Databehandleravtale
1. Formål og varighet
Databehandleren behandler personopplysninger på vegne av den behandlingsansvarlige for å levere Simbla Påmelding: publisering av arrangementer, påmelding, venteliste, e-post til deltakere og innsjekk. Avtalen gjelder så lenge organisasjonen bruker tjenesten.
2. Opplysninger og registrerte
- Registrerte: deltakere (og eventuelle barn de melder på) og organisasjonens arrangører.
- Opplysninger: navn, e-post, telefon, antall plasser, svar på organisasjonens egne skjemafelt, oppmøte og e-poststatus.
- Organisasjonen skal ikke be om særlige kategorier av personopplysninger (helse, religion o.l.) eller fødselsnummer i skjemaene.
3. Databehandlerens plikter
- Behandle opplysningene bare etter dokumenterte instrukser fra organisasjonen, slik de kommer til uttrykk i innstillingene i tjenesten og denne avtalen.
- Sørge for at personer med tilgang har taushetsplikt.
- Gjennomføre egnede tekniske og organisatoriske tiltak (artikkel 32), blant annet kryptert overføring, hashede passord, tofaktorautentisering, tilgangsstyring per organisasjon, endringslogg, sikkerhetskopiering og automatisk sletting.
- Bistå organisasjonen med å besvare henvendelser fra registrerte og med vurderinger av personvernkonsekvenser.
- Varsle organisasjonen uten ugrunnet opphold, og senest innen 36 timer, etter å ha oppdaget et brudd på personopplysningssikkerheten.
- Gjøre tilgjengelig informasjon som trengs for å vise at pliktene overholdes, og tillate revisjon etter rimelig varsel.
4. Underleverandører
Organisasjonen gir generell forhåndsgodkjenning av disse underleverandørene:
- driftsleverandør med datasenter i EU/EØS – drift av server, database og filer.
- Brevo (Sendinblue SAS), Frankrike (EU) – utsending av e-post.
- Cloudflare, Inc. (beskyttelse mot angrep og levering av sider; standard personvernbestemmelser/EU–US Data Privacy Framework).
Nye underleverandører varsles organisasjonens eiere minst 30 dager i forveien, slik at organisasjonen kan protestere eller si opp avtalen.
5. Overføring utenfor EU/EØS
Opplysningene lagres i EU/EØS. Overføring til tredjeland skjer bare med gyldig overføringsgrunnlag etter kapittel V i personvernforordningen.
6. Sletting og tilbakelevering
- Deltakeropplysninger slettes automatisk etter fristen organisasjonen har valgt for hvert arrangement.
- Innholdet i sendte e-poster slettes etter 30 dager. Endringsloggen slettes etter 2 år.
- Når avtalen opphører, slettes organisasjonens data. Organisasjonen kan eksportere deltakerlister før dette. Sikkerhetskopier slettes innen 30 dager.
7. Kontakt
Henvendelser om avtalen og varsel om avvik: hello@simbla.io.