Databehandleravtale
1. Parter, omfang og status
Denne avtalen fastsetter vilkår for databehandling mellom bedriftskunden som er angitt i en OrsunPay-tjenesteavtale («Kunden»), og Orsun Tech OÜ, registreringsnummer 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia («OrsunPay»). Den blir bare bindende når den er innlemmet i en avtale som begge parter har akseptert, og vedleggene om behandling og sikkerhet er ferdigstilt.
For behandlingen som omfattes her, bestemmer Kunden formålene og de vesentlige midlene, og OrsunPay behandler personopplysninger på Kundens vegne. Når Kunden selv er databehandler, må Kunden ha fullmakt fra sin behandlingsansvarlige til å utpeke OrsunPay. Behandling for OrsunPays egne formål knyttet til nettsted, forretningskontakter og kontoadministrasjon er beskrevet i personvernerklæring.
«Personopplysninger», «behandlingsansvarlig», «databehandler» og beslektede begreper har betydningen som følger av gjeldende personvernlovgivning, inkludert GDPR der den gjelder. Denne databehandleravtalen har forrang fremfor motstridende tjenestevilkår for behandlingen den omfatter. Obligatoriske overføringsklausuler har forrang der de gjelder.
2. Beskrivelse av behandlingen
| Punkt | Behandlingens omfang |
|---|---|
| Gjenstand | Personopplysninger som håndteres gjennom Kundens avtalte tjenester for betalingsorkestrering og tilknyttet støtte. |
| Behandlingens art | Mottak, registrering, organisering, gjenfinning, overføring og visning av oppføringer; utførelse av rutings- og driftsinstrukser; feilsøking samt tilbakelevering eller sletting av data. |
| Formål | Drifte konfigurerte betalingsflyter, utveksle opplysninger med valgte leverandører, vedlikeholde transaksjons- og webhookoppføringer, gi autorisert tilgang og undersøke tjenesteproblemer. |
| Registrerte personer | Kundens kjøpere og andre betalingsdeltakere, samt Kundens autoriserte brukere eller representanter når behandlingen skjer etter Kundens instrukser. |
| Datakategorier | Kunde- og transaksjonsreferanser, kontaktopplysninger når disse oppgis, beløp og valutaer, betalings- og refusjonsstatuser, leverandørreferanser, tokeniserte eller maskerte opplysninger om betalingsmetoder, tekniske tilkoblingsdata og relevant støttemateriale. Det endelige vedlegget må gjenspeile den faktiske integrasjonen. |
| Varighet og hyppighet | Under bruk av tjenesten og i avtalt periode for tilbakelevering eller sletting; kontinuerlig eller hendelsesstyrt behandling avhengig av funksjonene som brukes. |
| Sensitive opplysninger | Særlige kategorier av personopplysninger, opplysninger om straffbare forhold og fullstendige betalingslegitimasjonsopplysninger faller utenfor denne generelle beskrivelsen, med mindre et separat skriftlig omfang og egnede kontroller uttrykkelig dekker dem. |
3. Instrukser og Kundens ansvar
Tjenesteavtalen, ferdigstilte vedlegg, autoriserte innstillinger og dokumenterte API-forespørsler utgjør Kundens instrukser. OrsunPay behandler bare omfattede data etter disse instruksene, inkludert instrukser om overføringer, med mindre gjeldende lov krever noe annet. OrsunPay informerer Kunden om et lovkrav før behandlingen, med mindre loven forbyr slik informasjon.
Kunden må gi lovlige instrukser, nødvendig personverninformasjon og et gyldig grunnlag for innsamlingen og behandlingen Kunden ber om. Kunden må begrense dataene som oppgis, til det tjenesten trenger, og opprettholde egnede kontotillatelser. OrsunPay informerer Kunden hvis OrsunPay mener en instruks strider mot gjeldende personvernlovgivning, og kan sette den berørte behandlingen på pause mens problemet løses.
4. Taushetsplikt og sikkerhet
OrsunPay begrenser tilgang til autoriserte personer som trenger den for å levere tjenesten, og sikrer at de er underlagt taushetsplikt. OrsunPay opprettholder tekniske og organisatoriske tiltak som passer til opplysningenes art og risikoene ved behandlingen.
Sikkerhetsvedlegget må dokumentere tilgangskontroll, autentisering, krypteringsordninger, adskillelse av kundemiljøer, logging, hendelseshåndtering, sikkerhetskopiering og gjenoppretting, sletting og prosessen for å vurdere disse tiltakene. Det må skille mellom iverksatte og planlagte kontroller og identifisere det aktuelle tjenesteomfanget. Ingen revisjonssertifisering eller sikkerhetsattestasjon innlemmes bare ved å publisere denne avtalen.
5. Underdatabehandlere
OrsunPay kan bare utpeke underdatabehandlere med Kundens forhåndsgitte spesifikke eller generelle skriftlige godkjenning. Det endelige godkjente vedlegget identifiserer den juridiske enheten, funksjonen og relevante behandlingssteder. Vårt leverandørregister er støttende informasjon og inkluderer nettstedsleverandører og ordninger under vurdering. Oppføring alene utgjør ikke kundegodkjenning.
Ved generell godkjenning gir OrsunPay skriftlig forhåndsvarsel om planlagte tillegg eller utskiftninger og gir Kunden en reell mulighet til å protestere av personvernhensyn før den nye behandlingen starter. Det inngåtte vedlegget må angi varslingsfrist, leveringskanal og fremgangsmåte for løsning. Hvis en innsigelse ikke kan løses, avtaler partene et lovlig alternativ eller avslutter den berørte tjenesten i henhold til kontrakten.
OrsunPay pålegger hver underdatabehandler de gjeldende personvernforpliktelsene gjennom kontrakt og forblir ansvarlig for underdatabehandlerens oppfyllelse av disse forpliktelsene slik loven krever.
6. Bistand og brudd på personopplysningssikkerheten
Med hensyn til behandlingen og opplysningene som er tilgjengelige, bistår OrsunPay Kunden med forespørsler om registrertes rettigheter, sikkerhetsforpliktelser, personvernkonsekvensvurderinger og konsultasjoner med kompetente myndigheter. Hvis OrsunPay mottar en forespørsel om Kundens data, varsler OrsunPay Kunden og gir ikke et innholdsmessig svar med mindre det skjer etter instruks eller er lovpålagt.
OrsunPay varsler Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører omfattede data. Tilgjengelig informasjon beskriver hendelsen, berørte data og personer, sannsynlige konsekvenser, avbøtende tiltak og en kontakt for oppfølging. Opplysninger kan gis trinnvis etter hvert som undersøkelsen utvikler seg. OrsunPay samarbeider om Kundens håndtering. Kunden forblir ansvarlig for varslene Kunden er juridisk ansvarlig for.
7. Internasjonale overføringer
Før behandlingen innebærer en overføring som er underlagt begrensninger, må partene identifisere eksportøren, importøren, destinasjonene og en egnet overføringsmekanisme. Der det er relevant, omfatter dette en gjeldende adekvansbeslutning eller ferdigstilte standard personvernbestemmelser med riktig modul, vedlegg og supplerende tiltak. Krav fra Storbritannia eller Sveits må ivaretas der de gjelder.
En lenke til en leverandørs databehandleravtale ferdigstiller ikke i seg selv Kundens overføringsdokumentasjon. Det inngåtte vedlegget må omfatte de faktiske ordningene, inkludert fjerntilgang og videreoverføringer.
8. Tilbakelevering, sletting og lagring
Når behandlingen avsluttes, tilbakeleverer eller sletter OrsunPay de omfattede personopplysningene etter Kundens valg og sletter gjenværende kopier, med mindre gjeldende lov krever lagring. Partene må avtale eksportformat, forespørselsprosess, fullføringsfrist og utløp for sikkerhetskopier i behandlingsvedlegget.
Når lagring er lovpålagt, identifiserer OrsunPay kravet der det er tillatt, begrenser de lagrede dataene til dette formålet og sletter dem når forpliktelsen opphører. Sikkerhetskopier som venter på planlagt utløp, må forbli beskyttet og utilgjengelige for vanlig bruk. OrsunPay bekrefter fullføringen på forespørsel.
9. Informasjon og revisjoner
OrsunPay gjør tilgjengelig informasjon som er nødvendig for å dokumentere etterlevelse av sine databehandlerforpliktelser, og tillater og bidrar til revisjoner, inkludert inspeksjoner utført av Kunden eller Kundens bemyndigede revisor. Partene samordner rimelig varsel, taushetsplikt og tiltak som beskytter andre kunders opplysninger. Praktiske ordninger må ikke hindre en revisjon som kreves ved lov eller av en kompetent myndighet.
10. Ferdigstilling av avtalen
Før inngåelse må partene ferdigstille tjenestespesifikke datakategorier, behandlingssteder, godkjente underdatabehandlere, overføringsdokumenter, sikkerhetstiltak, lagrings- og tilbakeleveringsordninger, varslingskontakter og prosedyren for leverandørendringer. Bestemmelser om ansvar og lovvalg følger den inngåtte tjenesteavtalen i den utstrekning loven tillater. Ingenting her fjerner en persons lovfestede rettigheter. Henvendelser om kontrakt og databehandleravtale kan sendes gjennom Kontakt.