Avtale om ordrebehandling i henhold til art. 28 (3) i personvernforordningen (heretter "DSGVO").

NatureWebServices GmbH opptrer som databehandler i samsvar med art. 28 i GDPR (heretter kalt "leverandøren") når de leverer tjenestene til kunder som bruker tjenestene som entreprenører. En entreprenør i henhold til disse bruksvilkårene er en fysisk eller juridisk person eller et partnerskap med juridisk kapasitet som handler i utøvelsen av sin kommersielle eller uavhengige profesjonelle aktivitet ved inngåelse av bruksvilkårene. I dette tilfellet er den ansvarlige for databehandlingen kunden som bruker tjenestene som en entreprenør (heretter kalt "Kunden"). Databehandleravtalen i henhold til art. 28 nr. 3 GDPR inngås mellom oppdragstakeren og oppdragsgiveren ved oppdragsgiverens aksept av bruksvilkårene.

• Gjenstanden for avtalen om ordrebehandling er behandling av tilgangsdata til nett- og APP-tjenesten (e-postadresse), data som legges inn i applikasjonen på frivillig basis (tittel, fornavn, etternavn) og bilder og/eller videoer i samsvar med bruksvilkårene (heretter "behandlingsaktivitet").
• Denne Behandlingsavtalen trer i kraft ved aksept av Vilkårene for bruk og opphører som angitt i avsnitt 10 Kontraktsperiode og oppsigelse sitert.
• Behandlingsaktiviteten skal utelukkende utføres i en medlemsstat i EU eller i en stat som er part i avtalen om Det europeiske økonomiske samarbeidsområdet. Enhver flytting av tjenesten eller deler av den til et tredjeland krever samtykke fra kunden på forhånd.
• Oppdragstakeren forplikter seg til å behandle data og behandlingsresultater utelukkende innenfor rammen av disse bruksvilkårene. Hvis oppdragstakeren mottar et offentlig pålegg om å utlevere opplysninger om oppdragsgiveren, skal oppdragstakeren - i den grad loven tillater det - umiddelbart informere oppdragsgiveren om dette og henvise myndigheten til oppdragsgiveren. På samme måte krever enhver behandling av opplysningene for oppdragstakerens egne formål skriftlig samtykke fra oppdragsgiveren.
• Oppdragsgiveren er eneansvarlig for å vurdere om behandlingen er tillatt i henhold til art. 6 (1) DSGVO og for å ivareta de registrertes rettigheter i henhold til art. 12 til 22 DSGVO. Oppdragstakeren skal videresende forespørsler til oppdragsgiveren hvis de tydelig er rettet utelukkende til oppdragsgiveren.
• Leverandørens plikter
  • Leverandøren bekrefter at han er kjent med personvernbestemmelsene i GDPR som er relevante for den bestilte behandlingen.
  • Leverandøren erklærer på en juridisk bindende måte at han har forpliktet alle personer som er betrodd databehandlingen til å opprettholde konfidensialitet før aktiviteten påbegynnes, eller at de er underlagt en passende juridisk konfidensialitetsforpliktelse. Konfidensialitetsforpliktelsen til personene som er betrodd databehandlingen, gjelder også etter at de har avsluttet sin virksomhet og forlatt leverandøren.
  • Leverandøren erklærer på en juridisk bindende måte at han har truffet alle nødvendige tiltak for å ivareta sikkerheten ved behandlingen i samsvar med art. 32 GDPR.
  • Leverandøren skal sikre et beskyttelsesnivå for tjenesten som står i forhold til risikoen for rettighetene og frihetene til de fysiske personene som berøres av behandlingen. For å oppnå dette skal det tas hensyn til beskyttelsesmålene i personvernforordningen artikkel 32 nr. 1, som konfidensialitet, integritet og tilgjengelighet for systemene og tjenestene, samt deres robusthet i forhold til typen, omfanget, omstendighetene og formålet med behandlingen, på en slik måte at risikoen begrenses permanent ved hjelp av egnede tekniske og organisatoriske tiltak.
  • Leverandøren skal foreta en gjennomgang, vurdering og evaluering av effektiviteten av de tekniske og organisatoriske tiltakene for å ivareta behandlingssikkerheten når det er grunn til det, men minst en gang i året.
  • Oppdragstakeren skal treffe tekniske og organisatoriske tiltak for å sikre at oppdragsgiveren når som helst kan oppfylle den registrertes rettigheter i henhold til kapittel III i personvernforordningen (informasjon, innsyn, korrigering og sletting, dataportabilitet, innsigelse samt automatisert beslutningstaking i enkelttilfeller) innen de lovbestemte tidsfristene, og skal gi oppdragsgiveren all nødvendig informasjon om dette via nett- og APP-tjenester. Hvis en tilsvarende forespørsel rettes til oppdragstakeren og oppdragstakeren indikerer at søkeren feilaktig tror at han er oppdragsgiveren for den databehandlingen han utfører, skal oppdragstakeren umiddelbart videresende forespørselen til oppdragsgiveren og informere søkeren om dette.
  • Leverandøren skal hjelpe oppdragsgiveren med å overholde forpliktelsene i artikkel 32 til 36 i GDPR (datasikkerhetstiltak, melding om brudd på personopplysningssikkerheten til tilsynsmyndigheten, varsling av personer som er berørt av et brudd på personopplysningssikkerheten, vurdering av personvernkonsekvenser, forhåndskonsultasjon).
  • Leverandøren skal i nødvendig utstrekning samarbeide med oppdragsgiveren om å oppfylle de registrertes rettigheter i henhold til artikkel 12 til 22 i personvernforordningen, utarbeide fortegnelser over behandlingsaktiviteter og foreta nødvendige konsekvensanalyser av oppdragsgiverens personvern, og skal så langt det er mulig støtte oppdragsgiveren på en hensiktsmessig måte.
  • Oppdragstakeren skal varsle oppdragsgiveren om eventuelle forstyrrelser, brudd fra oppdragstakerens side eller fra personer som er ansatt hos oppdragstakeren, brudd på personvernlovgivningen eller bestemmelsene i bestillingen, samt mistanke om brudd på personvernlovgivningen eller uregelmessigheter i behandlingen av personopplysninger. Dette gjelder også for oppdragsgiverens eventuelle rapporterings- og meldeplikt i henhold til art. 33 og art. 34 i personvernforordningen. Leverandøren skal om nødvendig bistå oppdragsgiveren med å oppfylle sine forpliktelser i henhold til art. 33 og 34 i GDPR på en hensiktsmessig måte.
  • Leverandøren skal opprette et behandlingsregister for den aktuelle oppdragsbehandlingen i henhold til art. 30 i GDPR.
  • Når det gjelder behandlingen av opplysningene fra oppdragsgiveren, skal oppdragsgiveren til enhver tid ha rett til å inspisere og kontrollere databehandlingsanleggene, også gjennom tredjeparter som oppdragsgiveren har engasjert. Leverandøren forplikter seg til å gi oppdragsgiveren den informasjonen som er nødvendig for å kontrollere at forpliktelsene i denne avtalen overholdes.
  • Leverandøren skal tilby oppdragsgiveren muligheten til å bruke nett- og APP-tjenester,
    • laste ned enkelte eller alle bilder og/eller videoer når som helst og/eller
    • slette enkelte eller alle bilder og/eller videoer fra leverandørens server.

Ved sletting av tilgangsdata (e-postadresse), tilleggsdata som kunden frivillig har oppgitt i søknaden (tittel, fornavn, etternavn) og bilder og/eller videoer via nett- og APP-tjenestene, slettes alle slettede personopplysninger i henhold til art. 28 avsn. 3 lit. g DSGVO også hos leverandøren og dennes underleverandører. På sikkerhetskopieringsfilene slettes dataene etter at neste sikkerhetskopieringssyklus er fullført.

• Underprosessor
  • Oppdragsgiveren skal gi oppdragstakeren en generell fullmakt til å bruke ytterligere underdatabehandlere i henhold til artikkel 28 i personvernforordningen for å oppfylle kontrakten. I den forbindelse må det sikres at underdatabehandleren påtar seg de samme forpliktelsene som oppdragstakeren på grunnlag av denne avtalen. Hvis underdatabehandleren ikke overholder sine personvernforpliktelser, er leverandøren ansvarlig overfor oppdragsgiveren for at underdatabehandlerens forpliktelser overholdes.
  • Leverandøren skal informere oppdragsgiveren om navn og adresse samt underbehandlerens tiltenkte aktivitet via e-post (info@icuserver.com). Leverandøren skal sørge for å velge ut underdatabehandleren med omhu og være særlig oppmerksom på egnetheten til de tekniske og organisatoriske tiltakene som underdatabehandleren treffer i henhold til artikkel 32 i personvernforordningen.