Skytjenester. Forside og Databehandleravtale. Telenor Norge

Transkript

1 Skytjenester Forside og Databehandleravtale Telenor Norge

2 FORSIDE TIL AVTALE Det bekreftes med dette at det i dag den er inngått avtale mellom Telenor Norge AS, Snarøyveien 30, 1331 Fornebu, orgnr ( Telenor ) og ( Kunde ) Avtalen har varighet fra dagens dato og består av følgende dokumenter: a) Avtale om skytjenester b) Avtale (Underavtale) om Telenor med Office 365 med Office 365 c) Databehandleravtale d) Telenor Norges abonnementsvilkår ( ) Dokumentene a), b) og c) er tilgjengelige her: Undertegnede for Kunden bekrefter å ha fullmakt til å forplikte Kunde til inngåelse av avtalen, og bekrefter på vegne av Kunde å ha fått tilgang til og akseptert samtlige av avtalens dokumenter. Undertegnede for Telenors forhandler bekrefter å ha fullmakt til å forplikte Telenor til inngåelse av avtale, gjennom sin stilling hos en godkjent forhandler av Telenors produkter. Det bekreftes at Kunde har fått tilgang til samtlige av avtalens dokumenter. Tilknyttede tjenester (her menes brukersupport) som etter avtalen skal utføres av Telenor eller av et Telenor Office 365 Sertifisert Supportsenter (TOSS) vil bli utført av: Bedriftens navn: Telefonnummer/mail adr. for support: Telefonnummer/mail adr. for innmelding av feil: Åpningstider TOSS: Dersom tilknyttede tjenester skal utføres av andre enn den som er angitt her, vil Kunde varsles om dette med minimum 4 ukers varsel. For Kunden: For Telenors forhandler: Signatur Signatur Navn med blokkbokstaver Navn med blokkbokstaver Side 2 av 5

3 AVTALENS FORMÅL DATABEHANDLERAVTALE Denne avtalen er inngått mellom: <Kunden> ( Behandlingsansvarlig ) og Telenor Norge AS ( Databehandler ) I tilknytning til levering av ulike tjenester og ytelser vil Databehandler blant annet behandle personopplysninger på vegne av Behandlingsansvarlig gjennom Behandlingsansvarliges bruk av Skytjenester etter avtale med Databehandler. Databehandler skal behandle personopplysninger på vegne av Behandlingsansvarlig for det formål å utføre de oppdrag som Behandlingsansvarlig gir til Databehandler i henhold til Underavtale om Telenor med Office 365 med Databehandler. Avtalen skal sikre at personopplysninger behandles i samsvar med kravene i Lov av 14. april 2000 nr. 31 om behandling av personopplysninger (Personopplysningsloven) med tilhørende forskrifter. Databehandler behandler personopplysninger som Behandlingsansvarlig har gjort tilgjengelige og som gjelder Behandlingsansvarliges kunder, kunders kunder, partnere, ansatte og/eller andre tredjeparter der det er aktuelt. Behandlingen omfatter den behandling som er nødvendig for at Behandlingsansvarlig skal kunne gjennomføre en forsvarlig forretningsdrift i tråd med de lover og forskrifter som gjelder for den Behandlingsansvarlige. Behandlingen kan skje i Databehandlers eller i Databehandlers underleverandørers systemer eller i systemer som Behandlingsansvarlig disponerer og stiller til rådighet for Databehandler som en del av avtalen. DEN BEHANDLINGSANSVARLIGES PLIKTER Den Behandlingsansvarlige skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved sin behandling av personopplysninger gjennom bruk av Skytjenester etter Underavtale om Telenor med Office 365 med Databehandler. Dokumentasjonen skal være tilgjengelig for medarbeiderne hos den Behandlingsansvarlige. Dokumentasjonen skal også være tilgjengelig for Datatilsynet og Personvernnemnda. DATABEHANDLERS PLIKTER Databehandler plikter i forbindelse med utførelsen av sine oppgaver i henhold til Underavtale om Telenor med Office 365 å overholde Personopplysningsloven med forskrifter. Databehandler skal følge de rutiner og instrukser for behandling av personopplysninger som er bestemt gjennom denne avtale, samt inngåtte Underavtaler til avtale om Telenor med Office 365. Endringer i rutiner og instrukser for behandling av personopplysninger får virkning ved skriftlig avtale mellom partene. Databehandler har rett til å motsette seg å behandle personopplysninger på en måte som strider mot Personopplysningsloven med forskrifter. For at den Behandlingsansvarlige skal kunne vurdere om informasjonssikkerheten ved den relevante skytjenesten er tilfredsstillende skal Databehandler på forespørsel fra Behandlingsansvarlig gi Behandlingsansvarlig tilgang til sikkerhetsdokumentasjon, slik at Behandlingsansvarlig kan ivareta sitt ansvar som Behandlingsansvarlig etter Personopplysningsloven med forskrifter. Dokumentasjonen skal være tilgjengelig for den Behandlingsansvarlige hos Databehandler. Dokumentasjonen skal også på forespørsel kunne gjøres tilgjengelig for Datatilsynet og Personvernnemnda. Behandlingsansvarlig har selv det direkte ansvaret i forhold til tilsynsmyndighet. Behandlingsansvarlig har rett til innsyn i personopplysningene som behandles og systemene som benyttes til dette formål. Databehandler plikter å gi nødvendig bistand i forbindelse med dette. Behandlingsansvarlig har til enhver tid full råderett over personopplysningene. Databehandler og databehandlers medarbeidere har taushetsplikt om personopplysninger som vedkommende får tilgang til i henhold til Underavtale om Telenor med Office 365. Taushetsplikten omfatter også annen informasjon av betydning for informasjonssikkerheten. Denne bestemmelsen gjelder også etter opphør eller utløp av Underavtale om Telenor med Office 365. Databehandler kan ikke behandle personopplysninger Databehandler får tilgang til på annen måte enn det som er nødvendig for å utføre de oppdrag som Behandlingsansvarlig gir til Databehandler i henhold til Underavtale om Telenor med Office 365. Databehandler plikter å påse at de personer i virksomheten som har tilgang til opplysningene som behandles på vegne av Behandlingsansvarlig er kjent med de relevante deler av Underavtale om Telenor med Office 365 og underlagt dennes bestemmelser. BRUK AV UNDERLEVERANDØR Databehandler vil, slik det fremgår av Underavtale om Telenor med Office 365, benytte underleverandører for å oppfylle sine forpliktelser til å levere tjenester som beskrevet i Underavtale om Telenor med Office 365 til den Behandlingsansvarlige. Side 3 av 5

4 Underleverandør som på vegne av Databehandler utfører oppdrag der behandling av de aktuelle personopplysningene inngår, skal være bundet av de samme avtalemessige og lovmessige forpliktelser som Databehandler, og skal opptre i samsvar med disse. SIKKERHET Databehandler skal oppfylle de krav til sikkerhet som fremgår av Underavtale om Telenor med Office 365. Databehandler skal kunne dokumentere rutiner og andre tiltak for å oppfylle disse kravene. Dokumentasjonen skal være tilgjengelig på Behandlingsansvarliges forespørsel. Avviksmelding etter personopplysningsforskriftens 2-6 skal skje ved at Databehandler umiddelbart skriftlig melder avviket til Behandlingsansvarlig. Behandlingsansvarlig har ansvaret for at avviksmelding sendes Datatilsynet. OVERFØRING TIL UTLANDET Data, herunder personopplysninger, som behandles av Databehandler på vegne av Behandlingsansvarlig kan bli overført til, lagret i og behandlet i de land hvor Databehandler, og leverandør av den aktuelle skytjenste og dennes underleverandører driver sin virksomhet. Hvilke land data overføres til fremgår av den enkelte Underavtale om Telenor med Office 365. Behandlingsansvarlig er kjent med og aksepterer at slik overføring av data til slike land vil finne sted, og aksepterer at data vil kunne behandles i slike land i den grad behandling er nødvendig for Databehandler og leverandør av skytjenesten sin oppfyllelse av pliktene etter Underavtale om Telenor med Office 365. I den grad det fremgår av Underavtalen om Telenor med Office 365 at data vil overføres til eller behandles i land utenfor EU/EØS eller til andre enn amerikanske selskaper som er Safe Harbor sertifiserte, vil Databehandler sørge for at slik overføring skjer i henhold til prinsippene i EUs standardavtale for overføring av personopplysninger utenfor EU/EØS. EUs standardavtale for overførings av personopplysninger til området utenfor EU/EØS finnes her. TEKNISKE OG ORGANISATORISKE SIKKERHETSKRAV Databehandler og dennes underleverandører skal gjennom hele avtaleperioden sørge for å ha på plass slike tekniske og organisatoriske sikkerhetstiltak som er nødvendig for å beskytte personopplysningene mot uautorisert tilgjengeliggjøring, offentliggjøring, skade eller endring. VARSEL OM AVVIK Databehandler skal varsle Behandlingsansvarlig så snart som mulig om uautorisert tilgang til, ødeleggelse, skade, endring eller tilgjengeliggjøring av personopplysninger som Databehandler behandler på vegne av den Behandlingsansvarlige. Et varsel om avvik skal minst inneholde opplysninger om: a) hvilke data det gjelder, inklusive type data, hvilke datasubjekter dataene relaterer seg til, omfang og kategorier av data; b) opplyse om kontaktpersoner for mer informasjon om avviket c) anbefalte tiltak for å redusere negative konsekvenser av avviket: d) beskrive potensielle risiko og konsekvenser et avvik vil ha for data subjektet; e) beskrive hvilke tiltak den behandlingsansvarlige eller dennes underleverandører vil iverksette for å begrense eller rette opp avviket f) annen informasjon som er nødvendig for at den Behandlingsansvarlige skal kunne oppfylle sine forpliktelser som behandlingsansvarlig. VARIGHET OG PÅLEGG OM STANS Avtalen gjelder så lenge Databehandler behandler eller har tilgang til personopplysninger på vegne av Behandlingsansvarlig. Ved brudd på denne avtalen eller Personopplysningsloven, kan Behandlingsansvarlig pålegge Databehandler å stoppe den videre behandlingen av opplysningene med øyeblikkelig virkning. OPPHØR Ved utløp eller opphør av Underavtale om Telenor med Office 365 eller deler av denne, plikter. Databehandler skal sikre at de personopplysninger som er mottatt fra den Behandlingsansvarlige, og som omfattes av utløpet eller opphøret, skal slettes eller tilgjengelig gjøres for uthenting etter bestemmelsene i Underavtale om Telenor med Office 365. Databehandler plikter å slette eller forsvarlig destruere eventuelle dokumenter, data, disketter, cd-er mv, som inneholder opplysninger som omfattes av utløpet eller opphøret og som Databehandler ikke med hjemmel i annen lov er pålagt å oppbevare. Dette gjelder også for eventuelle sikkerhetskopier. *** Denne avtale er i 2 to eksemplarer, hvorav partene har hvert sitt. Sted og dato Behandlingsansvarlig Databehandler Side 4 av 5

5 (signatur) (signatur) Side 5 av 5