Databehandleravtale

1. Partene

Behandlingsansvarlig er laget (veilaget, vannlaget, hyttevelet eller foreningen) som er opprettet i Fellesstyre, representert ved styret.

Databehandler er [Selskapsnavn AS], org.nr. [orgnr], [Postadresse, postnummer og sted].

Avtalen gjelder fra laget opprettes i Fellesstyre, og så lenge Fellesstyre behandler personopplysninger for laget.

2. Formål og hva som behandles

Databehandleren behandler personopplysninger bare for å levere Fellesstyre til laget: holde medlemslisten, lage og sende fakturaer, vise hvem som har betalt, og sende påminnelser.

• Hvem det gjelder: lagets medlemmer.
• Opplysninger: navn, e-postadresse, telefonnummer, eiendom eller hytte, andel, og fakturaopplysninger (beløp, KID, forfall, betalingsstatus og påminnelser).
• Behandling: lagring, visning for styret, utsending av fakturaer og påminnelser på e-post, eksport og sletting.

Laget skal ikke legge inn særlige kategorier av personopplysninger (for eksempel helse) eller fødselsnummer i Fellesstyre.

3. Lagets instrukser

Databehandleren behandler opplysningene bare etter lagets instrukser. Instruksene er denne avtalen og det styret gjør i Fellesstyre, for eksempel å legge inn medlemmer, sende fakturaer eller slette laget. Databehandleren bruker ikke opplysningene til egne formål. Mener databehandleren at en instruks er i strid med personvernreglene, sier vi fra til laget.

4. Taushetsplikt

Alle som jobber for databehandleren og kan få tilgang til lagets opplysninger, har taushetsplikt. Tilgang gis bare når det trengs, for eksempel for å rette en feil laget har meldt fra om.

5. Sikkerhet

Databehandleren har tiltak som passer til risikoen (artikkel 32), blant annet:

• Kryptert forbindelse mellom nettleser, server og database.
• Tilgangskontroll i databasen, slik at bare styret i laget ser lagets data.
• Innlogging med engangslenke på e-post, uten passord.
• Sikkerhetskopier hos databaseleverandøren.

Oppdager databehandleren et brudd på personopplysningssikkerheten som gjelder laget, sier vi fra til styret uten ugrunnet opphold, og senest innen 36 timer, slik at laget kan melde fra til Datatilsynet innen fristen på 72 timer.

6. Underleverandører

Laget godkjenner at databehandleren bruker disse underleverandørene:

• Supabase: Database og innlogging, inkludert e-posten med innloggingslenke. Her ligger medlemslisten, fakturaene og styremedlemmenes e-postadresser. Data lagres i EU (Stockholm, Sverige).
• Vercel: Drift av nettsiden. Sidene lages på Vercels servere, og forespørslene går gjennom dem. Funksjonene kjører i EU (Stockholm, Sverige), samme sted som databasen. Vercel er et amerikansk selskap, så noe data kan behandles utenfor EØS. Grunnlag: [overføringsgrunnlag, f.eks. EUs standardkontraktsklausuler eller EU–US Data Privacy Framework].
• Resend: Utsending av e-post: invitasjoner til styret, fakturaer og purringer til medlemmene. Kan behandle data utenfor EØS. Grunnlag: [overføringsgrunnlag, f.eks. EUs standardkontraktsklausuler eller EU–US Data Privacy Framework].
• Stripe: Betaling av abonnementet til Fellesstyre (kommer). Stripe får bare opplysninger om den som betaler, ikke medlemslisten. Kan behandle data utenfor EØS. Grunnlag: [overføringsgrunnlag, f.eks. EUs standardkontraktsklausuler eller EU–US Data Privacy Framework].

Databehandleren har avtaler med underleverandørene som gir minst samme vern som denne avtalen. Skal vi bytte eller legge til en underleverandør, varsler vi styret på e-post minst 30 dager før. Laget kan protestere, og kan da slette laget og avslutte avtalen.

Overføres opplysninger til land utenfor EØS, skjer det med gyldig overføringsgrunnlag: [overføringsgrunnlag, f.eks. EUs standardkontraktsklausuler eller EU–US Data Privacy Framework].

7. Bistand til laget

Databehandleren hjelper laget å oppfylle pliktene sine, blant annet når et medlem vil se, rette eller slette opplysninger om seg selv. Styret kan selv rette og fjerne medlemmer og laste ned medlemslisten og fakturaene i Fellesstyre. Får vi en henvendelse direkte fra et medlem, sender vi den videre til styret.

8. Sletting når avtalen opphører

Lederen kan slette laget med alt innhold under Innstillinger. Da slettes dataene med en gang. Avslutter laget abonnementet uten å slette selv, sletter databehandleren lagets data innen 30 dager. Sikkerhetskopier overskrives innen [antall] dager. Før sletting kan styret laste ned medlemslisten og fakturaene som Excel-filer.

9. Revisjon og dokumentasjon

Databehandleren gir laget den informasjonen som trengs for å vise at avtalen følges, og legger til rette for revisjon som laget eller noen laget gir fullmakt, gjennomfører. Revisjon avtales på forhånd, og hver part dekker sine egne kostnader.

10. Endringer og kontakt

Vesentlige endringer i avtalen varsles på e-post til styret. Spørsmål om avtalen sendes til post@fellesstyre.no. Se også personvernerklæringen.