AVTALE OM DATABEHANDLING (DPA)

Denne Avtalen om Databehandling («DPA») inngås mellom:

VHN Sp. z o.o. ul. Gliwicka 35 42-600 Tarnowskie Góry Polen

NIP: 6452561131

heretter referert til som:

«Databehandler»

og

Bruker av Rezulo-tjenestene,

heretter referert til som:

«Dataansvarlig».

Aksept av Rezulo-vilkårene eller igangsetting av bruk av Tjenesten utgjør inngåelse av denne Avtalen.

§1. AVTALEGJENSTANDEN

  1. Dataansvarlig overdrager til Databehandler behandling av personopplysninger i omfang som er nødvendig for å yte Rezulo-tjenestene.

  2. Databehandler forplikter seg til å behandle personopplysninger i samsvar med:

a) Europaparlaments- og rådsforordning (EU) 2016/679 («GDPR»),

b) denne Avtalen,

c) dokumenterte instrukser fra Dataansvarlig.

  1. Denne Avtalen utgjør en integrert del av Rezulos juridiske dokumentasjon.

§2. BEHANDLINGENS KARAKTER OG FORMÅL

  1. Behandlingen skjer utelukkende for å yte tjenestene som er tilgjengelige i Rezulo-systemet.

  2. Databehandler bruker ikke opplysninger som Dataansvarlig har overdratt, til egne markedsføringsformål.

  3. Opplysningene brukes ikke av Databehandler til salg av data, markedsføringsprofiling eller utlevering til tredjeparter for reklamehensikter.

  4. Databehandler behandler opplysninger kun i den periode som er nødvendig for å yte Tjenesten og i samsvar med retensjonsprinsipper angitt i Vilkårene.

§3. BEHANDLINGENS VARIGHET

  1. Opplysninger behandles i perioden Dataansvarlig bruker Rezulo-tjenestene.

  2. Etter at bruken av Tjenesten avsluttes, gjelder retensjonsprinsipper angitt i Vilkårene og denne Avtalen.

  3. Avtalen gjelder gjennom hele perioden bruken av Rezulo.

§4. DATAKATEGORIER

Dataansvarlig kan overdratte blant annet følgende:

Kundedata

  • fornavn,
  • etternavn,
  • e-postadresse,
  • telefonnummer,
  • besøkshistorikk,
  • reservasjonshistorikk,
  • opplysninger om tjenester,
  • betalingsopplysninger,
  • merknader om kunder.

Ansattdata

  • fornavn,
  • etternavn,
  • e-postadresse,
  • telefonnummer,
  • arbeidsplan,
  • data knyttet til bruk av ansattkontoer.

Andre data

Alle opplysninger som Dataansvarlig har lagt inn i Rezulo-systemet.

§5. PERSONKATEGORIER

Opplysninger kan gjelder:

  • kunder,
  • potensielle kunder,
  • personer som foretar nettreservasjoner,
  • ansatte,
  • samarbeidsparter,
  • kontraktanter,
  • andre personer hvis opplysninger Dataansvarlig har lagt inn.

§6. OPPLYSNINGER OM SPESIELLE KATEGORIER

  1. Dataansvarlig kan overdratte opplysninger om spesielle kategorier i forstand av art. 9 GDPR.

  2. Dette kan omfatte blant annet:

  • allergier,
  • kontraindikasjoner for behandlinger,
  • helseopplysninger,
  • annen informasjon som er nødvendig for å utføre tjenestene som Dataansvarlig tilbyr.

  1. Dataansvarlig er ansvarlig for å ha et passende rettslig grunnlag for behandling av slike opplysninger.

  2. Databehandler verifiserer ikke lovligheten av Dataansvaarligs rettslige grunnlag.

§7. DATABEHANDLERS PLIKTER

Databehandler forplikter seg til å:

a) behandle opplysninger kun på instruksjon fra Dataansvarlig,

b) sikre at personer som har tilgang til opplysninger, opprettholder taushetsplikt,

c) iverksette passende tekniske og organisatoriske tiltak,

d) assistere Dataansvarlig i oppfyllelsen av forpliktelser som følger av GDPR,

e) informere Dataansvarlig om brudd på datavern,

f) oppbevare påkrevd dokumentasjon i samsvar med gjeldende rettslige bestemmelser.

§8. SIKKERHETSTILTAK

Databehandler iverksetter sikkerhetstiltak som er tilpasset risikoen.

Dette kan omfatte blant annet:

  • kryptering av dataoverføringer,
  • tilgangskontroll,
  • rettighetssystem,
  • hendelseslogging,
  • sikkerhetskontroll,
  • regelmessige sikkerhetskopier,
  • beskyttelse av serverinfrastruktur.

Databehandler kan oppdatere iverksatte sikkerhetstiltak etter hvert som teknologien utvikles.

§9. UNDERDATABEHANDLERE

  1. Dataansvarlig gir generell samtykke til at Databehandler benytter tjenester fra Underdatabehandlere.

  2. Underdatabehandlere kan være blant annet leverandører av:

  • hosting,
  • skytjenester,
  • betalingstjenester,
  • SMS-tjenester,
  • analystjenester,
  • sikkerhetstjenester,
  • IT-tjenester.
  1. Den gjeldende listen over Underdatabehandlere kan omfatte blant annet:
  • OVHcloud,
  • Stripe,
  • Twilio,
  • Google,
  • Meta.

  1. Databehandler kan legge til nye Underdatabehandlere hvis dette er nødvendig for å yte Tjenesten.

  2. Dataansvarlig kan bli informert om vesentlige endringer angående Underdatabehandlere via Rezulo-nettstedet, Rezulo-systemet eller e-post.

§10. INTERNASJONALE OVERFØRINGER

  1. Enkelte Underdatabehandlere kan behandle opplysninger utenfor Det europeiske økonomiske område.

  2. I slike tilfeller sikrer Databehandler passende garantier som kreves av GDPR.

  3. Dette kan omfatte:

  • Kommisjonens standardavtalsklausuler (SCC),
  • vedtak som fastsetter et tilstrekkelig beskyttelsesnivå,
  • andre mekanismer fastsatt i gjeldende rettslige bestemmelser.

§11. BRUDD PÅ DATAVERN

  1. Hvis Databehandler oppdager et brudd på beskyttelsen av personopplysninger, informerer Databehandler Dataansvarlig uten unødig forsinkelse etter å ha mottatt bekreftet informasjon om hendelsen.

  2. Informasjonen kan omfatte:

  • arten av bruddet,
  • mulige konsekvenser,
  • omfanget av opplysninger som var omfattet av bruddet,
  • korrigerende tiltak iverksatt av Databehandler.

§12. STØTTE FOR DATAANSVARLIG

Databehandler assisterer Dataansvarlig, i den grad som er teknisk og organisatorisk mulig, i oppfyllelsen av forpliktelser som følger av GDPR, særlig vedrørende:

  • oppfyllelse av rettigheter for personer som opplysningene gjelder,
  • rapportering av brudd,
  • konsekvensvurdering av datavern,
  • rådføring med tilsynsmyndigheter.

§13. REVISJONER OG SIKKERHETSINFORMASJON

  1. Dataansvarlig kan anmode Databehandler om opplysninger om iverksatte datavern-tiltak.

  2. Databehandler kan oppfylle informasjonspliktene ved:

  • sikkerhetsdokumentasjon,
  • svar på henvendelser,
  • sikkerhetsvurderinger,
  • andre rimelige tiltak.

  1. Revisjoner skal gjennomføres på en måte som ikke kompromitterer sikkerheten for andre kunder eller Databehandlers forretningshemmeligheter.

  2. Databehandler kan nekte å gjennomføre revisjon hvis omfanget ville være uforholdsmessig, ville avsløre forretningshemmeligheter eller kunne utgjøre en trussel mot sikkerheten for andre kunder.

§14. SLETTING ELLER RETUR AV OPPLYSNINGER

  1. Dataansvarlig kan laste ned opplysninger som er tilgjengelige i Rezulo før bruken av Tjenesten avsluttes.

  2. Opplysninger kan oppbevares i inntil 90 dager etter sletting av Konto, særlig i sikkerhetskopier.

  3. Etter utløpet av retensjonperiodene blir opplysninger slettet eller anonymisert, med mindre rettslige bestemmelser krever videre oppbevaring.

§15. PARTENES ANSVAR

  1. Hver part er ansvarlig for brudd på forpliktelser som følger av GDPR i omfang fastsatt av gjeldende rettslige bestemmelser.

  2. Databehandler er ikke ansvarlig for:

  • lovligheten av opplysninger lagt inn av Dataansvarlig,
  • mangel på rettslig grunnlag for Dataansvarlig sitt behandling av opplysninger,
  • handlinger eller unnlatelser fra Dataansvarlig.

§16. SPRÅKVERSJONER

Denne Avtalen kan publiseres i ulike språkversjoner.

Oversettelser har kun støttende karakter.

I tilfelle avvik mellom språkversjoner er versjonen som angis av Databehandler for det aktuelle markedet eller brukeren bindende.

§17. SLUTTBESTEMMELSER

  1. For spørsmål som ikke er regulert, gjelder bestemmelsene i GDPR og polsk rett.

  2. Denne Avtalen utgjør en integrert del av Rezulos juridiske dokumentasjon.

  3. Gjeldende versjon av DPA er publisert på Rezulo-nettstedet.

  4. Aksept av Rezulo-vilkårene innebærer også aksept av denne Avtalen om Databehandling.

  5. Avtalen gjelder fra dagen bruken av Tjenesten starter eller Vilkårene aksepteres.