Databehandleravtale

Denne databehandleravtalen er inngått i henhold til Europaparlaments- og Rådsforordning (EU) 2016/679 (GDPR) artikkel 28 nr. 3, samt personopplysningsloven av 15. juni 2018 nr. 38.

Denne avtalen regulerer HMSpass AS’ behandling av personopplysninger på vegne av Kunden som behandlingsansvarlig, og utgjør et supplement til bestillings- og avtalevilkår for levering av tjenester fra HMSpass AS, org.nr: 816 253 942, som eier og drifter www.byggekort.no.

HMSpass AS kan foreta mindre eller administrative oppdateringer av denne databehandleravtalen når dette er nødvendig som følge av endringer i gjeldende lovgivning, myndighetskrav eller tjenesten, forutsatt at endringene ikke vesentlig påvirker Kundens rettigheter eller HMSpass AS’ forpliktelser etter avtalen.

Vesentlige endringer i behandlingen av personopplysninger eller partenes rettigheter og plikter etter databehandleravtalen skal varsles Kunden skriftlig minimum 30 dager før foreslått ikrafttredelse. Dersom Kunden har saklig innsigelse mot en slik endring, skal partene søke å finne en tilfredsstillende løsning.

Gjeldende versjon av databehandleravtalen skal til enhver tid være tilgjengelig på www.byggekort.no.

1. DEFINISJONER

Personopplysninger: Enhver opplysning om en identifisert eller identifiserbar fysisk person.

Behandling: Enhver operasjon eller rekke av operasjoner som utføres på personopplysninger.

Registrert: Den fysiske personen som personopplysningene gjelder.

Behandlingsansvarlig: Kunden, som fastsetter formålene med og de vesentlige midlene for behandlingen av personopplysninger som omfattes av denne avtalen.

Databehandler: HMSpass AS, som behandler personopplysninger på vegne av Kunden.

Behandlingsgrunnlag: Lovlig grunnlag for behandling, jf. GDPR art. 6.

Underdatabehandler: Tredjepart engasjert av HMSpass AS til å behandle personopplysninger på vegne av Kunden.

2. BEHANDLINGENS GJENSTAND, FORMÅL, ART OG VARIGHET

HMSpass AS behandler personopplysninger på vegne av Kunden for å levere tjenester knyttet til bestilling, behandling, verifisering, administrasjon, oppfølging og fornyelse av HMS-kort via byggekort.no. Dette kan omfatte oppfølging av kortstatus og utløpsdato samt varsling til Kunden om HMS-kort som nærmer seg utløpsdato, har utløpt eller på annen måte krever oppfølging.

Behandlingen kan omfatte innsamling, registrering, organisering, lagring, kontroll, verifisering, sammenstilling, oversendelse, tilgjengeliggjøring, endring og sletting av personopplysninger i den utstrekning dette er nødvendig for å levere tjenesten og følge Kundens dokumenterte instrukser.

Behandlingen pågår så lenge HMSpass AS leverer de aktuelle tjenestene til Kunden, samt i den begrensede perioden etter opphør som er nødvendig for sletting, retur eller annen lovpålagt behandling i samsvar med denne avtalen.

3. TYPER PERSONOPPLYSNINGER OG KATEGORIER AV REGISTRERTE

Følgende kategorier av personopplysninger behandles:

  • Navn, adresse, e-post og kontaktinformasjon.
  • Fødselsnummer og D-nummer.
  • Portrettfoto og bilde av legitimasjon (for eksempel pass, nasjonalt ID-kort eller førerkort).
  • Ansettelsesforhold og virksomhetstilknytning.
  • Oppholdsstatus fra UDI.
  • Fakturainformasjon og betalingsopplysninger.
  • Opplysninger knyttet til HMS-kort, herunder kortnummer, kortstatus, utstedelsesdato og utløpsdato, samt øvrige opplysninger som er nødvendige for bestilling, administrasjon, oppfølging og fornyelse av HMS-kort.

Behandlingen kan omfatte personer som Kunden bestiller eller administrerer HMS-kort for, herunder Kundens ansatte, innleide arbeidstakere, oppdragstakere og andre personer som etter gjeldende regelverk omfattes av krav eller behov for HMS-kort.

Behandlingen kan også omfatte kontaktpersoner hos Kunden når dette er nødvendig for administrasjon av tjenesten.

Personopplysninger kan også gjøres tilgjengelige for HMSpass AS gjennom Arbeidstilsynets HMS-kortløsning når Kunden har gitt HMSpass AS nødvendig delegert tilgang eller fullmakt. Dette kan omfatte opplysninger som HMS-kortløsningen innhenter eller verifiserer mot relevante offentlige registre.

4. KUNDENS PLIKTER SOM BEHANDLINGSANSVARLIG

Kunden er ansvarlig for:

  • Å sikre at behandling av personopplysninger skjer i samsvar med gjeldende personvernregelverk.
  • Å fastsette formålene med og de vesentlige hjelpemidlene for behandlingen. Kunden gir gjennom denne databehandleravtalen og de avtalte vilkårene for tjenesten HMSpass AS dokumenterte instrukser for behandlingen av personopplysninger. Eventuelle ytterligere instrukser fra Kunden skal dokumenteres.
  • Å ha gyldig behandlingsgrunnlag.
  • Å gi registrerte påkrevd informasjon.
  • Å utføre nødvendige risikovurderinger og DPIA ved behov.
  • Å vurdere brudd på personopplysningssikkerheten og, når vilkårene etter GDPR artikkel 33 er oppfylt, varsle kompetent tilsynsmyndighet innen gjeldende frister.

5. HMSpass AS’ PLIKTER SOM DATABEHANDLER

HMSpass AS forplikter seg til å:

  • Behandle personopplysninger kun etter dokumenterte instrukser fra Kunden, med mindre behandling kreves etter unionsretten eller norsk rett. I slike tilfeller skal HMSpass AS informere Kunden om det rettslige kravet før behandlingen, med mindre gjeldende rett forbyr slik informasjon.
  • Iverksette passende tekniske og organisatoriske sikkerhetstiltak (jf. GDPR art. 32).
  • Sørge for at personer som er autorisert til å behandle personopplysningene, er underlagt taushetsplikt eller en egnet lovfestet taushetsplikt.
  • Bistå Kunden, så langt det er mulig og under hensyn til behandlingens art, med å oppfylle Kundens plikt til å besvare anmodninger fra registrerte om utøvelse av deres rettigheter etter GDPR kapittel III.
  • Bistå Kunden med å oppfylle sine forpliktelser etter GDPR artikkel 32–36, under hensyn til behandlingens art og den informasjonen som er tilgjengelig for HMSpass AS.
  • Varsle og bistå Kunden ved brudd på personopplysningssikkerheten i samsvar med punkt 7.
  • Ikke overføre eller gjøre personopplysninger tilgjengelig utenfor rammene av Kundens dokumenterte instrukser, denne avtalen eller gjeldende personvernregelverk.
  • Dokumentere behandlingsaktiviteter i protokoll som Kunden kan kreve innsyn i.
  • Muliggjøre og bistå ved revisjoner og kontroller igangsatt av Kunden.
  • Informere Kunden dersom instrukser strider mot gjeldende regelverk.

Denne avtalen gjelder bare personopplysninger som HMSpass AS behandler på vegne av Kunden. For behandling der HMSpass AS selv bestemmer formålet med og de vesentlige midlene for behandlingen, opptrer HMSpass AS som selvstendig behandlingsansvarlig. Slik behandling omfattes ikke av denne databehandleravtalen og reguleres av gjeldende personvernregelverk og HMSpass AS’ personvernerklæring.

Dersom HMSpass AS ikke lenger oppfyller kravene til databehandlere etter GDPR artikkel 28, kan Kunden si opp den delen av tjenesten som innebærer behandling av personopplysninger.

6. INFORMASJONSSIKKERHET

HMSpass AS skal gjennomføre egnede tekniske og organisatoriske tiltak i samsvar med GDPR artikkel 32 for å sikre et sikkerhetsnivå som er egnet i forhold til risikoen.

7. BRUDD PÅ PERSONOPPLYSNINGSSIKKERHETEN

HMSpass AS skal varsle Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører personopplysninger behandlet på vegne av Kunden.

Varselet skal, i den grad informasjonen er tilgjengelig, inneholde:

  • en beskrivelse av bruddets art,
  • hvilke kategorier av personopplysninger og registrerte som er berørt,
  • omtrentlig antall berørte registrerte og oppføringer, dersom dette kan fastslås,
  • sannsynlige konsekvenser av bruddet,
  • tiltak som er gjennomført eller planlagt for å håndtere og begrense konsekvensene, og
  • kontaktinformasjon til relevant kontaktpunkt hos HMSpass AS.

Dersom all informasjon ikke er tilgjengelig samtidig, skal HMSpass AS gi informasjonen trinnvis uten ytterligere ugrunnet opphold.

HMSpass AS skal bistå Kunden med nødvendig informasjon slik at Kunden kan oppfylle sine plikter etter GDPR artikkel 33 og 34.

8. UNDERDATABEHANDLERE

Kunden gir HMSpass AS generell skriftlig godkjenning til å benytte de underdatabehandlerne som fremgår av HMSpass AS’ til enhver tid gjeldende oversikt over underdatabehandlere.

Oversikten skal minst angi:

  • underdatabehandlerens navn,
  • hvilken tjeneste eller funksjon underdatabehandleren leverer,
  • behandlingssted,
  • om personopplysninger kan behandles eller gjøres tilgjengelig utenfor EØS, og
  • eventuelt overføringsgrunnlag etter GDPR kapittel V.

HMSpass AS skal varsle Kunden skriftlig minimum 10 dager før en ny underdatabehandler tas i bruk eller en eksisterende underdatabehandler endres på en måte som vesentlig påvirker behandlingen av Kundens personopplysninger.

Kunden kan innen varslingsfristen fremsette saklig og dokumentert innsigelse på personvernmessig grunnlag. Partene skal i slike tilfeller søke å finne en rimelig løsning.

HMSpass AS skal gjennom skriftlig avtale pålegge underdatabehandleren minst de samme personvernforpliktelsene som følger av denne avtalen og GDPR artikkel 28.

HMSpass AS er fullt ansvarlig overfor Kunden for underdatabehandlernes oppfyllelse av sine databeskyttelsesforpliktelser.

9. OVERFØRING OG TILGJENGELIGGJØRING UTENFOR EØS

Personopplysninger som behandles på vegne av Kunden skal som hovedregel behandles innen EØS.

HMSpass AS skal ikke overføre, lagre, behandle eller på annen måte gjøre Kundens personopplysninger tilgjengelig utenfor EØS uten Kundens skriftlige forhåndsgodkjenning og uten at vilkårene i GDPR kapittel V er oppfylt.

Som tilgjengeliggjøring utenfor EØS regnes også fjernaksess til personopplysningene fra tredjeland.

Dersom overføring eller tilgjengeliggjøring utenfor EØS godkjennes, skal HMSpass AS på forespørsel informere Kunden om relevant mottaker, mottakerland, behandlingsformål og rettslig overføringsgrunnlag.

10. REVISJON OG TILSYN

Kunden har rett til å kontrollere HMSpass AS’ etterlevelse av denne avtalen og gjeldende personvernregler. HMSpass AS skal gjøre tilgjengelig all informasjon som er nødvendig for å påvise at forpliktelsene etter GDPR artikkel 28 er oppfylt, og skal muliggjøre og bistå ved revisjoner og kontroller gjennomført av Kunden eller en revisor utpekt av Kunden.

Revisjoner skal normalt varsles med rimelig frist og gjennomføres på en måte som i minst mulig grad forstyrrer HMSpass AS’ ordinære virksomhet. Slik begrensning gjelder ikke dersom revisjon er nødvendig som følge av et alvorlig sikkerhetsbrudd, pålegg fra tilsynsmyndighet eller annen særskilt begrunnet risiko.

HMSpass AS kan oppfylle dokumentasjonskravet helt eller delvis gjennom relevante revisjonsrapporter, sertifiseringer eller annen uavhengig sikkerhetsdokumentasjon, forutsatt at dokumentasjonen gir Kunden tilstrekkelig informasjon til å kontrollere etterlevelsen.

11. ERSTATNINGSANSVAR

Partenes ansvar for erstatning som følge av behandling av personopplysninger reguleres av GDPR artikkel 82 og øvrig gjeldende rett. HMSpass AS er ansvarlig overfor Kunden for sine underdatabehandleres oppfyllelse av de personvernforpliktelsene som er pålagt dem i forbindelse med behandlingen.

12. VARIGHET OG SLETTING VED AVSLUTNING

HMSpass AS skal ikke oppbevare personopplysninger lenger enn det som er nødvendig for å utføre behandlingen på vegne av Kunden eller oppfylle gjeldende lovkrav.

Ved opphør av tjenesten skal HMSpass AS, etter Kundens valg, returnere eller slette personopplysningene som behandles på vegne av Kunden, og slette eksisterende kopier, med mindre norsk eller europeisk lovgivning krever fortsatt oppbevaring.

Kunden skal gi beskjed om hvorvidt opplysningene skal returneres eller slettes. Dersom Kunden ikke gir slik instruks innen 30 dager etter opphør, kan HMSpass AS slette opplysningene i samsvar med sine dokumenterte sletterutiner.

Sletting fra aktive produksjonssystemer skal gjennomføres uten ugrunnet opphold og normalt senest 30 dager etter at sletteplikten inntrer.

Opplysninger som finnes i sikkerhetskopier skal slettes eller overskrives i samsvar med HMSpass AS’ ordinære og dokumenterte rotasjonssyklus for sikkerhetskopier, og skal frem til permanent sletting være beskyttet mot ordinær bruk eller gjenoppretting med mindre dette er nødvendig av sikkerhetsmessige eller rettslige grunner.

Dersom HMSpass AS etter lov er forpliktet til å oppbevare enkelte opplysninger etter avtalens opphør, skal HMSpass AS informere Kunden om dette der loven tillater det og begrense videre behandling til det lovpålagte formålet.

13. OPPBEVARING UNDER LØPENDE KUNDEFORHOLD

Personopplysninger som HMSpass AS behandler på vegne av Kunden, oppbevares så lenge dette er nødvendig for å levere de avtalte tjenestene og oppfylle formålet med behandlingen, i samsvar med denne databehandleravtalen, de avtalte vilkårene for tjenesten og eventuelle ytterligere dokumenterte instrukser fra Kunden.

Personopplysninger skal slettes når de ikke lenger er nødvendige for formålet med behandlingen, med mindre fortsatt oppbevaring følger av Kundens dokumenterte instrukser eller gjeldende rett.

14. LOVVALG OG VERNETING

Avtalen er underlagt norsk rett. Tvister avgjøres av norske domstoler med HMSpass AS’ forretningssted som verneting.