Databehandleravtale

Punkt 2

Avgrensning mot Microsoft 365 og Azure

Kunden inngår Microsoft Customer Agreement (MCA) direkte med Microsoft. For personopplysninger som lagres og behandles i Kundens egen Microsoft-tenant, herunder Microsoft 365, Azure, Entra ID og tilhørende Microsoft-tjenester, er Microsoft Kundens databehandler i henhold til MCA og Microsoft Products and Services Data Protection Addendum (Microsofts DPA). Dette avtaleforholdet består mellom Kunden og Microsoft, uavhengig av denne avtalen.

Det innebærer følgende:

• Microsoft er ikke Cloudaheads underdatabehandler for data i Kundens Microsoft-tenant. Microsoft er Kundens egen databehandler.
• Cloudahead er verken behandlingsansvarlig eller databehandler for selve plattformdriften i Microsoft 365 og Azure. Ansvaret for sikkerhet, lagringssted, tilgjengelighet, underdatabehandlere og overføringsgrunnlag på plattformnivå ligger hos Microsoft og reguleres av Microsofts DPA.
• Kundens rettigheter overfor Microsoft, herunder innsyn, sletting, revisjon, dokumentasjon og varsling ved sikkerhetsbrudd på plattformnivå, følger av MCA og Microsofts DPA og gjøres gjeldende direkte overfor Microsoft.
• Cloudaheads rolle som databehandler etter denne avtalen gjelder de handlingene Cloudahead selv utfører: administrasjon, konfigurasjon, brukerstøtte og tilgang til Kundens miljø, samt behandling i Cloudaheads egne systemer og hos Cloudaheads egne underdatabehandlere.

Cloudahead formidler Microsoft-lisenser gjennom Microsofts CSP-program. Ved lisensformidling behandler Cloudahead kontakt-, konto- og lisensopplysninger, ikke innholdet i Kundens tenant.

Der Kunden har bestilt tilleggstjenester som henter data ut av Microsoft-plattformen, for eksempel sikkerhetskopiering til en tredjepartsløsning levert av Cloudahead, er den behandlingen omfattet av denne avtalen. Leverandøren står da oppført som underdatabehandler i punkt 6.

Tilsvarende avgrensning gjelder for andre plattformer og tjenester der Kunden selv er avtalepart med leverandøren.

Punkt 3

Omfang og instruks

3.1 Formålet med behandlingen

Cloudahead behandler personopplysninger for å levere de avtalte tjenestene, herunder:

• drift, forvaltning og konfigurasjon av Kundens Microsoft 365-miljø
• oppretting, endring og sletting av brukerkontoer og tilganger
• brukerstøtte og feilsøking, inkludert mottak og behandling av supporthenvendelser
• lisensadministrasjon og fakturagrunnlag
• sikkerhetskopiering, sikkerhetstjenester og andre tilleggstjenester Kunden har bestilt
• levering, konfigurasjon og administrasjon av utstyr og mobiltjenester Kunden har bestilt

3.2 Kategorier av registrerte

• Kundens ansatte, innleide, konsulenter og andre brukere av Kundens IT-løsninger
• Kundens kontaktpersoner
• Eksterne personer som kommuniserer med Kundens brukere, i den grad slike opplysninger finnes i Kundens systemer

3.3 Kategorier av personopplysninger

• Navn, brukernavn, e-postadresse, telefonnummer, stilling og avdeling
• Kontoinformasjon, tilgangsrettigheter, lisenstilknytning og enhetsinformasjon
• Innloggingslogger, IP-adresser og annen teknisk metadata
• Innhold i Kundens Microsoft 365-miljø, herunder e-post, kalender, filer, Teams-samtaler, SharePoint og OneDrive, i den grad Cloudahead må aksessere dette for å levere tjenesten
• Innhold i supporthenvendelser, inkludert vedlegg og skjermbilder Kunden selv sender inn
• Innhold i sikkerhetskopier der Kunden har bestilt backup-tjeneste

Cloudahead ber ikke om, og skal ikke instrueres til å behandle, særlige kategorier av personopplysninger (GDPR art. 9) eller opplysninger om straffedommer (art. 10) som del av ordinær tjenesteleveranse. Kunden er ansvarlig for at slike opplysninger ikke sendes til Cloudahead uten forutgående skriftlig avtale.

3.4 Instruks

Cloudahead skal kun behandle personopplysninger etter Kundens dokumenterte instrukser. Kundeavtalen, tjenestebeskrivelsene og denne avtalen utgjør Kundens instruks. Konkrete bestillinger, supporthenvendelser og oppgaver Kunden melder inn gjennom Cloudaheads avtalte kanaler, regnes som del av instruksen.

Dersom Cloudahead er pålagt ved lov å behandle personopplysninger utover instruksen, skal Kunden varsles før behandlingen finner sted, med mindre loven forbyr slik varsling.

Dersom Cloudahead mener at en instruks fra Kunden er i strid med personvernregelverket, skal Cloudahead varsle Kunden om dette uten ugrunnet opphold.

Punkt 4

Cloudaheads plikter

Cloudahead skal:

• behandle personopplysninger kun for de formål som følger av denne avtalen og Kundens instrukser
• gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak i henhold til GDPR art. 32, tilpasset risikoen ved behandlingen
• sikre at kun autorisert personell med tjenstlig behov har tilgang til Kundens personopplysninger
• sikre at alle som behandler personopplysninger på Cloudaheads vegne er underlagt taushetsplikt
• bistå Kunden med å besvare henvendelser fra registrerte som utøver sine rettigheter, herunder innsyn, retting, sletting, dataportabilitet og protest
• bistå Kunden med personvernkonsekvensvurderinger (DPIA) og forhåndsdrøftinger med Datatilsynet, i den grad dette er relevant for tjenestene Cloudahead leverer
• stille til rådighet informasjon som er nødvendig for å dokumentere at pliktene etter denne avtalen overholdes
• varsle Kunden om sikkerhetsbrudd i henhold til punkt 8

Bistand etter dette punktet er inkludert i den grad det gjelder alminnelige og avgrensede henvendelser. Omfattende bistand som krever vesentlig arbeidsinnsats, kan faktureres etter Cloudaheads gjeldende timepriser etter forutgående varsel til Kunden.

4.1 Tekniske og organisatoriske tiltak

Cloudahead benytter blant annet følgende sikkerhetstiltak:

• flerfaktorautentisering for alle administrative tilganger
• rollebasert tilgangsstyring etter prinsippet om minste privilegium
• kryptering av data under overføring, og under lagring der plattformen støtter det
• logging av administrative handlinger i Kundens miljø
• rutiner for håndtering av sikkerhetshendelser
• taushetserklæringer for ansatte og underleverandører

Sikkerhetstiltakene i de underliggende skyplattformene følger den enkelte plattformleverandørens dokumenterte sikkerhetsregime, herunder Microsofts sertifiseringer og sikkerhetsdokumentasjon, jf. punkt 2.

Punkt 5

Kundens plikter

Kunden skal:

• sørge for at det foreligger gyldig behandlingsgrunnlag for personopplysningene som gjøres tilgjengelig for Cloudahead
• sørge for at instrukser som gis til Cloudahead er i samsvar med personvernregelverket
• ivareta plikten til å informere de registrerte om behandlingen
• varsle Datatilsynet og eventuelt de registrerte ved sikkerhetsbrudd, jf. GDPR art. 33 og 34
• holde egne administratorkontoer og tilganger sikret, og varsle Cloudahead ved endringer i hvem som har rett til å gi instrukser på Kundens vegne
• ivareta sine forpliktelser som behandlingsansvarlig overfor Microsoft etter Microsoft Customer Agreement, herunder konfigurasjonsvalg Kunden selv råder over
• unngå å sende personopplysninger til Cloudahead i større omfang enn nødvendig, for eksempel i vedlegg til supporthenvendelser

Punkt 6

Underdatabehandlere

Kunden gir Cloudahead generell godkjenning til å benytte underdatabehandlere for å levere tjenestene.

Følgende underdatabehandlere benyttes per datoen for denne avtalen:

Microsoft står oppført kun for Cloudaheads egne systemer. For data i Kundens egen Microsoft-tenant er Microsoft Kundens egen databehandler etter Microsoft Customer Agreement, jf. punkt 2.

Ved endringer i listen over underdatabehandlere skal Cloudahead varsle Kunden skriftlig minst 30 dager før endringen trer i kraft. Kunden kan innen 30 dager fra varselet fremme skriftlig og saklig begrunnet innsigelse. Dersom partene ikke finner en løsning, kan Kunden si opp de berørte tjenestene med virkning fra det tidspunktet endringen trer i kraft, uten kostnad utover allerede leverte tjenester.

Punkt 7

Overføring til tredjeland

Behandling av personopplysninger skal som hovedregel skje innenfor EU/EØS.

Der behandling skjer utenfor EU/EØS, skal overføringen være basert på et gyldig overføringsgrunnlag etter GDPR kapittel V, herunder EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå, EU-US Data Privacy Framework, eller EUs standard personvernbestemmelser (SCC) med nødvendige supplerende tiltak.

Kunden kan be om dokumentasjon på gjeldende overføringsgrunnlag for den enkelte underdatabehandler.

Overføringer som skjer innenfor Microsoft-plattformen reguleres av Microsofts DPA og gjøres gjeldende direkte overfor Microsoft, jf. punkt 2.

Punkt 8

Sikkerhetsbrudd

Cloudahead skal varsle Kunden uten ugrunnet opphold, og senest innen 24 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører Kundens personopplysninger.

Varselet skal, i den grad opplysningene er tilgjengelige, inneholde:

• en beskrivelse av bruddets art, hvilke kategorier og omtrentlig antall registrerte og opplysninger som er berørt
• sannsynlige konsekvenser av bruddet
• tiltak som er iverksatt eller foreslås iverksatt for å håndtere bruddet og begrense skadevirkningene
• kontaktpunkt hos Cloudahead for videre oppfølging

Dersom det ikke er mulig å gi fullstendig informasjon samtidig, kan opplysningene gis trinnvis uten ytterligere ugrunnet opphold.

Brudd som oppstår på plattformnivå hos Microsoft varsles av Microsoft direkte til Kunden etter Microsofts DPA. Blir Cloudahead kjent med et slikt brudd før Kunden, videreformidler Cloudahead informasjonen.

Kunden er ansvarlig for å vurdere og eventuelt gjennomføre melding til Datatilsynet innen 72 timer, og for å varsle de registrerte der dette er påkrevd. Cloudahead skal bistå Kunden med informasjon som er nødvendig for denne vurderingen.

Partene skal også varsle hverandre uten unødig opphold om trusler eller sårbarheter som kan påvirke de leverte tjenestene.

Punkt 9

Revisjon og dokumentasjon

Cloudahead skal på forespørsel stille til rådighet dokumentasjon som er nødvendig for at Kunden skal kunne kontrollere at pliktene etter denne avtalen overholdes, herunder beskrivelse av sikkerhetstiltak, oversikt over underdatabehandlere, og tilgjengelige sertifiseringer og revisjonsrapporter fra underdatabehandlere.

Kunden har rett til å gjennomføre revisjon av Cloudaheads etterlevelse. Revisjon skal varsles skriftlig minst 30 dager i forveien, gjennomføres i normal arbeidstid, og skal ikke være til urimelig ulempe for Cloudaheads virksomhet. Revisjon kan normalt gjennomføres én gang per kalenderår, med mindre det har inntruffet et sikkerhetsbrudd eller myndighetene pålegger hyppigere kontroll.

Revisjonsretten omfatter Cloudaheads egen behandling. Revisjon av Microsoft-plattformen følger av Microsofts DPA og Microsofts revisjonsrapporter, jf. punkt 2.

Kunden dekker egne kostnader ved revisjon. Cloudaheads medgåtte tid utover rimelig og alminnelig bistand faktureres etter gjeldende timepriser.

Kunden og Kundens revisor er underlagt taushetsplikt om opplysninger som mottas i forbindelse med revisjonen.

Punkt 10

Varighet, sletting og exit

Denne avtalen gjelder så lenge Cloudahead behandler personopplysninger på vegne av Kunden, og opphører samtidig med kundeavtalen.

Ved opphør skal Cloudahead, etter Kundens valg, slette eller tilbakelevere alle personopplysninger som er behandlet på Kundens vegne. Kunden må gi beskjed om sitt valg innen 30 dager etter opphør. Dersom Kunden ikke gir beskjed, slettes opplysningene.

Cloudahead kan likevel oppbevare personopplysninger i den grad det følger av lov, herunder bokføringsloven, eller der opplysningene er nødvendige for å dokumentere leverte tjenester og fastsette, gjøre gjeldende eller forsvare rettskrav.

Data som ligger i Kundens egen Microsoft-tenant eller andre plattformer der Kunden selv er avtalepart, disponeres av Kunden og berøres ikke av sletting hos Cloudahead. Cloudaheads tilganger til slike miljøer avvikles ved opphør.

Bistand ved uttrekk, migrering eller overføring av data til ny leverandør faktureres etter medgått tid, med mindre annet er avtalt.

Punkt 11

Ansvar, endringer og verneting

Ansvarsbegrensningene i Cloudaheads generelle vilkår gjelder tilsvarende for denne avtalen, med de begrensninger som følger av ufravikelig lovgivning. Ansvarsbegrensningene gjelder ikke ved forsett eller grov uaktsomhet.

Cloudahead kan oppdatere denne avtalen ved endringer i regelverk, tjenester eller underdatabehandlere. Vesentlige endringer varsles Kunden skriftlig minst 30 dager før de trer i kraft.

Ved motstrid gjelder denne databehandleravtalen foran Cloudaheads øvrige vilkår i spørsmål om behandling av personopplysninger. Avtalen regulerer ikke forholdet mellom Kunden og Microsoft, som følger av Microsoft Customer Agreement.

Avtalen reguleres av norsk rett. Tvister søkes løst i minnelighet. Verneting følger Cloudaheads generelle vilkår.

Punkt 12

Kontakt

Spørsmål om personvern og denne avtalen rettes til: