Databehandleravtale

Klausul 1. Formål og virkeområde

(a) Formålet med disse standardbestemmelsene (bestemmelsene) er å sikre at artikkel 28 nr. 3 og 4 i forordning (EU) 2016/679 (personvernforordningen) overholdes.

(b) Den behandlingsansvarlige og databehandleren som er oppført i bilag I, har avtalt disse bestemmelsene for å sikre at artikkel 28 nr. 3 og 4 i personvernforordningen overholdes.

(c) Bestemmelsene gjelder for behandlingen av personopplysninger som beskrevet i bilag II.

(d) Bilag I til IV er en integrert del av bestemmelsene.

(e) Bestemmelsene berører ikke forpliktelsene den behandlingsansvarlige har etter personvernforordningen.

(f) Bestemmelsene sikrer ikke i seg selv at forpliktelsene om overføring til tredjeland eller internasjonale organisasjoner i kapittel V i personvernforordningen overholdes.

Klausul 2. Bestemmelsene kan ikke endres

(a) Partene forplikter seg til ikke å endre bestemmelsene, unntatt for å legge til opplysninger i bilagene eller oppdatere opplysningene i dem.

(b) Dette hindrer ikke partene i å ta bestemmelsene inn i en bredere avtale, eller i å legge til andre bestemmelser eller ytterligere garantier, forutsatt at de ikke direkte eller indirekte er i strid med bestemmelsene eller begrenser de registrertes grunnleggende rettigheter eller friheter.

Klausul 3. Tolkning

(a) Når begreper som er definert i personvernforordningen, brukes i bestemmelsene, har de samme betydning som i forordningen.

(b) Bestemmelsene skal leses og tolkes i lys av personvernforordningen.

(c) Bestemmelsene skal ikke tolkes på en måte som strider mot rettighetene og forpliktelsene i personvernforordningen, eller som begrenser de registrertes grunnleggende rettigheter eller friheter.

Klausul 4. Rangordning

Ved motstrid mellom disse bestemmelsene og bestemmelsene i tilknyttede avtaler mellom partene, som foreligger når bestemmelsene avtales eller inngås senere, har disse bestemmelsene forrang.

Klausul 5. Tiltredelse

Den valgfrie klausulen om at flere parter kan tiltre bestemmelsene, er ikke tatt med. Hver virksomhet inngår sin egen avtale med Northflow Technologies AS.

Klausul 6. Beskrivelse av behandlingen

Opplysninger om behandlingen, særlig kategoriene av personopplysninger og formålene de behandles for på vegne av den behandlingsansvarlige, står i bilag II.

Klausul 7. Partenes forpliktelser

7.1 Instrukser

(a) Databehandleren skal bare behandle personopplysninger etter dokumenterte instrukser fra den behandlingsansvarlige, med mindre behandlingen er påkrevd etter unionsretten eller nasjonal rett som databehandleren er underlagt. I så fall skal databehandleren underrette den behandlingsansvarlige om dette rettslige kravet før behandlingen, med mindre slik underretning er forbudt i lovgivningen av hensyn til viktige allmenne interesser. Den behandlingsansvarlige kan også gi senere instrukser så lenge behandlingen pågår. Instruksene skal alltid dokumenteres.

(b) Databehandleren skal umiddelbart underrette den behandlingsansvarlige dersom databehandleren mener at instrukser fra den behandlingsansvarlige er i strid med personvernforordningen eller andre personvernregler i unionsretten eller nasjonal rett.

7.2 Formålsbegrensning

Databehandleren skal bare behandle personopplysningene for de bestemte formålene som står i bilag II, med mindre databehandleren får andre instrukser fra den behandlingsansvarlige.

7.3 Varigheten av behandlingen

Databehandleren skal bare behandle personopplysninger så lenge som angitt i bilag II.

7.4 Sikkerhet ved behandlingen

(a) Databehandleren skal minst gjennomføre de tekniske og organisatoriske tiltakene i bilag III for å sikre personopplysningene. Dette omfatter vern mot brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ikke-autorisert utlevering av eller tilgang til opplysningene (brudd på personopplysningssikkerheten). Ved vurderingen av hvilket sikkerhetsnivå som er egnet, skal partene ta behørig hensyn til den tekniske utviklingen, gjennomføringskostnadene, behandlingens art, omfang, sammenheng og formål og risikoene for de registrerte.

(b) Databehandleren skal bare gi sitt personell tilgang til personopplysningene som behandles, i den grad det er strengt nødvendig for å gjennomføre, forvalte og overvåke avtalen. Databehandleren skal sørge for at personer som har tilgang til personopplysningene, har forpliktet seg til konfidensialitet eller har en egnet lovfestet taushetsplikt.

7.5 Særlige kategorier av personopplysninger

Dersom behandlingen omfatter personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion eller livssyn eller fagforeningsmedlemskap, genetiske opplysninger eller biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger, opplysninger om en persons seksuelle forhold eller seksuelle orientering, eller opplysninger om straffedommer og lovovertredelser (særlige kategorier av personopplysninger), skal databehandleren anvende særlige begrensninger eller ytterligere garantier.

7.6 Dokumentasjon og etterlevelse

(a) Partene skal kunne påvise at disse bestemmelsene overholdes.

(b) Databehandleren skal raskt og på en egnet måte svare på henvendelser fra den behandlingsansvarlige om behandlingen av opplysningene etter disse bestemmelsene.

(c) Databehandleren skal gjøre tilgjengelig for den behandlingsansvarlige alle opplysninger som er nødvendige for å påvise at forpliktelsene i disse bestemmelsene, og forpliktelsene som følger direkte av personvernforordningen, er oppfylt. På anmodning fra den behandlingsansvarlige skal databehandleren også tillate og bidra til revisjoner av behandlingen som omfattes av bestemmelsene, med rimelige mellomrom eller dersom det er tegn på manglende etterlevelse. Når den behandlingsansvarlige avgjør om det skal gjennomføres en gjennomgang eller revisjon, kan den ta hensyn til relevante sertifiseringer databehandleren har.

(d) Den behandlingsansvarlige kan velge å gjennomføre revisjonen selv eller gi en uavhengig revisor i oppdrag å gjøre det. Revisjoner kan også omfatte inspeksjoner i databehandlerens lokaler eller fysiske anlegg og skal, når det er hensiktsmessig, gjennomføres med rimelig varsel.

(e) Partene skal gjøre opplysningene nevnt i denne klausulen, også resultatene av revisjoner, tilgjengelige for de kompetente tilsynsmyndighetene på anmodning.

7.7 Bruk av underdatabehandlere

(a) Generell skriftlig forhåndsgodkjenning: Databehandleren har den behandlingsansvarliges generelle godkjenning til å bruke underdatabehandlerne i den avtalte listen i bilag IV. Databehandleren skal underrette den behandlingsansvarlige skriftlig om planlagte endringer i listen, ved at underdatabehandlere legges til eller byttes ut, minst 30 dager i forveien. Slik får den behandlingsansvarlige tilstrekkelig tid til å protestere mot endringene før den aktuelle underdatabehandleren tas i bruk. Databehandleren skal gi den behandlingsansvarlige de opplysningene som trengs for å kunne protestere.

(b) Når databehandleren engasjerer en underdatabehandler for å utføre bestemte behandlingsaktiviteter på vegne av den behandlingsansvarlige, skal det skje ved en avtale som pålegger underdatabehandleren i det vesentlige de samme personvernforpliktelsene som databehandleren har etter disse bestemmelsene. Databehandleren skal sørge for at underdatabehandleren oppfyller forpliktelsene databehandleren har etter disse bestemmelsene og personvernforordningen.

(c) På anmodning fra den behandlingsansvarlige skal databehandleren gi den behandlingsansvarlige en kopi av avtalen med underdatabehandleren og senere endringer i den. I den grad det er nødvendig for å verne forretningshemmeligheter eller andre fortrolige opplysninger, også personopplysninger, kan databehandleren sladde teksten før kopien deles.

(d) Databehandleren er fullt ut ansvarlig overfor den behandlingsansvarlige for at underdatabehandleren oppfyller sine forpliktelser etter avtalen med databehandleren. Databehandleren skal underrette den behandlingsansvarlige dersom underdatabehandleren ikke oppfyller sine forpliktelser etter avtalen.

(e) Databehandleren skal avtale en tredjemannsklausul med underdatabehandleren, slik at den behandlingsansvarlige, dersom databehandleren i praksis har opphørt, har opphørt rettslig eller har blitt insolvent, har rett til å si opp avtalen med underdatabehandleren og instruere underdatabehandleren om å slette eller tilbakelevere personopplysningene.

7.8 Internasjonale overføringer

(a) Enhver overføring av opplysninger fra databehandleren til et tredjeland eller en internasjonal organisasjon skal bare skje på grunnlag av dokumenterte instrukser fra den behandlingsansvarlige, eller for å oppfylle et bestemt krav i unionsretten eller nasjonal rett som databehandleren er underlagt, og skal skje i samsvar med kapittel V i personvernforordningen.

(b) Den behandlingsansvarlige er enig i at når databehandleren bruker en underdatabehandler etter klausul 7.7 til bestemte behandlingsaktiviteter på vegne av den behandlingsansvarlige, og disse aktivitetene innebærer en overføring av personopplysninger etter kapittel V i personvernforordningen, kan databehandleren og underdatabehandleren sikre at kapittel V overholdes ved å bruke standardpersonvernbestemmelser vedtatt av Kommisjonen etter artikkel 46 nr. 2 i personvernforordningen, forutsatt at vilkårene for å bruke dem er oppfylt.

Klausul 8. Bistand til den behandlingsansvarlige

(a) Databehandleren skal straks underrette den behandlingsansvarlige om enhver anmodning databehandleren har mottatt fra den registrerte. Databehandleren skal ikke selv svare på anmodningen, med mindre den behandlingsansvarlige har gitt fullmakt til det.

(b) Databehandleren skal bistå den behandlingsansvarlige med å oppfylle plikten til å svare på de registrertes anmodninger om å utøve sine rettigheter, ut fra behandlingens art. Når databehandleren oppfyller forpliktelsene etter bokstav (a) og (b), skal databehandleren følge den behandlingsansvarliges instrukser.

(c) I tillegg til plikten til å bistå etter klausul 8 bokstav (b) skal databehandleren, ut fra behandlingens art og opplysningene databehandleren har tilgang til, bistå den behandlingsansvarlige med å oppfylle følgende forpliktelser:

• (1) plikten til å vurdere konsekvensene av den planlagte behandlingen for personvernet (en vurdering av personvernkonsekvenser) når en type behandling sannsynligvis vil medføre en høy risiko for fysiske personers rettigheter og friheter;
• (2) plikten til å rådføre seg med de kompetente tilsynsmyndighetene før behandlingen, når en vurdering av personvernkonsekvenser viser at behandlingen vil medføre høy risiko dersom den behandlingsansvarlige ikke iverksetter tiltak for å redusere risikoen;
• (3) plikten til å sikre at personopplysningene er korrekte og oppdaterte, ved at databehandleren uten opphold underretter den behandlingsansvarlige dersom databehandleren blir kjent med at personopplysningene databehandleren behandler, er uriktige eller utdaterte;
• (4) forpliktelsene i artikkel 32 i personvernforordningen.

(d) Partene skal i bilag III angi de egnede tekniske og organisatoriske tiltakene databehandleren skal bruke for å bistå den behandlingsansvarlige med å anvende denne klausulen, og omfanget av bistanden.

Klausul 9. Melding om brudd på personopplysningssikkerheten

Ved brudd på personopplysningssikkerheten skal databehandleren samarbeide med og bistå den behandlingsansvarlige, slik at den behandlingsansvarlige kan oppfylle sine forpliktelser etter artikkel 33 og 34 i personvernforordningen, ut fra behandlingens art og opplysningene databehandleren har tilgang til.

9.1 Brudd som gjelder opplysninger den behandlingsansvarlige behandler

Ved brudd på personopplysningssikkerheten som gjelder opplysninger den behandlingsansvarlige behandler, skal databehandleren bistå den behandlingsansvarlige:

• (a) med å melde bruddet til de kompetente tilsynsmyndighetene uten ugrunnet opphold etter at den behandlingsansvarlige ble kjent med det, med mindre det er lite sannsynlig at bruddet vil medføre en risiko for fysiske personers rettigheter og friheter;
• (b) med å innhente følgende opplysninger, som etter artikkel 33 nr. 3 i personvernforordningen skal stå i den behandlingsansvarliges melding: (1) arten av personopplysningene, om mulig med kategoriene og omtrentlig antall registrerte og kategoriene og omtrentlig antall registreringer av personopplysninger som berøres; (2) de sannsynlige konsekvensene av bruddet; (3) tiltakene den behandlingsansvarlige har iverksatt eller foreslår å iverksette for å håndtere bruddet, herunder, der det er relevant, tiltak for å redusere mulige skadevirkninger. Dersom det ikke er mulig å gi alle opplysningene samtidig, skal den første meldingen inneholde opplysningene som da er tilgjengelige, og ytterligere opplysninger skal gis uten ugrunnet opphold når de blir tilgjengelige;
• (c) med å oppfylle plikten etter artikkel 34 i personvernforordningen til uten ugrunnet opphold å underrette den registrerte om bruddet, når bruddet sannsynligvis vil medføre en høy risiko for fysiske personers rettigheter og friheter.

9.2 Brudd som gjelder opplysninger databehandleren behandler

Ved brudd på personopplysningssikkerheten som gjelder opplysninger databehandleren behandler, skal databehandleren underrette den behandlingsansvarlige uten ugrunnet opphold etter at databehandleren ble kjent med bruddet. Underretningen skal minst inneholde:

• (a) en beskrivelse av bruddets art, om mulig med kategoriene og omtrentlig antall registrerte og registreringer som berøres;
• (b) navn og kontaktopplysninger for et kontaktpunkt der mer informasjon om bruddet kan fås;
• (c) de sannsynlige konsekvensene av bruddet og tiltakene som er iverksatt eller foreslås iverksatt for å håndtere bruddet, herunder tiltak for å redusere mulige skadevirkninger.

Dersom det ikke er mulig å gi alle opplysningene samtidig, skal den første underretningen inneholde opplysningene som da er tilgjengelige, og ytterligere opplysninger skal gis uten ugrunnet opphold når de blir tilgjengelige.

Partene skal i bilag III angi alle andre opplysninger databehandleren skal gi når den bistår den behandlingsansvarlige med å oppfylle forpliktelsene etter artikkel 33 og 34 i personvernforordningen.

Klausul 10. Brudd på bestemmelsene og oppsigelse

(a) Uten at det berører bestemmelsene i personvernforordningen, kan den behandlingsansvarlige, dersom databehandleren ikke oppfyller sine forpliktelser etter disse bestemmelsene, instruere databehandleren om å stanse behandlingen av personopplysninger til databehandleren overholder bestemmelsene eller avtalen er sagt opp. Databehandleren skal straks underrette den behandlingsansvarlige dersom databehandleren av en eller annen grunn ikke kan overholde bestemmelsene.

(b) Den behandlingsansvarlige har rett til å si opp avtalen, så langt den gjelder behandling av personopplysninger etter disse bestemmelsene, dersom:

• (1) den behandlingsansvarlige har stanset databehandlerens behandling av personopplysninger etter bokstav (a), og bestemmelsene ikke er overholdt innen rimelig tid og i alle tilfeller innen én måned etter at behandlingen ble stanset;
• (2) databehandleren i vesentlig grad eller gjentatte ganger bryter disse bestemmelsene eller sine forpliktelser etter personvernforordningen;
• (3) databehandleren ikke overholder en bindende avgjørelse fra en kompetent domstol eller kompetent tilsynsmyndighet om databehandlerens forpliktelser etter disse bestemmelsene eller personvernforordningen.

(c) Databehandleren har rett til å si opp avtalen, så langt den gjelder behandling av personopplysninger etter disse bestemmelsene, dersom den behandlingsansvarlige, etter å ha blitt underrettet om at instruksene bryter gjeldende rettslige krav etter klausul 7.1 bokstav (b), insisterer på at instruksene skal følges.

(d) Etter at avtalen er opphørt, skal databehandleren, etter den behandlingsansvarliges valg, slette alle personopplysninger som er behandlet på vegne av den behandlingsansvarlige og bekrefte overfor den behandlingsansvarlige at dette er gjort, eller tilbakelevere alle personopplysningene til den behandlingsansvarlige og slette eksisterende kopier, med mindre unionsretten eller nasjonal rett krever at personopplysningene lagres. Til opplysningene er slettet eller tilbakelevert, skal databehandleren fortsatt sørge for at disse bestemmelsene overholdes.

Klausul 11. Norsk rett og instrukser

(a) Personvernforordningen gjelder i Norge som lov gjennom personopplysningsloven. Henvisninger i avtalen til unionsretten eller nasjonal rett omfatter norsk rett og retten i de andre EØS-statene. Datatilsynet er tilsynsmyndighet for Northflow Technologies AS.

(b) Den behandlingsansvarliges dokumenterte instrukser er denne avtalen med bilag II, og det virksomheten og brukerne gjør i Cartaia, for eksempel når de lagrer, deler, inviterer, sender e-post eller sletter. Andre instrukser gis skriftlig, på e-post til post@cartaia.no, av eieren eller en administrator av bedriftskontoen, eller av kunden selv når Cartaia Solo brukes i næringsvirksomhet.

(c) Northflow Technologies AS bruker personopplysningene bare til å levere Cartaia til virksomheten. Opplysningene brukes aldri til markedsføring, profilering eller trening av kunstig intelligens, og de selges aldri.

(d) Northflow Technologies AS er selv behandlingsansvarlig for kundeforholdet og betalingen, for regnskap etter bokføringsloven og for sikkerheten i tjenesten, som innloggingshendelser, revisjonslogger og vern mot misbruk. Den behandlingen står i personvernerklæringen og omfattes ikke av denne avtalen.

(e) Varsler etter denne avtalen sendes på e-post til eieren av bedriftskontoen, eller til brukerens egen e-postadresse når Cartaia Solo brukes i næringsvirksomhet.

Klausul 12. Hvor opplysningene behandles

(a) Personopplysningene lagres og behandles i EU/EØS. Serverne står i Nürnberg i Tyskland, og sikkerhetskopiene ligger i Helsinki i Finland. Alle underdatabehandlerne i bilag IV behandler opplysningene i EU/EØS.

(b) Databehandleren skal ikke overføre personopplysninger til et land utenfor EU/EØS, eller ta i bruk en underdatabehandler som behandler opplysninger der, uten at den behandlingsansvarlige på forhånd har samtykket skriftlig. Et varsel etter klausul 7.7 er ikke nok.

(c) Når virksomheten selv sender opplysninger ut av tjenesten, for eksempel ved å sende e-post, dele en fil med noen eller følge en kalender hos en annen leverandør, skjer det etter virksomhetens instruks, og mottakeren er ikke underdatabehandler.

(d) Krever en offentlig myndighet å få utlevert personopplysninger, utleverer databehandleren bare det norsk rett eller annen EØS-rett pålegger. Databehandleren varsler den behandlingsansvarlige før utlevering når loven tillater det, og prøver krav som ikke har klar hjemmel.

Klausul 13. Varsel om underdatabehandlere

(a) Varselet etter klausul 7.7 sendes som klausul 11 (e) sier, minst 30 dager før endringen, og står samtidig under Underdatabehandlere på solo.cartaia.no/databehandleravtale. Varselet sier hvem underdatabehandleren er, hvor opplysningene skal behandles, hva den skal gjøre og fra hvilken dato. Det samme gjelder når en underdatabehandler skal behandle opplysningene et annet sted enn bilag IV sier.

(b) Den behandlingsansvarlige kan protestere skriftlig innen varselfristen. Databehandleren skal da søke en løsning med den behandlingsansvarlige. Finner partene ingen løsning, kan den behandlingsansvarlige si opp avtalen med virkning fra dagen før endringen. Det som er betalt for tiden etter at avtalen opphørte, betales tilbake med en kreditnota.

(c) En ny underdatabehandler får ikke tilgang til opplysningene før varselfristen er ute. Unntaket er når en underdatabehandler må byttes ut straks for å verne sikkerheten eller holde tjenesten i gang. Da varsles den behandlingsansvarlige så snart som mulig, med den samme retten til å protestere og si opp.

Klausul 14. Varsel om brudd innen 24 timer

(a) Underretningen etter klausul 9.2 sendes uten ugrunnet opphold og senest 24 timer etter at databehandleren ble kjent med bruddet. Den sendes som klausul 11 (e) sier, og også til administratorene av bedriftskontoen.

(b) Databehandleren dokumenterer hvert brudd som gjelder den behandlingsansvarliges opplysninger: hva som skjedde, virkningene og tiltakene. Dokumentasjonen gis til den behandlingsansvarlige på forespørsel.

(c) Bistand etter klausul 9 er uten kostnad for den behandlingsansvarlige.

Klausul 15. Innsyn og revisjon

(a) Databehandleren svarer på skriftlige spørsmål om behandlingen uten ugrunnet opphold og normalt innen ti virkedager, og gir den behandlingsansvarlige dokumentasjonen av tiltakene i bilag III og underdatabehandlernes sertifiseringer.

(b) Den behandlingsansvarlige kan gjennomføre revisjon etter klausul 7.6 én gang i året, og i tillegg etter et brudd på personopplysningssikkerheten, når det er tegn på manglende etterlevelse, eller når en tilsynsmyndighet krever det. Revisjonen varsles minst 30 dager i forveien, eller så raskt som omstendighetene krever etter et brudd. En revisor som ikke er ansatt hos den behandlingsansvarlige, må være uavhengig, ha taushetsplikt og ikke være en konkurrent av Northflow Technologies AS.

(c) Hver part bærer sine egne kostnader ved revisjon. Databehandleren bistår inntil én arbeidsdag per år uten kostnad, og ut over det etter medgått tid. Revisjon etter et brudd hos databehandleren er alltid uten kostnad for den behandlingsansvarlige.

(d) Datasentrene drives av Hetzner. Inspeksjon av dem skjer etter Hetzners regler, og databehandleren gir den behandlingsansvarlige Hetzners dokumentasjon av sikkerheten der.

Klausul 16. Bistand, sletting og tilbakelevering

(a) Henvendelser fra registrerte som databehandleren mottar, sendes videre til den behandlingsansvarlige innen to virkedager. Annen bistand etter klausul 8 gis uten ugrunnet opphold og normalt innen ti virkedager. Bistand med verktøyene i Cartaia og bistand ved brudd er uten kostnad. Annen bistand er uten kostnad inntil én arbeidsdag per år, og ut over det etter medgått tid.

(b) Tilbakelevering: Før avtalen opphører, kan hver bruker laste ned alt i sitt eget område i Cartaia som én zip-fil, med filer, kalendere og kontoopplysninger, og hente e-posten med et e-postprogram over IMAP. Eieren og administratorene kan laste ned den felles mappen. Databehandleren hjelper med tilbakelevering i andre vanlige formater ved behov.

(c) Sletting når avtalen opphører: Når abonnementet på Cartaia Bedrift er sagt opp eller ikke lenger betales, tar databehandleren vare på opplysningene i 30 dager, slik at virksomheten kan laste dem ned. Hver bruker får en e-post minst sju dager før noe slettes. Deretter slettes opplysningene i tjenesten, og de er borte fra sikkerhetskopiene innen nye 30 dager. Med unntakene i bokstav (e) og (g) er alt dermed slettet senest 60 dager etter at avtalen opphørte.

(d) Den felles mappen og de felles e-postadressene tilhører virksomheten og slettes sammen med eierens konto. Er det fortsatt brukere med eget abonnement i bedriftskontoen når fristen er ute, sletter databehandleren den felles mappen og de felles adressene manuelt innen de samme fristene.

(e) Har en bruker eget abonnement, følger brukerens eget område brukerens egen avtale. Før avtalen opphører, kan den behandlingsansvarlige kreve at innhold virksomheten eier, slettes eller tilbakeleveres fra slike områder. Databehandleren gjør det manuelt innen 30 dager etter kravet.

(f) Sletting med en gang: Ber den behandlingsansvarlige om det, slettes opplysningene i tjenesten med en gang, uten å vente de 30 dagene. De er da borte fra sikkerhetskopiene innen 30 dager.

(g) Unntak: Når en e-postkasse slettes, beholdes et kryptografisk fingeravtrykk av adressen i fem år, slik at adressen ikke gis til noen andre og post til den ikke havner hos en fremmed. Fingeravtrykket kan ikke gjøres om til adressen uten en hemmelig nøkkel som bare databehandleren har. Revisjonsloggen for bedriftskontoen, som viser hvem som gjorde hva med interne identifikatorer og uten innhold, beholder Northflow Technologies AS som behandlingsansvarlig etter klausul 11 (d), som dokumentasjon av tilgangene og for sikkerheten. Den slettes etter fem år.

(h) Databehandleren bekrefter slettingen skriftlig på forespørsel. Hver bruker får en kvittering på e-post når kontoen er slettet.

Klausul 17. Varighet, endringer og lovvalg

(a) Avtalen gjelder så lenge databehandleren behandler personopplysninger på vegne av den behandlingsansvarlige, og til slettingen etter klausul 16 er fullført.

(b) Databehandleren kan endre klausul 11 til 17 og bilagene med minst 30 dagers varsel, sendt som klausul 11 (e) sier. Klausul 1 til 10 endres bare når Kommisjonen endrer standardbestemmelsene. Varselet sier hva som endres. Er endringen til ulempe for den behandlingsansvarlige, kan den behandlingsansvarlige si opp avtalen før endringen gjelder, uten kostnad. Endringer som loven krever, kan gjelde fra det tidspunktet loven sier. Hver versjon har nummer og dato, og tidligere versjoner sendes på forespørsel.

(c) Ansvar overfor de registrerte følger artikkel 82 i personvernforordningen. Mellom partene er databehandlerens samlede ansvar begrenset til det virksomheten har betalt for Cartaia de siste tolv månedene, og omfatter ikke indirekte tap. Begrensningen gjelder ikke ved forsett eller grov uaktsomhet.

(d) Avtalen følger norsk rett. Sør-Rogaland tingrett er avtalt verneting.