Dette dokumentet er en oversettelse av originalen på engelsk. Ved eventuelle avvik mellom versjonene gjelder den engelske versjonen foran.

💡 Behandling av personopplysninger er regulert av personvernforordningen til Den europeiske union, og den er også tilgjengelig på nettstedet til CNIL

1. Innledning#

Denne avtalen gjelder behandling av personopplysninger som utføres av Kunden i egenskap av behandlingsansvarlig, og av Nonli i egenskap av databehandler, i forbindelse med levering av en løsning for analyse av publikum på kundens nettsted, analyse av trender og publisering i sosiale nettverk. Denne avtalen utgjør et selvstendig dokument som har til formål å fastsette Partenes respektive forpliktelser for å sikre overholdelse av gjeldende lovgivning om behandling av personopplysninger og respekt for personvernet.

Personopplysninger brukes bare slik at kunden kan autentisere seg med tofaktorautentisering og dermed bruke plattformen. Vi forplikter oss til å garantere konfidensialiteten til personopplysningene, til å sikre at personer som er autorisert til å behandle disse personopplysningene, overholder konfidensialitet eller er underlagt en lovfestet taushetsplikt, og at de får nødvendig opplæring i vern av personopplysninger.

Partene forplikter seg til å overholde prinsippene i artikkel 25 i forordningen om «innebygd personvern og personvern som standardinnstilling».

De anonyme dataene som samles inn av SDK-en, brukes bare etter bestilling og til fordel for kunden vår.

CNIL-egenvurderingen for Nonli SDK er tilgjengelig her: CNIL-egenvurdering - Nonli SDK.

Vi forplikter oss til ikke å bruke kundenes data til våre egne formål.

2. Tekniske og organisatoriske tiltak#

Vi forplikter oss til å gjennomføre alle sikkerhetstiltakene som er angitt nedenfor:

2.1. Underleverandører#

Med unntak av leverandørene av hosting, e-post og interne varsler som er oppført i avsnittet «Kundestøtte», setter vi ikke ut noen behandling av personopplysninger til underleverandører. Hvis det likevel skulle skje, vil vi informere kunden vår og sikre konfidensialiteten til dataene hos underleverandøren.

Vi sørger for at underleverandøren gir de samme tilstrekkelige garantiene for gjennomføringen av de tekniske og organisatoriske tiltakene som forordningen krever.

2.2. Overføring utenfor Den europeiske union (EU)#

Ved overføring av personopplysninger utenfor EU garanterer vi at forpliktelsene i KAPITTEL V «Overføring av personopplysninger til tredjestater eller internasjonale organisasjoner» i forordningen overholdes.

Slack, en leverandør som er oppført i avsnittet «Kundestøtte», kan behandle dataene i varslene som sendes til den, utenfor EU.

Vi vil kunne gi alle garantier som kunden vår har rett til å kreve for å sikre at overføringer av data utenfor EU er i samsvar med regelverket.

2.3. Rett til informasjon for de registrerte#

Det er kundens ansvar å gi informasjon til personene som berøres av behandlingen, på tidspunktet for innsamling av data.

2.4. Utøvelse av de registrertes rettigheter#

Vi forplikter oss til å hjelpe kunden vår med å oppfylle plikten til å svare på henvendelser fra de registrerte som vil utøve rettighetene sine: rett til innsyn, retting, sletting og innsigelse, rett til begrensning av behandling, rett til dataportabilitet, rett til ikke å være gjenstand for en automatisert individuell avgjørelse (herunder profilering). Når de registrerte sender henvendelser for å utøve rettighetene sine, videresender vi disse henvendelsene til kunden vår.

2.5. Varsling om brudd på personopplysningssikkerheten#

Vi vil varsle kunden vår per e-post om ethvert brudd på personopplysningssikkerheten så snart som mulig etter at vi har fått kjennskap til det, og uansett innen frister som gjør det mulig for kunden vår å overholde fristene som er fastsatt i personvernforordningen. Varselet vil være ledsaget av all nyttig dokumentasjon som setter kunden i stand til å melde bruddet til den kompetente tilsynsmyndigheten og til de registrerte når slik melding kreves etter regelverket om personopplysninger.

2.6. Personvernombud#

I samsvar med artikkel 37 er vi ikke forpliktet til å utpeke et personvernombud (DPO), siden vi ikke er et offentlig organ og virksomheten vår ikke består av behandlingsaktiviteter for personopplysninger.

2.7. Hva som skjer med personopplysningene#

I samsvar med artikkel 28 nr. 3 bokstav g i forordningen forplikter vi oss til, ved avslutningen av tjenestene knyttet til behandlingen av disse dataene, å levere personopplysningene tilbake til kunden eller til enhver databehandler som kunden har utpekt – i den teknisk mest hensiktsmessige formen, i et ikke-proprietært, strukturert og konsolidert format – og å slette alle eksisterende kopier i informasjonssystemene våre.

2.8. Administrasjon av kunde- og leverandørkonto#

Denne behandlingen har til formål å administrere kunde- og leverandørkontoen til hver av Partene, for eksempel forretningsforholdet, administrativ oppfølging, fakturering, behandling av tekniske hendelser og håndtering av klager. Denne behandlingen gjennomføres av hver av Partene som en separat behandlingsansvarlig. Denne behandlingen er nødvendig for å oppfylle Avtalen. Den tjener også de berettigede interessene til hver av Partene, samt hver Parts berettigede interesse i å stille kommunikasjonsmidler til rådighet for sine ansatte.

Personene som berøres av denne behandlingen, er de ansatte hos hver av partene.

De berørte personopplysningene er identitetsopplysningene til kontaktpersonene: etternavn – fornavn – telefonnummer – e-post. Lagringstiden for de nevnte personopplysningene er begrenset til tre (3) år fra utløpet av forretningsforholdet mellom Partene, og opplysningene kan slettes umiddelbart hvis kunden ber om det.

2.9. Kundestøtte#

Denne behandlingen har til formål å håndtere støtteforespørsler og tekniske hendelser som brukerne av plattformen melder, fra chatten som er innebygd i applikasjonen eller per e-post. Som for administrasjonen av kundekontoen beskrevet ovenfor, gjennomføres den av Nonli som behandlingsansvarlig. Den er nødvendig for å oppfylle Avtalen og tjener Nonlis berettigede interesse i å håndtere kundenes forespørsler og holde plattformen sikker.

Personene som berøres, er kundens brukere som kontakter støtten, og personene som legges til i en samtale ved hjelp av e-postadressen sin.

De berørte personopplysningene er:

• kontaktpersonens identitet: etternavn, fornavn, e-postadresse, telefonnummer, selskap, rolle og språk;
• innholdet i utvekslingene: meldinger, vedlegg og svar sendt per e-post;
• kontokonteksten som vises for støtteteamet: om e-postadressen er bekreftet, om tofaktorautentisering er aktivert, applikasjonsversjon, siden som vises for øyeblikket og sidene som nylig er vist i applikasjonen;
• tilkoblingsdata: IP-adresse, omtrentlig plassering (by og land) utledet fra IP-adressen, tidssone, nettleser, operativsystem, enhetstype, skjermstørrelse og nettleserspråk.

Den omtrentlige plasseringen beregnes på serverne våre, uten at IP-adressen sendes til en tredjepart. IP-adressen er bare tilgjengelig for Nonlis støtteteam.

Lagringstidene er som følger:

• IP-adressen slettes automatisk tretti (30) dager etter siste tilkobling fra denne adressen;
• den omtrentlige plasseringen og nettleser- og enhetsdataene lagres sammen med samtalen;
• samtaler og vedleggene deres lagres i tre (3) år fra utløpet av forretningsforholdet mellom Partene, og slettes sammen med selskapet når selskapet slettes fra Nonli.

En bruker eller støtteteamet kan legge til deltakere i en samtale ved å oppgi e-postadressen deres. Deltakerne har tilgang til samtaleloggen. En deltaker mottar per e-post meldingene vedkommende ikke har lest i chatten, eller alle meldinger hvis vedkommende bare deltar per e-post. Svar som sendes per e-post, legges til i samtalen. Hver deltaker kan melde seg av e-postene fra en samtale.

For denne behandlingen bruker Nonli følgende leverandører:

• OVHcloud: hosting av databasen og vedleggene, i Frankrike;
• Mailgun: sending og mottak av e-poster knyttet til samtaler, på Mailguns infrastruktur som ligger i Den europeiske union;
• Slack: internt varsel sendt til støtteteamet i Slack-kanalen deres, som inneholder kundens navn, navnet på selskapet deres, samtalenummeret og et utdrag av den siste meldingen (høyst 280 tegn).

Spørsmål og svar

3. Sikrer dere at lovbestemte lagringstider for data overholdes? Lagringstider og begrunnelse.#

Ja, vi forplikter oss til å overholde lovbestemte lagringstider for data. Lagringstidene avhenger av typen data og formålet med behandlingen. Vi lagrer personopplysninger så lenge det er nødvendig for å oppnå formålene de ble samlet inn for, i samsvar med gjeldende krav i lov og forskrift. Lagringstidene begrunnes med overholdelse av plikter i lov og forskrift samt med kundens berettigede interesser.