Databehandleravtale

1. Hva avtalen gjelder

Databehandleren lagrer og behandler personopplysninger på vegne av foreningen, så lenge foreningen bruker NaboVel. Formålet er å la foreningen føre oversikt over eiere og medlemmer, enheter, hendelser og vedtak, sende meldinger til dem og gi dem tilgang til egne opplysninger. Databehandleren behandler opplysningene bare for dette formålet.

2. Opplysninger og registrerte

• Registrerte: eiere, medlemmer, styremedlemmer og andre personer foreningen registrerer, og brukere med tilgang til foreningen.
• Opplysninger: navn, e-postadresse, telefonnummer, postadresse, hvilke hytter eller boliger personen eier, verv i styret, påmeldinger til hendelser, notater, og endringsloggen. Foreningen avgjør selv hva den legger inn, og skal ikke registrere særlige kategorier av personopplysninger (artikkel 9) eller opplysninger om straffbare forhold.

3. Databehandlerens plikter

• Behandle opplysningene bare etter foreningens instrukser. Foreningens instruks er denne avtalen og det foreningen gjør i tjenesten. Mener databehandleren at en instruks strider mot regelverket, sier den fra.
• Sørge for at alle som får tilgang til opplysningene har taushetsplikt.
• Sikre opplysningene med egnede tiltak, blant annet: kryptert forbindelse (https), passord lagret bare som kryptografisk hash, rollebasert tilgang der medlemmer bare ser det foreningen har gitt dem tilgang til, endringslogg, og begrensning av innloggingsforsøk, og daglig sikkerhetskopi av databasen.
• Bistå foreningen med å svare på de registrertes rettigheter (innsyn, retting, sletting, utlevering, innsigelse). Foreningen kan rette og slette selv i tjenesten, og databehandleren hjelper til ved behov.
• Varsle foreningen uten ugrunnet opphold, og senest innen 48 timer, hvis databehandleren oppdager et brudd på personopplysningssikkerheten som gjelder foreningens opplysninger, slik at foreningen kan vurdere melding til Datatilsynet innen 72 timer.
• Gi foreningen opplysninger som trengs for å vise at avtalen følges, og la foreningen eller en revisor foreningen utpeker gjøre kontroller etter avtale i forkant.

4. Underleverandører

Foreningen godkjenner at databehandleren bruker disse underdatabehandlerne. Databehandleren har avtaler med dem som gir samme beskyttelse som denne avtalen, og er ansvarlig overfor foreningen for dem.

• Oracle (EU): leid server der tjenesten og databasen kjører.
• Brevo (Frankrike): sender e-post fra tjenesten, som innloggingskoder, invitasjoner og meldinger fra styret.
• Backblaze (EU): lagring av filer foreningen laster opp, som vedlegg til møter og dugnader.

Databehandleren varsler foreningen på e-post minst 30 dager før en ny underdatabehandler tas i bruk, slik at foreningen kan protestere. Protesterer foreningen, og partene ikke finner en løsning, kan foreningen slette data og avslutte bruken.

5. Overføring ut av EØS

Opplysningene lagres og behandles i EU/EØS. Databehandleren overfører dem ikke til land utenfor EØS uten at foreningen er varslet etter punkt 4, og uten et gyldig overføringsgrunnlag etter GDPR kapittel V.

6. Foreningens plikter

• Foreningen er behandlingsansvarlig for personregisteret, og har selv rettslig grunnlag for å registrere opplysningene.
• Foreningen informerer de registrerte om behandlingen. Personvernerklæringen til NaboVel kan brukes som del av informasjonen.
• Foreningen gir bare personer som skal ha det styretilgang, og sletter tilgang og opplysninger som ikke lenger trengs.

7. Varighet og opphør

Avtalen gjelder så lenge foreningen bruker NaboVel. Når foreningen slettes i tjenesten, slettes registeret, hendelsene, filene og endringsloggen. Før det kan foreningen eksportere personregisteret og eierlisten til Excel. Sikkerhetskopier tas daglig, og kan ligge igjen en kort tid før de overskrives. Databehandleren sletter eller leverer tilbake opplysningene også hvis foreningen ber om det på e-post.

8. Aksept og endringer

Avtalen godtas elektronisk i NaboVel av en person i styret som har rett til å binde foreningen. Tjenesten registrerer hvem som godtok, når, og hvilken versjon av teksten. Endrer vi avtalen på en måte som berører foreningen, øker vi versjonsnummeret og ber foreningen godta den nye versjonen. Spørsmål om avtalen sender du til kontakt@nabovel.no.