Denne erklæringen forklarer hvordan personopplysninger behandles i Avtalor, og utgjør samtidig databehandleravtalen mellom Avtalor AS som databehandler og Bedriften som behandlingsansvarlig.
Bedriften er behandlingsansvarlig for opplysninger om egne ansatte og bestemmer formålet med behandlingen. Avtalor AS er databehandler og behandler opplysninger kun etter Bedriftens instruks og for å levere Tjenesten.
For opplysninger om Avtalors egne kontakter hos kunder og leverandører, og for markedsføring av Tjenesten, er Avtalor selv behandlingsansvarlig.
Behandlingsansvarlig hos Avtalor: Avtalor AS, org.nr. 916 048 092, Oslo. Personvernkontakt: support@avtalor.com
Kontoopplysninger: navn, arbeids-e-post, telefonnummer, stilling, profilbilde og rolletilknytning. Rettslig grunnlag: nødvendig for å oppfylle avtalen, personvernforordningen artikkel 6 nr. 1 bokstav b, og behandlingsansvarliges berettigede interesse i å administrere ansattes tilgang, bokstav f.
Bruksdata: hvilke avtalekort som åpnes og brukes, tidspunkt, kategori, enhetstype og pseudonymisert brukeridentifikator. Rettslig grunnlag: berettiget interesse i å drifte, sikre og forbedre Tjenesten, bokstav f.
Innhold i dokumenter som lastes opp for maskinlesing, herunder avtaletekst og kontaktopplysninger som fremgår av dokumentet. Rettslig grunnlag: oppfyllelse av avtale, bokstav b.
Innmeldte problemer med en avtale, herunder fritekst skrevet av den ansatte. Rettslig grunnlag: berettiget interesse i å rette feil, bokstav f. Identiteten vises for Bedriftens administrator, men ikke for Leverandør.
Samtykker og varselvalg. Rettslig grunnlag: samtykke, bokstav a, og dokumentasjonsplikt, artikkel 7 nr. 1.
Vi lagrer aldri passord. Innlogging skjer med engangslenke.
Som standard får Leverandør kun aggregerte tall og pseudonymiserte identifikatorer, uten navn eller e-post.
Navn og kontaktopplysninger deles med Leverandør kun når to betingelser er oppfylt samtidig: Bedriften har åpnet for deling, og den ansatte har gitt eget, uttrykkelig samtykke.
Samtykket er frivillig, kan begrenses per leverandør, og kan trekkes tilbake når som helst i Tjenesten under Innstillinger. Tilbaketrekking påvirker ikke lovligheten av behandling utført før tilbaketrekkingen.
Velger Bedriften å dele kontaktopplysninger uten den ansattes samtykke, må Bedriften selv ha et selvstendig rettslig grunnlag for dette og bærer ansvaret for det.
Maskinlesing brukes til å foreslå innhold i avtalekort og til å gi tips og rangeringer for administratorer og leverandører. Behandlingen innebærer ikke automatiserte avgjørelser med rettsvirkning eller tilsvarende betydelig virkning for enkeltpersoner, jf. artikkel 22.
Alle forslag krever menneskelig kontroll før publisering. Opplysninger brukes ikke til å trene generelle modeller.
Avtalor bruker underdatabehandlere til drift, databaselagring, e-postutsending, varsler, feilovervåking og maskinlesing av dokumenter. Alle er bundet av databehandleravtale med minst tilsvarende plikter som følger av denne erklæringen.
Behandling skjer innenfor EU/EØS der det er mulig. Ved overføring til tredjeland benyttes EU-kommisjonens standard personvernbestemmelser med supplerende tiltak.
Oppdatert liste over underdatabehandlere er tilgjengelig på forespørsel til support@avtalor.com. Bedriften varsles minst 30 dager før nye underdatabehandlere tas i bruk og kan protestere skriftlig.
Opplysninger overføres kryptert med TLS og lagres kryptert. Tilgang til produksjonsdata er begrenset til navngitt personell med tjenstlig behov, er logget og krever tofaktorautentisering.
Tilgangsstyring håndheves i databasen, slik at en bruker teknisk sett bare kan lese opplysninger den har rett til. Handlinger utført av Avtalors personell på vegne av en kunde loggføres.
Ved brudd på personopplysningssikkerheten varsles Bedriften uten ugrunnet opphold og senest innen 48 timer etter at bruddet ble oppdaget, med tilgjengelig informasjon om omfang, konsekvenser og tiltak.
Bruksdata lagres i 24 måneder og aggregeres deretter uten mulighet for tilbakeføring til enkeltpersoner.
Kontoopplysninger slettes innen 30 dager etter at portalen avsluttes eller tilgangen bortfaller. Opplysninger i regnskapsmateriale oppbevares i fem år etter regnskapsårets slutt, jf. bokføringsloven.
Opplastede dokumenter slettes når avtalekortet er publisert og senest etter 12 måneder.
Etter instruks fra Bedriften sletter eller returnerer Avtalor personopplysninger ved avtalens opphør.
Ansatte har rett til innsyn, retting, sletting, begrensning av behandling, dataportabilitet og til å protestere mot behandling basert på berettiget interesse.
Henvendelser rettes til Bedriften som behandlingsansvarlig. Avtalor bistår Bedriften med å oppfylle kravet innen rimelig tid, normalt innen 14 dager.
Den registrerte kan klage til Datatilsynet, postboks 458 Sentrum, 0105 Oslo.
Nødvendige informasjonskapsler brukes for innlogging, sesjon og sikkerhet. Disse kan ikke slås av uten at Tjenesten slutter å virke.
Statistikk og markedsføring krever samtykke og kan slås av i Tjenesten under Informasjonskapsler. Markedsføringskapsler brukes kun på avtalor.com, aldri inne i bedriftsportalene.