Databehandleravtale

Denne avtalen gjelder mellom kundebedriften som bruker VK Drift («behandlingsansvarlig») og Verdalskrana AS, org.nr. 930 901 733 («databehandler»). Avtalen inngås ved bestilling av tjenesten og gjelder så lenge kundeforholdet varer. Ved motstrid går denne avtalen foran øvrige vilkår for behandling av personopplysninger.

1. Formål og omfang

Vi behandler personopplysninger utelukkende for å levere VK Drift til kundebedriften: planlegging av oppdrag, timeføring, kompetanse- og dokumentregister, kvalitetssystem, avviksbehandling, reiseregning og varsling. Vi behandler ikke opplysningene til egne formål.

2. Kategorier registrerte og opplysninger

• Registrerte: ansatte, innleide, kontaktpersoner hos kunder og leverandører.
• Opplysninger: navn, e-post, telefon, rolle, ansettelsesforhold, timer og fravær, kompetanse- og sertifikatbevis, dokumenter som lastes opp, avviks- og hendelsesrapporter, posisjons- og adressedata knyttet til oppdrag.
• Særlige kategorier: helseopplysninger kan forekomme i begrenset grad gjennom egenmelding og sykefravær. Kundebedriften avgjør selv hva som registreres.

3. Våre plikter

• Vi behandler opplysninger kun etter dokumenterte instrukser fra kundebedriften.
• Alle med tilgang er underlagt taushetsplikt.
• Vi iverksetter egnede tekniske og organisatoriske sikkerhetstiltak, se punkt 5.
• Vi bistår med å svare på henvendelser fra registrerte og med personvernkonsekvensvurdering.
• Vi varsler kundebedriften uten ugrunnet opphold, og senest innen 24 timer, ved brudd på personopplysningssikkerheten.

4. Kundebedriftens plikter

Kundebedriften er behandlingsansvarlig for opplysningene den registrerer, sørger for gyldig behandlingsgrunnlag, informerer sine ansatte, og styrer selv hvem som får tilgang og hvilken rolle de har i løsningen.

5. Sikkerhet

• All trafikk er kryptert, og data lagres kryptert hos driftsleverandør.
• Teknisk skille mellom firma: hver rad og hver fil er merket med firma, og databasen har en absolutt sperre som avviser tilgang til rader utenfor firmaet brukeren er innlogget i.
• Rollebasert tilgang innenfor hvert firma, og adminrolle gjelder kun eget firma.
• Logging av endringer, sikkerhetskopi og gjenoppretting.
• Slettede elementer ligger i papirkurv og fjernes permanent etter 90 dager.

6. Underleverandører

Kundebedriften gir generelt samtykke til bruk av underleverandører. Gjeldende liste finnes på siden underleverandører. Vi varsler minst 30 dager før nye underleverandører tas i bruk, og kundebedriften kan protestere på saklig grunnlag. Alle underleverandører er bundet av tilsvarende forpliktelser som i denne avtalen.

7. Overføring utenfor EØS

Opplysninger lagres primært innenfor EU/EØS. Ved overføring til land utenfor EØS benyttes EUs standard personvernbestemmelser eller annet gyldig overføringsgrunnlag.

8. Retur og sletting

Kundebedriften kan når som helst laste ned en fullstendig kopi av egne data fra innstillingene i løsningen. Ved opphør sletter eller anonymiserer vi alle personopplysninger innen 90 dager, med unntak av det vi må beholde etter regnskaps- og bokføringsregler. Sletting bekreftes skriftlig på forespørsel.

9. Revisjon

Vi gir kundebedriften den dokumentasjonen som er nødvendig for å vise at pliktene i denne avtalen overholdes, og legger til rette for revisjon gjennomført av kundebedriften eller en uavhengig revisor, med rimelig varsel og innenfor normal arbeidstid.

10. Kontakt

Verdalskrana AS, e-post post@verdalskrana.no. Signert eksemplar av avtalen sendes på forespørsel.