Databehandleravtale

Vedlegg til Bruksvilkårene · gjelder fra 2026-10-06 · Norsk oversettelse; den tsjekkiske versjonen har forrang

Denne avtalen etter artikkel 28 i forordning (EU) 2016/679 («personvernforordningen») inngås mellom Organisasjonen som bruker plattformen Negotiq («Behandlingsansvarlig»), og SynQflows, s.r.o., org.nr. 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 («Databehandler»), og utgjør en del av Bruksvilkårene. Den inngås ved aksept av Bruksvilkårene og gjelder så lenge Avtalen består. Begreper med stor forbokstav har den betydning som følger av Bruksvilkårene.

1. Behandlingens gjenstand og omfang

2. Behandlingsansvarliges instrukser

1. Databehandler behandler personopplysninger bare etter dokumenterte instrukser fra Behandlingsansvarlig, også med hensyn til overføring til tredjeland. Instruksene gis gjennom Bruksvilkårene, denne avtalen og innstillingene på Plattformen; ved å sette opp en Integrasjon (Mottaksadresse, ERP-tilkobling, Webhook, API-nøkkel for en tredjepartsagent) instruerer Behandlingsansvarlig om behandling i det omfang Integrasjonen krever. Ytterligere instrukser gis av Organisasjonsadministratoren i tekstform.
2. Dersom Databehandler mener at en instruks er i strid med personvernforordningen eller andre personvernregler, skal Databehandler umiddelbart underrette Behandlingsansvarlig om dette og er ikke forpliktet til å utføre instruksen før Behandlingsansvarlig har uttalt seg.
3. Dersom unionsretten eller nasjonal rett i en medlemsstat pålegger Databehandler å behandle opplysningene, skal Databehandler underrette Behandlingsansvarlig om dette på forhånd, med mindre vedkommende rett forbyr det (personvernforordningen artikkel 28 nr. 3 bokstav a).
4. Databehandler behandler ikke Behandlingsansvarliges personopplysninger for egne formål. Anonymiserte og aggregerte statistikker (artikkel 11 nr. 2 i Bruksvilkårene) inneholder ingen personopplysninger. Oppføringer i Revisjonskjeden, Kvitteringer og AP2-registreringer behandles av Databehandler som selvstendig behandlingsansvarlig i henhold til Personvernerklæringen, ikke i henhold til denne avtalen.
5. Behandlingsansvarlig er ansvarlig for at behandlingen er lovlig, for å informere de registrerte og for å ha rett til å legge personopplysningene inn på Plattformen og til å gi tilgang til tilkoblede systemer.

3. Databehandlers plikter

1. Databehandler sikrer at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til konfidensialitet eller er underlagt lovbestemt taushetsplikt.
2. Databehandler gjennomfører de tekniske og organisatoriske tiltakene etter personvernforordningen artikkel 32 som er angitt i vedlegg 1. Databehandler kan endre tiltakene, forutsatt at det samlede sikkerhetsnivået ikke reduseres.
3. Databehandler bistår Behandlingsansvarlig med å besvare henvendelser fra registrerte, primært gjennom Plattformens verktøy (eksport av data i JSON-format, retting, sletting av en Brukers konto eller av Organisasjonen). En henvendelse som Databehandler mottar direkte fra en registrert, videresendes til Behandlingsansvarlig uten ugrunnet opphold, og Databehandler besvarer den ikke selv i realiteten.
4. Databehandler bistår Behandlingsansvarlig med å overholde personvernforordningen artikkel 32 til 36 (sikkerhet, melding om brudd, vurdering av personvernkonsekvenser og forhåndsdrøftinger), idet det tas hensyn til behandlingens art og den informasjonen Databehandler har tilgang til.

4. Underdatabehandlere

1. Behandlingsansvarlig gir Databehandler generell tillatelse til å engasjere underdatabehandlere. Gjeldende liste:

   Underdatabehandler	Aktivitet	Sted, garantier
   Railway Corporation	hosting av applikasjon og database, sikkerhetskopier	USA / EU; standard personvernbestemmelser (modul 3) eller EU-U.S. Data Privacy Framework
   Anthropic, PBC	konvertering av ustrukturerte prislister til tabeller (bare når funksjonen brukes)	USA; standard personvernbestemmelser (modul 3); ingen trening av modeller på opplysningene
   tilbyder av e-postmottak (den konkrete tilbyderen vil bli tilføyd denne listen før funksjonen tas i bruk)	mottak av meldinger sendt til Mottaksadresser og videreformidling av dem til Plattformen	angis sammen med tilbyderen; overføring utenfor EØS bare med garantier etter artikkel 7
   tilbyder av e-posttjeneste (SMTP)	levering av fakturaer, purringer og tjenestemeldinger (mottakerens adresse og meldingens innhold)	EU

2. Databehandler underretter Behandlingsansvarlig om enhver planlagt tilføyelse eller utskifting av en underdatabehandler minst 14 dager i forveien på Plattformen eller per e-post til Organisasjonsadministratoren. Innen denne fristen kan Behandlingsansvarlig protestere av saklige grunner knyttet til personvern. Partene skal forsøke å finne en løsning; dersom de ikke finner en, kan Behandlingsansvarlig si opp Avtalen uten sanksjoner med virkning fra et tidspunkt før underdatabehandleren engasjeres.
3. Databehandler pålegger ved avtale underdatabehandlere de samme personvernforpliktelsene som Databehandler har etter denne avtalen, herunder tilstrekkelige garantier for gjennomføring av tekniske og organisatoriske tiltak, og forblir ansvarlig overfor Behandlingsansvarlig for at underdatabehandlerne oppfyller sine forpliktelser (personvernforordningen artikkel 28 nr. 4).
4. Systemer som Behandlingsansvarlig selv har valgt (tilkoblede ERP-systemer, produktfeeder, endepunkter for Webhooker og tredjepartsagenter), er ikke Databehandlers underdatabehandlere; Databehandler overfører opplysninger til dem etter Behandlingsansvarliges instruks.

5. Brudd på personopplysningssikkerheten

1. Databehandler melder brudd på personopplysningssikkerheten til Behandlingsansvarlig uten ugrunnet opphold og senest innen 48 timer etter å ha blitt kjent med bruddet, per e-post til Organisasjonsadministratoren og på Plattformen.
2. Meldingen inneholder den informasjonen etter personvernforordningen artikkel 33 nr. 3 som Databehandler har tilgang til (bruddets art, kategorier og omtrentlig antall berørte registrerte og registreringer, kontaktpunkt, sannsynlige konsekvenser og tiltak som er truffet eller foreslått); informasjon som ennå ikke er kjent, gis trinnvis.
3. Databehandler treffer straks tiltak for å håndtere bruddet og begrense virkningene av det, samarbeider med Behandlingsansvarlig og dokumenterer bruddet. En melding innebærer ingen erkjennelse av ansvar.

6. Informasjon og revisjoner

1. Databehandler gjør tilgjengelig for Behandlingsansvarlig den informasjonen som er nødvendig for å påvise at forpliktelsene etter personvernforordningen artikkel 28 overholdes, primært gjennom dokumentet Sikkerhet og tillit og svar på et rimelig sikkerhetsspørreskjema.
2. Dersom denne informasjonen ikke er tilstrekkelig, tillater Databehandler revisjon utført av Behandlingsansvarlig eller av en uavhengig revisor som er underlagt taushetsplikt og ikke er konkurrent av Databehandler, med minst 30 dagers forhåndsvarsel, høyst én gang per kalenderår (unntatt ved brudd på personopplysningssikkerheten eller etter krav fra en tilsynsmyndighet), for Behandlingsansvarliges regning, uten tilgang til andre kunders opplysninger og uten at deres sikkerhet settes i fare.
3. Tilsynsmyndighetenes undersøkelsesmyndighet berøres ikke.

7. Overføring utenfor EØS

1. Overføring til tredjeland skjer bare med garantier etter personvernforordningen kapittel V.
2. Dersom Databehandler overfører personopplysninger til en underdatabehandler i et tredjeland som det ikke foreligger noen beslutning om tilstrekkelig beskyttelsesnivå for (eller dersom mottakeren ikke er sertifisert under EU-U.S. Data Privacy Framework), inngår Databehandler med denne standard personvernbestemmelser i henhold til Kommisjonens gjennomføringsbeslutning (EU) 2021/914, modul 3 (overføring fra databehandler til databehandler), vurderer det rettslige miljøet i mottakerens land og treffer supplerende tiltak (særlig kryptering under overføring og ved lagring og dataminimering).
3. Behandlingsansvarlig godkjenner herved slike overføringer. Databehandler gir på forespørsel Behandlingsansvarlig en kopi av garantiene; forretningsmessige vilkår kan sladdes.

8. Sletting og tilbakelevering av opplysninger

1. Så lenge Avtalen består, kan Behandlingsansvarlig når som helst eksportere Organisasjonens data i JSON-format og selv slette opplysninger.
2. Etter at Avtalen har opphørt, skal Databehandler etter Behandlingsansvarliges valg tilbakelevere (eksport) eller slette personopplysningene innen 30 dager, herunder kopier, med mindre lov krever fortsatt lagring. Sikkerhetskopier overskrives i den ordinære syklusen senest innen 90 dager; frem til da er de beskyttet og brukes ikke.
3. Meldinger mottatt på Mottaksadressen slettes automatisk etter 90 dager. Databehandler slutter å bruke tilgangsopplysninger for et tilkoblet system straks tilkoblingen er fjernet, og sletter dem senest i henhold til nr. 2.
4. Denne artikkel gjelder ikke for registreringene nevnt i artikkel 2 nr. 4 annet og tredje punktum.

9. Ansvar, forrang og lovvalg

Partenes ansvar følger av personvernforordningen artikkel 82 og Bruksvilkårene, herunder ansvarsbegrensningene i disse, i den utstrekning loven tillater dem. I spørsmål om personvern har denne avtalen forrang foran Bruksvilkårene. Denne avtalen er underlagt tsjekkisk rett.

Vedlegg 1 — Tekniske og organisatoriske tiltak

• Kryptering og pseudonymisering: kryptering av all kommunikasjon (TLS) og kryptering av lagrede data hos hostingtilbyderen; tilgangsopplysninger for tilkoblede systemer og signeringshemmeligheter for Webhooker kryptert med AES-256-GCM; passord som Argon2id-hashverdier; gjenopprettingskoder, innloggingsøkter og API-nøkler lagret bare som hashverdier; pseudonymisering av oppføringer i Revisjonskjeden etter at en konto er slettet.
• Tilgangskontroll: rollebasert tilgang administrert av Organisasjonsadministratoren; atskillelse av de enkelte Organisasjonenes data håndhevet på applikasjonsnivå; vedlegg bare til autoriserte personer og alltid som nedlasting; tilgang til produksjonsmiljøet bare for autorisert personell hos Databehandler som er underlagt taushetsplikt.
• Beskyttelse av kontoer og økter: informasjonskapsler med HttpOnly, Secure og SameSite; kontroll av opprinnelse (Origin) ved forespørsler som endrer data; midlertidig sperring av kontoen etter gjentatte mislykkede innloggingsforsøk; en passordendring avslutter alle økter; begrensninger på antall API-forespørsler.
• Integritet og etterprøvbarhet: Revisjonskjede med kryptografisk koblede oppføringer, der endring eller sletting blokkeres av en databasetrigger; Ed25519-signaturer på Mandater, Kvitteringer og AP2-registreringer; Webhooker signert med HMAC-SHA256.
• Tilgjengelighet og gjenoppretting: regelmessige sikkerhetskopier av databasen; sikkerhetskopier overskrives senest innen 90 dager.
• Minimering og sletting: meldinger på Mottaksadressen 90 dager; driftslogger høyst 90 dager; bare generelle kontaktopplysninger for selskaper når det gjelder potensielle leverandører; automatisk e-postimport bare fra Verifiserte avsendere.
• Sikker utvikling: automatiserte tester av sikkerhetsinvarianter (atskillelse av Organisasjoner, Agentenes grenser, konfidensialitet om grenser) ved hver endring; avhengigheter låst til eksakte versjoner; Agentene behandler ikke filinnhold som instruksjoner.
• Hendelser og gjennomgang: håndtering og melding av hendelser etter artikkel 5; en kanal for rapportering av sårbarheter; regelmessig gjennomgang av tiltakenes effektivitet.

En mer detaljert beskrivelse finnes i dokumentet Sikkerhet og tillit.