I henhold til tjenestevilkårene («Vilkårene») leverer Smartsupp Tjenesten som angitt i Vilkårene til deg som bruker av Tjenesten. Forholdet mellom Smartsupp og brukeren er dermed basert på brukerens registrering på nett eller en skriftlig eller elektronisk kontrakt som Vilkårene er vedlagt, og som samlet utgjør en avtale mellom deg og Smartsupp («Avtalen»). Dette databehandlingstillegget (heretter «DPA») utgjør en integrert del av Avtalen.

Ord som begynner med stor forbokstav, skal ha samme betydning som angitt i Vilkårene eller andre vedlegg det henvises til i Vilkårene, med mindre annet er angitt i denne DPA-en.

Smartsupp inngår denne DPA-en i samsvar med gjeldende personvernlovgivning, som europaparlaments- og rådsforordning 2016/679 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger («GDPR”) , Data Protection Act 2018 eller CCPA/CPRA, og også i samsvar med annen personvernlovgivning som gjelder under leveringen av Tjenesten i henhold til Avtalen («gjeldende personvernlovgivning”).

Når denne DPA-en fastsetter at Smartsupp opptrer som databehandler, skal dette ha den betydningen som tillegges «databehandler» i GDPR og andre tilsvarende begreper i annen gjeldende personvernlovgivning (f.eks. «tjenesteleverandør» som definert i CCPA). Når denne DPA-en fastsetter at du opptrer som behandlingsansvarlig, skal dette ha den samme betydningen som tillegges «behandlingsansvarlig» i GDPR og andre tilsvarende begreper i gjeldende personvernlovgivning (f.eks. «virksomhet» som definert i CCPA).

Vi har delt artikkelen inn i noen seksjoner:

1.1 Behandling av personopplysninger som databehandler.Smartsupp kan behandle personopplysninger på vegne av brukeren når Tjenesten leveres til brukeren, og Smartsupp opptrer da som databehandler (eller underdatabehandler) i forhold til brukeren.

Behandlingsaktivitetene som utføres av Smartsupp, følger av registreringen, Avtalen eller dokumenterte forespørsler fra brukeren under leveringen av Tjenesten via plattformen som er tilgjengelig på https://www.smartsupp.com («Plattformen”).

1.2 Fullmakt til å behandle personopplysninger.Brukeren gir herved Smartsupp fullmakt til å behandle personopplysninger om de registrerte, som brukeren har gitt i samsvar med Tjenesten, som angitt i denne DPA-en. Smartsupp vil behandle personopplysninger for brukeren i henhold til brukerens dokumenterte instrukser og bare i den grad det er nødvendig for å oppfylle Smartsupps forpliktelser i henhold til Avtalen på korrekt måte.

1.3 Brukerens ansvar. Ettersom Smartsupp opptrer som databehandler, opptrer brukeren som behandlingsansvarlig og er derfor ansvarlig for å oppfylle alle forpliktelser knyttet til behandlingen av personopplysninger. Disse forpliktelsene omfatter å informere de registrerte på korrekt måte om behandlingen av personopplysninger, innhente samtykke til behandling av personopplysninger dersom det er nødvendig, og håndtere forespørsler fra registrerte om utøvelse av deres rettigheter (som retten til informasjon, innsyn, retting, sletting, begrensning av behandling, innsigelse osv.). Smartsupp vil bistå brukeren med å oppfylle disse forpliktelsene via Plattformen eller på grunnlag av dokumenterte forespørsler fra brukeren. Smartsupp er imidlertid ikke på noen måte ansvarlig for riktigheten og lovligheten av brukerens aktiviteter, herunder aktiviteter som kan være i strid med personvernlovgivning eller annen lovgivning i landet brukeren benytter Tjenesten fra.

2.1 Behandlingens gjenstand. Gjenstanden for Smartsupps behandling av personopplysninger, som er definert nedenfor, er levering av Tjenesten som angitt i Avtalen, særlig behandling av personopplysninger når du bruker funksjonene i Tjenesten slik de er beskrevet på Nettstedet.

2.2 Typer personopplysninger. I forbindelse med oppfyllelse av forpliktelser i henhold til Avtalen og levering av Tjenesten kan følgende typer personopplysninger behandles i samsvar med denne DPA-en:

a) kontaktinformasjon, som fornavn, etternavn, e-postadresse, telefonnummer eller kontaktinformasjon for en konto på et sosialt nettverk,

b) opplysninger om besøk på brukerens nettsted, som URL-en til nettstedet som ble besøkt, dato og klokkeslett for besøket, teknisk informasjon (skjermoppløsning, enhetstype, nettlesertype, operativsystem osv.), IP-adresse, geolokaliseringsdata (landet og byen brukeren besøkte nettstedet ditt fra),

c) informasjon i samtalene mellom brukere og kunder eller andre brukere når funksjonene i Tjenesten brukes,

d) tekniske logger og annen informasjon om brukere som bruker Tjenesten (Smartsupp bruker tredjepartsverktøy til å registrere slik informasjon),

e) andre personopplysninger som lastes opp eller brukes på annen måte av brukeren, eller

f) personopplysninger hvis type, omfang og detaljer bestemmes og kontrolleres av brukeren etter eget skjønn under leveringen av Tjenesten.

Omfanget av personopplysninger avhenger av hvilke typer funksjoner i Tjenesten brukeren benytter. Tjenesten er ikke beregnet på lagring av særlige kategorier av personopplysninger. Brukeren skal ikke bruke Tjenesten til å lagre eller behandle særlige kategorier av personopplysninger. Hvis brukeren behandler slike opplysninger gjennom Tjenesten, påtar Smartsupp seg ikke noe ansvar for slik behandling.

2.3 Kategorier av registrerte. Smartsupp vil behandle personopplysninger om disse kategoriene av registrerte:

a) brukerens ansatte (og andre arbeidstakere og personer som opptrer på vegne av brukeren);

b) personer som brukeren har opprettet en konto for i Tjenesten;

c) brukerens kunder og andre brukere som Tjenesten leveres til;

d) besøkende på brukerens nettsted;

e) andre personer hvis personopplysninger ble gitt til Smartsupp av brukeren under leveringen av Tjenesten, og hvis personopplysninger er registrert eller på annen måte behandlet i forbindelse med leveringen av Tjenesten til brukeren.

3.1 Arten av behandlingen av personopplysninger. Smartsupp vil behandle personopplysninger på en automatisert, elektronisk måte, og behandlingen vil bestå av tilgang til personopplysningene som ledd i leveringen av Tjenesten, visning av personopplysningene, lagring av personopplysninger og andre aktiviteter som kan være knyttet til leveringen av Tjenesten til brukeren. Arten av behandlingen av personopplysninger følger av:

a) Avtalen som Partene har inngått;

b) forespørsler fra brukeren eller andre autoriserte brukere som bruker Plattformen på vegne av brukeren;

c) Tjenestens og Plattformens art;

d) andre dokumenterte instrukser fra brukeren.

3.2 Behandlingens formål. Formålet med behandlingen er å levere Tjenesten til brukeren, som definert i Vilkårene, samt å ivareta andre formål som kan følge av leveringen av Tjenesten.

4.1 Varigheten av behandlingen av personopplysninger.Behandlingen av personopplysninger vil utføres i Avtalens løpetid, eller så lenge Smartsupp mottar instrukser fra brukeren i forbindelse med oppfyllelsen av Avtalen. Smartsupp forplikter seg til å overholde forpliktelsene fastsatt i personvernlovgivningen i hele Avtalens løpetid, med mindre det fremgår klart av Avtalen at de skal fortsette etter at den opphører.

4.2 Tilbakelevering og sletting av personopplysninger. Hvis Avtalen opphører, skal Smartsupp, i den grad gjeldende personvernlovgivning tillater det, slette alle personopplysninger som er lagret med henblikk på levering av Tjenesten, innen 3 måneder etter opphøret. Hvis Brukeren innen ovennevnte periode ber Smartsupp om å få opplysningene tilbakelevert, har Smartsupp rett til å kreve et rimelig gebyr, hvis størrelse skal opplyses på forhånd.

5.1 Smartsupps forpliktelser.Ved behandling av personopplysninger forplikter Smartsupp seg til å:

a) behandle personopplysninger utelukkende på grunnlag av brukerens dokumenterte instrukser; for å unngå tvil skal behandling av personopplysninger i samsvar med forpliktelsene i Avtalen anses som utført i henhold til brukerens instrukser;

b) følge brukerens instrukser om overføring av personopplysninger til et tredjeland eller en internasjonal organisasjon, med mindre slik behandling allerede er påkrevd etter EU-retten eller medlemsstatsretten som Smartsupp er underlagt;

c) sikre at personer som er autorisert til å behandle personopplysninger, er bundet av en taushetsplikt eller er underlagt lovfestet taushetsplikt;

d) under hensyntagen til behandlingens art bistå brukeren gjennom egnede tekniske og organisatoriske tiltak, der det er mulig, med å overholde brukerens plikt til å besvare forespørsler om utøvelse av de registrertes rettigheter; reglene for håndtering av forespørsler fra registrerte er angitt i punkt 5.2 i denne DPA-en;

e) bistå brukeren med å oppfylle brukerens forpliktelser til å (i) sikre behandlingens sikkerhetsnivå, (ii) melde brudd på personopplysningssikkerheten til personvernmyndigheten og, der det er aktuelt, til de registrerte, (iii) vurdere konsekvensene for personopplysningsvernet og (iv) gjennomføre forhåndsdrøftinger med personvernmyndigheten, alt under hensyntagen til behandlingens art og arten av personopplysningene som behandles;

f) la brukeren eller en person autorisert av brukeren kontrollere (herunder ved revisjon eller inspeksjon) etterlevelsen av denne DPA-en, særlig oppfyllelsen av forpliktelsene til behandling av personopplysninger som følger av den, og bidra til slike kontroller i henhold til brukerens eller den autoriserte personens rimelige instrukser; de særskilte reglene for revisjoner er angitt i punkt 5.3 og 5.4 i denne DPA-en;

g) gi brukeren all informasjon som med rimelighet kan forventes fra Smartsupp, for å dokumentere at forpliktelsene fastsatt i relevant personvernlovgivning er oppfylt.

5.2 Forespørsler fra registrerte. Hvis en registrert kontakter Smartsupp direkte, skal Smartsupp be den registrerte om å rette forespørselen direkte til brukeren. Smartsupp skal bare gjøre kommersielt rimelige anstrengelser for å bistå brukeren med å besvare en slik forespørsel fra en registrert, i den grad Smartsupp har lov til det. Brukeren skal være ansvarlig for alle kostnader som følger av Smartsupps bistand, og skal være ansvarlig for korrekt håndtering av en slik forespørsel.

5.3 Regler for revisjon. Brukeren skal sende enhver forespørsel om revisjon (kontroll) utelukkende til Smartsupps e-postadresse dpo@smartsupp.com, med rimelige mellomrom. Etter mottak av en revisjonsforespørsel skal partene på forhånd bli enige om (i) mulig dato for revisjonen, (ii) sikkerhetstiltak og hvordan overholdelse av taushetsplikten skal sikres under revisjonen, og (iii) revisjonens forventede start, omfang og varighet. Hvis det ikke oppnås enighet innen 30 dager fra datoen for forespørselen, skal Smartsupp fastsette vilkårene for revisjonen.

5.4 Revisor.Smartsupp kan fremsette en skriftlig innsigelse mot enhver revisor (autorisert person) som brukeren har utpekt, hvis revisoren etter Smartsupps vurdering ikke er tilstrekkelig kvalifisert, ikke er uavhengig, er i en konkurransesituasjon med Smartsupp eller ellers er åpenbart uegnet. Etter innsigelsen skal brukeren være forpliktet til å utpeke en annen revisor eller selv gjennomføre revisjonen. Brukeren skal straks informere Smartsupp om enhver manglende etterlevelse av enten gjeldende personvernlovgivning eller denne DPA-en som avdekkes under revisjonen.

5.5 Revisjonens omfang. Revisjonen som utføres av brukeren, omfatter bare dokumentasjon og prosesser som er direkte knyttet til den aktuelle brukerens bruk av Tjenesten.

5.6 Underdatabehandlere. Brukeren samtykker til at andre underdatabehandlere involveres i behandlingen av personopplysninger. Avhengig av hvilken type Tjeneste som leveres eller forespørres av brukeren, kan Smartsupp bruke andre underdatabehandlere eller dele personopplysninger med andre mottakere av personopplysninger. Brukeren samtykker til at Smartsupp vil involvere underdatabehandlerne som er oppført på: https://help.smartsupp.com/nb/articles/12647685

5.7 Innsigelser mot andre underdatabehandlere. Smartsupp skal informere brukeren skriftlig eller ved å oppdatere listen over underdatabehandlere om involveringen av en ytterligere underdatabehandler før denne involveres, og brukeren kan fremsette innsigelse mot involveringen av den ytterligere underdatabehandleren innen 10 virkedager etter varslingen. Hvis brukeren ikke fremsetter innsigelse innen den fastsatte fristen, vil Smartsupp involvere den ytterligere underdatabehandleren. Hvis brukeren fremsetter en innsigelse, vil Smartsupp vurdere innsigelsen og, hvis den anses som berettiget, unnlate å engasjere den ytterligere underdatabehandleren eller foreta en kommersielt rimelig endring i brukerens konfigurasjon eller bruk av Tjenesten for å unngå behandling hos denne underdatabehandleren. Hvis en endring ikke er mulig, kan Smartsupp si opp Avtalen med brukeren (helt eller delvis) eller unnlate å levere den delen av Tjenesten som den ytterligere underdatabehandleren er knyttet til, uten at dette utgjør mislighold eller brudd på noen forpliktelse. Smartsupp vil refundere brukeren eventuelle forhåndsbetalte gebyrer som dekker den resterende løpetiden for en slik Avtale etter den effektive opphørsdatoen for den avsluttede Tjenesten, uten å ilegge brukeren noen sanksjon for et slikt opphør.

5.8 Forpliktelser overfor andre underdatabehandlere.Hvis Smartsupp engasjerer en annen underdatabehandler, må denne underdatabehandleren ved avtale påta seg de samme forpliktelsene til å beskytte personopplysninger som er avtalt mellom brukeren og Smartsupp, og også forplikte seg til å gjennomføre egnede tekniske og organisatoriske tiltak.

5.9 Ansvar for underdatabehandler.Smartsupp skal være ansvarlig for sine underdatabehandleres handlinger og unnlatelser i samme utstrekning som Smartsupp ville vært ansvarlig dersom hver underdatabehandlers levering av Tjenesten ble utført direkte i henhold til vilkårene i denne DPA-en, med mindre annet er fastsatt i Avtalen.

5.10 Kostnader knyttet til oppfyllelsen av DPA-en. Med mindre annet er skriftlig avtalt, skal brukeren dekke sine egne kostnader knyttet til oppfyllelsen av DPA-en. Smartsupp skal ha rett til å belaste brukeren for rimelige kostnader som påløper ved håndtering av enhver forespørsel og oppfyllelse av enhver forpliktelse i henhold til denne DPA-en.

6.1 Plikt til å sikre personopplysninger.Smartsupp har innført og opprettholder tekniske og organisatoriske tiltak for å forhindre uautorisert eller utilsiktet tilgang til, endring, ødeleggelse eller tap av personopplysninger, uautoriserte overføringer, annen uautorisert behandling eller annet uautorisert misbruk av personopplysninger. Smartsupp kontrollerer regelmessig etterlevelsen av disse tiltakene.

6.2 Særskilte sikkerhetstiltak.Smartsupp har innført og opprettholder følgende tiltak for å sikre et tilstrekkelig sikkerhetsnivå:

Tekniske tiltak:

a) Pseudonymisering og kryptering av personopplysninger:

Plattformen der personopplysninger behandles, tillater bare sikre kanaler eller protokoller for innkommende nettverksforbindelser; Smartsupp krypterer data med SSL/TLS ved all dataoverføring

IT-systemene som behandler personopplysninger, tillater bare sikre kanaler eller protokoller;

kryptografiske nøkler håndteres på en sikker måte.

b) Evnen til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemer og tjenester:

fysisk tilgang for Smartsupps personell er begrenset til autoriserte personer;

Smartsupp har innført mekanismer for å begrense fysisk tilgang eller tilgang via nett til servere som lagrer personopplysninger;

hindring av at uautoriserte personer får tilgang til personopplysninger, og at personopplysninger brukes uten autorisasjon;

personer som er autorisert til å behandle personopplysninger, har bare tilgang til de personopplysningene de trenger og er autorisert til å få tilgang til, og personopplysninger kan ikke leses, kopieres, endres eller fjernes uten autorisasjon under behandlingen;

tilgang autentiseres med sterk autentisering (f.eks. ved bruk av sterke passord);

tilgangsrettigheter kontrolleres regelmessig;

tilgangsforsøk (både vellykkede og mislykkede) logges og overvåkes;

Smartsupps personell har forbud mot å laste ned og behandle personopplysninger lokalt på sine arbeidsstasjoner eller på andre nettverksplasseringer;

alle mulige feil på Plattformen og avvik logges.

c) Evnen til å gjenopprette tilgjengeligheten av og tilgangen til personopplysninger i rett tid ved fysiske eller tekniske hendelser:

Smartsupp har innført prosessen, mekanismen og verktøyene for sikkerhetskopiering;

gjenopprettingsprosedyren, dataenes lesbarhet og sikkerhetskopienes integritet testes regelmessig.

d) Smartsupp har innført en prosess for regelmessig testing, vurdering og evaluering av effektiviteten til de tekniske og organisatoriske tiltakene som er på plass for å sikre behandlingen.

e) Personopplysninger kan ikke endres eller slettes uten autorisasjon under elektronisk overføring, transport eller lagring, og mottakerne ved enhver overføring kan fastslås og verifiseres.

Organisatoriske tiltak:

f) Alt personell som er involvert i behandlingen av personopplysninger, er informert om personopplysningenes konfidensielle karakter, har fått egnet opplæring i sitt ansvar og har inngått skriftlige taushetsavtaler.

g) Smartsupp har innført interne retningslinjer og prosesser for å sikre behandling av personopplysninger i samsvar med gjeldende personvernlovgivning.

h) Ved spørsmål om denne DPA-en, etterlevelse av personvernlovgivning, personvern eller andre personvernrelaterte forhold kan Kunden sende en e-post til dpo@smartsupp.com.

6.3 Sikkerhetshendelser.Hvis Smartsupp oppdager et brudd på personopplysningssikkerheten, skal Smartsupp melde det til brukeren uten ugrunnet opphold, senest 48 timer etter å ha blitt kjent med sikkerhetshendelsen, og skal gjøre rimelige anstrengelser for å gi brukeren all kjent informasjon om hendelsen, begrenset til:

Smartsupp vil besvare enhver forespørsel fra brukeren om bistand ved et sikkerhetsbrudd med ugrunnet opphold.

6.4 Ulovlige instrukser.Hvis brukeren gir Smartsupp instrukser på en slik måte at det oppstår et brudd på forpliktelsene i personvernlovgivningen, og Smartsupp ilegges en sanksjon av en tilsynsmyndighet eller et annet reguleringsorgan på grunnlag av en slik instruks, eller pålegges å betale erstatning til registrerte, samtykker brukeren til å kompensere Smartsupp og dekke enhver påført skade etter skriftlig varsel fra Smartsupp.

6.5 Ansvarsbegrensning. Den samme ansvarsbegrensningen som er fastsatt i Vilkårene, skal gjelde for denne DPA-en.

6.6 Endringer. De samme reglene for endringer som er fastsatt i Vilkårene, skal gjelde.

6.7 Ikrafttredelse. Denne DPA-en skal bli rettslig bindende mellom brukeren og Smartsupp sammen med Avtalen.