Databehandleravtale

Denne databehandleravtalen er en del av brukeravtalen for CRM1 og gjelder mellom kunden som behandlingsansvarlig («Kunden») og CRM1 AS, org.nr. 917 082 154, som databehandler («Databehandleren»). Avtalen inngås når Kunden godtar brukeravtalen, og oppfyller kravene i personvernforordningen (GDPR) artikkel 28.

1. Formål og varighet

Databehandleren behandler personopplysninger på vegne av Kunden for å levere CRM1, slik tjenesten er beskrevet i brukeravtalen. Avtalen gjelder så lenge Databehandleren behandler personopplysninger for Kunden.

2. Behandlingen

• Art: lagring, visning, søk, eksport, sikkerhetskopiering og sletting i CRM1.
• Registrerte: Kundens brukere, og kontaktpersoner hos Kundens kunder, prospekter og samarbeidspartnere.
• Opplysninger: navn, e-post, telefon, stilling, adresse, historikk og notater, oppgaver, salgsmuligheter og vedlegg.
• Kunden skal ikke legge inn særlige kategorier av personopplysninger (GDPR art. 9) eller opplysninger om straffedommer (art. 10) uten særskilt avtale.

3. Kundens instrukser

Databehandleren behandler personopplysningene bare etter Kundens dokumenterte instrukser. Brukeravtalen, denne avtalen og Kundens bruk av funksjonene i CRM1 utgjør instruksene. Databehandleren skal varsle Kunden dersom en instruks etter Databehandlerens vurdering er i strid med regelverket.

4. Taushetsplikt og sikkerhet

Alle som har tilgang til personopplysningene på vegne av Databehandleren, har taushetsplikt. Databehandleren gjennomfører tekniske og organisatoriske tiltak etter GDPR artikkel 32, blant annet:

• drift på egne servere i Norge, på flere fysiske lokasjoner, uten tilgang for eksterne driftsleverandører
• kryptering av all trafikk med HTTPS (TLS)
• sikkerhetskopi hver natt
• tilgangskontroll, passord lagret som hash, og logging av forespørsler
• skille mellom kunder, slik at hver kunde bare har tilgang til egne data

5. Avvik

Databehandleren skal varsle Kunden uten ugrunnet opphold, og senest innen 48 timer etter å ha blitt kjent med et brudd på personopplysningssikkerheten, med den informasjonen Kunden trenger for å vurdere og eventuelt melde bruddet til Datatilsynet.

6. Bistand til Kunden

Databehandleren skal, så langt det er mulig, bistå Kunden med å oppfylle de registrertes rettigheter (innsyn, retting, sletting, dataportabilitet m.m.), og med vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet. Henvendelser fra registrerte som gjelder Kundens data, sendes videre til Kunden.

7. Underdatabehandlere

Kunden gir generell forhåndsgodkjenning av at Databehandleren bruker underdatabehandlere. Disse kan behandle Kundens personopplysninger i dag:

Databehandleren skal inngå avtaler med underdatabehandlerne som gir minst samme vern som denne avtalen, og varsle Kunden om planlagte endringer minst 30 dager i forveien. Kunden kan protestere mot en endring, og i så fall si opp avtalen.

8. Overføring til land utenfor EU/EØS

Personopplysninger overføres bare til land utenfor EU/EØS med gyldig overføringsgrunnlag etter GDPR kapittel V, for eksempel EU-kommisjonens standardavtaler (SCC). Kundens data i CRM1 lagres i Norge.

9. Opphør og sletting

Når kundeforholdet avsluttes, kan Kunden eksportere sine data (Pluss og Dedikert). Databehandleren sletter deretter Kundens personopplysninger innen 90 dager, og fra sikkerhetskopier når de roteres ut, med mindre lovgivning krever at de oppbevares.

10. Dokumentasjon og revisjon

Databehandleren skal gjøre tilgjengelig den informasjonen Kunden trenger for å kontrollere at avtalen overholdes, og bidra ved rimelige revisjoner etter forhåndsavtale.

11. Lovvalg og verneting

Avtalen reguleres av norsk rett. Verneting er det samme som i brukeravtalen.

Spørsmål om avtalen kan sendes til support@crm1.no. Se også personvernerklæringen.