Databehandleravtale

Mal, versjon 18. august 2026. UTKAST, les gjennom før bruk

Partene

Kunden bestemmer hva opplysningene skal brukes til. HolmestrandIT behandler dem kun etter instruks fra kunden.

Alle henvendelser om innsyn, retting, sletting og avvik går til kontaktpunktene over.

1 · Hva vi behandler, og hvorfor

⚠️ Skal vi behandle særlige kategorier, som helseopplysninger, må det avtales særskilt og skrives inn her.

2 · Instruks

Vi behandler personopplysninger kun etter dokumentert instruks fra kunden, inkludert denne avtalen. Mener vi en instruks bryter personvernregelverket, sier vi fra med en gang.

Vi bruker aldri opplysningene til egne formål.

3 · Taushetsplikt

Alle som får tilgang til opplysningene hos oss har taushetsplikt. Taushetsplikten gjelder også etter at avtalen er avsluttet.

4 · Sikkerhet

Vi gjennomfører egnede tekniske og organisatoriske tiltak, blant annet:

• Tilgang kun for dem som trenger det, og kun så lenge det trengs.
• Kryptert forbindelse ved fjernhjelp, med økt som kunden selv starter og kan avbryte.
• Fjernhjelp går gjennom egen server, ikke gjennom en tredjepartstjeneste.
• Ingen opptak av fjernhjelpsøkter.
• Utstyr med diskkryptering og skjermlås.
• SUPPLER med det som faktisk gjøres

5 · Underleverandører

Listen må gås gjennom mot leverandørene som faktisk brukes i oppdraget.

Vi bruker disse underdatabehandlerne:

Vil vi bytte eller legge til en underleverandør, varsler vi kunden minst 30 dager i forveien. Kunden kan protestere, og da finner vi en annen løsning eller avslutter den delen av oppdraget.

Vi står ansvarlig overfor kunden for det underleverandørene gjør.

6 · Hjelp til kunden

Vi bistår kunden med:

• Å svare på krav fra personer om innsyn, retting eller sletting.
• Å ivareta sikkerheten i behandlingen.
• Vurderinger av personvernkonsekvenser der det trengs.

7 · Avvik

Oppdager vi et brudd på personopplysningssikkerheten, varsler vi kunden uten ugrunnet opphold, og senest innen 24 timer etter at vi ble kjent med det.

Varselet beskriver hva som har skjedd, hvilke opplysninger som er berørt, sannsynlige følger og hva vi gjør med det. Det er kunden som melder til Datatilsynet, siden det er kunden som er behandlingsansvarlig.

8 · Når avtalen avsluttes

Ved avslutning sletter vi alle personopplysninger vi har på kundens vegne, eller leverer dem tilbake dersom kunden ønsker det. Kunden velger hvilken av delene innen 30 dager.

Vi beholder ingenting utover det loven eventuelt pålegger oss, som regnskapsdokumentasjon.

9 · Revisjon

Kunden kan be om dokumentasjon på at vi følger avtalen. Vi svarer innen rimelig tid og legger til rette for revisjon dersom kunden krever det.

10 · Lovvalg

Norsk rett gjelder. Vi avtaler ikke et bestemt verneting, så en eventuell tvist føres der loven ellers bestemmer.