Databehandleravtale

1. Parter og omfang

Denne databehandleravtalen regulerer behandlingen av personopplysninger mellom Redor AS (org.nr. 916 505 310), heretter «Databehandler», og brukeren av Deles.no, heretter «Behandlingsansvarlig». Avtalen gjelder all behandling av personopplysninger som utføres på vegne av Behandlingsansvarlig i forbindelse med bruk av plattformen.

2. Definisjoner

Begreper i denne avtalen følger definisjonene i EUs personvernforordning (GDPR), herunder «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler» og «registrert».

3. Formål og varighet

Behandlingen skjer for å levere tjenestene på Deles.no — koble utlånere med låntakere, håndtere bookinger og muliggjøre kommunikasjon mellom brukere. Behandlingen varer så lenge kontoen er aktiv. Ved sletting av konto slettes personopplysninger innen 30 dager, med unntak av transaksjonsdata som oppbevares i 5 år iht. bokføringsloven.

4. Typer personopplysninger

• Navn, e-postadresse og telefonnummer
• Adresse og postnummer (via Vipps ved innlogging)
• Booking-data (datoer, priser, hentedetaljer)
• Meldinger mellom brukere
• Annonseinnhold (bilder, beskrivelser, priser)
• Vurderinger og kommentarer
• Aktivitetslogg (innlogging, handlinger)

5. Kategorier av registrerte

• Privatpersoner som bruker plattformen
• Bedriftsbrukere og organisasjoner

6. Databehandlerens plikter

• Behandle personopplysninger kun etter dokumentert instruks fra Behandlingsansvarlig.
• Sikre at personer med tilgang til personopplysninger har taushetsplikt.
• Iverksette nødvendige tekniske og organisatoriske sikkerhetstiltak, herunder TLS-kryptering, tilgangskontroll og regelmessig sikkerhetsgjennomgang.
• Bistå Behandlingsansvarlig med å oppfylle registrertes rettigheter (innsyn, retting, sletting, dataportabilitet).
• Varsle Behandlingsansvarlig om sikkerhetsbrudd uten ugrunnet opphold, og senest innen 48 timer.

7. Underleverandører

Følgende underleverandører benyttes for å levere tjenesten. Alle behandler data i henhold til egne databehandleravtaler og GDPR.

8. Overføring til tredjeland

Enkelte underleverandører behandler data i USA. Overføring skjer i henhold til EU-US Data Privacy Framework og/eller EUs standardkontraktsklausuler (SCC). Alle leverandører er vurdert og godkjent for behandling av personopplysninger.

9. Varsling ved brudd

Ved sikkerhetsbrudd som berører personopplysninger varsles Behandlingsansvarlig uten ugrunnet opphold, og senest innen 48 timer. Datatilsynet varsles innen 72 timer iht. GDPR artikkel 33. Berørte brukere varsles dersom bruddet medfører høy risiko for deres rettigheter.

10. Revisjon

Behandlingsansvarlig har rett til å gjennomføre revisjoner for å verifisere at Databehandler overholder denne avtalen. Revisjon skal varsles minst 14 dager i forveien og gjennomføres på en måte som ikke forstyrrer normal drift.

11. Ansvarsbegrensning

Databehandlerens samlede erstatningsansvar under denne avtalen er begrenset til beløpet Behandlingsansvarlig har betalt i provisjon de siste 12 månedene.

12. Varighet og oppsigelse

Avtalen gjelder så lenge Behandlingsansvarlig har en aktiv konto på Deles.no. Ved oppsigelse eller sletting av konto slettes alle personopplysninger innen 30 dager, med unntak av data som må oppbevares iht. lov.

13. Kontakt

Spørsmål om denne avtalen rettes til personvern@deles.no.