Databehandleravtale

Kunden er behandlingsansvarlig, og Saleso Innovations AS er databehandler for personopplysningene kunden behandler i KIBAS. Avtalen gjelder så lenge kunden bruker KIBAS, og så lenge vi har personopplysninger på kundens vegne.

• Formål: å levere KIBAS, blant annet å hente, lagre, analysere og organisere e-post, kalender, kunder, leverandører, oppgaver, filer og fakturaer.
• Behandlingens art: innsamling, lagring, strukturering, analyse med kunstig intelligens, visning og sletting.
• Registrerte: kundens ansatte og brukere, kundens kunder og leverandører, og andre som kunden kommuniserer med.
• Opplysninger: kontaktopplysninger, innhold i e-post og vedlegg, kalenderavtaler, notater og fakturaopplysninger. Kunden skal unngå å behandle særlige kategorier av personopplysninger i KIBAS, for eksempel helseopplysninger.

Vi behandler personopplysningene bare etter kundens dokumenterte instrukser. Avtalen, vilkårene og kundens bruk av funksjonene i KIBAS utgjør instruksene. Mener vi at en instruks er i strid med personvernregelverket, sier vi fra.

Alle som har tilgang til personopplysningene hos oss, har taushetsplikt. Bare de som trenger det for å levere, drifte eller feilsøke tjenesten, får tilgang.

Vi har tekniske og organisatoriske tiltak som beskytter opplysningene, slik personvernforordningen artikkel 32 krever. Blant annet er all trafikk kryptert, tilgangsnøkler og passord til e-post og kalender lagres kryptert, hver bedrift er skilt fra de andre, og roller styrer tilgangen.

Kunden gir generell godkjenning til at vi bruker disse underdatabehandlerne:

Vi pålegger dem de samme pliktene som i denne avtalen. Før vi tar i bruk en ny underdatabehandler, varsler vi kunden minst 30 dager i forveien. Kunden kan protestere og si opp avtalen hvis vi ikke finner en løsning.

Overfører vi personopplysninger ut av EU/EØS, sikrer vi overføringen med EU-kommisjonens standardkontraktsbestemmelser eller EU–US Data Privacy Framework.

Vi hjelper kunden med å svare på henvendelser fra de registrerte, for eksempel om innsyn og sletting, og med vurderinger av personvernkonsekvenser når kunden trenger det.

Oppdager vi et brudd på personopplysningssikkerheten, varsler vi kunden uten ugrunnet opphold og senest innen 48 timer. Varselet beskriver hva som har skjedd, hvilke opplysninger som er berørt, og hva vi gjør.

Vi gir kunden informasjonen som trengs for å vise at avtalen følges. Kunden kan gjennomføre revisjon med rimelig varsel og for egen regning.

Når avtalen opphører, sletter vi personopplysningene innen 90 dager. Ber kunden om det før opphør, leverer vi først opplysningene tilbake i et vanlig format. Opplysninger vi må lagre etter lov, sletter vi når lagringsplikten opphører.