melding til Datatilsynet eller varsling av berørte personer.
Så langt det er mulig beskriver vi hva som har skjedd, hvilke opplysninger som kan være berørt, mulige konsekvenser og hvilke tiltak vi har gjennomført eller planlagt. Vedlegg C beskriver dette nærmere.
11. Sletting og tilbakelevering av opplysninger
Når kundeforholdet avsluttes, kan kunden hente ut egne data før vi sletter dem, der dette er teknisk mulig.
Deretter sletter eller tilbakeleverer vi personopplysningene vi har behandlet på vegne av kunden. Vi beholder likevel enkelte opplysninger hvis vi må for å: oppfylle lovpålagte plikter; dokumentere avtaleforholdet; håndtere sikkerhetshendelser, eller; forsvare rettskrav.
Vi sletter i produksjonsmiljøet senest 30 kalenderdager etter opphør eller instruks om sletting. Vi sletter ikke sikkerhetskopier enkeltvis, men overskriver dem i ordinær backupsyklus innen 35 dager. Dermed er opplysningene endelig slettet senest 65 kalenderdager etter opphør eller instruks om sletting.
Hvis en partner slutter å samarbeide med kunden, påvirker ikke det kundens rett til egne data i Mynder-plattformen.
12. Dokumentasjon og revisjon
Vi gjør relevant dokumentasjon tilgjengelig slik at kunden kan vurdere om vi oppfyller kravene i GDPR artikkel 28 og denne avtalen.
Som SaaS-leverandør oppfyller vi normalt dette gjennom sikkerhetsdokumentasjon, revisjonsrapporter, tredjepartsattestasjoner, Trust Profile eller tilsvarende dokumentasjon.
Hvis dokumentasjonen ikke er tilstrekkelig, kan kunden be om ytterligere revisjon. Kunden varsler oss da i rimelig tid, gjennomfører revisjonen innenfor normal arbeidstid, og avgrenser den slik at den ikke svekker sikkerheten i Tjenesten eller gir tilgang til opplysninger om andre kunder, forretningshemmeligheter eller sikkerhetssensitiv informasjon.
Der tilsynsmyndigheter har lovbestemt rett til innsyn eller kontroll, bidrar vi i tråd med gjeldende rett. Vedlegg C.7 og C.8 gir flere detaljer om revisjon.
13. Forholdet til andre vilkår
Denne databehandleravtalen gjelder behandlingen av personopplysninger i Mynder-plattformen.
Kundens øvrige avtalegrunnlag med oss regulerer kommersielle vilkår, priser, betaling, ansvar og andre forhold, så lenge de ikke svekker rettighetene og beskyttelsen som følger av GDPR.
Vedlegg D beskriver partnerens tilgang til kundens arbeidsområde.
14. Når vilkårene gjelder
Disse standardvilkårene gjelder fra kunden tar i bruk Mynder-plattformen, eller fra det tidspunktet vilkårene inngår i kundens avtalegrunnlag med oss.
Vilkårene gjelder så lenge vi leverer Tjenesten til kunden og behandler personopplysninger på kundens vegne. Hvis leveringen av Tjenesten avsluttes, gjelder vilkårene videre så lenge vi behandler personopplysninger i forbindelse med sletting, tilbakelevering, dokumentasjon eller lovpålagt oppbevaring.
Vi kan oppdatere disse standardvilkårene når det er nødvendig på grunn av endringer i Tjenesten, leverandører, regelverk eller sikkerhetsmessige forhold. Vi varsler vesentlige endringer i tråd med avtalegrunnlaget for Tjenesten.
Hvis vi inngår en særskilt enterprise-avtale eller annen individuelt signert avtale med en kunde, kan egne signatur- og avtalebestemmelser gjelde for det kundeforholdet.
15. Kontakt
Kunden holder relevante kontaktopplysninger oppdatert i Mynder-plattformen eller i annet avtalt kontaktpunkt.
Kunden kan kontakte oss via kontaktpunktene vi til enhver tid oppgir på våre nettsider, i Tjenesten eller i kundens avtalegrunnlag med oss.
Vedlegg
Vedleggene er en del av databehandleravtalen og gjelder sammen med standardvilkårene. Underbehandleroversikten er Vedlegg B og viser hvilke leverandører Mynder bruker for å levere Mynder-plattformen.
Vedlegg A — Opplysninger om behandlingen
Vedlegg B — Underbehandlere
Vedlegg C — Instruks og sikkerhetstiltak
Vedlegg D — Partneradministrasjon av kundens arbeidsområde
Relaterte dokumenter
Databehandleravtale — Mynder AS og partner
Personvernerklæring
Trust Center