1. Parter og bakgrunn
Avtalen inngås mellom kunden som behandlingsansvarlig og Webspesialisten AS, org.nr 894 785 942, som databehandler. Den er en del av kundeavtalen og vilkårene, og gjelder så lenge databehandleren behandler personopplysninger på vegne av kunden.
2. Formål og omfang
Databehandleren leverer og drifter virtuelle servere for kunden. Behandlingen omfatter lagring av data på serveren, snapshots og den tilgangen til serveren som er nødvendig for drift, feilretting og support.
| Forhold | Beskrivelse |
|---|---|
| Formål | Hosting og drift av kundens VPS, inkludert snapshots, overvåking og support |
| Kategorier av registrerte | Bestemmes av kunden, for eksempel kundens kunder, ansatte eller brukere |
| Typer personopplysninger | Bestemmes av kunden ut fra hva som lagres på serveren |
| Behandlingssted | Norge |
| Varighet | Så lenge kundeforholdet varer, og frem til data er slettet etter opphør |
Databehandleren går ikke gjennom innholdet på kundens server i det daglige. Tilgang til kundedata skjer bare når det er nødvendig for å levere tjenesten, for eksempel ved feilsøking, gjenoppretting fra snapshot eller når kunden ber om hjelp.
3. Instruks
Databehandleren skal bare behandle personopplysninger etter dokumentert instruks fra kunden. Denne avtalen, vilkårene og kundens bruk av tjenesten og kontrollpanelet utgjør instruksen. Databehandleren skal varsle kunden dersom en instruks etter databehandlerens vurdering er i strid med personvernregelverket.
Kunden er ansvarlig for at det finnes behandlingsgrunnlag for opplysningene som lagres på serveren, og for at de registrerte har fått nødvendig informasjon.
4. Taushetsplikt
Personer som har tilgang til personopplysningene hos databehandleren er underlagt taushetsplikt. Taushetsplikten gjelder også etter at avtalen eller ansettelsesforholdet er avsluttet.
5. Sikkerhet
Databehandleren gjennomfører tekniske og organisatoriske tiltak etter personvernforordningen artikkel 32, blant annet:
- Isolasjon mellom kunder ved KVM-virtualisering, der hver server har egne ressurser og egen kjerne
- Brannmur med trygge standardverdier, der alt innkommende er blokkert unntatt nødvendige tjenester
- Sikkerhetsoppdateringer av operativsystemet som del av driften
- Døgnovervåking av oppetid og ressurser
- Automatiske snapshots lagret på en separat filserver i Norge
- Tilgangsstyring med individuelle kontoer, tilgangsnøkler med avgrensede tillatelser og logging av handlinger
Kunden har root-tilgang til serveren og er ansvarlig for sikkerheten i egen applikasjon, egne brukerkontoer og konfigurasjon kunden selv endrer.
6. Underleverandører
Databehandleren kan bruke underleverandører til drift av infrastruktur i Norge. Underleverandører skal være bundet av skriftlige avtaler som gir minst samme vern som denne avtalen. Databehandleren varsler kunden før nye underleverandører som behandler kundens serverdata tas i bruk, slik at kunden kan protestere.
Betalingsleverandøren Stripe behandler bare betalingsopplysninger og har ikke tilgang til data på kundens server.
7. Overføring ut av EØS
Data på kundens server og tilhørende snapshots lagres i Norge. Databehandleren overfører ikke slike data til land utenfor EØS.
8. Bistand til kunden
Databehandleren skal i rimelig utstrekning bistå kunden med å oppfylle de registrertes rettigheter, med sikkerhetsvurderinger, vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet, ut fra behandlingens art og informasjonen databehandleren har tilgang til.
9. Avvik
Databehandleren skal varsle kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører kundens data. Varselet skal beskrive hva som har skjedd, sannsynlige konsekvenser og hvilke tiltak som er eller vil bli satt i verk.
10. Revisjon
Kunden kan be om informasjon som er nødvendig for å vise at avtalen etterleves. Revisjon gjennomføres etter avtale, med rimelig varsel og uten å svekke sikkerheten for andre kunder. Kunden dekker egne kostnader ved revisjon.
11. Opphør og sletting
Når kundeavtalen opphører, slettes kundens server og tilhørende snapshots. Kunden er ansvarlig for å hente ut egne data før opphør. Databehandleren beholder ikke kopier av data fra kundens server, med mindre det kreves etter lov.
12. Varighet og motstrid
Avtalen gjelder så lenge databehandleren behandler personopplysninger for kunden. Ved motstrid går denne avtalen foran andre avtaler mellom partene når det gjelder behandling av personopplysninger.