Databehandler­avtale

1. Om denne avtalen

Denne databehandleravtalen («Avtalen») inngås mellom kunden («Behandlingsansvarlig») og SELLY AS, org.nr. 937 111 932, Oslo, Norge («Databehandler»), og utgjør en del av vilkårene for bruk av SELLY-tjenesten. Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28.

2. Behandlingens formål og art

Databehandleren behandler personopplysninger på vegne av Behandlingsansvarlig for å levere SELLY-tjenesten, herunder å besvare kundehenvendelser på telefon og chat, håndtere bookinger og avtaler, automatisere arbeidsflyter, integrere mot tredjepartssystemer valgt av Behandlingsansvarlig, levere rapporter og samtaleoversikter, samt øvrig funksjonalitet som til enhver tid inngår i SELLY-tjenesten. Behandlingen skjer kun etter dokumenterte instrukser fra Behandlingsansvarlig, og aldri til Databehandlerens egne formål.

Denne Avtalen, sammen med Behandlingsansvarliges bruk av SELLY-tjenesten og de innstillinger og konfigurasjoner som velges i tjenesten, utgjør Behandlingsansvarliges dokumenterte instrukser til Databehandleren.

3. Ansvarsfordeling

Behandlingsansvarlig er ansvarlig for å ha gyldig behandlingsgrunnlag for behandlingen av personopplysninger, og for å oppfylle sine plikter etter personvernforordningen, herunder å ivareta de registrertes rettigheter og gi nødvendig informasjon om behandlingen. Databehandleren behandler personopplysninger utelukkende på vegne av Behandlingsansvarlig og etter dennes dokumenterte instrukser, og skal varsle Behandlingsansvarlig dersom en instruks etter Databehandlerens syn er i strid med personvernforordningen.

4. Kategorier av registrerte og personopplysninger

Behandlingen omfatter personopplysninger om Behandlingsansvarliges kunder, potensielle kunder og andre personer som kontakter Behandlingsansvarlig gjennom SELLY-tjenesten:

• Navn og kontaktinformasjon (telefonnummer, e-postadresse).
• Opplysninger om henvendelser, avtaler og oppdrag, samt annen informasjon den registrerte selv oppgir.
• Samtaledata: transkripsjoner av samtaler, samtalehistorikk og meldingshistorikk. Lydopptak lagres ikke.
• Brukeropplysninger for Behandlingsansvarliges ansatte (navn, e-post, rolle i dashbordet).

5. Databehandlerens plikter

Databehandleren skal:

• Kun behandle personopplysninger etter dokumenterte instrukser fra Behandlingsansvarlig.
• Sikre at alle med tilgang til opplysningene er underlagt taushetsplikt.
• Gjennomføre tekniske og organisatoriske sikkerhetstiltak i samsvar med GDPR artikkel 32.
• Slette eller returnere alle personopplysninger når avtalen opphører, se punkt 12.

6. Underleverandører

Databehandleren bruker følgende underleverandører for å levere tjenesten. Behandlingsansvarlig gir en generell godkjenning til bruk av disse:

Databehandleren vedlikeholder en oppdatert oversikt over alle underleverandører, offentlig tilgjengelig på selly.no/subprocessors. Behandlingsansvarlig varsles minst 30 dager før vesentlige endringer i bruken av underleverandører, og kan komme med begrunnede innsigelser mot slike endringer. Unntak fra varslingsfristen kan gjøres dersom en endring er nødvendig av sikkerhetsmessige, juridiske eller driftsmessige årsaker; Behandlingsansvarlig varsles da så snart som mulig. Alle underleverandører er bundet av databehandleravtaler som pålegger dem forpliktelser tilsvarende denne Avtalen.

7. Overføring til tredjeland

Enkelte underleverandører behandler opplysninger i USA. All overføring skjer med gyldig overføringsgrunnlag etter GDPR kapittel V, enten EU-US Data Privacy Framework eller EUs standardkontraktsklausuler (SCC) med nødvendige tilleggstiltak.

8. Sikkerhet

Databehandleren gjennomfører egnede tekniske og organisatoriske sikkerhetstiltak tilpasset risikoen, blant annet: kryptering av data under overføring og lagring, tilgangsstyring basert på tjenstlig behov, logging av tilgang, og sikker drift av systemene. Tiltakene vurderes og forbedres ved behov.

9. Bistand til Behandlingsansvarlig

Databehandleren bistår Behandlingsansvarlig med å besvare henvendelser fra registrerte (innsyn, retting, sletting), og med vurderinger av personvernkonsekvenser (DPIA) der det er relevant.

10. Brudd på personopplysningssikkerheten

Ved brudd på personopplysningssikkerheten varsler Databehandleren Behandlingsansvarlig uten ugrunnet opphold. Varselet skal beskrive bruddets art, sannsynlige konsekvenser og tiltakene som er iverksatt.

11. Myndighetsforespørsler

Dersom Databehandleren mottar en rettslig bindende forespørsel fra offentlig myndighet om utlevering av personopplysninger som behandles på vegne av Behandlingsansvarlig, skal Databehandleren varsle Behandlingsansvarlig uten ugrunnet opphold, med mindre slik varsling er forbudt etter lov. Databehandleren skal vurdere om forespørselen kan begrenses eller bestrides der loven åpner for det, og skal uansett ikke utlevere flere personopplysninger enn det som er rettslig påkrevd.

12. Lagring og sletting

Samtaledata slettes eller anonymiseres senest 90 dager etter samtalen, med mindre Behandlingsansvarlig har konfigurert en kortere frist. Ved opphør av avtaleforholdet slettes eller returneres alle personopplysninger innen 30 dager, med mindre lovpålagt lagringsplikt krever noe annet.

13. Revisjon og dokumentasjon

Behandlingsansvarlig kan be om dokumentasjon på at denne Avtalen etterleves. Eventuell revisjon skal gjennomføres med rimelig varsel, i normal arbeidstid, og ikke oftere enn én gang per kalenderår, med mindre det foreligger særlige forhold eller lovpålagte krav.

14. Varighet, lovvalg og språk

Avtalen gjelder så lenge Databehandleren behandler personopplysninger på vegne av Behandlingsansvarlig. Avtalen er underlagt norsk rett med Oslo tingrett som verneting. Ved motstrid mellom språkversjoner gjelder den norske versjonen.

15. Kontakt

Personvernhenvendelser: team@selly.no. SELLY AS (org.nr. 937 111 932) er kontaktpunkt for alle spørsmål om personvern og denne databehandleravtalen.