Standard databehandleravtale

Denne standardavtalen er del av avtalen om Prospilo når kunden bruker tjenesten til å behandle personopplysninger. Kunden er behandlingsansvarlig og Muuh AS er databehandler. Avtalen varer så lenge Prospilo behandler personopplysninger på kundens vegne.

Formålet er å levere B2B-prospektering, kundeprofil, søk, prioritering, samarbeid, CRM-matching, sending til kundens eget CRM, support, sikker drift, eksport og sletting. Behandlingen kan omfatte innsamling, strukturering, lagring, sammenstilling, visning, eksport og sletting.

Registrerte kan være kundens brukere, ansatte og forretningskontakter i opplastede CRM-filer eller notater. Opplysningstypene kan være navn, jobb-e-post, rolle, virksomhetstilknytning, arbeidsnotater, samtalelogg fra ringemodus, kundeforhold og tekniske bruksdata. Kunden skal ikke legge inn særlige kategorier personopplysninger, fødselsnummer, private kontaktdata eller data om barn.

Prospilo behandler bare opplysningene etter dokumenterte instrukser i hovedavtalen, denne avtalen, produktets innstillinger og kundens skriftlige supporthenvendelser. Vi varsler kunden hvis en instruks etter vår vurdering er i strid med personvernreglene, med mindre lov forbyr varsel. Personer med tilgang er autorisert etter tjenstlig behov og bundet av konfidensialitet også etter oppdraget.

Vi bruker blant annet tenant-isolasjon, autorisasjon, tofaktorbeskyttet administrasjon, kryptert transport, privat lagring, begrensede og krypterte køjobber, inngangsvalidering, SSRF-beskyttelse, hendelseslogging, sikkerhetskopi og testede eksport-/sletterutiner.

Ved et brudd på personopplysningssikkerheten varsler vi kunden uten ugrunnet opphold med tilgjengelig informasjon om hendelsen, berørte data, sannsynlige følger og tiltak.

Kunden gir generell tillatelse til nødvendige underdatabehandlere for skydrift, privat lagring, e-post, overvåking og avgrenset AI-behandling. Vi pålegger dem tilsvarende personvernforpliktelser. Vesentlige endringer varsles minst 30 dager før slik at kunden kan fremme en saklig innsigelse før endringen tas i bruk for kundedata.

Overføring utenfor EØS skjer bare med gyldig grunnlag etter personvernforordningen kapittel V og nødvendige supplerende tiltak. En oppdatert leverandør- og overføringsoversikt kan bestilles fra personvernkontakten.

Vi bistår rimelig med registrertes rettigheter, sikkerhetsvurderinger, avvik, forhåndsdrøftelser og annen dokumentasjon kunden trenger for å oppfylle artikkel 28–36. Kunden kan be om relevant revisjonsinformasjon og, når den ikke er tilstrekkelig, avtale en forholdsmessig kontroll som ikke svekker andre kunders sikkerhet eller konfidensialitet.

Ved opphør får kunden 30 dager til å hente en eksport. Etter kundens valg slettes eller tilbakeleveres personopplysningene, også tidligere hvis kunden instruerer oss om det, med mindre lov krever videre lagring. Sikkerhetskopier fases ut innen ytterligere 30 dager etter sletting fra aktive systemer og forblir beskyttet frem til sletting. Ved gjenoppretting reanvendes tidligere sletteinstrukser før ordinær drift.