- Gratis mal
- Avtaler
- For bedrifter
Databehandleravtale
For virksomheten som lar en leverandør behandle personopplysninger på sine vegne, for eksempel en regnskapsfører, et IT-firma eller en skytjeneste. Avtalen har det personvernforordningen artikkel 28 krever: instrukser, taushetsplikt, sikkerhet, underdatabehandlere, avvik, revisjon og sletting.
Bygger på personvernforordningen og personopplysningsloven. Malen er skrevet for vanlige situasjoner etter norsk rett. Er saken din uvanlig, eller står det mye på spill, bør du snakke med en advokat.
Dette står i malen
Databehandleravtale, punkt for punkt.
Punktene som ikke gjelder deg, blir ikke med. Svarene dine avgjør hva som står i dokumentet.
Avtalen
Hovedavtalen om tjenesten som avtalen hører til.
Behandlingen
Formålet og arten, de registrerte og opplysningene i en tabell, særlige kategorier, og varigheten.
Instrukser og taushetsplikt
Databehandler behandler bare etter dokumenterte instrukser, og bare de som trenger det, får tilgang.
Sikkerhet
Sikkerhetstiltakene, minst de dere skriver inn.
Underdatabehandlere
Generell godkjenning med varsel og rett til å protestere, eller særskilt godkjenning, og listen over dem som brukes i dag.
Overføring til land utenfor EØS
Bare i EØS, eller ut av EØS med grunnlag i kapittel V.
Bistand og avvik
Hjelp med de registrertes rettigheter og konsekvensvurderinger, og fristen for å varsle et brudd på sikkerheten.
Dokumentasjon og revisjon
Informasjonen som viser at pliktene er oppfylt, og revisjoner.
Når avtalen slutter
Sletting eller tilbakelevering av opplysningene, og fristen for det.
Hvem signerer
Partene.
Behandlingsansvarlig
Virksomheten opplysningene behandles for.
Databehandler
Leverandøren som behandler dem.
Begge parter signerer, og endringer skal også være skriftlige og signert av begge.
Dette trenger du
Ha dette for hånden.
- Hovedavtalen om tjenesten
- Hva leverandøren gjør med opplysningene, og hvorfor
- Hvem opplysningene gjelder, og hvilke opplysninger
- Sikkerhetstiltakene
- Underdatabehandlerne leverandøren bruker i dag
- Om opplysningene kan behandles utenfor EØS
- Organisasjonsnummer og hvem som signerer for hver part
Slik gjør du det
Fra spørsmål til signert PDF.
- 01
Svar på spørsmålene
Malen spør bare om det som trengs, og du ser PDF-en ved siden av mens du skriver. På mobilen ligger den i en egen fane. Svarene lagres underveis, så du kan fortsette senere.
- 02
Se over
Når du går videre, er dokumentet, navnet på signeringen og signatarene fylt inn. Vil du rette noe før du sender, trykker du «Endre svarene».
- 03
Send til signering
Partene signerer digitalt med BankID eller en engangskode på e-post eller SMS, uten app og uten konto. Når alle har signert, får dere den forseglede PDF-en.
Loven
Bygger på personvernforordningen og personopplysningsloven.
Avtalen skal oppfylle kravene i personvernforordningen artikkel 28. Sikkerheten følger artikkel 32, og varselet ved avvik artikkel 33.
Malen er skrevet for vanlige situasjoner etter norsk rett, og sier under «Før du begynner» hva den ikke passer for. Dokumentet er partenes eget, og dere står selv ansvarlige for innholdet. Er saken uvanlig, bør du få hjelp av en advokat.
Spørsmål om databehandleravtale.
Når trenger vi en databehandleravtale?
Når en leverandør behandler personopplysninger på vegne av virksomheten. Bestemmer leverandøren selv hva opplysningene skal brukes til, er den selv behandlingsansvarlig, og da passer ikke en databehandleravtale.
Gir avtalen oss behandlingsgrunnlag?
Nei. Behandlingsansvarlig må ha et behandlingsgrunnlag (artikkel 6), og for særlige kategorier av personopplysninger også et unntak etter artikkel 9. Ved behandling med høy risiko, for eksempel helseopplysninger i stort omfang, må Behandlingsansvarlig vurdere personvernkonsekvensene før behandlingen starter (artikkel 35).
Hva om leverandøren behandler opplysninger utenfor EØS?
Da trengs et overføringsgrunnlag etter kapittel V, for eksempel EUs standard personvernbestemmelser, også når en underdatabehandler eller brukerstøtte har tilgang derfra. De inngås for seg og erstattes ikke av denne avtalen.
Hva om hovedavtalen sier noe annet?
Les avtalene sammen. Står det noe annet om personopplysninger i hovedavtalen, går databehandleravtalen foran.
Malene er gratis.
Å fylle ut en mal koster ingenting, heller ikke å lage dine egne. Du betaler for signeringen, som når du laster opp en PDF.
For bedrifter
Bedriften betaler etter planen. På Løs vekt er det ingen fast pris: 12 kr per eID-bruk, 3 kr per SMS og 2 kr per signatur med kode på e-post, eks. mva. De to første signeringene er gratis for nye bedrifter.
Se prisene for bedrifterKlar til å fylle ut?
Logg inn, eller opprett en gratis konto. Så åpner malen seg, og du sender den til signering når du er ferdig.