Databehandlerens forpliktelser. 6.1 Databehandleren skal kun behandle personopplysninger som beskrevet i denne avtalen
6.2 Databehandleren skal sikre at autoriserte personer er forpliktet til å behandle personopplysningene fortrolig. Plikten til konfidensialitet gjelder også etter at databehandler- oppdraget er fullført
6.3 Databehandleren treffer tiltak som er nødvendige for å ivareta personopplysninger samt å gjennomføre rutinemessige risikovurderinger
6.4 Databehandleren har den behandlingsansvarliges generelle godkjennelse til å bruke andre databehandlere. Databehandleren må pålegge eventuelle andre databehandlere de samme forpliktelsene som er fastsatt i denne databehandleravtalen gjennom en skriftlig avtale
6.5 Den behandlingsansvarlige har plikt til å legge til rette for at den registrerte får utøvd sine rettigheter, slik som retten til innsyn, retting, sletting og innsigelsesretten. Ved innsynskrav må databehandler bistå ved å samle opplysningene som er lagret om den registrerte. Databehandler må gjøre opplysningene tilgjengelig for den behandlingsansvarlige for at den behandlingsansvarlige kan vurdere innsynskravet
6.6 Databehandleren har en plikt til å bistå den behandlingsansvarlige med å overholde de forpliktelsene etter artikkel 32-36 som er relevante i det konkrete avtaleforholdet 6.7 Databehandleren må straks underrette den behandlingsansvarlige dersom det har skjedd eller skjer et brudd på personopplysnings-sikkerheten
6.8 Ved opphør av avtaleforholdet er databehandleren er forpliktet til å slette eller pseudonymisere alle personopplysninger som er behandlet. Pseudonymiserte data kan beholdes for generelle statistikk- og dokumentasjonsbehov
Databehandlerens forpliktelser. Databehandleren skal:
a) kun behandle personopplysninger i samsvar med formålet angitt i punkt 3,
b) kun behandle personopplysninger i samsvar med den Behandlingsansvarliges dokumenterte instruksjoner, forutsatt at eventuelle merkostnader som Databehandleren påføres som følge av instruksjonene dekkes;
c) på forespørsel bistå, gjennom egnede tekniske og organisatoriske tiltak, med å oppfylle den Behandlingsansvarliges plikt til å besvare forespørsler fra de registrerte i henhold til GDPR kapittel 3, og
d) bistå den Behandlingsansvarlige med å sikre overholdelse (GDPR artikkel 32 – 36), tatt i betraktning behandlingens art og informasjonen som er tilgjengelig for Databehandleren. Bistand som nevnt ovenfor vil ytes på de timepriser som er avtalt mellom partene, eller, dersom det ikke er avtalt, på Databehandlerens gjeldende timepriser. Databehandleren skal så snart som mulig underrette den Behandlingsansvarlige skriftlig hvis den har rimelig grunn til å tro at (i) en instruks fra den Behandlingsansvarlige kan medføre at Databehandleren bryter med gjeldende personvernlovgivning, eller (ii) gjeldende rett i EØS-området krever at Databehandleren behandler personopplysninger utover omfanget av den Behandlingsansvarliges dokumenterte instrukser, med mindre denne rett av hensyn til viktige samfunnsinteresser forbyr slik underretning.
Databehandlerens forpliktelser. Databehandler skal bare behandle Personopplysninger på vegne av og i samsvar med den Behandlingsansvarliges instruksjoner, slik disse avtalte instruksjonene fremkommer av Serviceavtalene, forutsatt instruksjonene er basert på gjeldende personvernlovgivning. Databehandler skal sikre et hensiktsmessig sikkerhetsnivå, herunder med tanke på konfidensialitet, integritet og tilgjengelighet til Personopplysninger. Dette skal sikres ved hjelp av systematiske, organisatoriske og tekniske forholdsregler og tiltak, som hensyntar egenarten og kostnadene ved implementering av tiltak målt opp mot risiko ved databehandlingen og typen data som skal beskyttes. Databehandler er forpliktet til å gi Behandlingsansvarlig tilgang til informasjon om sikkerhetstiltak og andre mekanismer som er iverksatt av Databehandler for å beskytte Personopplysningene, samt for å sikre at personvernlovgivningen overholdes. Dersom den Behandlingsansvarlige krever informasjon om sikkerhetstiltak utover den standard informasjonen som Databehandler tilgjengeliggjør, kan Databehandler fakturere den Behandlingsansvarlige for slikt merarbeid og tilleggstjenester. Databehandler med personell skal overholde sin taushetsplikt med hensyn til dokumentasjon og Personopplysninger som han/hun vil måtte få tilgang til som del av denne Avtalen. Denne bestemmelsen gjelder også etter at Avtalen opphører. Databehandler vil, gjennom å varsle den Behandlingsansvarlige, medvirke til at den Behandlingsansvarlige oppfyller personvernlovgivningen med hensyn til sin lovpålagte plikt til å underrette myndigheter eller Registrerte om avvik. Videre vil Databehandler så langt det er praktisk mulig og lovlig varsle den Behandlingsansvarlige om; i) mottatte forespørsler fra Registrerte om utlevering av Personopplysninger uten å etterkomme slike forespørsler, med mindre den Behandlingsansvarlige har gitt slik fullmakt, og ii) forespørsler fra myndigheter som politiet eller lignende om utlevering av Personopplysninger uten å etterkomme slike forespørsler, med mindre den Behandlingsansvarlige har gitt slik fullmakt. Databehandler kan imidlertid være avskåret fra å varsle den Behandlingsansvarlige om forespørsler fra myndigheter om utlevering, herunder dersom straff- eller prosesslovgivning forhindret dette av hensyn til konfidensialitet ved etterforskning. Databehandler vil ikke utlevere informasjon om denne Avtalen til myndigheter som politiet, herunder Personopplysninger, med mindre det er påkrevd i henhold til lov, som f.eks ...