Databehandleravtale
Utkast til avtale etter personvernforordningen artikkel 28. Avtalen gjelder behandling av personopplysninger som kunden legger inn i Hej CRM.
Parter, formål og varighet
Kunden er behandlingsansvarlig og Aprex AS, org.nr. 937 881 444, er databehandler for CRM-opplysninger. Behandlingen varer mens kunden bruker Hej CRM og til data er returnert eller slettet etter kundens instruks. For konto, fakturering og tjenestesikkerhet kan Aprex være selvstendig behandlingsansvarlig.
Behandlingens innhold
Formålet er å levere kunderegister, kontakter, salgsoppfølging, tilbud, import, eksport, sikkerhetskopiering og support. Registrerte kan være kundens ansatte, kontaktpersoner, leverandører og prospekter. Opplysningene kan omfatte navn, jobbkontakt, virksomhet, dialog, salgsstatus, avtaler, oppgaver og tilbud. Kunden skal ikke legge inn særlige kategorier personopplysninger med mindre partene på forhånd har avtalt nødvendige tiltak.
Instrukser og konfidensialitet
Aprex behandler bare opplysninger etter kundens dokumenterte instruks, denne avtalen og kundens bruk av funksjonene. Aprex sikrer at personer med tilgang er underlagt taushetsplikt, begrenser tilgangen etter tjenstlig behov og varsler kunden uten ugrunnet opphold dersom en instruks etter Aprex sin vurdering strider mot personvernreglene.
Sikkerhet og bistand
Aprex bruker tilgangsstyring, autentisering, kryptert overføring, tenant-isolering, sikkerhetslogging og rutiner for håndtering av hendelser. Aprex bistår, så langt det er rimelig og relevant, med innsyn, retting, sletting, dataportabilitet, sikkerhetsbrudd, vurderinger av personvernkonsekvenser og henvendelser fra tilsyn. Aprex varsler kunden om brudd på personopplysningssikkerheten uten ugrunnet opphold etter at Aprex ble kjent med bruddet.
Underleverandører, overføring og kontroll
Kunden gir generell forhåndsgodkjenning til leverandørene på siden Underleverandører. Aprex informerer om vesentlige endringer på den siden. Aprex pålegger underleverandører tilsvarende personvernforpliktelser og er ansvarlig overfor kunden for deres behandling. Overføring utenfor EØS skjer bare med gyldig overføringsgrunnlag og nødvendige supplerende tiltak. Kunden kan be om dokumentasjon som er nødvendig for å kontrollere etterlevelse; revisjon avtales med rimelig varsel og uten unødig forstyrrelse.
Retur og sletting
Når tjenesten avsluttes, kan kunden eksportere data. Aprex sletter eller returnerer personopplysninger etter kundens dokumenterte valg og handling, med mindre loven krever videre oppbevaring. Opplysninger forsvinner ikke automatisk ved oppsigelse eller ubetalt faktura. Kopier i sikkerhetskopier fjernes etter den dokumenterte rotasjonen, som kunden skal få opplyst før lansering.