Databehandleravtale for Skjermvisning.no

Denne databehandleravtalen er mellom kunden som oppretter organisasjonen i Skjermvisning.no («behandlingsansvarlig» når kunden bestemmer formålet), og 1346.NO KARLSEN RÅDGIVNING, organisasjonsnummer 935 733 626 («databehandler»). Kunden og aksepttidspunktet identifiseres i tjenestens uforanderlige avtaleoppføring.

Avtalen gjelder når Skjermvisning.no behandler personopplysninger i kundens innhold etter kundens instruks. For konto- og sikkerhetsopplysninger hvor leverandøren bestemmer formålet, er leverandøren selv behandlingsansvarlig; disse opplysningene omfattes ikke av dette databehandlerforholdet.

Formålet er å levere kundens valgte funksjoner for organisasjon, lokasjoner, skjermer, menyer, informasjonsskjermer, publisering, lagring og visning av innhold. Behandlingen kan omfatte mottak, registrering, lagring, organisering, tilgangsstyring, overføring til kundens autoriserte skjermer, sikkerhetskopiering og sletting.

Behandlingen varer så lenge kunden bruker de relevante funksjonene og i nødvendig avslutningsperiode for eksport, sletting og lovpålagt oppbevaring.

Personer kan være kundens administratorer og ansatte, og personer kunden omtaler i innhold. Opplysninger kan være navn, kontaktopplysninger, bruker- og skjermidentifikatorer, bilder, video, tekst og annet innhold kunden selv laster opp, samt tekniske opplysninger knyttet til tilgang og visning.

Kunden skal ikke legge inn særlige kategorier personopplysninger eller opplysninger om straffedommer og lovbrudd uten en særskilt skriftlig avtale og nødvendige lovlige tiltak.

Kundens dokumenterte instruks er å bruke Skjermvisning.no til å laste opp, organisere, publisere, vise og slette innhold i organisasjonens valgte lokasjoner og skjermer. Kundens valg av innhold, skjermtilordning, publisering og innstillinger er instrukser for den aktuelle behandlingen.

Databehandleren skal varsle kunden dersom en instruks etter databehandlerens vurdering er i strid med personvernregelverket. Kunden er ansvarlig for lovlig behandlingsgrunnlag, informasjon til registrerte, dataminimering og innholdets lovlighet.

Databehandleren skal bare behandle personopplysninger etter dokumenterte instrukser, sikre at personer med tilgang er underlagt taushetsplikt, beskytte opplysningene med egnede tekniske og organisatoriske tiltak og ikke bruke opplysningene til egne formål.

Databehandleren skal bistå kunden, så langt det er mulig og med hensyn til behandlingens art, med å besvare registrertes krav og oppfylle pliktene etter GDPR artikkel 32–36. Bistand utover det som følger av tilgjengelige funksjoner kan avtales separat.

Tiltakene omfatter rolle- og organisasjonsbasert tilgangskontroll, passordhashing, tilgangsbegrensning til private kundedata, beskyttelse av enhetslegitimasjon, bruk av TLS for tilkoblinger som tilbys over HTTPS, og begrensning av autentiseringsopplysninger i applikasjonslogger. Tiltakene vurderes og oppdateres ved behov. Dette er en beskrivelse av kontroller i tjenesten, ikke en sertifisering eller garanti mot alle hendelser.

Databehandleren varsler kunden uten ugrunnet opphold etter å ha blitt kjent med et personvernbrudd som gjelder behandlingen, og deler den informasjonen som er tilgjengelig for at kunden skal kunne oppfylle sine plikter.

Kunden gir generell skriftlig godkjenning til underdatabehandlere som er nødvendige for tjenesten. Replit, Inc. leverer hosting, database og objektlagring. Produksjonsprosjektets hovedregion er, etter eierens opplysning, Europa (EU). Replits publiserte underdatabehandlerliste kan omfatte leverandører i USA og andre land; EU-regionen betyr derfor ikke at all støtte, telemetri eller underleverandørbehandling skjer i EU.

UAB Sender.lt leverer transaksjonell e-post og mottar mottakeradresse og nødvendig meldingsinnhold. Sender opplyser at abonnent-/mottakerdata lagres i EU, og at databehandleravtale etter artikkel 28 fås på forespørsel. Kontoens avtale og eventuelle tekniske behandling utenfor EU må kontrolleres i Sender-kontoens egne dokumenter.

Replits gjeldende liste finnes på https://replit.com/site/subprocessors og Replits databehandleravtale på https://replit.com/dpa. Underdatabehandlere skal være bundet av skriftlige databeskyttelsesforpliktelser. Kunden varsles om vesentlige endringer før en ny underdatabehandler tas i bruk og kan protestere på saklig personvernfaglig grunnlag.

Internasjonale overføringer skal ha gyldig grunnlag og nødvendige garantier etter GDPR kapittel V. Der standard personvernbestemmelser eller andre garantier brukes av en underleverandør, reguleres dette av den aktuelle underleverandørens databehandleravtale.

Hvis databehandleren mottar en henvendelse fra en registrert om kundens innhold, videresendes den til kunden når dette er mulig. Databehandleren gir rimelig informasjon som er nødvendig for at kunden skal kunne oppfylle sine plikter.

Databehandleren gjør informasjon som er nødvendig for å påvise etterlevelse tilgjengelig for kunden. Kontroll gjennomføres med rimelig varsel, innenfor taushetsplikt, sikkerhet og andre kunders konfidensialitet. Tilgjengelige uavhengige rapporter kan brukes der de finnes.

Når behandlingen opphører, kan kunden be om eksport av tilgjengelige kundedata og sletting av aktive organisasjonsdata. Sletting gjennomføres etter kundens instruks når eksportmuligheten er ivaretatt, med forbehold for opplysninger som må beholdes etter lov.

Sikkerhetskopier og tekniske logger hos Skjermvisning.no eller underleverandører kan følge egne oppbevaringsperioder og fjernes etter leverandørenes rutiner. Det gis ikke én felles slettefrist for sikkerhetskopier og leverandørlogger.

Denne standardavtalen gjelder fra kundens elektroniske aksept av den viste versjonen og så lenge databehandleren behandler personopplysninger på kundens vegne. Akseptversjon, tidspunkt og virksomhet lagres sammen med kundeavtalen.

Kontakt om databehandling: support@skjermvisning.no. Relevante leverandørdokumenter: Replit DPA og underdatabehandlerliste på lenkene ovenfor; Sender DPA fås ved forespørsel fra Sender.