Versjon: 0.9-draft
Denne databehandleravtalen («Avtalen») er inngått mellom:
Behandlingsansvarlig («Kunden»): Virksomheten som oppretter en konto i Pactiva, identifisert ved firmanavn og organisasjonsnummer registrert ved kontoopprettelse.
Databehandler («Pactiva»): Thorsnes Digital (org.nr. 937 787 138), som utvikler og drifter tjenesten Pactiva.
Avtalen inngås elektronisk ved at en person med fullmakt til å binde Kunden krysser av for aksept ved kontoopprettelse, jf. bekreftelsesteksten i registreringsskjemaet.
Kunden bruker Pactiva til å registrere og administrere avtaler, signeringsprosesser og opplysninger om Kundens egne kunder («Kundedata»). I den forbindelse behandler Pactiva personopplysninger på vegne av Kunden. Denne avtalen regulerer Pactivas behandling av slike personopplysninger, i tråd med GDPR artikkel 28.
Avtalen løper så lenge Kunden har en aktiv konto hos Pactiva, og opphører automatisk ved oppsigelse av abonnementet, med mindre annet følger av punkt 8 (sletting/retur av data).
Partene er enige om følgende rollefordeling:
| Datakategori | Behandlingsansvarlig | Databehandler |
|---|---|---|
| Kundedata (navn, e-post, telefon, org.nr, adresse, notater, aktivitetslogg om Kundens egne kunder) | Kunden | Pactiva |
| Avtaledata (avtaletitler, datoer, opplastede dokumenter, signeringsstatus knyttet til Kundens avtaler) | Kunden | Pactiva |
| Brukerdata og firmadata (Kundens egne brukerkontoer) | Pactiva | — (Pactiva er selv behandlingsansvarlig, reguleres av personvernerklæringen) |
Merk: denne tabellen bør avstemmes med formuleringen i personvernerklæringens punkt 1, som i dag definerer Pactiva som behandlingsansvarlig for «personopplysninger som behandles i tjenesten» uten dette skillet. Bør ses over av jurist.
Pactiva skal kun behandle personopplysninger på dokumenterte instrukser fra Kunden, herunder instrukser gitt gjennom normal bruk av tjenestens funksjonalitet. Pactiva skal varsle Kunden dersom Pactiva mener en instruks er i strid med GDPR eller annen personvernlovgivning.
Personer med tilgang til personopplysninger hos Pactiva er underlagt taushetsplikt, enten gjennom ansettelsesavtale eller tilsvarende forpliktelse.
Pactiva skal implementere egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er tilpasset risikoen, herunder:
Kunden gir Pactiva en generell fullmakt til å benytte underleverandører for behandling av personopplysninger. Pactiva skal informere Kunden om planlagte endringer i underleverandørlisten, og Kunden har rett til å motsette seg slike endringer på saklig grunnlag.
Pactiva benytter per [dato] følgende underleverandører:
| Underleverandør | Formål | Lokasjon | Overføringsgrunnlag |
|---|---|---|---|
| Supabase | Database og autentisering | Storbritannia (eu-west-2) | UK-adekvansbeslutning |
| Stripe | Betalingsbehandling | USA | Standard Contractual Clauses |
| Resend | Utsendelse av e-post | USA | Standard Contractual Clauses |
| Anthropic | AI-assistent (kun ved aktivering) | USA | Standard Contractual Clauses |
| e-signature.eu | Digital signering (eIDAS) | Belgia (EU) | — (innenfor EU/EØS) |
Pactiva skal inngå avtaler med underleverandører som pålegger dem de samme databeskyttelsesforpliktelser som følger av denne avtalen.
Ved ophør av avtaleforholdet skal Pactiva, etter Kundens valg, slette eller returnere alle personopplysninger som er behandlet på vegne av Kunden, med mindre lagring kreves av lov (f.eks. bokføringsloven for fakturadata, jf. personvernerklæringen punkt 5). Data slettes automatisk 30 dager etter oppsigelse, i tråd med gjeldende personvernerklæring.
Pactiva skal, så langt det er mulig og innenfor rimelighetens grenser, bistå Kunden med:
Pactiva skal varsle Kunden uten ugrunnet opphold, og senest innen [24/48] timer etter å ha blitt kjent med et avvik som omfatter Kundens personopplysninger. Varselet skal, så langt mulig, beskrive avvikets art, berørte kategorier og antall registrerte, samt hvilke tiltak som er iverksatt.
Kunden har rett til å be om dokumentasjon som viser at Pactiva overholder forpliktelsene i denne avtalen, og kan, med rimelig varsel, gjennomføre eller få gjennomført revisjon.
[Denne bestemmelsen bør utformes av jurist. Vanlig praksis er å henvise til ansvarsbegrensninger i de generelle vilkårene, evt. sette et tak knyttet til abonnementsverdi.]
Avtalen reguleres av norsk rett. Tvister søkes løst ved [Kundens/Pactivas] verneting, med mindre annet følger av ufravikelig lovgivning.
Ved å krysse av «Jeg godtar databehandleravtalen» ved registrering, bekrefter brukeren å ha fullmakt til å inngå denne avtalen på vegne av virksomheten som registreres.