Databehandleravtale

Parter og omfang

Denne avtalen inngås mellom kundeorganisasjonen (behandlingsansvarlig) og ExpertFusion Software and Marketplace L.L.C-FZ, som driver PestLove (databehandler). Den er en del av tjenestevilkårene og gjelder automatisk for hvert abonnement, uten signatur. Ved motstrid med vilkårene om behandling av personopplysninger går denne avtalen foran.

Den omfatter personopplysninger som organisasjonen og dens brukere legger inn eller genererer i PestLove. Virksomhetens egen behandling for kontoer, fakturering, sikkerhet og nettstedet er beskrevet i personvernerklæringen.

Instrukser og taushetsplikt

Vi behandler kundens personopplysninger bare etter organisasjonens dokumenterte instrukser — vilkårene, denne avtalen og organisasjonens oppsett og bruk av tjenesten — med mindre loven krever noe annet; da informerer vi organisasjonen på forhånd når det er tillatt. Vi sier fra dersom vi mener en instruks er i strid med personvernlovgivningen.

Alle som har tilgang til kundens personopplysninger, har taushetsplikt, og tilgangen er begrenset til det som trengs for å levere, støtte og sikre tjenesten.

Sikkerhetstiltak

Vi har egnede tekniske og organisatoriske tiltak, blant annet: skille mellom organisasjoner håndhevet ved hver forespørsel og hvert API-kall; rollebaserte tillatelser og uttrykkelig deling mellom organisasjoner; krypterte forbindelser (TLS); hashede passord og begrensede innloggingsforsøk; API-tokener med avgrenset omfang; operative revisjonslogger; minste nødvendige tilgang til produksjonssystemer; versjonsstyrte og testede utgivelser; og sikkerhetskopier av databaser.

Vi kan oppdatere tiltakene så lenge det samlede beskyttelsesnivået ikke reduseres.

Underdatabehandlere

Organisasjonen godkjenner følgende underdatabehandlere: Vultr (hosting, databaser og fillagring, Amsterdam, Nederland; samt vår server for utgående e-post, Madrid, Spania) og Expo / 650 Industries, Inc. (push-varsler på mobil, USA). Stripe behandler betalingsopplysninger som selvstendig behandlingsansvarlig.

Vi varsler per e-post minst 30 dager før vi legger til eller bytter en underdatabehandler. Organisasjonen kan protestere av rimelige personvernhensyn; hvis innsigelsen ikke kan løses, kan den si opp den berørte tjenesten og få forholdsmessig refusjon av forskuddsbetalt vederlag. Vi pålegger hver underdatabehandler tilsvarende personvernforpliktelser og er fortsatt ansvarlige for dem.

Overføring til andre land

Kundens personopplysninger lagres i Nederland. Når de overføres utenfor EØS, Storbritannia eller Sveits — også til virksomheten i De forente arabiske emirater og til underdatabehandlere i USA —, er EU-kommisjonens standard personvernbestemmelser (beslutning 2021/914, modul 2: behandlingsansvarlig til databehandler, underlagt irsk rett) innlemmet i denne avtalen, sammen med det britiske tillegget for internasjonale overføringer og de sveitsiske tilpasningene der det er relevant.

Bistand, avvik og revisjon

Tjenesten lar organisasjonen se, rette, eksportere og slette dataene sine. Vi videresender forespørsler fra registrerte til organisasjonen og hjelper den med å svare, og vi gir rimelig informasjon til vurderinger av personvernkonsekvenser.

Vi varsler organisasjonen uten ugrunnet opphold, og senest innen 48 timer etter at vi ble kjent med det, om brudd på personopplysningssikkerheten som berører dens data, med den informasjonen som da er tilgjengelig, og holder den orientert etter hvert som vi vet mer.

Vi gjør tilgjengelig informasjonen som trengs for å vise at avtalen overholdes. Organisasjonen kan revidere vår etterlevelse én gang i året med 30 dagers skriftlig varsel, eller etter et avvik, under taushetsplikt og for egen regning.

Tilbakelevering og sletting

I abonnementsperioden og i 30 dager etter at den er avsluttet, kan organisasjonen eksportere dataene sine. Deretter sletter vi kundens personopplysninger fra produksjonssystemene, og sikkerhetskopier fjernes når de utløper i rotasjonen, med mindre loven krever at de oppbevares. Vi bekrefter slettingen skriftlig på forespørsel.

Beskrivelse av behandlingen

Formål og gjenstand: levering av PestLove-programvaren for skadedyrkontroll, mattrygghet (HACCP), revisjoner, opplæring og laboratoriearbeid. Varighet: abonnementsperioden pluss eksportperioden. Art: hosting, lagring, organisering, visning, overføring via e-post og push-varsler, rapportering, eksport, sikkerhetskopiering og sletting.

Registrerte: organisasjonens brukere, dens kunder og deres kontaktpersoner, ansatte på lokasjoner som nevnes i registreringer, kursdeltakere og signatarer. Kategorier av opplysninger: navn, stillinger, forretningskontaktopplysninger, kontoidentifikatorer, adresser til lokasjoner, oppdrags-, inspeksjons- og revisjonsregistreringer, målinger, bilder, signaturer og opplæringsregistreringer. Behandling av særlige kategorier personopplysninger er ikke forutsatt.

Ansvar etter denne avtalen er underlagt begrensningene i tjenestevilkårene, med mindre personvernlovgivningen ikke tillater det.