Databehandleravtale – Yrkesforum

Utkast · sist endret 23. september 2026 · ikke endelig vedtatt

Databehandleravtale etter personvernforordningen (GDPR) artikkel 28, for de tilfellene utvikleren behandler personopplysninger på vegne av Yrkesforum gjennom driften av verktøyene. Utkastet er ikke juridisk rådgivning og bør kvalitetssikres av advokat før signering.

1 Parter og bakgrunn

Behandlingsansvarlig: Yrkesforum, org.nr. [settes inn etter registrering] («foreningen»)

Databehandler: Andre [etternavn] / [ev. firmanavn], [adresse] («utvikleren»)

Utvikleren drifter den tekniske infrastrukturen som verktøyene etter lisensavtalen mellom partene kjører på, og behandler i den forbindelse personopplysninger på vegne av foreningen. Denne avtalen regulerer den behandlingen, jf. GDPR artikkel 28.

2 Formen med behandlingen

3 Instruks og formål

Utvikleren skal bare behandle personopplysninger etter dokumentert instruks fra foreningen, herunder det som følger av denne avtalen, lisensavtalen og personvernerklæringen.

Utvikleren skal ikke bruke personopplysningene til egne formål, herunder markedsføring av egne eller tredjeparters tjenester, uten særskilt og uttrykkelig samtykke fra foreningen.

4 Taushetsplikt

Utvikleren skal sørge for at enhver som har tilgang til personopplysningene, herunder eventuelle underleverandører, er underlagt taushetsplikt om opplysningene.

5 Informasjonssikkerhet

Utvikleren skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er tilpasset risikoen, jf. GDPR artikkel 32. Dette omfatter blant annet:

• kryptering av personopplysninger under overføring,
• tilgangsstyring slik at bare autorisert personell har tilgang,
• regelmessig sikkerhetskopiering,
• rutiner for å oppdage, håndtere og varsle om avvik og sikkerhetsbrudd.

Utvikleren skal varsle foreningen uten ugrunnet opphold, og senest innen 24 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten.

6 Underleverandører

Utvikleren kan benytte underleverandører, som driftsleverandører av servere, bare med foreningens generelle eller særskilte godkjenning. Ved bruk av underleverandører skal utvikleren pålegge dem tilsvarende databehandlervilkår som i denne avtalen, og forbli fullt ansvarlig overfor foreningen for underleverandørens oppfyllelse.

Utvikleren skal informere foreningen om planlagte endringer i underleverandører, slik at foreningen kan motsette seg endringen.

7 Bistand til den behandlingsansvarlige

Utvikleren skal, så langt det er mulig, bistå foreningen med å oppfylle sine forpliktelser overfor registrerte, herunder krav om innsyn, retting, sletting og dataportabilitet, og med å gjennomføre vurderinger av personvernkonsekvenser der dette er relevant.

8 Sletting og tilbakelevering

Når denne avtalen eller lisensavtalen opphører, skal utvikleren, etter foreningens valg, tilbakelevere eller slette alle personopplysninger som er behandlet på vegne av foreningen, med mindre lagring er pålagt etter lov. Dette samsvarer med lisensavtalens punkt 10.

9 Revisjon og internkontroll

Utvikleren skal gjøre tilgjengelig for foreningen den informasjonen som er nødvendig for å dokumentere at pliktene i denne avtalen overholdes, og skal tillate og bidra til revisjoner, herunder inspeksjoner, gjennomført av foreningen eller en revisor foreningen har utpekt.

10 Ikrafttredelse og varighet

Avtalen trer i kraft ved signering og løper så lenge lisensavtalen mellom partene løper. Avtalen kan ikke sies opp isolert, men opphører sammen med lisensavtalen.

← Alle dokumenter