Databehandleravtale

1. Partene

Behandlingsansvarlig er kunden som har inngått avtale om driftet relaii («dere»). Databehandler er Oclin Home AS, org.nr. 916 749 724, Sjukehusvegen 6A, 6103 Volda («vi»).

2. Behandlingen

Formål

Å drifte relaii-Spacen til kunden: lagre og levere innhold, ta sikkerhetskopi, overvåke, rette feil og gi support.

Art

Lagring, overføring, sikkerhetskopiering, gjenoppretting, feilsøking og sletting.

Registrerte

Brukere og gjester i Spacen, personer fra servere dere deler kanaler med, og personer som er nevnt i innholdet.

Opplysninger

Kontoopplysninger (navn, brukernavn, e-postadresse, profilbilde, rolle, passord som hash, oppsett for tofaktor), innhold (meldinger, filer, reaksjoner, søk), tekniske opplysninger (IP-adresser, økter, enheter, push-registreringer, tidspunkter) og revisjonsloggen. Lyd og video i møter går mellom deltakerne og lagres ikke.

Varighet

Så lenge avtalen om driftet relaii løper, og deretter til opplysningene er slettet etter punkt 9.

Tjenesten er ikke særskilt innrettet for særlige kategorier av personopplysninger, som helseopplysninger. Om slike opplysninger skal deles i Spacen, er deres vurdering.

3. Instrukser

Vi behandler opplysningene bare etter dokumenterte instrukser fra dere. Avtalen om driftet relaii, denne avtalen og innstillingene dere velger i Spacen er slike instrukser. Andre instrukser gis skriftlig. Mener vi at en instruks er i strid med personvernreglene, sier vi fra med en gang. Vi bruker ikke opplysningene til egne formål.

Vi går bare inn i Spacen når drift, sikkerhet eller feilretting krever det, eller når dere ber om det. Vi leser ikke innhold mer enn oppgaven krever.

4. Taushetsplikt

Bare personer hos oss som trenger tilgang for å levere tjenesten, får det. De har taushetsplikt, også etter at de har sluttet.

5. Sikkerhet

Vi har tiltak som gir et sikkerhetsnivå tilpasset risikoen, jf. GDPR artikkel 32:

• Egen virtuell server per kunde. Database og filer deles ikke med andre kunder.
• All trafikk til Spacen går over TLS.
• Meldingstekst er kryptert i databasen med AES-256-GCM. Nøkkelen ligger på serveren, og søkeindeksen er ikke kryptert.
• Passord lagres bare som Argon2-hash. Brukerne kan slå på tofaktor (TOTP), og innlogging er begrenset mot gjetting.
• Administrativ tilgang til serverne skjer bare over SSH med personlige nøkler, for navngitte personer hos oss.
• Kryptert og signert sikkerhetskopi hver natt, lagret utenfor serveren i EU og tatt vare på i 30 dager.
• Sikkerhetsoppdateringer av relaii og operativsystemet installeres så snart det er forsvarlig.
• Opplastede filer skannes for virus.
• Administrative handlinger i Spacen skrives til en revisjonslogg dere kan lese.

6. Underleverandører

Dere gir en generell godkjenning av at vi bruker underleverandører. Disse brukes i dag:

Hetzner Online GmbH, Tyskland

Servere og lagring. Spacen ligger i Helsingfors, Finland. Sikkerhetskopiene ligger i et annet datasenter i EU.

Apple Inc. og Google LLC

Bare hvis push-varsler er slått på: leverer varsler til enhetene. De mottar en enhetsadresse og, hvis forhåndsvisning er slått på, en forhåndsvisning som er kryptert før den forlater Spacen. Dette kan innebære overføring til USA.

Varslingstjenesten vår på notifications.relaii.app drives av oss selv og er ingen underleverandør. Leverandøren dere velger for e-post fra Spacen, har dere avtale med selv.

Vi varsler dere skriftlig minst 30 dager før vi tar i bruk en ny eller bytter en underleverandør. Har dere saklig grunn til å protestere og vi ikke finner en løsning, kan dere si opp avtalen før endringen gjelder. Underleverandørene er bundet av de samme pliktene som oss, og vi er ansvarlige for dem.

7. Overføring utenfor EØS

Opplysningene i Spacen og sikkerhetskopiene lagres i EU. Overføring utenfor EØS skjer bare slik det står i punkt 6, og bare med et gyldig overføringsgrunnlag, som EUs adekvansbeslutning for EU–US Data Privacy Framework eller EUs standardkontraktsklausuler.

8. Bistand og varsling

Vi hjelper dere med å svare på krav fra de registrerte, som innsyn og sletting. Mye kan dere gjøre selv i administrasjonen i Spacen. Vi hjelper også med sikkerhet, vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet, jf. GDPR artikkel 32 til 36.

Oppdager vi et brudd på personopplysningssikkerheten, varsler vi dere uten ugrunnet opphold og senest 48 timer etter at vi ble kjent med det. Varselet beskriver så langt vi vet hva som har skjedd, hvilke opplysninger og personer som er berørt, sannsynlige konsekvenser og hva vi gjør. Det gir dere tid til å varsle Datatilsynet innen 72 timer.

9. Når avtalen slutter

Ber dere om det før sluttdatoen, gir vi dere en full sikkerhetskopi av Spacen. Deretter sletter vi serveren innen 30 dager. Sikkerhetskopiene slettes etter hvert som de blir eldre enn 30 dager, slik at alt er borte senest 60 dager etter sluttdatoen. Dere får en skriftlig bekreftelse når slettingen er fullført.

10. Dokumentasjon og revisjon

Vi gir dere den informasjonen som trengs for å vise at denne avtalen følges. Dere kan, med minst 30 dagers varsel og høyst én gang per år med mindre det har vært et brudd, gjennomføre eller la en uavhengig revisor gjennomføre en revisjon. Revisjonen skal ikke gi innsyn i andre kunders opplysninger. Hver part dekker sine egne kostnader.

11. Øvrig

Denne avtalen gjelder så lenge vi behandler personopplysninger for dere. Ansvar reguleres av avtalen om driftet relaii og GDPR artikkel 82. Norsk rett gjelder. Spørsmål om personvern sendes til privacy@oclin.no.