Databehandleravtale

Avtalen er mellom kunden, som er behandlingsansvarlig, og Cure AS (org.nr. 817859712), som er databehandler.

Den gjelder personopplysninger Cure behandler på kundens vegne når kunden bruker Cure OS. Opplysninger vi behandler for våre egne formål, som kontoen din og innloggingen, hører under personvernerklæringen i stedet.

Avtalen gjelder så lenge Cure leverer tjenester til kunden, og til opplysningene er levert tilbake eller slettet etter punkt 10.

Cure behandler opplysningene kun etter kundens instruks. Bruken av tjenesten er instruksen: laster kunden opp et dokument, lagrer vi det. Krever loven noe annet av oss, sier vi fra før vi gjør det, med mindre loven forbyr oss å si fra.

Mener vi at en instruks bryter personvernreglene, sier vi fra til kunden før vi utfører den.

Vedlegget lages av det samme registeret som styrer koden, så det kan ikke bli utdatert uten at en automatisk kontroll sier fra.

Cure sørger for sikkerhet som passer risikoen, slik personvernforordningen artikkel 32 krever. Tiltakene står i vedlegg C.

Opplysningene er kryptert både når de lagres og når de sendes. Hoveddatabasen ligger i Stockholm. Kundens egne brukere ser bare det kunden har gitt dem tilgang til.

Cure-ansatte har tilgang til kundens arbeidsområde for å kunne levere tjenesten. Det gjelder alle våre ansatte, ikke bare dem som jobber med kunden. Tilgangen er personlig og krever innlogging.

Alle hos oss som får tilgang til opplysningene har taushetsplikt, og den gjelder også etter at arbeidsforholdet er slutt.

Oppdager vi et brudd på personopplysningssikkerheten, varsler vi kunden uten ugrunnet opphold og senest innen 48 timer, med det vi vet om hva som skjedde, hvem det gjelder og hva vi gjør med det. Det er kunden som melder til Datatilsynet, og vi hjelper med det som trengs.

Kunden godkjenner at vi bruker underdatabehandlere. Hele lista står her (25 i dag), med hva hver enkelt gjør og hvor de behandler.

Skal vi ta i bruk en ny, sier vi fra minst 30 dager før. Har kunden en saklig innvending, tar vi den opp, og blir vi ikke enige kan kunden si opp den delen av tjenesten det gjelder.

Vi har avtale med hver enkelt som pålegger dem de samme pliktene som står her. Vi er ansvarlige overfor kunden for at underdatabehandlerne oppfyller pliktene sine.

Får kunden en henvendelse fra noen som vil vite hva som er lagret om dem, eller som vil ha noe rettet eller slettet, hjelper vi med å finne og hente ut opplysningene. Kommer henvendelsen til oss i stedet, sender vi den videre til kunden i stedet for å svare selv.

Vi hjelper også med vurderinger av personvernkonsekvenser og forhåndsdrøfting med Datatilsynet, når kunden ber om det og trenger opplysninger fra oss.

Noen leverandører behandler utenfor EØS. Det skjer på EUs standard personvernbestemmelser eller et annet gyldig grunnlag, og grunnlaget står oppført på hver enkelt i underleverandørlista. Kunden godtar at opplysningene overføres på dette grunnlaget som en del av instruksen i punkt 2.

Sier kunden opp, kan de hente ut opplysningene sine i 30 dager. Etter det sletter vi dem, med unntak av det vi er pålagt å beholde, som regnskapsmateriale. Kunden velger om opplysningene skal leveres tilbake eller slettes, og vi bekrefter skriftlig at slettingen er gjort hvis kunden ber om det.

Kunden kan be om dokumentasjon på at vi følger avtalen. Trengs det en revisjon utover det, avtaler vi tidspunkt og omfang på forhånd, og kunden dekker kostnaden.

Kunden er ansvarlig for at det finnes et lovlig grunnlag for behandlingen, og for å gi de registrerte informasjonen loven krever. Det gjelder blant annet deltakere i møter som tas opp, besøkende på kundens nettsteder og kundens egne ansatte.

Kunden er også ansvarlig for samtykket til informasjonskapsler på sine nettsteder (ekomloven § 3-15), for drøfting med tillitsvalgte når kunden som arbeidsgiver innfører kontrolltiltak (arbeidsmiljøloven kapittel 9), og for at det finnes et grunnlag hvis kunden legger inn særlige kategorier av personopplysninger.

Norsk rett gjelder. Verneting er Bergen tingrett.

Skriv til hello@cure.no, så ordner vi det. Du får da en avtale tilpasset det dere bruker, med eget vedlegg for behandlinger, underdatabehandlere og tilgang. Har dere en egen mal dere må bruke, ser vi gjerne på den.

Når avtalen er signert, kan administratorer hos dere laste den ned i Cure OS under Innstillinger og Avtaler.