Databehandleravtale

N.AI AS leverer programvaretjenesten Torget, en digital plattform for intern kommunikasjon, drift og beredskapsvarsling i kjøpesentre. Ved levering av tjenesten behandles personopplysninger på vegne av senteret.

Ved motstrid går denne avtalen foran leveranseavtalen for så vidt gjelder behandling av personopplysninger.

Behandlingen omfatter lagring, strukturering, gjenfinning, overføring og sletting, og skjer utelukkende for å levere tjenesten. Behandlingen løper så lenge leveranseavtalen er i kraft, med de forpliktelser ved opphør som følger av punkt 10.

Senteret er ansvarlig for at det foreligger gyldig behandlingsgrunnlag, og for at de registrerte har fått nødvendig informasjon etter artikkel 13 og 14.

Arbeidsrettslige kontrolltiltak. Senteret er ansvarlig for å oppfylle arbeidsmiljøloven kapittel 9, herunder drøfting med tillitsvalgte og informasjon til de ansatte, for funksjoner som innebærer kontrolltiltak — blant annet lesebekreftelser, sist aktive tidspunkt, innsjekk ved arrangementer og legitimasjonskontroll. N.AI AS leverer på anmodning en teknisk beskrivelse av hva som registreres og hvem som har tilgang.

Personopplysninger behandles kun etter dokumenterte instrukser fra senteret. N.AI AS varsler umiddelbart dersom en instruks etter vår vurdering er i strid med regelverket.

Personer med tilgang er underlagt taushetsplikt, og tilgang gis kun der det er nødvendig. Tekniske og organisatoriske tiltak er beskrevet i vedlegg B.

Senteret gir generell godkjenning til bruk av underdatabehandlere. Nye eller endrede underdatabehandlere varsles skriftlig minst 30 dager før de tas i bruk, og senteret kan protestere på saklig grunnlag. N.AI AS er fullt ut ansvarlig for underdatabehandlerens oppfyllelse.

N.AI AS bistår senteret med å svare på anmodninger etter forordningens kapittel III, og besvarer anmodning om bistand innen fem virkedager. Henvendelser som rettes direkte til oss videreformidles til senteret, og besvares ikke på egen hånd.

Sletting. Tjenesten har en funksjon for anonymisering av en person på anmodning fra senteret. Navn, e-postadresse, telefonnummer, fødselsdato, profilbilde og biografi fjernes, innlogginger og enhetsregistreringer slettes, og alle medlemskap deaktiveres. Innhold personen har opprettet bevares uten tilknytning til identifiserbar person, av hensyn til senterets dokumentasjonsbehov og etterprøvbarheten av beredskapshendelser.

N.AI AS varsler senteret uten ugrunnet opphold og senest innen 24 timer etter å ha blitt kjent med et brudd. Varselet beskriver bruddets art, berørte kategorier og omfang, sannsynlige konsekvenser og tiltak. Vi varsler ikke tilsynsmyndighet eller registrerte på egen hånd med mindre senteret ber om det.

Senteret kan gjennomføre revisjon inntil én gang per kalenderår, varslet skriftlig minst 14 dager i forveien, og oftere ved brudd eller begrunnet mistanke om mislighold.

Ved opphør slettes eller tilbakeleveres alle personopplysninger etter senterets valg. Valget meddeles innen 30 dager; foreligger ikke meddelelse, slettes opplysningene. Sletting gjennomføres senest 90 dager etter opphør, og sikkerhetskopier senest innen seks måneder.

Enkelte underdatabehandlere behandler personopplysninger utenfor EØS, jf. vedlegg C. Overføring skjer på grunnlag av EUs standardavtaler (SCC) eller annet gyldig grunnlag etter forordningens kapittel V.

Avtalen reguleres av norsk rett.