Databehandleravtale

1. Om denne siden

Denne siden inneholder standard databehandleravtale (DPA) mellom HR Cluster AS, som databehandler, og hver kundevirksomhet, som behandlingsansvarlig, som bruker SRVY. Den utgjør en del av avtalen mellom oss og supplerer våre vilkår for bruk og vår personvernerklæring.

Denne versjonen er vår forhåndsgodkjente mal. Trenger du en signert kopi til arkivet ditt, send en e-post til legal@srvy.app, så returnerer vi en signert PDF, vanligvis innen to virkedager.

2. Parter

Databehandler: HR Cluster AS, som driver SRVY.

Behandlingsansvarlig: den juridiske enheten hvis kundevirksomhet bruker SRVY etter avtale med HR Cluster AS.

3. Gjenstand og varighet

Denne avtalen regulerer behandlingen av personopplysninger som skjer når den behandlingsansvarlige bruker SRVY. Den trer i kraft ved tjenestens start og varer så lenge HR Cluster AS behandler personopplysninger på den behandlingsansvarliges vegne, også om tjenesteavtalen endres eller fornyes.

4. Behandlingens art og formål

HR Cluster AS behandler personopplysninger utelukkende for å levere SRVY-plattformen for spørreundersøkelser og tilbakemeldinger. Dette omfatter utforming av undersøkelser, distribusjon av invitasjoner og påminnelser, innsamling av svar (inkludert anonyme svar), abonnements- og mottakerhåndtering, analyse og tilknyttede tjenester. HR Cluster AS opptrer strengt etter den behandlingsansvarliges dokumenterte instrukser, inkludert oppsettet av undersøkelser og mottakergrupper.

5. Kategorier av registrerte

• Respondenter som inviteres til eller svarer på den behandlingsansvarliges undersøkelser
• Abonnenter i den behandlingsansvarliges pools og lister
• Virksomhetsbrukere og administratorer hos den behandlingsansvarlige
• Andre personer hvis personopplysninger den behandlingsansvarlige legger inn eller laster opp i plattformen

6. Kategorier av personopplysninger

• Kontaktopplysninger (respondentens og abonnentens navn, e-postadresse og egenskaper lagt til av den behandlingsansvarlige)
• Svardata (undersøkelsessvar, ikke koblet til respondenters identitet; se vår personvernerklæring for omfang og begrensninger)
• Abonnements- og samtykkedata (abonnementsstatus, påmeldings- og avmeldingslogger med tidsstempel og IP)
• Virksomhetsbrukerdata (navn, jobb-e-post, rolle, rettigheter, hashede påloggingsopplysninger)
• Tekniske data (IP-adresse, nettleser- og enhetsmetadata, revisjons- og leveringstidsstempler)

Den behandlingsansvarlige skal ikke bruke plattformen til å behandle særlige kategorier av personopplysninger med mindre den har sikret et egnet behandlingsgrunnlag og ytterligere garantier for det.

7. Databehandlerens plikter

HR Cluster AS forplikter seg til å:

1. Kun behandle etter instruks. Behandle personopplysninger bare etter den behandlingsansvarliges dokumenterte instrukser, slik de fremgår av tjenesteavtalen, denne avtalen og den behandlingsansvarliges oppsett av plattformen. Kreves behandling uten instruks etter lov, informerer HR Cluster AS den behandlingsansvarlige først, med mindre loven forbyr slik varsling.
2. Konfidensialitet. Sørge for at personer som er autorisert til å behandle personopplysninger, er underlagt taushetsplikt.
3. Sikkerhet. Iverksette egnede tekniske og organisatoriske tiltak, slik det er beskrevet på vår sikkerhetsside, i tråd med GDPR artikkel 32.
4. Underdatabehandlere. Bare engasjere underdatabehandlere under en skriftlig avtale som pålegger personvernplikter tilsvarende dem i denne avtalen. De gjeldende underdatabehandlerne er oppført i vedlegget nedenfor. HR Cluster AS varsler den behandlingsansvarlige om enhver tiltenkt vesentlig endring og gir en rimelig anledning til å motsette seg den.
5. Respondenters og registrertes rettigheter. Bistå den behandlingsansvarlige, ved egnede tekniske og organisatoriske tiltak, i å besvare henvendelser fra registrerte som utøver rettighetene sine etter GDPR kapittel III, herunder å respektere avmeldinger gjennom plattformen.
6. Bistand med etterlevelse. Bistå den behandlingsansvarlige i å oppfylle pliktene etter GDPR artikkel 32 til 36 (sikkerhet, avviksmelding, vurderinger av personvernkonsekvenser og forhåndsdrøfting), ut fra behandlingens art og den informasjonen som er tilgjengelig.
7. Avviksmelding. Varsle den behandlingsansvarlige uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører den behandlingsansvarliges data, og gi den informasjonen som med rimelighet trengs for at den behandlingsansvarlige skal kunne oppfylle sine egne plikter.
8. Revisjon. Gjøre tilgjengelig den informasjonen som er nødvendig for å vise etterlevelse av denne avtalen, og legge til rette for rimelige revisjoner for den behandlingsansvarliges kostnad, med rimelig varsel og under avtalte konfidensialitetsvilkår.
9. Retur eller sletting. Etter den behandlingsansvarliges valg slette eller returnere alle personopplysninger ved tjenestens opphør, og slette eksisterende kopier med mindre lagring kreves etter lov.

8. Overføring til utlandet

Der en underdatabehandler behandler personopplysninger utenfor EØS, skjer overføringen under EU-kommisjonens standardavtaleklausuler og, der det er relevant, EU–US Data Privacy Framework, sammen med eventuelle supplerende tiltak angitt av underdatabehandleren.

9. Retur eller sletting av data

Ved tjenestens opphør, eller etter tidligere instruks fra den behandlingsansvarlige, vil HR Cluster AS slette eller returnere den behandlingsansvarliges personopplysninger innen rimelig tid, og slette gjenværende kopier, unntatt der lagring kreves etter gjeldende lov. Undertrykkingslogger som trengs for å holde en avmelding virksom, kan beholdes i hashet form for det formålet.

10. Lovvalg

Denne avtalen er underlagt norsk rett, og tvister er underlagt norske domstoler, i samsvar med våre vilkår for bruk.

11. Vedlegg: underdatabehandlere

De følgende underdatabehandlerne behandler personopplysninger på vegne av HR Cluster AS per datoen nedenfor. Hver er bundet av en skriftlig databehandleravtale.

Leverandør	Formål	Datakategorier	Lokasjon	Garantier
Hetzner Online GmbH	Drift, databehandling, lagring, sikkerhetskopier	Alle virksomhetsdata i applikasjonsdatabasen, opplastede filer og sikkerhetskopier	Dokumentert operasjonelt	ISO 27001-sertifiserte datasentre
Postmark(ActiveCampaign, LLC)	Levering av transaksjons- og undersøkelses-e-post	Mottakerens navn og e-postadresse, og innhold i invitasjoner, påminnelser samt abonnements- og konto-e-post	USA	Standardavtaleklausuler; EU–US Data Privacy Framework der det er relevant
Google Ireland Ltd.(Google Analytics)	Personvernvennlig bruksanalyse på offentlige sider	IP-adresse (anonymisert der det støttes), enhets- og nettlesermetadata, sideinteraksjonshendelser	USA / global Google-infrastruktur	Lastes bare etter samtykke; standardavtaleklausuler; IP-anonymisering

Vi varsler kunder på forhånd om enhver vesentlig endring i denne listen, vanligvis per e-post til virksomhetens administrator. En kunde med en signert databehandleravtale kan motsette seg en ny underdatabehandler i tråd med den avtalen.

12. Be om en signert kopi

Send en e-post til legal@srvy.app med organisasjonsnavn og registrert adresse. Vi returnerer en signert PDF til arkivet ditt, vanligvis innen to virkedager. Ingen endringer i teksten er nødvendig. Versjonen på denne siden er den samme som den signerte kopien.

13. Kontakt

HR Cluster AS
E-post: legal@srvy.app