Databehandleravtale

1. Parter

Behandlingsansvarlig: kunden — den virksomheten som bruker HRBuddy.

Databehandler: Bedriftsforvaltning AS, org.nr 922 283 443.

Avtalen gjelder automatisk når du tar i bruk tjenesten, og utgjør en del av vilkårene for bruk.

2. Formål og varighet

Vi behandler personopplysninger utelukkende for å levere HRBuddy: å lage, lagre og utlevere dokumenter på kundens instruks.

Avtalen gjelder så lenge kundeforholdet varer.

3. Typer opplysninger og registrerte

Kategorier av registrerte: ansatte, tidligere ansatte, styremedlemmer, aksjeeiere, avtaleparter og kontaktpersoner hos kunden.

Kategorier av opplysninger: navn, adresse, kontaktopplysninger, stillingsopplysninger, lønn, arbeidstid, fraværsperioder, samt bakgrunn for personalsaker som advarsel, drøftelsesmøte og oppsigelse.

Tjenesten er utformet for ikke å behandle særlige kategorier etter artikkel 9. Fraværsperioder ved egenmelding behandles uten opplysning om årsak eller diagnose.

4. Databehandlers plikter

Vi skal:

behandle opplysninger kun etter dokumenterte instrukser fra kunden

sikre at alle med tilgang er underlagt taushetsplikt

gjennomføre egnede tekniske og organisatoriske tiltak etter artikkel 32

bistå kunden med å oppfylle registrertes rettigheter

varsle kunden uten ugrunnet opphold ved brudd på personopplysningssikkerheten

gjøre tilgjengelig den dokumentasjon som er nødvendig for å vise etterlevelse

slette eller tilbakelevere opplysningene ved avtalens opphør

5. Underdatabehandlere

Kunden gir generelt samtykke til bruk av underdatabehandlere. Vi bruker i dag:

Underdatabehandler Formål

Chatbase Innsamling av opplysninger via chat

Make.com Automatisering og dokumentgenerering

Google Ireland Ltd. Dokumentlager og e-post

Outseta Innlogging og abonnementsadministrasjon

Stripe Betalingsformidling

Vi varsler kunden minst 30 dager før nye underdatabehandlere tas i bruk. Kunden kan protestere, og kan da si opp avtalen uten kostnad.

6. Overføring utenfor EØS

Enkelte underdatabehandlere er etablert utenfor EØS. Overføring skjer på grunnlag av EUs standardavtalevilkår. [BEKREFT hos hver leverandør.]

7. Sikkerhetstiltak

Tilgangsstyring, kun autorisert personell

Kryptert overføring (TLS)

Autentisering før utlevering av dokumenter

Dokumentlenker som ikke kan gjettes

Logging av dokumentgenerering og utlevering

8. Revisjon

Kunden kan én gang i året, med 30 dagers varsel, be om dokumentasjon på at avtalen etterleves. Kunden dekker egne kostnader.

9. Ved opphør

Ved oppsigelse slettes personopplysninger innen 90 dager, med mindre lagring er pålagt ved lov. Kunden er selv ansvarlig for å laste ned dokumenter før avslutning.

10. Ansvar

Ansvarsbegrensningen i vilkårene for bruk gjelder også for denne avtalen, med mindre ufravikelig lovgivning sier noe annet.