Databehandleravtale

1 Avtalens parter

1.1 Behandlingsansvarlig: Kunden som har inngått Tjenesteavtalen. Personen som har inngått Tjenesteavtalen på vegne av Kunden, anses som kontaktperson.

1.2 Databehandler: ASAPP! AS, Dybwads gate 3B, 0367 Oslo, Norge. Organisasjonsnummer: 935112397.

Kontaktperson: Charlotte Cramer-Karlsen, medgrunnlegger. Telefon: 47861634. E-post: charlotte@asapp.tech.

Behandlingsansvarlig og Databehandler omtales enkeltvis som «Part» og i fellesskap som «Partene».

2 Avtalens bakgrunn og formål

Databehandler har forpliktet seg til å levere tjenestene beskrevet i Asapps brukervilkår for butikker, eller i en egen kundeavtale der en slik er inngått («Tjenesteavtalen»). Utføringen av dette arbeidet innebærer at Databehandler vil Behandle Personopplysninger på vegne av Behandlingsansvarlig.

Behandlingsansvarlig bestemmer formålet med Behandlingen av Personopplysningene og hvilke midler som skal benyttes.

Denne databehandleravtalen («Databehandleravtalen») fastsetter rammene for Databehandlers Behandling av Personopplysninger på vegne av Behandlingsansvarlig.

Formålet med Databehandleravtalen er å:

1. regulere Partenes rettigheter og plikter ved Behandling av Personopplysninger,
2. sikre at kravene i Personvernlovgivningen og GDPR etterleves ved gjennomføringen av Tjenesteavtalen, og
3. sikre at Personopplysninger ikke Behandles urettmessig, kommer uvedkommende i hende eller Behandles til andre formål enn det som er fastsatt i Databehandleravtalen.

Ved motstrid mellom bestemmelsene i Databehandleravtalen og andre avtaler mellom Partene, herunder Tjenesteavtalen, går bestemmelsene i Databehandleravtalen foran.

Ansvarsbegrensningene i Tjenesteavtalen gjelder også for Databehandleravtalen, så langt Personvernlovgivningen og GDPR tillater det.

3 Definisjoner

Følgende definisjoner gjelder for Databehandleravtalen:

• «Databehandleravtalen» betyr bestemmelsene i denne databehandleravtalen med vedlegg.
• «Personopplysning» betyr alle opplysninger som anses som personopplysninger etter Personvernlovgivningen og GDPR. Dette omfatter, men er ikke begrenset til, opplysningene i Vedlegg 1.
• «Behandling» (av Personopplysninger) betyr enhver bruk av Personopplysninger, for eksempel innsamling, lagring, organisering, endring eller tilpasning, utlevering og/eller overføring.
• «GDPR» betyr forordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF, slik den er gjennomført i norsk rett.
• «Personvernlovgivning» betyr lov 15. juni 2018 nr. 38 om behandling av personopplysninger med tilhørende forskrifter, som gjennomfører GDPR, og all annen relevant lovgivning som regulerer Partenes behandling av Personopplysninger.
• «Lov» betyr enhver annen gjeldende lovgivning som Partene er underlagt.
• «Underdatabehandler» betyr andre databehandlere som Databehandler bruker til å Behandle Personopplysningene.
• «De registrerte» betyr enhver identifisert eller identifiserbar fysisk person som Personopplysningene knytter seg til.

4 Generelt

Partene skal Behandle Personopplysninger i samsvar med Personvernlovgivningen, GDPR og Databehandleravtalen.

Databehandler skal bare samle inn, registrere, sammenstille, lagre og på andre måter Behandle Personopplysninger i den utstrekning det er nødvendig for å oppfylle Tjenesteavtalen og Databehandleravtalen.

Behandlingsansvarlig skal sørge for at det finnes et lovlig grunnlag for Behandlingen av Personopplysningene.

Databehandler kan lage anonymiserte og samlede data fra Behandlingen, for eksempel antall leveranser per område og tidspunkt. Slike data er ikke Personopplysninger. De tilhører Databehandler og kan brukes til å utvikle og forbedre Databehandlers tjenester.

5 Behandlingsansvarliges instruksjonsmyndighet

Databehandler skal bare Behandle Personopplysninger etter dokumenterte instrukser fra Behandlingsansvarlig.

Databehandler kan også Behandle Personopplysninger hvis dette kreves etter Lov som Databehandler er underlagt. I så fall skal Databehandler varsle Behandlingsansvarlig om den rettslige forpliktelsen før Behandlingen starter, med mindre Loven forbyr slik varsling av hensyn til viktige allmenne interesser.

Behandlingsansvarliges instrukser til Databehandler er fastsatt i Databehandleravtalen med vedlegg.

Vedlegg 1 beskriver hvilke kategorier Personopplysninger Databehandler kan Behandle, og formålet med Behandlingen. Databehandler skal ikke Behandle Personopplysninger til andre formål enn det som fremgår der.

Behandlingsansvarlig kan gi Databehandler nye instrukser så lenge Databehandler Behandler Personopplysninger på vegne av Behandlingsansvarlig. Slike instrukser skal gis skriftlig og være dokumenterte.

Partene skal straks varsle hverandre dersom en Part mener at instrukser eller krav fra den andre Parten er i strid med Personvernlovgivningen eller GDPR.

6 Databehandlers plikt til å bistå Behandlingsansvarlig

Databehandler skal, ut fra Behandlingens art og informasjonen Databehandler har tilgang til, bistå Behandlingsansvarlig med å oppfylle Behandlingsansvarliges forpliktelser etter GDPR artikkel 32–36.

Dette innebærer blant annet at Databehandler skal kunne bistå med vurderinger av personvernkonsekvenser og forhåndsdrøftelser med Datatilsynet.

7 Personopplysningssikkerhet

Databehandler skal oppfylle kravene til informasjonssikkerhet i Personvernlovgivningen og GDPR. Dette inkluderer å gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er tilpasset risikoen, jf. GDPR artikkel 32.

De tekniske og organisatoriske tiltakene er beskrevet i Vedlegg 2.

Databehandler skal også bistå Behandlingsansvarlig med å oppfylle Behandlingsansvarliges forpliktelser om tilstrekkelig informasjonssikkerhet etter GDPR artikkel 32.

8 Databehandlers bruk av Underdatabehandlere

Dersom Databehandler engasjerer en Underdatabehandler til å utføre bestemte behandlingsaktiviteter på vegne av Behandlingsansvarlig, skal Underdatabehandleren gjennom avtale eller annet rettslig dokument pålegges de samme forpliktelsene som følger av Databehandleravtalen.

Databehandler skal sørge for at Underdatabehandler kjenner til og oppfyller Databehandlers avtalemessige og lovmessige forpliktelser.

Databehandler er overfor Behandlingsansvarlig fullt ut ansvarlig for at Underdatabehandler oppfyller sine forpliktelser.

Underdatabehandlerne som Databehandler bruker i forbindelse med Tjenesteavtalen, fremgår av Vedlegg 3. Behandlingsansvarlig aksepterer at Databehandler bruker disse.

Behandlingsansvarlig aksepterer også at Databehandler tar i bruk andre Underdatabehandlere enn de som står i Vedlegg 3. Før en ny Underdatabehandler tas i bruk, skal Databehandler varsle Behandlingsansvarlig på e-post om navn og kontaktinformasjon. Behandlingsansvarlig kan motsette seg bruken av en ny Underdatabehandler, og skal i så fall gi beskjed til Databehandler uten ugrunnet opphold.

9 Overføring av Personopplysninger til utlandet

Databehandler kan overføre og lagre Personopplysningene i de landene der Databehandler og Underdatabehandlerne driver sin virksomhet. Disse landene er angitt i Vedlegg 3. Behandlingsansvarlig godtar slik overføring så lenge den er nødvendig for å levere tjenestene etter Tjenesteavtalen.

Behandlingsansvarlig godtar at Personopplysningene kan behandles utenfor Norge. Databehandler skal likevel ikke overføre Personopplysninger til land utenfor EU/EØS eller til en internasjonal organisasjon uten forhåndsgodkjenning fra Behandlingsansvarlig, med mindre EU-kommisjonen har fastslått at landet eller organisasjonen sikrer et tilstrekkelig beskyttelsesnivå.

Ved å godta Databehandleravtalen godkjenner Behandlingsansvarlig Underdatabehandlerne i Vedlegg 3. Det omfatter også overføringene til land utenfor EU/EØS som står der. Slike overføringer skjer på grunnlag av EU-US Data Privacy Framework eller EUs standardkontraktsklausuler, i tråd med GDPR kapittel V.

Dersom Behandlingsansvarlig godtar en slik overføring, skal Databehandler sørge for at overføringen skjer i samsvar med GDPR kapittel V.

Databehandler skal også vurdere beskyttelsesnivået i mottakerlandet og sørge for supplerende tekniske, organisatoriske eller kontraktsmessige tiltak som sikrer et beskyttelsesnivå i hovedsak tilsvarende det i EU/EØS.

10 Håndtering av De registrertes rettigheter

Behandlingsansvarlig er kontaktpunkt for De registrerte og skal gi nødvendig informasjon om Behandlingen.

Behandlingsansvarlig er ansvarlig for å håndtere De registrertes anmodninger om innsyn, retting, sletting, begrensning, dataportabilitet mv., og for at slike anmodninger blir besvart.

Databehandler skal, ut fra Behandlingens art og så langt det er mulig gjennom egnede tekniske og organisatoriske tiltak, bistå Behandlingsansvarlig med å besvare anmodninger fra De registrerte som utøver sine rettigheter etter GDPR kapittel III.

Dersom Databehandler mottar en anmodning fra en registrert, skal Databehandler snarest mulig varsle Behandlingsansvarlig.

11 Avvikshåndtering og varsling

Enhver bruk av informasjonssystemer i strid med Databehandlers fastsatte rutiner, Behandlingsansvarliges instrukser, Personvernlovgivningen eller GDPR, og ethvert annet sikkerhetsbrudd, skal håndteres som et avvik.

Partene skal ha rutiner og systematiske tiltak for oppfølging av avvik. Dette omfatter tiltak for å gjenopprette normal tilstand, fjerne årsaken til avviket og hindre gjentakelse.

Når en Part får kunnskap om et avvik, skal den varsle den andre Parten uten ugrunnet opphold og senest innen 36 timer. Parten skal straks iverksette alle nødvendige og hensiktsmessige tiltak for å gjenopprette normal tilstand.

Behandlingsansvarlig er ansvarlig for å melde avvik til Datatilsynet og De registrerte etter GDPR artikkel 33 og 34. Databehandler skal ved behov bistå Behandlingsansvarlig med dette.

12 Revisjon og inspeksjon

Databehandler skal gjøre tilgjengelig for Behandlingsansvarlig all informasjon som er nødvendig for å vise at Databehandler oppfyller sine forpliktelser etter Personvernlovgivningen, GDPR og Databehandleravtalen.

Kontrollen skjer først gjennom skriftlig dokumentasjon. Databehandler svarer på rimelige spørsmål og gir en oversikt over sikkerhetstiltakene. Har Databehandler en uavhengig revisjonsrapport eller sertifisering, kan Databehandler vise til den.

Dersom dokumentasjonen ikke er tilstrekkelig, kan Behandlingsansvarlig kreve revisjon, inkludert inspeksjon. Da gjelder følgende:

• Revisjonen gjennomføres av en uavhengig revisor som har taushetsplikt, og som ikke er en konkurrent av Databehandler.
• Revisjon kan kreves høyst én gang i året, med fire ukers skriftlig forhåndsvarsel som beskriver hva som skal kontrolleres. Dette gjelder ikke dersom Datatilsynet krever revisjon, eller det har skjedd et alvorlig avvik.
• Revisjonen gjennomføres i vanlig arbeidstid og uten å forstyrre Databehandlers drift.
• Behandlingsansvarlig dekker egne kostnader og Databehandlers medgåtte tid.

Revisjonen omfatter bare Databehandlers Behandling av Behandlingsansvarliges Personopplysninger. Den gir ikke tilgang til kildekode, algoritmer, logikk for prising og valg av transportpartner, detaljer om systemarkitektur, konfigurasjon og sikkerhetsløsninger, andre kunders data eller Databehandlers avtaler med transportpartnere og andre forretningsforbindelser.

Alt Behandlingsansvarlig eller revisor får kjennskap til om Databehandlers systemer, teknologi og virksomhet, er konfidensielt. Dette gjelder også etter at Databehandleravtalen har opphørt. Revisjonsrapporten kan bare brukes til å kontrollere at Databehandleravtalen overholdes.

13 Konfidensialitet og taushetsplikt

Databehandler har taushetsplikt om Personopplysningene og dokumentasjonen Databehandler får tilgang til gjennom Databehandleravtalen. Taushetsplikten gjelder også etter at Databehandleravtalen har opphørt.

Databehandler skal ikke utlevere eller gi tilgang til Personopplysningene til andre enn egne ansatte, Underdatabehandlere eller ansatte hos Behandlingsansvarlig, med mindre dette er skriftlig avtalt med Behandlingsansvarlig eller følger av lov, forskrift eller vedtak fra offentlig myndighet.

Databehandler skal sørge for at alle som har tilgang til å Behandle Personopplysningene, har forpliktet seg til konfidensialitet gjennom en konfidensialitetsavtale, eller er underlagt lovbestemt taushetsplikt.

Databehandler eier all teknologi, programvare, kunnskap og alle data som Databehandler har utviklet, også forbedringer som springer ut av samarbeidet med Behandlingsansvarlig. Databehandleravtalen gir ikke Behandlingsansvarlig noen rett til Databehandlers teknologi.

14 Avtalens varighet

Databehandleravtalen gjelder så lenge Databehandler Behandler Personopplysninger på vegne av Behandlingsansvarlig.

15 Opphør

Når Databehandleravtalen opphører, skal Databehandler levere tilbake alle Personopplysninger som omfattes av avtalen, i et format som egner seg for videre Behandling hos Behandlingsansvarlig eller en tredjepart Behandlingsansvarlig utpeker.

Behandlingsansvarlig kan i stedet kreve at Personopplysningene slettes og/eller destrueres etter Behandlingsansvarliges skriftlige instruks.

Partene avtaler nærmere hvordan overføring, sletting og/eller destruering skal skje.

Databehandler skal innen rimelig tid etter opphør dokumentere skriftlig at sletting og/eller destruering er gjennomført.

Dette gjelder ikke dersom Personvernlovgivningen, GDPR eller Lov krever at Personopplysningene oppbevares lenger.

16 Lovvalg og verneting

Databehandleravtalen er underlagt norsk rett. Partene vedtar Oslo tingrett som verneting.

Vedlegg til avtalen

• Vedlegg 1: Beskrivelse av personopplysningene og formålet med behandlingen
• Vedlegg 2: Tekniske og organisatoriske sikkerhetstiltak
• Vedlegg 3: Oversikt over Databehandlers Underdatabehandlere

Vedlegg 1: Beskrivelse av personopplysningene og formålet med behandlingen

Formål: Databehandler formidler og administrerer transport- og leveringstjenester på vegne av Behandlingsansvarlig. Dette omfatter:

• koordinering av oppdrag mellom avsender, mottaker og transportpartner (Underdatabehandler, se Vedlegg 3)
• varsling og kommunikasjon med avsender og mottaker
• dokumentasjon av gjennomførte oppdrag

Kategorier av personopplysninger:

• navn på avsender og mottaker
• telefonnummer og e-postadresse til avsender og mottaker
• hente- og leveringsadresse
• ordredetaljer (tidspunkt, type vare, eventuell referanse)
• eventuelle særskilte instruksjoner knyttet til oppdraget

Kategorier av registrerte:

• sluttkunder hos Behandlingsansvarlig (de som sender eller mottar varer via Asapp!)
• kontaktpersoner hos Behandlingsansvarlig og bedriftskunder, der det er relevant

Varighet av behandlingen: Opplysninger om sluttkunder slettes eller anonymiseres automatisk 12 måneder etter bestillingen. Ordrenummer, beløp og tidspunkt oppbevares så lenge bokføringsloven krever.

Vedlegg 2: Tekniske og organisatoriske sikkerhetstiltak

Databehandler skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som står i forhold til risikoen for De registrertes rettigheter og friheter, jf. GDPR artikkel 32. Tiltakene skal også pålegges Underdatabehandlere. De omfatter minst:

• Tilgangsstyring: Bare autorisert personell med tjenstlig behov får tilgang, og alle er underlagt taushetsplikt.
• Kryptering: Personopplysninger krypteres ved overføring og, der det er relevant, ved lagring.
• Logging og overvåking: All tilgang logges og er tilgjengelig for revisjon.
• Sikkerhetskopiering og gjenoppretting: Det skal finnes rutiner for sikkerhetskopiering og gjenoppretting.
• Oppdatering og vedlikehold: Systemer som behandler personopplysninger, holdes oppdatert med nødvendige sikkerhetsoppdateringer.
• Varsling ved brudd: Databehandler varsler Behandlingsansvarlig etter punkt 11, senest innen 36 timer. Underdatabehandlere skal varsle Databehandler senest innen 24 timer etter at et sikkerhetsbrudd er oppdaget.
• Revisjon og kontroll: Behandlingsansvarlig kan gjennomføre revisjoner og inspeksjoner etter punkt 12.

Vedlegg 3: Oversikt over Databehandlers Underdatabehandlere

Versjon: 1.0, gjelder fra 2. november 2026.