Databehandleravtale mellom Mynder AS og partneren for partnerens egen bruk av Mynder-plattformen.
Databehandleravtale
Mynder AS og partner
Denne avtalen følger samme struktur som databehandleravtalen mellom Mynder AS og sluttkunde, fordi begge bygger på Datatilsynets standardmal for databehandleravtaler (GDPR artikkel 28). Det er derfor tilsiktet at oppbyggingen er lik — innholdet er tilpasset forholdet mellom Mynder AS og partner. Utgangspunktet er modell A: partneren er behandlingsansvarlig for egen bruk av Mynder-plattformen, og Mynder AS er databehandler.
Denne avtalen gjelder når vi i Mynder AS behandler personopplysninger på vegne av partneren i forbindelse med partnerens bruk av Mynder-plattformen og tilhørende partnerfunksjonalitet.
Partneren er behandlingsansvarlig. Vi er databehandler.
Avtalen beskriver hva vi kan gjøre med personopplysningene, hvordan vi sikrer dem, hvilke leverandører vi kan bruke, hvordan vi bistår partneren, og hva som skjer med opplysningene når partnerforholdet eller bruken av Tjenesten avsluttes.
Vi har inngått avtalen i henhold til personvernforordningen (GDPR) artikkel 28 nr. 3, og den er en del av avtalegrunnlaget for partnerens bruk av Mynder-plattformen.
Databehandler: Mynder AS, org.nr. 831 377 372, Edvard Griegs vei 3C, 5059 Bergen.
Vi omtaler virksomheten som bruker Mynder-plattformen som partner som «behandlingsansvarlig» eller «partneren», og oss selv som «databehandleren» eller «Mynder».
1. Hvem avtalen gjelder for
Avtalen gjelder mellom Mynder AS og virksomheten som bruker Mynder-plattformen som partner («Tjenesten»).
Partneren er behandlingsansvarlig for personopplysningene som inngår i partnerens egen bruk av plattformen: partneradministrasjon, partnerbrukere, partnerdokumentasjon og øvrige opplysninger partneren selv legger inn eller gjør tilgjengelig. Vi behandler disse opplysningene på partnerens vegne og er databehandler.
Avtalen regulerer ikke partnerens behandling av personopplysninger på vegne av sluttkunder. Hvis partneren bruker Tjenesten til å bistå eller administrere en sluttkunde, må partneren selv sørge for at det finnes et gyldig mandat og nødvendig avtalegrunnlag med sluttkunden.
Hvis sluttkunden har direkte avtale med oss, regulerer databehandleravtalen mellom Mynder og sluttkunden vår behandling av sluttkundens personopplysninger. Partnerens tilgang til sluttkundens arbeidsområde skjer da på grunnlag av sluttkundens mandat, og partnervilkår, tilgangsvilkår eller annen avtale mellom partene regulerer dette nærmere.
Skal vi opptre som underdatabehandler for partneren i et kundeforhold der partneren er databehandler for sluttkunden, må vi avtale dette uttrykkelig.
2. Hva vi bruker personopplysningene til
Vi behandler personopplysninger bare for å levere, drifte, sikre og forbedre Tjenesten for partneren.
Med forbedring av Tjenesten mener vi blant annet feilretting, sikkerhet, stabilitet, ytelse og videreutvikling av funksjonalitet — alltid innenfor partnerens instruks. Vi bruker ikke partnerens personopplysninger til egne, selvstendige formål eller til å trene generelle modeller.
Vedlegg A beskriver mer detaljert hva vi behandler, hvorfor, hvilke personer og opplysningstyper det gjelder, og hvor lenge behandlingen varer.
3. Partnerens ansvar
Partneren bestemmer hvorfor vi skal behandle personopplysningene og hvordan Tjenesten skal brukes innenfor funksjonaliteten vi tilbyr.
Partneren er ansvarlig for at behandlingen har et gyldig rettslig grunnlag og ellers skjer i samsvar med GDPR og annet relevant personvernregelverk — blant annet behandlingsgrunnlag etter GDPR artikkel 6 og, der det er aktuelt, vilkårene for behandling av særlige kategorier av personopplysninger etter artikkel 9.
Partneren er også ansvarlig for at personopplysningene som legges inn i Tjenesten, er relevante og nødvendige for formålet.
Når partneren behandler personopplysninger på vegne av en sluttkunde, er partneren selv ansvarlig for å ha nødvendig avtale, instruks og mandat fra sluttkunden, og for at bruken av Mynder-plattformen er forenlig med dette mandatet.
4. Vi følger partnerens instruks
Vi behandler personopplysninger på partnerens vegne og bare innenfor dokumenterte instrukser.
Instruksen består av denne avtalen med vedlegg, partnerens valg og konfigurasjon i Tjenesten, og eventuelle andre skriftlige instrukser partneren gir innenfor Tjenestens funksjonalitet.
Vi bruker ikke personopplysningene til egne, selvstendige formål, med mindre EØS-rett eller norsk rett pålegger oss det.
Hvis vi mener at en instruks strider mot personvernregelverket, varsler vi partneren uten ugrunnet opphold. Da avklarer partene sammen hvordan vi skal håndtere instruksen. Vi kan utsette gjennomføringen i den grad det er nødvendig for å unngå ulovlig behandling.
Partneren kan bare gi oss instrukser om sluttkundedata hvis partneren har rett til det etter sitt eget avtalegrunnlag med sluttkunden og etter gjeldende personvernregelverk.
5. Hvem får tilgang
Bare personer som trenger tilgang for å levere, drifte, sikre eller støtte Tjenesten, får tilgang til personopplysningene.
Alle som får tilgang er underlagt konfidensialitet eller lovbestemt taushetsplikt. Vi gjennomgår tilganger jevnlig og fjerner dem når de ikke lenger er nødvendige.
På forespørsel dokumenterer vi at relevante personer er underlagt slike krav.
6. Slik beskytter vi personopplysningene
Vi har tekniske og organisatoriske sikkerhetstiltak tilpasset risikoen ved behandlingen, i tråd med GDPR artikkel 32.
Tiltakene omfatter der det er relevant blant annet tilgangsstyring, kryptering, logging, sikkerhetskopiering, gjenoppretting og rutiner for sikkerhetshendelser.
Partneren gir oss den informasjonen vi trenger for å forstå særskilte risikoer ved partnerens bruk av Tjenesten. Vi vurderer samtidig selv risikoen ved behandlingen vi utfører og opprettholder et egnet sikkerhetsnivå.
Vedlegg C beskriver minimumstiltakene og hvordan vi bistår partneren med sikkerhetspliktene etter GDPR.
7. Leverandører som behandler data for oss
Vi bruker underdatabehandlere for å levere Tjenesten. Vedlegg B — Underbehandlere viser oversikt, behandlingssteder og relevant dokumentasjon.
8. Hvor vi behandler data
Ved vanlig bruk og drift av Mynder-plattformen lagrer og behandler vi personopplysninger innenfor EU/EØS.
Hvis behandling utenfor EU/EØS blir nødvendig, gjør vi det bare når vilkårene i GDPR kapittel V er oppfylt og behandlingen er dekket av partnerens dokumenterte instruks. Vedlegg C.6 gir nærmere regler.
Denne avtalen gir ikke i seg selv tillatelse til å overføre personopplysninger utenfor EU/EØS.
9. Når partneren trenger hjelp med personvernpliktene sine
Vi bistår partneren når informasjon eller funksjonalitet i Tjenesten er nødvendig for at partneren skal oppfylle personvernpliktene sine.
Dette gjelder blant annet forespørsler om innsyn, retting, sletting, begrensning, dataportabilitet og andre registrertrettigheter. Vi bistår også med tilgjengelig informasjon ved sikkerhetsbrudd, personvernkonsekvensvurderinger (DPIA) og eventuell forhåndskonsultasjon med Datatilsynet.
Vi gir bistanden ut fra behandlingens art, Tjenestens funksjonalitet og informasjonen vi faktisk har tilgang til. Vedlegg C beskriver dette nærmere.
Gjelder bistanden sluttkundedata, koordinerer partneren forespørselen med sluttkunden, med mindre vi har direkte avtalegrunnlag og kontaktpunkt med sluttkunden.
10. Hvis det skjer et sikkerhetsbrudd
Hvis vi oppdager et brudd på personopplysningssikkerheten som gjelder Tjenesten, varsler vi partneren uten ugrunnet opphold — når det er mulig, innen 24 timer etter at vi fikk kjennskap til bruddet.
Vi deler informasjonen vi har tilgjengelig og som partneren trenger for å vurdere videre oppfølging, blant annet eventuell melding til Datatilsynet eller varsling av berørte personer.
Så langt det er mulig beskriver vi hva som har skjedd, hvilke opplysninger som kan være berørt, mulige konsekvenser og hvilke tiltak vi har gjennomført eller planlagt. Vedlegg C beskriver dette nærmere.
Gjelder bruddet sluttkundedata, er partneren ansvarlig for nødvendig videre varsling til sluttkunden, med mindre vi har direkte varslingsplikt overfor sluttkunden etter egen avtale.
11. Sletting og tilbakelevering av opplysninger
Når partnerforholdet eller partnerens bruk av Tjenesten avsluttes, kan partneren hente ut egne data før vi sletter dem, der dette er teknisk mulig.
Deretter sletter eller tilbakeleverer vi personopplysningene vi har behandlet på vegne av partneren. Vi beholder likevel enkelte opplysninger hvis vi må for å: oppfylle lovpålagte plikter; dokumentere avtaleforholdet; håndtere sikkerhetshendelser; eller forsvare rettskrav.
Vi sletter i produksjonsmiljøet senest 30 kalenderdager etter opphør eller instruks om sletting. Vi sletter ikke sikkerhetskopier enkeltvis, men overskriver dem i ordinær backupsyklus innen 35 dager. Dermed er opplysningene endelig slettet senest 65 kalenderdager etter opphør eller instruks om sletting.
Hvis forholdet mellom partneren og en sluttkunde opphører, påvirker ikke det sluttkundens rett til egne data i Mynder-plattformen, forutsatt at sluttkunden har direkte avtale eller eget arbeidsområde hos oss.
12. Dokumentasjon og revisjon
Vi gjør relevant dokumentasjon tilgjengelig slik at partneren kan vurdere om vi oppfyller kravene i GDPR artikkel 28 og denne avtalen.
Som SaaS-leverandør oppfyller vi normalt dette gjennom sikkerhetsdokumentasjon, revisjonsrapporter, tredjepartsattestasjoner, Trust Profile eller tilsvarende dokumentasjon.
Hvis dokumentasjonen ikke er tilstrekkelig, kan partneren be om ytterligere revisjon. Partneren varsler oss da i rimelig tid, gjennomfører revisjonen innenfor normal arbeidstid, og avgrenser den slik at den ikke svekker sikkerheten i Tjenesten eller gir tilgang til opplysninger om andre kunder, forretningshemmeligheter eller sikkerhetssensitiv informasjon.
Der tilsynsmyndigheter har lovbestemt rett til innsyn eller kontroll, bidrar vi i tråd med gjeldende rett. Vedlegg C.7 og C.8 gir flere detaljer om revisjon.
13. Forholdet til andre vilkår
Denne databehandleravtalen gjelder behandlingen av personopplysninger i Mynder-plattformen når partneren er behandlingsansvarlig og vi er databehandler.
Partnerens øvrige avtalegrunnlag med oss regulerer kommersielle vilkår, priser, betaling, ansvar, partnerstatus, salgsmodell, kundeeierskap og andre forhold, så lenge de ikke svekker rettighetene og beskyttelsen som følger av GDPR.
Vedlegg D beskriver partnerens tilgang til sluttkunders arbeidsområder og partnerens ansvar for eget sluttkundemandat.
14. Når vilkårene gjelder
Disse standardvilkårene gjelder fra partneren tar i bruk Mynder-plattformen, eller fra det tidspunktet vilkårene inngår i partnerens avtalegrunnlag med oss.
Vilkårene gjelder så lenge vi leverer Tjenesten til partneren og behandler personopplysninger på partnerens vegne. Hvis leveringen av Tjenesten avsluttes, gjelder vilkårene videre så lenge vi behandler personopplysninger i forbindelse med sletting, tilbakelevering, dokumentasjon eller lovpålagt oppbevaring.
Vi kan oppdatere disse standardvilkårene når det er nødvendig på grunn av endringer i Tjenesten, leverandører, regelverk eller sikkerhetsmessige forhold. Vi varsler vesentlige endringer i tråd med avtalegrunnlaget for Tjenesten.
Hvis vi inngår en særskilt enterprise-avtale eller annen individuelt signert avtale med en partner, kan egne signatur- og avtalebestemmelser gjelde for det partnerforholdet.
15. Kontakt
Partneren holder relevante kontaktopplysninger oppdatert i Mynder-plattformen eller i annet avtalt kontaktpunkt.
Partneren kan kontakte oss via kontaktpunktene vi til enhver tid oppgir på våre nettsider, i Tjenesten eller i partnerens avtalegrunnlag med oss.
Vedlegg
Vedleggene A–D er en del av databehandleravtalen og gjelder sammen med standardvilkårene.
Vedlegg A — Opplysninger om behandlingen
Vedlegg B — Underbehandlere
Vedlegg C — Instruks og sikkerhetstiltak
Vedlegg D — Partnerens bruk av Mynder og sluttkundemandat
Relaterte dokumenter
Databehandleravtale — Mynder AS og sluttkunde
Personvernerklæring
Trust Center