Denne databehandleravtalen gjelder for alle kunder der Lillehammer Data AS behandler personopplysninger på vegne av kunden. Den er en del av avtalen om våre tjenester. Ønsker du en signert versjon, sender vi den gjerne.
1. Parter
Avtalen gjelder mellom kunden (behandlingsansvarlig) og Lillehammer Data AS, org.nr. 919 916 710, Kirkegata 45, 2609 Lillehammer (databehandler).
2. Formål og lovgrunnlag
Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28 og personopplysningsloven (lov 15. juni 2018 nr. 38). Den skal sikre at personopplysninger behandles lovlig, sikkert og bare etter kundens instrukser.
3. Behandlingen
| Hva | Beskrivelse |
|---|---|
| Formål og art | IT-drift og support: drift og administrasjon av Microsoft 365, brukere og lisenser, PC-er, servere og nettverk, backup, antivirus og endepunktsikkerhet, fjernhjelp, kameraløsninger og annen IT-bistand kunden bestiller. |
| Varighet | Så lenge vi leverer tjenester til kunden, og deretter til opplysningene er slettet eller tilbakelevert etter punkt 12. |
| Registrerte | Kundens ansatte og innleide, og kundens kunder, leverandører og andre personer som finnes i kundens systemer. |
| Typer opplysninger | Kontaktopplysninger og brukerkontoer, e-post, dokumenter og filer, logger og tekniske data (for eksempel IP-adresser og enhetsinformasjon), og eventuelt video fra kameraløsninger. |
| Særlige kategorier | Kundens systemer kan inneholde særlige kategorier, for eksempel helseopplysninger. Kunden skal opplyse oss om dette, slik at sikkerhetsnivået tilpasses. |
4. Kundens instrukser
Vi behandler personopplysninger bare etter dokumenterte instrukser fra kunden. Denne avtalen og bestillinger kunden gjør skriftlig, for eksempel på e-post, regnes som instrukser. Mener vi at en instruks er i strid med regelverket, sier vi fra til kunden med en gang.
5. Taushetsplikt
Alle som arbeider for oss og har tilgang til personopplysninger, har taushetsplikt. Ansatte har levert politiattest. Taushetsplikten gjelder også etter at avtalen er avsluttet.
6. Sikkerhet
Vi gjennomfører tekniske og organisatoriske tiltak etter GDPR artikkel 32, tilpasset risikoen. Tiltakene står i vedlegg B.
7. Bistand til kunden
Vi hjelper kunden, så langt det er rimelig ut fra behandlingen:
- når registrerte bruker rettighetene sine, for eksempel ber om innsyn eller sletting
- med sikkerhet, avviksmelding, vurdering av personvernkonsekvenser (DPIA) og forhåndsdrøfting med Datatilsynet (artikkel 32–36)
Bistand utover det som følger av vanlig drift, faktureres etter gjeldende timepris.
8. Avvik
Oppdager vi brudd på personopplysningssikkerheten, varsler vi kunden uten ugrunnet opphold, og senest innen 48 timer. Varselet beskriver så langt vi vet hva som har skjedd, hvilke opplysninger og personer som er berørt, mulige konsekvenser og hvilke tiltak som er satt i verk. Kunden er ansvarlig for eventuell melding til Datatilsynet, som skal skje innen 72 timer.
9. Underdatabehandlere
Kunden godkjenner at vi bruker underdatabehandlerne i vedlegg A. Vi varsler kunden minst 30 dager før vi tar i bruk nye eller bytter underdatabehandlere, og kunden kan protestere. Underdatabehandlere har de samme pliktene som oss etter denne avtalen, og vi er ansvarlige overfor kunden for at de oppfyller dem.
10. Overføring utenfor EØS
Personopplysninger overføres bare til land utenfor EØS når det finnes et gyldig grunnlag etter GDPR kapittel V, for eksempel EU-kommisjonens standardkontraktsklausuler. Kjente overføringer står i vedlegg A.
11. Revisjon og innsyn
Vi gir kunden den informasjonen som trengs for å vise at avtalen følges. Kunden, eller en uavhengig revisor kunden velger, kan gjennomføre revisjon etter rimelig varsel. Kunden dekker egne kostnader og vår tid til revisjon.
12. Når avtalen opphører
Når tjenestene avsluttes, velger kunden om opplysningene skal leveres tilbake eller slettes. Vi sletter alle kopier innen 30 dager, med mindre loven krever at vi oppbevarer dem. Kopier i backup slettes når backupen roteres ut, senest innen 90 dager. Vi bekrefter slettingen skriftlig.
13. Ansvar
Ansvar for skade som følge av brudd på regelverket følger GDPR artikkel 82. Ellers gjelder ansvarsbegrensningen i avtalen om våre tjenester, se vilkårene.
14. Varighet og endringer
Avtalen gjelder så lenge vi behandler personopplysninger for kunden. Endringer meldes kunden skriftlig minst 30 dager før de trer i kraft.
15. Lovvalg og verneting
Avtalen reguleres av norsk rett. Tvister som ikke løses i minnelighet, avgjøres ved Gudbrandsdal tingrett.
Vedlegg A – Underdatabehandlere
| Leverandør | Tjeneste | Hvor data behandles |
|---|---|---|
| Microsoft | Microsoft 365, Intune, Entra ID | EØS (EU Data Boundary). Enkelte tjenester kan bruke land utenfor EØS. |
| Cloud Factory Norge AS | Lisensleverandør for Microsoft 365 | EØS |
| WatchGuard / Panda Security | Panda Adaptive Defense 360 (antivirus og EDR) | EU (Irland og Spania). Support kan få tilgang fra USA, med EU–USA-rammeverket og standardkontraktsklausuler som grunnlag. |
| Acronis | Backup av Microsoft 365, PC og server | EØS |
| Backup Banken AS | Backup | Norge |
| Sarpsborg Data AS | Drift av serverpark og backup | Norge |
| TeamViewer | Fjernhjelp | EØS |
| Xsale AS | Kunderegister (CRM) og saksbehandling | EØS |
| Tripletex AS | Fakturering og regnskap | EØS |
| Uniweb (group.one Norway AS) | Domener, DNS og webhotell | Norge |
Vedlegg B – Sikkerhetstiltak
- Tofaktorinnlogging (MFA) på alle administrative kontoer
- Tilgang bare for personer som trenger det, med personlige kontoer
- Kryptering av data under overføring, og på lagring der løsningen støtter det
- Jevnlige sikkerhetsoppdateringer av systemer vi drifter
- Antivirus og endepunktsikkerhet med sentral overvåking
- Backup med jevnlig kontroll av at gjenoppretting virker
- Logging av administrativ tilgang der løsningen støtter det
- Rutiner for håndtering og varsling av avvik