Databehandleravtale

1. Partene og avtalens formål

Denne databehandleravtalen ("Avtalen") inngås mellom deg som kunde ("Behandlingsansvarlig") og Miljø-IT AS, org.nr. 992 874 058 ("Databehandler"), og regulerer Databehandlers behandling av personopplysninger på vegne av Behandlingsansvarlig ved bruk av DriftSmart kassasystem ("Tjenesten").

Avtalen utgjør en integrert del av vilkårene og betingelsene og oppfyller kravene i personvernforordningen (GDPR) artikkel 28. Ved motstrid går denne Avtalen foran vilkårene for spørsmål om behandling av personopplysninger.

2. Behandlingens art og formål

Databehandler behandler personopplysninger utelukkende for å levere Tjenesten i henhold til vilkårene – herunder salgshåndtering, kvitteringer, retur, kundeoppslag, ansatt- og tilgangshåndtering, regnskaps- og myndighetsrapportering (SAF-T) samt synkronisering med tredjeparter som Behandlingsansvarlig selv har aktivert (f.eks. Shopify og betalingsterminal).

3. Kategorier av registrerte og personopplysninger

• Kunder: navn, kontaktopplysninger, kjøps- og transaksjonshistorikk, og eventuelle opplysninger Behandlingsansvarlig selv registrerer.
• Ansatte/brukere: navn, e-post, rolle, PIN-/påloggingsdata og aktivitet i kassen.

Behandlingsansvarlig skal ikke registrere særlige kategorier av personopplysninger (GDPR art. 9) i Tjenesten med mindre det er avtalt særskilt.

4. Databehandlers plikter

• Behandle personopplysninger kun etter dokumenterte instrukser fra Behandlingsansvarlig, herunder disse Vilkårene og Tjenestens funksjonalitet.
• Sikre at personer med tilgang har taushetsplikt.
• Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak (GDPR art. 32), herunder kryptering under overføring, tilgangsstyring og sikkerhetskopiering.
• Bistå Behandlingsansvarlig med å oppfylle plikter overfor de registrerte og tilsynsmyndigheter (art. 32–36 og de registrertes rettigheter), i den grad det er mulig ut fra behandlingens art.
• Ikke overføre personopplysninger til tredjeland uten gyldig overføringsgrunnlag (se punkt 6).

5. Underdatabehandlere

Behandlingsansvarlig gir Databehandler generelt samtykke til bruk av underdatabehandlere for å levere Tjenesten. Databehandler inngår avtale med hver underdatabehandler som pålegger tilsvarende forpliktelser som i denne Avtalen. Følgende underdatabehandlere benyttes:

Databehandler skal varsle Behandlingsansvarlig om planlagte endringer i bruken av underdatabehandlere med rimelig frist, slik at Behandlingsansvarlig kan protestere mot endringen.

6. Overføring til tredjeland

Personopplysninger behandles i utgangspunktet innenfor EU/EØS. Der en underdatabehandler behandler opplysninger utenfor EU/EØS, skjer overføringen på grunnlag av EU-kommisjonens standardavtaler (Standard Contractual Clauses) eller annet gyldig overføringsgrunnlag etter GDPR kapittel V.

7. Avvik og brudd på personopplysningssikkerheten

Databehandler skal uten ugrunnet opphold varsle Behandlingsansvarlig ved brudd på personopplysningssikkerheten, og bistå med informasjon som er nødvendig for at Behandlingsansvarlig kan oppfylle sin varslingsplikt til Datatilsynet og de registrerte (GDPR art. 33–34).

8. Sletting og tilbakelevering

Ved opphør av Tjenesten skal Behandlingsansvarlig gis anledning til å eksportere sine data (jf. vilkårenes punkt 10.3). Deretter sletter eller anonymiserer Databehandler personopplysningene, med mindre lagring er pålagt etter lov – herunder bokføringslovens krav om oppbevaring av regnskapsmateriale (minimum 5 år), som fortsatt gjelder.

9. Revisjon og dokumentasjon

Databehandler skal gjøre tilgjengelig informasjon som er nødvendig for å vise at forpliktelsene i art. 28 overholdes, og muliggjøre og bidra til revisjoner gjennomført av Behandlingsansvarlig eller en revisor denne har utpekt, innenfor rimelige rammer.

10. Varighet

Avtalen gjelder så lenge Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig gjennom Tjenesten, og opphører når kundeforholdet avsluttes og data er slettet eller tilbakelevert i henhold til punkt 8.

11. Kontakt