Databehandleravtale

Bilag 1 til leveringsavtalen. Databehandleravtale mellom borettslaget (behandlingsansvarlig) og Truls Liang, org.nr. 894 379 472 (databehandler), om bruk av BRLHMS.

1. Formål og omfang

Avtalen regulerer databehandlerens behandling av personopplysninger på vegne av borettslaget, slik personvernforordningen artikkel 28 krever. Avtalen gjelder så lenge borettslaget bruker tjenesten, og til opplysningene er slettet eller levert tilbake.

2. Behandlingen

Formål: å levere et digitalt system for borettslagets arbeid med helse, miljø og sikkerhet.

Art: lagring, visning, organisering, utsending av påminnelser, sikkerhetskopiering og sletting.

Kategorier av registrerte: styremedlemmer, ansvarlige som vaktmester og brannvernleder, beboere og andre brukere borettslaget gir tilgang.

Kategorier av opplysninger: navn, e-post, mobilnummer, rolle, registreringer i avvik, oppgaver, vernerunder og risikovurderinger, bilder og dokumenter borettslaget laster opp, samt logg over bruk. Borettslaget skal ikke legge inn særlige kategorier av personopplysninger, for eksempel helseopplysninger om navngitte personer, uten at det er nødvendig og avklart.

3. Databehandlerens plikter

Databehandleren skal

4. Underleverandører

Borettslaget gir generell tillatelse til at databehandleren bruker disse underleverandørene: Vercel (drift og fillagring), Neon (database), Twilio (SMS) og Resend (e-post). Databehandleren skal inngå avtaler med underleverandørene som gir minst samme vern, og varsle borettslaget før nye underleverandører tas i bruk, slik at borettslaget kan protestere.

5. Overføring utenfor EØS

Opplysninger kan bare overføres utenfor EØS når det finnes et gyldig overføringsgrunnlag etter personvernforordningen kapittel V, for eksempel EUs standardkontraktsklausuler eller en gyldig beslutning om tilstrekkelig beskyttelsesnivå.

6. Support-tilgang

Databehandleren kan logge inn som en bruker for å gi brukerstøtte. Dette skjer bare ved behov, varer maks én time, og loggføres med grunn. Styret kan se loggen i tjenesten.

7. Avslutning, tilbakelevering og sletting

Når avtalen avsluttes, kan styret laste ned alle data fra tjenesten. HMS-dataene slettes 30 dager etter at borettslaget har bedt om sletting, eller tidligere etter avtale. Opplysninger som databehandleren selv må oppbevare etter lov, for eksempel fakturaer, beholdes så lenge loven krever.

8. Ansvar og lovvalg

Hver part er ansvarlig etter personvernforordningen artikkel 82. Avtalen følger norsk rett.

9. Forholdet til leveringsavtalen og godkjenning

Denne avtalen er bilag 1 til leveringsavtalen og gjelder så lenge leveringsavtalen gjelder. Den godkjennes sammen med leveringsavtalen ved registrering, og når en oppdatert versjon godkjennes av styret i tjenesten. Tidspunkt og versjon for godkjenningen lagres.

• bare behandle opplysningene etter dokumenterte instrukser fra borettslaget, som denne avtalen og bruken av tjenesten
• sikre at alle som får tilgang, har taushetsplikt
• ha egnede tekniske og organisatoriske sikkerhetstiltak, blant annet kryptert overføring, krypterte passord, tilgangsstyring etter rolle, begrensning av innloggingsforsøk, logg over endringer og support-innlogginger, og sikkerhetskopiering
• bistå borettslaget med å oppfylle de registrertes rettigheter, blant annet ved at styret selv kan laste ned og slette data i tjenesten
• bistå med vurderinger av personvernkonsekvenser når det er relevant
• varsle borettslaget uten ugrunnet opphold, og senest innen 48 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten
• gjøre tilgjengelig informasjonen som trengs for å vise at avtalen følges