I henhold til vilkårene for bruk ("Vilkårene") tilbyr Smartsupp Tjenesten som angitt i Vilkårene til deg som bruker av Tjenesten. Forholdet mellom Smartsupp og bruker er derfor basert på en nettbasert registreringsprosess av brukeren eller via skriftlig eller elektronisk kontrakt der Vilkårene er vedlagt og samlet utgjør en avtale mellom deg og Smartsupp ("Avtalen"). Dette databehandlingsvedlegget (heretter kalt "DPA") utgjør en integrert del av Avtalen.

Ord som begynner med stor bokstav skal ha samme betydning som definert i Vilkårene eller ethvert annet vedlegg det refereres til i Vilkårene, med mindre annet er angitt i denne DPA-en.

Smartsupp inngår denne DPA-en i samsvar med gjeldende personvernlovgivning, slik som forordning 2016/679 fra Europaparlamentet og Rådet om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri flyt av slike data ("GDPR") , Data Protection Act 2018 eller CCPA/CPRA samt annen relevant personvernlovgiving som gjelder under levering av Tjenesten i henhold til Avtalen ("gjeldende personvernlovgivning").

Når det fremgår av denne DPA-en at Smartsupp opptrer som databehandler, skal det ha samme betydning som "behandler" under GDPR og andre tilsvarende termer under annen gjeldende personvernlovgivning (f.eks. "Tjenestetilbyder" som definert under CCPA). Når DPA-en tilsier at du opptrer som behandlingsansvarlig, skal det ha samme betydning som "behandlingsansvarlig" under GDPR og andre tilsvarende termer under gjeldende personvernlovgivning (f.eks. "Business" som definert under CCPA).

Vi har delt artikkelen inn i noen seksjoner:

1.1 Behandling av personopplysninger som databehandler. Smartsupp kan behandle personopplysninger på vegne av brukeren når Tjenesten leveres til brukeren, og Smartsupp agerer da som databehandler (eller underbehandler) av personopplysninger i forhold til brukeren.

Behandlingsaktivitetene utført av Smartsupp stammer fra registrering, Avtalen eller fra dokumenterte forespørsler fra brukeren under leveringen av Tjenesten via plattformen tilgjengelig på https://www.smartsupp.com ("Plattformen").

1.2 Autorisasjon for å behandle personopplysninger. Brukeren gir herved Smartsupp autorisasjon til å behandle personopplysninger tilhørende de registrerte som gis av brukeren i samsvar med Tjenesten, som angitt i denne DPA-en. Smartsupp vil behandle personopplysninger for brukeren i henhold til brukerens dokumenterte instruksjoner og bare når det er nødvendig for å oppfylle forpliktelsene Smartsupp har i henhold til Avtalen.

1.3 Brukerens ansvar. Når Smartsupp opptrer som databehandler, opptrer brukeren som behandlingsansvarlig, og er derfor ansvarlig for å oppfylle alle forpliktelser knyttet til behandling av personopplysninger. Blant disse er å informere de registrerte om behandlingen, innhente samtykke der det er nødvendig og å håndtere forespørsler fra registrerte vedrørende utøvelse av deres rettigheter (slik som rett til informasjon, tilgang, retting, sletting, begrensning av behandling, innsigelse osv). Smartsupp vil hjelpe brukeren med å oppfylle disse forpliktelsene via Plattformen eller etter dokumenterte forespørsler fra brukeren. Imidlertid er Smartsupp på ingen måte ansvarlig for nøyaktigheten eller lovligheten til brukerens aktiviteter, inkludert alle aktiviteter som kan bryte med personvern- eller annen lovgivning i det landet der brukeren benytter Tjenesten.

2.1 Behandlingsområde. Behandlingsområdet for personopplysninger, som definert nedenfor, av Smartsupp omfatter levering av Tjenesten som fastsatt i Avtalen, spesielt behandling av personopplysninger når du bruker våre Tjenestefunksjoner som beskrevet på Nettstedet.

2.2 Typer personopplysninger. Under oppfyllelsen av pliktene etter Avtalen og levering av Tjenesten, kan følgende typer personopplysninger behandles i henhold til denne DPA-en:

a) kontaktinformasjon, for eksempel fornavn, etternavn, e-postadresse, telefonnummer eller kontaktinformasjon for konto i sosiale nettverk,

b) detaljer om besøk på brukerens nettsted, som URL til besøkt nettsted, dato og tidspunkt for besøket, teknisk informasjon (skjermoppløsning, enhetstype, nettlesertype, operativsystem osv.), IP-adresse, geolokaliseringsdata (land og by brukeren viste nettstedet fra),

c) informasjon som er inkludert i samtaler mellom brukere og kunder eller andre brukere når Tjenestefunksjoner benyttes,

d) tekniske logger og annen informasjon om brukere som benytter Tjenesten (Smartsupp bruker tredjepartsverktøy for å innhente slik informasjon),

e) andre personopplysninger lastet opp eller brukt på annen måte av brukeren, eller

f) personopplysninger der type, omfang og detaljer bestemmes og kontrolleres av brukeren etter eget skjønn under levering av Tjenesten.

Omfanget av personopplysninger avhenger av hvilke Tjenestefunksjoner brukeren benytter. Tjenesten er ikke ment for lagring av særlige kategorier av personopplysninger. Brukeren skal ikke bruke Tjenesten til å lagre eller behandle slike særlige kategorier. Hvis brukeren gjør det gjennom Tjenesten, påtar Smartsupp seg intet ansvar for slik behandling.

2.3 Kategorier av registrerte. Smartsupp vil behandle personopplysninger om følgende kategorier av registrerte:

a) ansatte (og andre arbeidere og personer som handler på vegne av brukeren) hos brukeren;

b) personer brukeren har opprettet konto for i Tjenesten;

c) kunder og andre brukere av brukeren som Tjenesten leveres til;

d) besøkende på brukerens nettsted;

e) andre personer som brukeren har gitt Smartsupp personopplysninger om under levering av Tjenesten og hvis data er registrert eller på annen måte behandlet i samsvar med levering av Tjenesten til brukeren.

3.1 Behandlingens art. Smartsupp vil behandle personopplysninger på en automatisert, elektronisk måte og behandlingen vil bestå av tilgang til personopplysninger som del av Tjenesten, visning, lagring og andre aktiviteter som tilsvarer levering av Tjenesten til brukeren. Behandlingens art følger av:

a) Avtalen partene har inngått;

b) brukerens eller andre autoriserte brukeres forespørsler via Plattformen på vegne av brukeren;

c) arten av Tjenesten og Plattformen;

d) alle andre dokumenterte instruksjoner gitt av brukeren.

3.2 Formål med behandlingen. Formålet med behandlingen er å levere Tjenesten til brukeren, som definert i Vilkårene, samt andre formål som følge av levering av Tjenesten.

4.1 Varighet på behandling av personopplysninger. Behandling av personopplysninger utføres i hele Avtalens varighet, eller så lenge Smartsupp mottar instruksjoner fra brukeren, i forbindelse med oppfyllelse av Avtalen. Smartsupp forplikter seg til å overholde de forpliktelser som følger av personvernlovgivningen i hele Avtalens varighet, med mindre det fremgår av Avtalen at disse skal videreføres etter opphør.

4.2 Retur og sletting av personopplysninger. Dersom Avtalen avsluttes, skal Smartsupp så langt det er tillatt etter gjeldende personvernlovgivning, slette alle personopplysninger lagret for levering av Tjenesten innen 3 måneder etter opphør. Dersom brukeren innenfor denne perioden ber Smartsupp om å returnere dataene, har Smartsupp rett til å kreve et rimelig gebyr som varsles på forhånd.

5.1 Smartsupp sine forpliktelser. Ved behandling av personopplysninger forplikter Smartsupp seg til å:

a) behandle personopplysninger kun basert på dokumenterte instruksjoner fra brukeren; for å unngå tvil, skal behandling av personopplysninger i samsvar med Avtalen anses å utføres i henhold til brukerens instruksjoner;

b) følge brukerens instruksjoner for overføring av personopplysninger til et tredjeland eller internasjonal organisasjon, med mindre slik behandling er pålagt av EU- eller EØS-lovgivning som Smartsupp er underlagt;

c) sørge for at personer som er autorisert til å behandle personopplysninger er bundet av taushetsplikt eller er underlagt en lovpålagt taushetsplikt;

d) med hensyn til behandlingsart bistå brukeren gjennom passende tekniske og organisatoriske tiltak, så langt det er mulig, slik at brukeren kan oppfylle sin plikt til å svare på forespørsler om utøvelse av registrertes rettigheter; reglene for håndtering av slike forespørsler er spesifisert i punkt 5.2 i denne DPA-en;

e) bistå brukeren med å oppfylle pliktene (i) sikre nivået på behandlingssikkerhet, (ii) melde brudd på personopplysningssikkerheten til Datatilsynet og, der det er relevant, til registrerte, (iii) vurdere risikoen for personvern og (iv) gjennomføre forhåndsdrøftelser med Datatilsynet, alt med hensyn til behandlingens art og hvilke data som behandles;

f) tillate brukeren, eller en person autorisert av brukeren, å kontrollere (inkludert revisjon eller inspeksjon) etterlevelsen av denne DPA-en, og bidra til slike kontroller i henhold til brukerens eller den autoriserte personens rimelige instruksjoner; spesifikke regler for revisjoner er angitt i punkt 5.3 og 5.4 i denne DPA-en;

g) gi brukeren all informasjon som med rimelighet kan forventes av Smartsupp, for å dokumentere at forpliktelsene i relevant personvernlovgivning er oppfylt.

5.2 Forespørsler fra registrerte. Dersom en registrert kontakter Smartsupp direkte, skal Smartsupp informere den registrerte om å rette forespørselen direkte til brukeren. Smartsupp skal kun gi kommersielt rimelig bistand for å hjelpe brukeren med å svare på slike forespørsler, så langt Smartsupp lovlig har anledning. Brukeren er ansvarlig for eventuelle kostnader som oppstår som følge av slik hjelp fra Smartsupp, og er ansvarlig for korrekt håndtering av slike forespørsler.

5.3 Regler for revisjon. Brukeren sender eventuelle revisjonsforespørsler eksklusivt til Smartsupp på e-postadressen dpo@smartsupp.com, med rimelige mellomrom. Når en revisjonsforespørsel er mottatt, skal partene på forhånd avtale (i) mulig dato for revisjon, (ii) sikkerhetstiltak og hvordan det skal sikres at taushetsplikten overholdes under revisjonen, (iii) forventet oppstart, omfang og varighet av revisjonen. Hvis ingen enighet oppnås innen 30 dager fra forespørselsdatoen, fastsetter Smartsupp vilkårene for revisjonen.

5.4 Revisor. Smartsupp kan fremsette skriftlig innsigelse mot enhver revisor (autorisert person) utpekt av brukeren dersom Smartsupp mener at revisor ikke er tilstrekkelig kvalifisert, ikke er uavhengig, befinner seg i konkurranseposisjon med Smartsupp eller på annen måte er klart uegnet. Ved innsigelse må brukeren utpeke en annen revisor eller utføre revisjonen selv. Brukeren skal umiddelbart varsle Smartsupp om ikke-overholdelse av personvernlovgivning eller denne DPA-en som oppdages under revisjonen.

5.5 Revisjonsomfang. Omfanget av revisjonen foretatt av brukeren omfatter kun dokumentasjon og prosesser direkte knyttet til brukerens bruk av Tjenesten.

5.6 Underbehandlere. Brukeren godtar bruk av andre underbehandlere i behandlingen av personopplysninger. Avhengig av typen Tjeneste som leveres eller etterspørres av brukeren, kan Smartsupp benytte andre underbehandlere eller dele personopplysninger med andre mottakere. Brukeren godtar at Smartsupp involverer underbehandlere som er listet her: https://help.smartsupp.com/nb/articles/12647685

5.7 Innvendinger mot andre underbehandlere. Smartsupp skal informere brukeren skriftlig eller ved å oppdatere listen over underbehandlere om involvering av en ny underbehandler før denne tas i bruk, og brukeren kan motsette seg dette innen 10 virkedager etter varsel. Dersom brukeren ikke protesterer innen fristen, vil Smartsupp involvere den nye underbehandleren. Ved innvending skal Smartsupp vurdere innvendingen og hvis den anses begrunnet, ikke benytte underbehandleren eller gjøre kommersielt rimelige endringer i brukerens konfigurasjon eller bruk av Tjenesten for å unngå deres behandling. Dersom endring ikke er mulig, kan Smartsupp si opp Avtalen (helt eller delvis) eller unnlate å levere den delen av Tjenesten som knyttes til underbehandleren, uten å anses som i mislighold. Smartsupp tilbakebetaler brukeren eventuelle forhåndsbetalte avgifter for gjenværende avtaleperiode fra datoen for opphør av slik Tjeneste, uten å ilegge brukeren noen straff.

5.8 Forpliktelser til andre underbehandlere. Dersom Smartsupp engasjerer en annen underbehandler, må denne forplikte seg kontraktsmessig til de samme pliktene for vern av personopplysninger som avtalt mellom brukeren og Smartsupp, samt iverksette passende tekniske og organisatoriske tiltak.

5.9 Ansvar for underbehandler. Smartsupp er ansvarlig for handlinger og unnlatelser fra sine underbehandlere i samme utstrekning som Smartsupp selv dersom tjenesten leveres direkte under vilkårene i denne DPA-en, med mindre annet fremgår av Avtalen.

5.10 Kostnader knyttet til oppfyllelse av DPA-en. Med mindre annet er avtalt skriftlig, skal hver part bære egne kostnader forbundet med oppfyllelse av DPA-en. Smartsupp har rett til å fakturere brukeren rimelige kostnader knyttet til håndtering av forespørsler og ytelse av forpliktelser i henhold til DPA-en.

6.1 Plikt til å sikre personopplysninger. Smartsupp har innført og vedlikeholder tekniske og organisatoriske tiltak for å forhindre uautorisert eller utilsiktet tilgang, endring, ødeleggelse eller tap av personopplysninger, uautoriserte overføringer, annen uautorisert behandling eller annen ulovlig bruk av personopplysninger. Smartsupp overvåker jevnlig etterlevelse av disse tiltakene.

6.2 Spesifikke sikkerhetstiltak. Smartsupp har innført og vedlikeholder følgende sikkerhetstiltak for å sikre et tilstrekkelig nivå på sikkerheten:

Tekniske tiltak:

a) Pseudonymisering og kryptering av personopplysninger:

plattformen der personopplysninger behandles tillater kun sikre kanaler eller protokoller for innkommende nettverkstilkoblinger; Smartsupp krypterer data med SSL/TLS for all datatrafikk

IT-systemene som behandler personopplysninger tillater kun sikre kanaler eller protokoller;

kryptografiske nøkler håndteres sikkert.

b) Evnen til å sikre løpende konfidensialitet, integritet, tilgjengelighet og motstandsdyktighet for behandlingssystemer og tjenester:

fysisk tilgang for Smartsupps ansatte er begrenset til autoriserte personer;

Smartsupp har innført mekanismer som begrenser fysisk eller nettbasert tilgang til servere som lagrer personopplysninger;

forebygging av at uautoriserte får tilgang til personopplysninger eller at personopplysninger blir brukt uten tillatelse;

autorisert personell får kun tilgang til de personopplysningene de har behov for og er autorisert til, og opplysningene kan ikke leses, kopieres, endres eller fjernes uten tilgangsrettighet under behandlingen;

tilgang autentiseres sterkt (f.eks. med sterke passord);

tilgangsrettigheter kontrolleres periodisk;

tilgangsforsøk (både vellykkede og mislykkede) loggføres og overvåkes;

ansatte i Smartsupp har ikke lov til å laste ned og behandle personopplysninger lokalt på sine arbeidsstasjoner eller andre nettverkssteder;

alle mulige feil og avvik på Plattformen loggføres.

c) Evne til å gjenopprette tilgjengelighet av og tilgang til personopplysninger på en betimelig måte ved fysiske eller tekniske hendelser:

Smartsupp har etablert backup-prosesser, mekanismer og verktøy;

rutiner for gjenoppretting, lesbarhet og integritet for sikkerhetskopier testes periodisk.

d) Smartsupp har prosesser for jevnlig testing, vurdering og evaluering av effektiviteten av tekniske og organisatoriske tiltak for å sikre behandlingssikkerheten.

e) Personopplysninger kan ikke modifiseres eller slettes uten autorisasjon under elektronisk overføring, transport eller lagring, og mottaker av enhver overføring kan identifiseres og verifiseres.

Organisatoriske tiltak:

f) Alt personell som er involvert i behandlingen av personopplysninger er informert om personopplysningenes konfidensielle natur, har mottatt passende opplæring om sine plikter og har signert skriftlig taushetserklæring.

g) Smartsupp har implementert interne retningslinjer og prosesser for å sikre behandling av personopplysninger i samsvar med relevant personvernlovgivning.

h) For spørsmål om denne DPA-en, etterlevelse av personvernlovgivning eller andre personvernspørsmål, kan kunden sende e-post til dpo@smartsupp.com.

6.3 Sikkerhetsbrudd. Dersom Smartsupp oppdager et brudd på personopplysningssikkerheten, skal dette rapporteres til brukeren uten unødig opphold og senest innen 48 timer etter at Smartsupp ble klar over sikkerhetshendelsen. Det skal med rimelig innsats gis brukeren all kjent informasjon om hendelsen, begrenset til:

Smartsupp svarer på enhver henvendelse fra brukeren om hjelp i forbindelse med et sikkerhetsbrudd uten unødig opphold.

6.4 Ulovlige instruksjoner. Dersom brukeren instruerer Smartsupp på en måte som fører til brudd på personvernlovgivningen, og Smartsupp blir sanksjonert av tilsynsmyndighet eller annen reguleringsmyndighet, eller må betale erstatning til registrerte, er brukeren pliktig til å kompensere Smartsupp og betale for eventuelle tap på anmodning fra Smartsupp.

6.5 Ansvarsbegrensning. Samme ansvarsbegrensning som angitt i Vilkårene gjelder for denne DPA-en.

6.6 Endringer. Samme regler for endringer som i Vilkårene gjelder her.

6.7 Ikrafttredelse. Denne DPA-en blir juridisk bindende mellom brukeren og Smartsupp sammen med Avtalen.