Databehandleravtale

1. Partene

Denne avtalen regulerer Wenevas behandling av personopplysninger på vegne av Kunden, og gjelder så lenge Kunden bruker Weneva-chatboten. Avtalen gjelder i tillegg til den kommersielle avtalen mellom partene. Ved motstrid går denne avtalen foran i spørsmål om behandling av personopplysninger.

2. Rollefordeling

Kunden er behandlingsansvarlig. Det er Kunden som bestemmer formålet med behandlingen og hvilke opplysninger som skal behandles, og som har ansvaret overfor de registrerte og overfor Datatilsynet.

Weneva er databehandler. Weneva behandler personopplysninger utelukkende på vegne av Kunden og etter Kundens instruks, slik den er nedfelt i denne avtalen med vedlegg.

Weneva skal varsle Kunden dersom Weneva mener en instruks er i strid med personvernregelverket.

3. Behandlingens innhold

Hva som behandles, for hvem og hvor lenge, er beskrevet i Vedlegg A. Vedlegget er en del av avtalen og utgjør Kundens dokumenterte instruks etter GDPR artikkel 28 nr. 3 bokstav a.

4. Wenevas plikter

Weneva skal:

• bare behandle personopplysninger etter dokumentert instruks fra Kunden, med mindre annet kreves etter lov Weneva er underlagt. I så fall varsles Kunden før behandlingen, hvis ikke loven forbyr det
• sørge for at alle som får tilgang til opplysningene er underlagt taushetsplikt
• gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak etter GDPR artikkel 32, se punkt 5
• bistå Kunden med å oppfylle de registrertes rettigheter, se punkt 8
• bistå Kunden med sikkerhet, avviksmelding og eventuell personvernkonsekvensvurdering etter GDPR artikkel 32 til 36
• slette eller tilbakelevere opplysningene når avtalen opphører, se punkt 11
• gjøre tilgjengelig for Kunden all informasjon som er nødvendig for å vise at pliktene i dette punktet er oppfylt, og legge til rette for revisjon, se punkt 10

Weneva skal ikke bruke personopplysninger som behandles for Kunden til egne formål, ut over det som følger av punkt 13.

5. Sikkerhet

Weneva gjennomfører følgende tiltak:

• all trafikk til og fra chatboten går kryptert over HTTPS
• opplysningene lagres i database hos Cloudflare, med primærregion innenfor EØS
• tilgang til Kundens samtaler krever innlogging i kundeportalen. Passord lagres aldri i klartekst, men som PBKDF2-hash
• hver kunde er logisk adskilt gjennom egen kunde-ID, slik at én kunde ikke får tilgang til en annen kundes samtaler
• antall forespørsler per IP-adresse og per samtale er begrenset, for å hindre misbruk
• opplysninger slettes automatisk etter lagringstiden i Vedlegg A, gjennom en daglig automatisk jobb

Weneva vurderer tiltakene jevnlig og oppdaterer dem ved behov. Tiltakene skal aldri gi et lavere beskyttelsesnivå enn det som er beskrevet her.

6. Underdatabehandlere

Kunden gir Weneva generell godkjenning til å bruke underdatabehandlere. De som er i bruk ved signering er listet i Vedlegg B.

Weneva skal varsle Kunden minst 30 dager før en ny underdatabehandler tas i bruk, eller før en eksisterende byttes ut. Kunden kan innen fristen protestere skriftlig. Blir partene ikke enige, kan Kunden si opp tjenesten uten kostnad for gjenstående avtaleperiode.

Weneva inngår avtale med hver underdatabehandler som pålegger dem de samme pliktene som følger av denne avtalen, og er ansvarlig overfor Kunden for det underdatabehandlerne gjør.

7. Overføring utenfor EØS

Enkelte underdatabehandlere er etablert i USA, se Vedlegg B. Overføring skjer på grunnlag av EU-kommisjonens standard personvernbestemmelser (SCC), eventuelt EUs rammeverk for personvern mellom EU og USA (Data Privacy Framework) der leverandøren er sertifisert.

Weneva overfører ikke personopplysninger til andre land enn de som følger av Vedlegg B uten at Kunden er varslet på forhånd.

8. De registrertes rettigheter

Henvendelser fra registrerte, for eksempel om innsyn, retting eller sletting, rettes til Kunden. Får Weneva en slik henvendelse direkte, videreformidles den til Kunden uten unødig opphold, og Weneva svarer ikke selv på den.

Weneva bistår Kunden med å finne fram, rette og slette opplysninger. Kunden kan selv hente ut alle samtaler og slette enkeltsamtaler fra kundeportalen. Trenger Kunden hjelp ut over det, gjøres det uten ekstra kostnad innen rimelig tid.

9. Avvik og brudd på personopplysningssikkerheten

Oppdager Weneva et brudd på personopplysningssikkerheten som berører Kundens opplysninger, varsles Kunden uten unødig opphold og senest innen 24 timer etter at bruddet ble oppdaget.

Varselet skal så langt det er mulig beskrive hva som har skjedd, hvilke kategorier og hvor mange registrerte og opplysninger som er berørt, sannsynlige konsekvenser, og hvilke tiltak som er iverksatt.

Det er Kunden som vurderer og eventuelt melder bruddet til Datatilsynet og til de registrerte. Weneva melder ikke på Kundens vegne.

10. Dokumentasjon og revisjon

Weneva gir Kunden den informasjonen som er nødvendig for å vise at pliktene i denne avtalen er oppfylt.

Kunden kan én gang per kalenderår kreve revisjon av Wenevas behandling, enten selv eller ved en uavhengig tredjepart som er underlagt taushetsplikt. Revisjonen varsles minst 30 dager i forveien og gjennomføres slik at den er til minst mulig ulempe for driften. Kunden dekker egne kostnader.

11. Lagringstid, sletting og tilbakelevering

Samtaler lagres i 24 måneder fra samtalen fant sted. Deretter tømmes innholdet automatisk. Statistikk som ikke kan knyttes til en enkeltperson beholdes, slik at Kunden ikke mister historikken sin i rapportene.

Når avtaleforholdet opphører, sletter Weneva Kundens personopplysninger innen 30 dager, med mindre Kunden innen samme frist ber om å få dem utlevert. Utlevering skjer i maskinlesbart format (CSV) eller som rapport.

Ønsker Kunden en annen lagringstid enn 24 måneder, avtales det skriftlig og noteres i Vedlegg A.

12. Lead-varsler til Kundens e-post

Når en besøkende oppgir kontaktinformasjon, sender Weneva et varsel til den e-postadressen Kunden har oppgitt. Varselet inneholder kontaktinformasjonen og hele samtalen som PDF-vedlegg.

Denne e-posten blir liggende i Kundens eget e-postsystem. Kunden er selv behandlingsansvarlig for den kopien, og har selv ansvar for å oppbevare og slette den i tråd med egen lagringstid. Wenevas automatiske sletting etter punkt 11 omfatter ikke e-post som allerede er levert til Kunden.

13. Bruk av avidentifiserte opplysninger

Weneva kan bruke samtaler til å forbedre kvaliteten på tjenesten, forutsatt at navn, telefonnummer, e-postadresse og annen informasjon som kan identifisere en enkeltperson er fjernet først.

Avidentifiserte opplysninger er ikke personopplysninger og omfattes ikke av lagringstiden i punkt 11. Weneva bruker aldri identifiserbare opplysninger fra Kundens samtaler til egne formål.

Kunden kan når som helst reservere seg mot dette punktet ved å gi skriftlig beskjed. Reservasjon påvirker ikke prisen eller leveransen for øvrig.

14. Ansvar

Partene er ansvarlige etter GDPR artikkel 82 og gjeldende norsk rett. Blir en part holdt ansvarlig for skade forårsaket av den andre partens brudd på denne avtalen eller på personvernregelverket, kan parten kreve regress.

15. Varighet og endringer

Avtalen gjelder fra signering og så lenge Weneva behandler personopplysninger på vegne av Kunden.

Endringer skal være skriftlige og godkjennes av begge parter. Weneva kan likevel oppdatere Vedlegg B om underdatabehandlere etter fremgangsmåten i punkt 6.

16. Lovvalg og verneting

Avtalen reguleres av norsk rett. Tvister søkes løst i minnelighet. Fører det ikke fram, er verneting Trøndelag tingrett.

Vedlegg A: Behandlingens innhold

Vedlegg B: Underdatabehandlere

Signatur

Avtalen signeres i to eksemplarer, ett til hver part.

Kontakt

Spørsmål om denne avtalen? Kontakt oss på lw@weneva.no eller 480 33 202.

Se også personvernerklæringen.