1. Partene og inngåelse
Behandlingsansvarlig: Kunden, det vil si virksomheten med organisasjonsnummeret som er oppgitt i kassen.
Databehandler: Brødrene Gåsdal AS.
Avtalen inngås når Kunden krysser av for den i kassen. Vi lagrer versjonen, tidspunktet, organisasjonsnummeret og e-postadressen eller brukeren som krysset av. Avtalen er en del av vilkårene.
2. Gjenstand, formål og varighet
Avtalen gjelder all behandling av personopplysninger som Brødrene Gåsdal AS gjør på vegne av Kunden i produktene som selges via B2B Vekst, slik de er beskrevet i vilkårene. Formålet er å levere produktene Kunden har kjøpt. Avtalen gjelder så lenge Kunden har et aktivt kjøp, og til opplysningene er slettet eller levert tilbake etter punkt 9.
3. Type opplysninger og kategorier av registrerte
- Opplysninger: kontaktopplysninger (navn, e-post, telefon, rolle), offentlig tilgjengelig firmainformasjon, og innhold i meldinger og skjemaer Kunden bruker i produktene.
- Registrerte: ansatte og kontaktpersoner i bedrifter Kunden vil nå, Kundens egne kunder og henvendere, og Kundens brukere av produktene.
- Kunden skal ikke legge inn særlige kategorier av personopplysninger (GDPR art. 9) eller opplysninger om straffedommer (art. 10).
4. Instrukser (art. 28 nr. 3 bokstav a)
Personopplysningene behandles bare etter Kundens dokumenterte instrukser. Avtalen, vilkårene og innstillingene Kunden gjør i produktene er instruksene. Det gjelder også overføring til land utenfor EU/EØS (se punkt 7). Krever lov at vi behandler opplysninger på annen måte, varsler vi Kunden før behandlingen, med mindre loven forbyr det. Mener vi at en instruks er i strid med personvernregelverket, sier vi fra med en gang.
5. Taushetsplikt og sikkerhet (bokstav b og c)
Alle som har tilgang til personopplysningene, har taushetsplikt. Vi gjennomfører tiltakene i GDPR art. 32, blant annet:
- Tilgangskontroll per kunde og arbeidsområde, håndhevet i databasen.
- Kryptering i transit (TLS 1.2+) og at-rest (AES-256).
- Revisjonslogg for utgående meldinger og godkjenninger.
- Sikkerhetskopi og overvåking av drift.
6. Underleverandører (bokstav d)
Kunden gir generell skriftlig forhåndsgodkjenning til å bruke underleverandørene i kategoriene i Vedlegg B. Nye eller endrede underleverandører varsles 30 dager i forveien, og Kunden kan protestere innen fristen. Hver underleverandør pålegges de samme personvernpliktene som i denne avtalen. Brødrene Gåsdal AS er ansvarlig overfor Kunden for underleverandørenes oppfyllelse.
7. Hvor dataene behandles
Dataene lagres i EU/EØS. Noen underleverandører, blant annet for AI-behandling, kan behandle data i USA. Overføringen er sikret med EU-kommisjonens standardpersonvernbestemmelser (SCC).
8. Bistand til Kunden (bokstav e og f)
- De registrertes rettigheter: vi bistår Kunden med innsyn, retting, sletting og andre rettigheter etter GDPR kapittel III, blant annet med nedlasting av data (JSON og CSV) og sletting på Min side.
- Art. 32–36: vi bistår med sikkerhet, avviksmelding, vurdering av personvernkonsekvenser og forhåndsdrøfting, ut fra informasjonen vi har.
- Avvik: vi varsler Kunden uten ugrunnet opphold når vi blir kjent med et brudd på personopplysningssikkerheten, med informasjonen Kunden trenger for å melde avviket.
9. Sletting og tilbakelevering (bokstav g)
Ved opphør slettes Kundens personopplysninger innen 30 dager, eller leveres tilbake etter Kundens valg. Kunden kan selv laste ned dataene og slette kontoen på Min side. Sletting fra Min side har 14 dagers angrefrist.
Unntak: regnskapsdata (fakturaer og betalinger) oppbevares i 5 år etter bokføringsloven. Navn og e-post fjernes fra disse, og resten slettes når fristen har gått ut.
10. Informasjon og revisjon (bokstav h)
Vi gjør tilgjengelig informasjonen som trengs for å vise at art. 28 er oppfylt (denne avtalen og /sikkerhet), og tillater og bidrar til revisjoner, også inspeksjoner, som Kunden eller en revisor Kunden har gitt fullmakt gjennomfører.
11. Lovvalg og verneting
Avtalen reguleres av norsk lov, og verneting er som i vilkårene punkt 9.
Vedlegg B — Underleverandører
- Database og drift (EU/EØS)
- E-postutsending
- Betaling
- AI-behandling (kan skje i USA, sikret med EU-kommisjonens standardpersonvernbestemmelser (SCC))
- Henting av offentlige nettsider
- Feilovervåking (EU-region — tekniske feilrapporter uten persondata)
Navn på underleverandørene oppgis til kunder som har inngått avtalen, og på forespørsel.