Standardvilkår & Personvern
Innholdsfortegnelse
Svenns standardvilkår
Svenns personverkerklæring
Databehandleravtale
SVENNS STANDARDVILKÅR
1. TOLKNING
1.1 Disse Vilkårene regulerer rettighetene og forpliktelsene mellom Svenn og Kunden og er akseptert og har bindende virkning fra Kundens bestilling av Tjenesten.
1.2 Ved at Kunden registrerer seg, gis tilgang til eller bruker Tjenesten, aksepterer Kunden å være bundet av disse Vilkårene.
1.3 Svenn og Kunden er hver for seg referert til som en «Part» eller «Parten», og sammen som «Partene».
2. DEFINISJONER
2.1 I Avtalen skal følgende ord og begreper ha følgende betydning med mindre sammenhengen krever noe annet:
a) «Avtalen» betyr Ordrebekreftelsen, disse Vilkårene, samt Svenns databehandleravtale og personvernerklæring.
b) «Ikrafttredelsesdato» betyr den dato Kunden gis tilgang til Tjenesten.
c) «Immaterielle Rettigheter» betyr alle rettigheter av noe slag, inkludert uten begrensning, opphavsrettigheter, databaserettigheter, rettigheter til design, domenenavn, varemerker, tjenestemerker, rettigheter til goodwill, programvare, patenter, patentsøknader, rettigheter til Konfidensiell Informasjon (inkludert knowhow og forretningshemmeligheter) og enhver annen immateriell rettighet som er anerkjent i et hvilket som helst land eller jurisdiksjon i verden, enten de er registrert eller ikke, og enten de eksisterer på Ikrafttredelsesdatoen eller oppstår eller anerkjennes deretter, og alle søknader og registreringer av disse, enten de er fullstendig eller delvis utviklet, og/eller brukt og/eller eid av en Part.
d) «Konfidensiell Informasjon» betyr all informasjon som er delt, gitt eller kommunisert av eller på vegne av Kunden til Svenn.
e) «Kunden» betyr den kunden som bestiller Tjenesten.
f) «Ordrebekreftelsen» betyr det av Svenn utstedte avtaledokumentet som identifiserer den spesifikke Kunden og Tjenesten som er bestilt av Kunden.
g) «Personopplysninger» skal ha samme betydning som angitt i personvernforordningen artikkel 4 nr. 1.
h) «Sluttkundedata» betyr digitale data, tekst, bilder, lyd, video, skjemaoppføringer, bestillinger, bilag eller annen informasjon, som omhandler Kundens sluttkunder, og som er lagret i Svenns plattform i forbindelse med Kundens bruk av Tjenesten.
i) «Svenn» betyr selskapet Svenn AS.
j) «Tilknyttet Selskap» betyr et selskap som enten direkte eller indirekte er eid eller kontrollert av Svenn, eller som eier eller kontrollerer Svenn, men bare så lenge slikt eierskap eller kontroll eksisterer. Kontroll skal i denne sammenhengen bety direkte eller indirekte eierskap av mer enn 50 % av den utstedte stemmeberettigede aksjekapitalen.
k) «Tjenesten» betyr Svenns digitale plattform der Kunden gis tilgang til de moduler som følger av ordrebekreftelsen mellom partene.
l) «Tredjepartsinnhold» betyr informasjon og materiale som tilhører eller leveres av en tredjepart inkludert profiler, beskrivelser av tjenester, priser og lenker til tredjeparters nettsider eller applikasjoner som ikke er under Svenns kontroll.
m) «Vederlag» betyr enhver type vederlag som partene eventuelt avtaler for Tjenesten.
n) «Vilkårene» betyr disse standardvilkårene.
3. SAMARBEIDET
3.1 Retten til å bruke Tjenesten er personlig for Kundens ansatte og knyttet til Kundens ansattes registrerte e-postadresse, med mindre annet er skriftlig avtalt.
3.2 Kunden er ansvarlig for å etablere nødvendige kontoer og tilganger for Kundens ansatte, for å sikre adekvate interne tilganger til Tjenesten.
3.3 Kunden kan ikke overdra eller på annen måte overføre helt eller delvis, frivillig eller ufrivillig, eller i henhold til lov, denne Avtalen eller rettighetene eller pliktene i den, uten Svenns forutgående skriftlige samtykke.
4. VEDERLAG
4.1 Med mindre annet er angitt i Ordrebekreftelsen, er enhver type avtalt Vederlag oppgitt i norske kroner (NOK).
4.2 Alle priser og kostnader er ekskludert merverdiavgifter eller særavgifter.
4.3 Vederlaget refunderes ikke, med mindre Kunden har rett til refusjon etter ufravikelig forbrukerlovgivning.
4.4 Betaling av Vederlag forfaller ved bestilling og ved hver fornyelse av Avtalen, med mindre annet er oppgitt i Ordrebekreftelsen. Ved oppsigelse i utide vil Svenn utstede en sluttfaktura for gjenværende Vederlag.
4.5 Dersom partene har avtalt at Kunden skal betale et vederlag for Tjenesten og slikt Vederlag ikke blir betalt innen forfallsdatoen, kan Svenn suspendere Kundens tilgang til Tjenesten. Dersom Svenn suspenderer tilgang til Tjenesten, vil ikke dette frita Kunden fra betalingsforpliktelsene, og Svenn skal ikke holdes ansvarlig for eventuelt tap og/eller skade som Kunden påføres som følge av en slik suspensjon.
4.6 Dersom partene har avtalt en rabatt for Tjenesten er denne begrenset til de første 12 måneder. Øvrige betingelser for rabatten fremgår av ordrebekreftelsen.
5. VARIGHET, OPPHØR OG FORNYELSE
5.1 Denne Avtalen trer i kraft på Ikrafttredelsesdatoen og er bindende for Kunden i en innledende periode på 12 måneder. Etter utløp av avtaleperioden fornyes Avtalen automatisk for nye perioder på 12 måneder av gangen, med mindre Kunden gir Svenn skriftlig varsel på support@svenn.com om at Avtalen ikke skal fornyes. Slikt varsel må være mottatt senest én måned før utløpet av den gjeldende avtaleperioden. Avtalen opphører ved utløpet av den gjeldende avtaleperioden dersom gyldig varsel er gitt.
5.2 Dersom Kunden ønsker å gjøre endringer i Avtalen før fornyelse, må slike endringer avtales skriftlig med Svenn innen 30 dager før Avtalens fornyelse.
6. SVENNS ROLLE SOM LEVERANDØR AV PLATTFORMTJENESTER
6.1 Kunden anerkjenner at Svenn er en leverandør av ulike moduler som inngår i en plattformtjeneste som leveres som den er. Tjenesten gir Kunden verktøy til blant annet fakturering, kalkulering av priser, timeføring og supporttjenester i forbindelse med bruk av plattformtjenesten. Kunden er selv ansvarlig for å sikre en forsvarlig og korrekt bruk av Tjenesten, herunder endelig prising av sine tjenester, og Svenn kan ikke holdes ansvarlig for eventuelle beslutninger Kunden tar på bakgrunn av bruk av Tjenesten.
7. SLUTTKUNDEDATA OG DATA OM KUNDEN
7.1 Ved å inngå Avtalen gir Kunden Svenn en rett til å lagre og benytte Sluttkundedata i den utstrekning det med rimelighet anses nødvendig for å gi Kunden tilgang til Tjenesten og ellers for å oppfylle forpliktelsene i Avtalen og/eller utøve rettighetene deri.
7.2 Svenn gis videre en bruksrett til Sluttkundedata for det formål å forbedre og trene modulene som inngår i Tjenesten, herunder hel- eller delautomatiserte moduler for beregning av blant annet prising av oppdrag til sluttkunde. Svenn vil anonymisere og pseudonymisere personopplysninger som behandles for disse formålene så langt det lar seg gjøre uten å forhindre formålet med behandlingen.
7.3 Svenn gis også en rett til å bruke Sluttkundedata til å produsere anonymiserte bransjerapporter som deles tilbake med kundene, brukes for markedsføringsformål og produseres offentlig og til å dele Sluttkundedata som ikke inneholder personopplysninger med tredjeparter.
7.4 Ved Avtalens utløp eller annet opphør deaktiverer Svenn Kundens og Kundens brukeres ordinære tilganger til Tjenesten fra opphørstidspunktet. Kunden kan i de påfølgende 30 dagene be om å få utlevert data som Kunden har lagret i Tjenesten, herunder Sluttkundedata, gjennom Tjenestens standardeksport eller, når slik eksport ikke er tilgjengelig, ved henvendelse til Svenn. Eksport leveres i alminnelig maskinlesbart format, herunder CSV for tabulære data, JSON for øvrige strukturerte data og, der det er teknisk tilgjengelig, filer i opprinnelig filformat. Svenn kan holde tilbake eksport i eksportperioden dersom Kunden har forfalt og ubestridt Vederlag som ikke er betalt. Dette begrenser ikke Svenns ufravikelige plikter etter personvernlovgivningen. Når eksportperioden er utløpt, eller tidligere dersom Kunden skriftlig ber om det, skal Svenn slette slike data og Sluttkundedata fra aktive systemer senest 30 dager etter utløpet av eksportperioden.
7.5 Kopier i sikkerhetskopier slettes ved ordinær overskriving og senest 90 dager etter sletting fra aktive systemer. Svenn kan likevel beholde data i den utstrekning og så lenge lov krever det. Kunden er ansvarlig for å hente ut data som Kunden ønsker å beholde innen eksportperiodens utløp.
8. KONFIDENSIALITET
8.1 Svenn skal holde Konfidensiell Informasjon strengt konfidensielt. Videre skal ikke Konfidensiell Informasjon anvendes av Svenn til andre formål enn å overholde og oppfylle forpliktelser i henhold til Avtalen.
8.2 Svenn skal kun utlevere Konfidensiell Informasjon til ansatte, rådgivere og leverandører som er engasjert av Svenn direkte eller indirekte, i den grad utlevering er nødvendig for at de skal kunne utføre deres oppgaver i henhold til Avtalen og forutsatt at de er underlagt taushetsplikt tilsvarende taushetsplikten under denne Avtalen.
8.3 Begrensningene i denne bestemmelsen gjelder ikke for informasjon som en Part kan påvise:
a) Ikke er unik for den delende Part og var allerede kjent for den mottakende Part før Avtalen ble inngått.
b) Blir gjort allment kjent på annen måte enn ved utlevering av Konfidensiell Informasjon fra den mottakende Parten.
c) Er delt med den mottakende Parten av en Tredjepart som er lovlig i besittelse av informasjonen og uten begrensning i publisering.
d) Er uavhengig utviklet av den mottakende Parten uten brudd på denne Avtalen.
e) Er nødvendig for å oppfylle pålegg gitt i medhold av lov, forskrift eller rettsavgjørelser fra en domstol.
9. IMMATERIELLE RETTIGHETER
9.1 Hver Part skal beholde eierskapet og øvrige rettigheter til alle Immaterielle Rettigheter som den har utviklet (inkludert rettigheter som er utviklet på vegne av Parten), eller som den uavhengig utvikler (eller er utviklet på vegne av Parten).
9.2 Med unntak av det som fremgår i denne Avtalen, gir ingen av Partene den annen Part, via implikasjon, såkalte «estoppels» eller på annen måte, noen rettigheter, tittel, lisens, eller andre former for rettigheter i noen av Partenes Immaterielle Rettigheter. Alle rettigheter som ikke uttrykkelig er gitt eller tildelt heri, er forbeholdt Svenn.
9.3 Betinget av rettidig betaling av Vederlaget og med de begrensninger som følger av disse Vilkårene, gir Svenn Kunden en ikke-eksklusiv, ikke-overdragbar, ikke-overførbar, ikke-underlisensierbar, tilbakekallbar og begrenset rett til å bruke Tjenesten. Kundens rett til bruk er strengt begrenset til slik bruk som med rimelighet anses nødvendig for å oppnå rimelig bruk av Tjenesten.
9.4 Kunden kan ikke fjerne, slette, forbedre, modifisere, utvide, dekonstruere, dekompilere eller demontere Tjenesten, eller forsøke å kartlegge dens kildekode og/eller underliggende struktur, ideer eller algoritmer, ei heller leie, låne ut, lease, selge eller på annen måte overføre til eller tillate bruk av en tredjepart eller på annen måte skape eller tilrettelegge for andre produkter eller tjenester som er avledet av Tjenesten.
9.5 Svenn oppfordrer Kunden til å komme med forslag, anbefalinger, forespørsler om forbedringer eller andre tilbakemeldinger til Tjenesten, herunder ideer til nye tjenester, produkter, teknologier, konsepter, knowhow, teknikker eller prosesser. For å unngå eventuelle misforståelser eller tvister angående eierskap til slikt innhold, anerkjenner Kunden at alle rettigheter til slikt innhold i sin helhet vil tilfalle Svenn og Kunden plikter å foreta alle handlinger som med rimelighet er nødvendige for å tildele slik rettigheter til Svenn.
9.6 Hver Part skal umiddelbart informere den annen Part om et brudd eller mistanke om brudd på den andre Parts Immaterielle Rettigheter.
10. PERSONOPPLYSNINGER
10.1 Svenn vil opptre som behandlingsansvarlig med hensyn til personopplysningene som behandles under Avtalen for det formål å administrere brukerkontoer. For nærmere informasjon om denne behandlingen av personopplysninger, henvises det til Svenns personvernerklæring.
10.2 Svenn vil opptre som databehandler med hensyn til personopplysningene om Sluttkundedata og ansattopplysninger som behandles som følge av Kundens bruk av Tjenesten. Denne behandlingen reguleres av Svenns databehandleravtale, som er en integrert del av Avtalen.
11. ANSVAR
11.1 Tjenesten leveres «som den er». Svenn gir ingen ytterligere garantier utover det som følger av Avtalen og ufravikelig lovgivning.
11.2 Kunden er alene ansvarlig for å overholde lovkrav som Kunden selv er underlagt, og for å avgjøre om Tjenesten kan benyttes i samsvar med gjeldende lovkrav.
11.3 Svenn er ikke ansvarlig for direkte eller indirekte tap, herunder tapt fortjeneste, tapte besparelser eller følgeskader.
11.4 Ingenting i Avtalen begrenser Svenns ansvar der slik begrensning ikke kan gjøres gjeldende overfor forbruker, herunder ved forsett eller grov uaktsomhet.
12. TREDJEPARTSINNHOLD
12.1 Tjenesten kan inneholde Tredjepartsinnhold som lenker til tredjeparts nettsteder eller applikasjoner som ikke er under Svenns kontroll.
12.2 Svenn kan ikke garantere at alt Tredjepartsinnhold til enhver tid er fullstendig, korrekt eller oppdatert. Svenn vil likevel gjøre rimelige tiltak for å rette åpenbare feil i Tredjepartsinnhold som Svenn blir kjent med.
13. MISLIGHOLD OG SKADESLØSHOLDELSE
13.1 Dersom Tjenesten ikke kan leveres som avtalt, skal Svenn skriftlig varsle Kunden om dette så snart som mulig. Varselet skal angi årsaken til problemet og, så langt det er mulig, når Tjenesten kan leveres som avtalt.
13.2 Svenn har rett til å rette opp avtalebrudd dersom slik retting kan gjennomføres uten vesentlig ulempe for Kunden. For det tilfellet at avtalebruddet medfører at tap av Kundens data, vil Svenn gjenopprette fra nyeste sikkerhetskopi.
13.3 Dersom en Part vesentlig misligholder Avtalen, kan den andre Parten si opp Avtalen med 30 dagers skriftlig varsel. Varselet skal inneholde detaljer om arten av bruddet og at Avtalen vil bli avsluttet med mindre bruddet er rettet opp innen tretti (30) dager.
13.4 Kunden skal holde Svenn, Svenns Tilknyttede Selskaper og deres ansatte skadesløse for tredjepartskrav, inkludert rimelige og dokumenterte eksterne kostnader til juridisk bistand, samt Svenns eget tap, i den utstrekning kravet eller tapet skyldes (i) Kundens eller Kundens brukeres ulovlige bruk av Tjenesten, (ii) Sluttkundedata eller annet materiale som Kunden eller Kundens brukere har gjort tilgjengelig gjennom Tjenesten og som krenker tredjeparts rettigheter, (iii) Kundens brudd på avtalte bruksbegrensninger, eller (iv) Kundens krenking av Svenns immaterielle rettigheter.
14. VARSEL OG ENDRINGER
14.1 Svenn vil kontinuerlig og etter eget skjønn endre og oppdatere metodene og prosessene i og til Tjenesten, i den grad Svenn anser dette som nødvendig for å levere den beste mulige opplevelsen for sine kunder. Slike endringer begrenser ikke Kundens forpliktelser overfor Svenn. Kunden beholder likevel sine rettigheter etter ufravikelig lovgivning. Svenn vil bestrebe å varsle Kunden om eventuelle vesentlige endringer.
14.2 Eventuelle fakturaer, korrespondanse og varsel som skal formidles i henhold til denne Avtalen, skal være skriftlig og på norsk eller engelsk og kan sendes via e-post til den adressen som er oppgitt i Ordrebekreftelsen.
15. DIVERSE
15.1 Svenn har rett til å benytte navnet og logoen til Kunden i forbindelse med markedsføring, både under eller etter utløpet eller opphøret av denne Avtalen.
15.2 Svenn kan endre disse Vilkårene med minst en måneds varsel via e-post. Kunden kan si opp Avtalen kostnadsfritt med virkning fra endringstidspunktet dersom endringene objektivt og vesentlig negativt påvirker Kundens evne til å bruke Tjenesten som forutsatt.
15.3 Hvis noen klausuler i denne Avtalen anses som ugyldige, eller at de helt eller delvis ikke kan håndheves, av en domstol eller annen kompetent myndighet, skal ikke dette medføre at de øvrige klausulene i Avtalen blir ansett som ugyldige. Klausulen som eventuelt ugyldiggjøres, skal tolkes eller erstattes av en bestemmelse som tar sikte på å oppnå formålet med den opprinnelige klausulen.
15.4 Avtalen skal tolkes og reguleres av norsk rett, uten hensyn til lovvalgsprinsipper. Alle tvister, uenigheter eller krav som følge av eller i forbindelse med denne Avtalen, eller brudd, opphør eller ugyldighet derav, skal forelegges Oslo tingrett som avtalt verneting. I tillegg kan Svenn, etter eget valg, ta ut søksmål mot Kunden i det landet eller på det stedet hvor Kunden befinner seg.
16. ELEKTRONISK SIGNATUR
16.1 Kunden er enig i at bekreftelse av bestilling skal være et gyldig uttrykk for Kundens vilje og at den skal binde Kunden til Avtalen.
SVENNS PERSONVERNERKLÆRING
Sist oppdatert: 27.10.2026
1. INNLEDNING
Når du er kunde hos Svenn, vil det noen ganger være nødvendig for oss å behandle dine personopplysninger. Dette gjelder for eksempel når du benytter våre tjenester, besøker vår nettside eller abonnerer på vårt nyhetsbrev. Nedenfor finner du informasjon om hvordan vi behandler slike opplysninger.
Hvor ordene «Svenn», «vi», «oss» eller «våre» brukes i denne personvernerklæringen vises det til Svenn AS med organisasjonsnummer 911 801 663.
Svenn er behandlingsansvarlig for den behandlingen av personopplysninger som beskrives i denne personvernerklæringen. Dette innebærer at vi er forpliktet til å beskytte dine personopplysninger og informere deg om hvordan vi benytter dine personopplysninger.
Har du spørsmål om hvordan vi behandler personopplysninger, er du velkommen til å kontakte oss. Se kontaktinformasjon nederst i personvernerklæringen.
2. FORMÅL OG BEHANDLINGSGRUNNLAG
For å oppnå formålene nedenfor vil vi kunne behandle personopplysninger om deg. Nedenfor følger en oversikt over hvilke kategorier personopplysninger vi samler inn om deg, til hvilke formål vi benytter disse for, det rettslige grunnlaget for behandlingen og når opplysningene slettes.
2.1 Bruk av våre tjenester
Når du er bruker av våre tjenester behandler vi personopplysninger om deg som er nødvendige for å levere tjenesten til deg, herunder vedlikehold og opprettelse av din brukerkonto. Normalt vil dette være ditt navn, telefonnummer, epostadresse, stillingstittel og eventuelle personopplysninger som følger av dokumenter du lagrer i din brukerkonto. Svenn er behandlingsansvarlig for den behandlingen av personopplysninger vi gjør for å opprette og administrere din brukerkonto, og din arbeidsgiver er behandlingsansvarlig for dine personopplysninger som behandles i forbindelse med bruken av selve tjenesten.
Ettersom du bruker tjenestene i kraft av din rolle som ansatt hos en næringsdrivende er det rettslige grunnlaget vår berettigede interesse i å levere våre tjenester jf. GDPR artikkel 6 nr. 1 bokstav f.
Personopplysningene som behandles for dette formålet slettes innen 30 dager etter at din konto slettes, med unntak av opplysninger som må lagres i en lengre periode i henhold til bokførings- og regnskapsregelverket.
2.2 Kundeservice og kontakt
Når du kontakter vår kundeservice via telefon, e-post eller chat, behandler vi personopplysninger om deg for å kunne besvare henvendelsen din. Dette gjelder også ved henvendelser som gjelder support og andre forespørsler som rettes til oss. For å gjøre dette kan vi behandle ditt navn, kontaktinformasjon som e-post, telefonnummer og postadresse og andre personopplysninger som du selv oppgir i dialogen med Svenn.
Det rettslige grunnlaget for denne behandlingen er vår legitime interesse i å yte kundeservice og besvare henvendelser, jf. GDPR artikkel 6 nr. 1 bokstav f.
Vi lagrer opplysninger som behandles for dette formålet inntil 30 dager etter at din henvendelse er besvart og saken dermed anses for å være løst.
2.3 Deltakelse i webinarer og andre arrangementer i regi av Svenn
Når du deltar i webinarer og andre arrangementer i regi av Svenn, kan vi behandle personopplysninger om deg. Avhengig av den konkrete situasjonen kan dette være ditt navn, kontaktinformasjon som telefonnummer, e-postadresse eller postadresse og fagområde.
Det rettslige grunnlaget for denne behandlingen er ditt samtykke, jf. GDPR artikkel 6 nr. 1 bokstav a. Du kan når som helst trekke tilbake ditt samtykke ved å kontakte oss via kontaktinformasjonen nederst i denne personvernerklæringen.
Personopplysningene som behandles for dette formålet slettes innen 30 dager etter at webinaret eller arrangementet er gjennomført.
2.4 Elektronisk markedsføring
Dersom du har gitt ditt samtykke til å motta elektronisk markedsføring fra Svenn, vil vi benytte din e-postadresse og ditt telefonnummer til å sende deg nyhetsbrev med tilbud og informasjon om våre og våre samarbeidspartneres tjenester.
Det rettslige grunnlaget for denne behandlingen er ditt samtykke, jf. GDPR artikkel 6 nr. 1 bokstav a. Du kan når som helst trekke tilbake ditt samtykke ved å kontakte oss via kontaktinformasjonen nederst i denne personvernerklæringen.
Personopplysningene som behandles for dette formålet lagres inntil du trekker tilbake ditt samtykke eller ber om sletting.
2.5 Forebygge, forhindre eller oppdage misbruk av våre tjenester
For å kunne videreutvikle våre tjenester og drive nettstedet på en god og forsvarlig måte, er vi avhengige av å kunne produsere statistikk om blant annet bruk av nettstedet og tjenestene. Vi vil også kunne ha behov for å skaffe oss kunnskap om svindel og å iverksette tiltak for å forhindre dette. Vi vil så langt som mulig basere oss på aggregerte data for disse formålene. Behandlingen kan blant annet omfatte undersøkelse og forebygging av svindel eller andre lovbrudd, samt tiltak for å forhindre uønsket aktivitet som phishing eller forsøk på uautorisert pålogging på brukerkontoer.
Det rettslige grunnlaget for denne behandlingen er personvernforordningen artikkel 6 nr. 1 bokstav f, vår legitime interesse i å behandle dine personopplysninger for å kunne tilby deg en mest mulig sikker og god tjeneste.
Opplysninger som brukes til slike sikkerhetsformål vil slettes fortløpende og ikke lagres utover de gjeldende lagringsperiodene for kundedata.
3. DINE RETTIGHETER
Som registrert har du følgende rettigheter i henhold til GDPR:
Begrensning: Du kan be om at vi begrenser behandlingen av dine personopplysninger.
Dataportabilitet: Du kan be om å motta personopplysningene du har gitt oss eller å få dem overført til en tredjepart, i et strukturert, alminnelig anvendt og maskinlesbart format.
Innsyn: Hvis du ønsker å vite mer om hvordan vi behandler personopplysningene dine kan du be om informasjon om hvilke personopplysninger vi behandler om deg og en kopi av dine personopplysninger.
Protestere: Du kan protestere mot vår bruk av dine personopplysninger for direkte markedsføring, inkludert profilering for direkte markedsføringsformål. Du kan også protestere mot å bli gjenstand for avgjørelser som utelukkende er basert på automatisert behandling, inkludert profilering, som gir juridiske følger som vesentlig påvirker deg.
Retting: Dersom du mener at vi behandler feilaktige eller utdaterte opplysninger om deg kan du be om at vi retter opp i feilen.
Sletting: Du kan kreve at vi sletter dine personopplysninger, med mindre vi er lovpålagt å beholde personopplysningene i en bestemt periode eller for øvrig har rett til å beholde opplysningene i medhold av lov.
Dersom du har samtykket til at vi kan behandle dine personopplysninger kan du når som helst trekke tilbake slikt samtykke. Vi har lagt til rette for at du enkelt kan reservere deg mot denne typen henvendelser i hver henvendelse fra oss. Samtykke kan også trekkes tilbake ved å kontakte vår kundeservice.
Du kan håndheve dine rettigheter ved å kontakte oss på kontaktopplysningene som følger nederst i denne personvernerklæringen.
4. TREDJEPARTER
Svenn vil i noen tilfeller kunne utlevere dine personopplysninger til tredjeparter i den grad de er nødvendig for administrasjon av vår drift og for å kunne utøve vår virksomhet og overholde gjeldende lovgivning. Dette kan for eksempel være utlevering av personopplysninger til myndigheter eller tilgjengeliggjøring til forsikringsselskaper, våre leverandører av betalingsløsninger, IT-systemer og programvare, markedsføringstjenester, drift og regnskapsrapportering samt andre samarbeidspartnere.Alle tredjeparter som mottar personopplysninger fra oss er forpliktet til å behandle personopplysningene med fortrolighet og ivareta deres forpliktelser i samsvar med gjeldende personvernlovgivning.
5. SIKKERHET VED BEHANDLINGEN
All vår behandling av personopplysninger sikres med nødvendige tekniske og organisatoriske tiltak. Dette inkluderer rimelige tiltak for fysisk, prosessuell og teknisk sikkerhet med hensyn til kontorene og informasjonslagringssystemene som er involvert i dine personopplysninger, for å forhindre tap, misbruk, uautorisert tilgang, utlevering eller endring av dine personopplysninger. Dette gjelder også vår bruk eller sletting av dine personopplysninger.
Vi har inngått databehandleravtaler med alle våre leverandører som behandler personopplysninger på vegne av Svenn. Disse leverandørene er forpliktet til å handle kun etter Svenns dokumenterte instrukser og kan ikke behandle opplysningene til egne formål.
6. INTERNASJONAL OVERFØRING AV PERSONOPPLYSNINGER
Som hovedregel behandler og lagrer vi personopplysningene dine innenfor EU/EØS. I visse tilfeller kan det likevel være nødvendig å overføre dine opplysninger til våre underleverandører som er etablert i USA. Svenn har inngått EUs standardkontrakter med slike leverandører for å sikre at behandlingen underlegges et vern som tilsvarer det som gjelder innenfor EU/EØS.
7. OPPDATERINGER OG ENDRINGER
Hvis det skjer endringer i hvordan vi behandler personopplysninger, vil vi oppdatere denne personvernerklæringen. Hvis det foretas endringer av stor betydning, vil vi varsle deg per e-post.
8. KONTAKT OG KLAGE TIL DATATILSYNET
Hvis du ønsker å trekke tilbake ditt samtykke, gjøre gjeldende dine rettigheter vedrørende innsyn, informasjon, retting, sletting, begrensning, dataportabilitet eller retten til å protestere mot behandling av personopplysninger eller hvis du har spørsmål eller forespørsler angående denne personvernerklæringen, vår behandling eller ønsker å sende inn en klage, vennligst oss på support@svenn.com.Vi vil undersøke alle klager. Blir en klage funnet berettiget, vil vi ta alle rimelige skritt for å løse problemet. Du har også rett til å klage til Datatilsynet angående vår behandling av dine personopplysninger.
Datatilsynet kan kontaktes på:
Datatilsynet
Postboks 458 Sentrum
0105 Oslo
E-post: postkasse@datatilsynet.no
Databehandleravtale
1 Bakgrunn og virkeområde
1.1 Denne databehandleravtalen («Databehandleravtalen») utgjør en integrert del av Svenn AS’ brukervilkår og gjelder når Svenn AS opptrer som databehandler av personopplysninger på vegne av Kunden, som opptrer som behandlingsansvarlig.
1.2 I denne databehandleravtalen omtales Kunden som «den Behandlingsansvarlige» og Svenn AS (organisasjonsnummer 911 801 663) som «Databehandleren», og samlet som «Partene».
1.3 Innenfor rammen av hovedavtalen og for å levere Tjenesten som følger av Avtalen og ordrebekreftelsen mellom Partene skal personopplysninger overføres til og behandles av Databehandleren. Partene ønsker å fastsette vilkårene for denne behandlingen i denne Databehandleravtalen i samsvar med artikkel 28 i personvernforordningen (EU) 2016/679 av 27. april 2016 («Personvernforordningen»).
1.4 Denne Databehandleravtalen fastsetter den Behandlingsansvarliges og Databehandlerens rettigheter og plikter ved behandling av personopplysninger på vegne av den Behandlingsansvarlige. I forbindelse med Avtale skal Databehandleren behandle personopplysninger på vegne av den Behandlingsansvarlige i samsvar med Databehandleravtalen.
1.5 I tillegg til behandlingen av personopplysninger i forbindelse med Avtalen er Partene kjent med og aksepterer at Databehandleren også kan behandle personopplysninger i rollen som behandlingsansvarlig for egne formål, som (i) etterlevelse av gjeldende lover og forskrifter, (ii) forespørsler fra og kommunikasjon med myndigheter, (iii) administrasjon, regnskap og risikovurdering, og (iv) tjenesteforbedring og produktutvikling, analyse og markedsføring. Databehandleren vil anonymisere og pseudonymere personopplysninger som behandles egne formål så langt det lar seg gjøre uten å forhindre formålet med behandlingen.
1.6 Uavhengig av innholdet i denne Databehandleravtalen skal partene overholde sine respektive ansvar og plikter etter EU-retten eller medlemsstatenes rett.
2 Definisjoner
2.1 «Gjeldende personvernlovgivning» betyr personvernforordningen (EU) 2016/679 («personvernforordningen»), lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven) og annen lovgivning som gjennomfører personvernforordningen, samt annen lovgivning om behandling av personopplysninger.
2.2 «Behandlingsansvarlig» betyr den fysiske eller juridiske personen, offentlige myndigheten, institusjonen eller ethvert annet organ som alene eller sammen med andre bestemmer formålene med og midlene for behandlingen av personopplysninger (her Kunden).
2.3 «personopplysninger» betyr enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte») som Databehandleren behandler på vegne av den Behandlingsansvarlige. En identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator som navn, identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for vedkommende fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet.
2.4 «behandling» betyr enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, for eksempel innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller annen tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring.
2.5 «databehandler» betyr en fysisk eller juridisk person, offentlige myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige (her Svenn).
2.6 «særlige kategorier av personopplysninger» betyr personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religiøs eller filosofisk overbevisning eller fagforeningsmedlemskap, samt genetiske opplysninger, biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger, opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering og opplysninger om straffedommer og lovovertredelser.
2.7 «EU-retten eller medlemsstatenes rett» viser til forskrifter eller lover som gjelder i et land som har gjennomført personvernforordningen og er medlem av Det europeiske økonomiske samarbeidsområde (EØS).
Ord, forkortelser og uttrykk som ikke er definert her, skal ha den betydningen som er tillagt dem i Avtalen og gjeldende personvernlovgivning, med mindre noe annet følger av sammenhengen eller uttrykkelig er angitt nedenfor.
3 Beskrivelse av behandlingen
3.1 En detaljert beskrivelse av behandlingen av personopplysninger om de berørte registrerte, herunder særlig kategoriene av personopplysninger og formålet med og arten av behandlingen som personopplysningene behandles for på vegne av den behandlingsansvarlige, er angitt i vedlegg 2 til denne Databehandleravtalen.
4 Den behandlingsansvarliges plikter, rettigheter og ansvar
4.1 Den Behandlingsansvarlige er ansvarlig for å sikre at behandlingen av personopplysninger skjer i samsvar med gjeldende personvernlovgivning. Dette omfatter ansvaret for å sikre at den Behandlingsansvarlige har behandlingsgrunnlag etter gjeldende personvernlovgivning ved bruk av Tjenesten og ved tilgjengeliggjøring av personopplysninger for Databehandleren i samsvar med Avtalen.
4.2 Dersom Databehandleren bryter denne Databehandleravtalen eller gjeldende personvernlovgivning, kan den Behandlingsansvarlige kreve at Databehandleren umiddelbart stanser videre behandling av personopplysningene.
5 Databehandlerens generelle plikter
5.1 Databehandleren forplikter seg til å behandle personopplysninger på vegne av den Behandlingsansvarlige i samsvar med gjeldende personvernlovgivning, Avtalen, denne Databehandleravtalen med vedlegg og enhver etterfølgende avtale mellom partene.
5.2 Databehandleren skal behandle personopplysninger etter instruks fra den Behandlingsansvarlige, med mindre Databehandleren er underlagt en rettslig forpliktelse som krever at den utfører en annen behandlingsaktivitet. I så fall skal Databehandleren informere den Behandlingsansvarlige om dette rettslige kravet før behandlingen, med mindre slik informasjon er forbudt av viktige allmenne hensyn. For å unngå tvil er partene enige om at levering av Tjenesten i samsvar med Avtalen og denne Databehandleravtalen utgjør behandling av personopplysninger i samsvar med den Behandlingsansvarliges instrukser.
5.3 Dersom Databehandleren går utover sitt mandat eller selv bestemmer formålene med og midlene for behandlingen, skal den anses som behandlingsansvarlig for den aktuelle behandlingsaktiviteten.
5.4 Databehandleren skal umiddelbart varsle den Behandlingsansvarlige dersom Databehandleren anser en instruks gitt av den Behandlingsansvarlige for å være i strid med gjeldende personvernlovgivning eller andre rettslige krav om vern av personopplysninger etter EU-retten eller medlemsstatenes rett.
5.5 Databehandleren forplikter seg til å gi den Behandlingsansvarlige all informasjon som gjør det mulig for den Behandlingsansvarlige å påvise at behandlingen utføres i samsvar med gjeldende personvernlovgivning.
5.6 På uttrykkelig anmodning fra den Behandlingsansvarlige skal Databehandleren gi den Behandlingsansvarlige en kopi av personopplysningene som behandles i henhold til Databehandleravtalen.
6 Bistandsplikter
6.1 Dersom den registrerte kontakter Databehandleren direkte eller fremsetter en anmodning overfor Databehandleren om å utøve sine rettigheter etter kapittel III i personvernforordningen, skal Databehandleren uten ugrunnet opphold henvise den registrerte til den Behandlingsansvarlige.
6.2 Databehandleren skal, under hensyn til behandlingens art og så langt det er mulig, bistå den Behandlingsansvarlige gjennom egnede tekniske og organisatoriske tiltak med å oppfylle den Behandlingsansvarliges plikt til å besvare anmodninger om utøvelse av de registrertes rettigheter etter gjeldende personvernlovgivning.
6.3 Dersom det er relevant, skal Databehandleren videre, under hensyn til behandlingens art og den informasjonen Databehandleren har tilgjengelig, i rimelig utstrekning bistå den Behandlingsansvarlige med å sikre etterlevelse av:
a) den Behandlingsansvarliges plikt til å gjennomføre en vurdering av de planlagte behandlingsaktivitetenes konsekvenser for vernet av personopplysninger (en vurdering av personvernkonsekvenser);
b) den Behandlingsansvarliges plikt til å rådføre seg med kompetent tilsynsmyndighet før behandlingen, når en vurdering av personvernkonsekvenser viser at behandlingen vil medføre høy risiko dersom den Behandlingsansvarlige ikke treffer tiltak for å redusere risikoen; og
c) pliktene etter artikkel 32 i personvernforordningen.
7 Konfidensialitet
7.1 Databehandleren skal sikre at bare autorisert personell har tilgang til personopplysningene, og at autorisasjon bare gis til personell som har et saklig behov for tilgang til personopplysningene.
7.2 Databehandleren skal sikre at personer som er autorisert til å behandle personopplysningene, er forpliktet til å behandle opplysningene konfidensielt gjennom en taushetserklæring i arbeidsavtale eller annen avtale, dersom vedkommende ikke er underlagt en passende lovbestemt taushetsplikt.
7.3 Taushetsplikten som er beskrevet i punkt 7.1 og 7.2 ovenfor, skal bestå også etter at denne Databehandleravtalen er opphørt.
8 Behandlingssikkerhet
8.1 Under hensyn til det tekniske nivået, gjennomføringskostnadene og behandlingens art, omfang, formål og sammenheng, samt risikoen med varierende sannsynlighet og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal Databehandleren i samsvar med artikkel 32 i personvernforordningen gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er tilpasset risikoen.
8.2 Databehandleren og den Behandlingsansvarlige har blitt enige om tekniske og organisatoriske sikkerhetstiltak som skal implementeres for å sikre behandlingen av personopplysninger som gjøres i tråd med denne Databehandleravtalen. Databehandleren kan til enhver tid oppdatere og modifisere disse tiltakene, så lenge dette ikke bidrar til å senke det generelle sikkerhetsnivået ved behandlingen.
8.3 Ved utilsiktet eller ulovlig tilintetgjøring, tap, uautorisert tilgang til eller behandling av personopplysningene («brudd på personopplysningssikkerheten») skal Databehandleren uten ugrunnet opphold informere den Behandlingsansvarlige etter at Databehandleren har blitt kjent med bruddet. Den Behandlingsansvarlige skal melde bruddet til Datatilsynet og/eller de registrerte i samsvar med artikkel 33 og 34 i personvernforordningen.
8.4 Databehandleren skal yte all rimelig bistand til den Behandlingsansvarlige slik at den Behandlingsansvarlige kan oppfylle sine plikter etter artikkel 33 og 34 i personvernforordningen. Dersom den Behandlingsansvarlige er forpliktet til å underrette de registrerte om et brudd på personopplysningssikkerheten etter personvernforordningen, skal Databehandleren bistå den Behandlingsansvarlige med dette, herunder ved å gi den informasjonen som er nødvendig for at den Behandlingsansvarlige skal kunne kommunisere bruddet på en klar og lovlig måte. Den Behandlingsansvarlige skal bære alle kostnader knyttet til slik kommunikasjon med den registrerte.
9 Bruk av underdatabehandlere
9.1 Databehandleren har den Behandlingsansvarliges generelle godkjenning til å engasjere en annen databehandler («Underdatabehandler») for oppfyllelse av Databehandleravtalen. Databehandleren skal varsle den Behandlingsansvarlige om enhver planlagt endring som gjelder tilføyelse eller utskifting av Underdatabehandlere, slik at den Behandlingsansvarlige får mulighet til å protestere mot slike endringer før den aktuelle Underdatabehandleren engasjeres. Dersom den Behandlingsansvarlige protesterer mot de foreslåtte endringene av Underdatabehandler(e), skal Databehandleren og den Behandlingsansvarlige forsøke å komme til enighet om hvordan endringene skal håndteres.
9.2 Når Databehandleren engasjerer en Underdatabehandler i henhold til dette punkt 9, skal de samme personvernforpliktelsene som følger av denne Databehandleravtalen, pålegges Underdatabehandleren gjennom en skriftlig avtale, og Databehandleren skal sikre at all bruk av Underdatabehandlere skjer i samsvar med gjeldende personvernlovgivning.
9.3 Dersom en Underdatabehandler ikke oppfyller sine personvernforpliktelser, skal Databehandleren fortsatt være fullt ansvarlig overfor den Behandlingsansvarlige for oppfyllelsen av Underdatabehandlerens forpliktelser etter Databehandleravtalen.
10 Overføring av opplysninger til land utenfor EU/EØS
10.1 Enhver overføring av personopplysninger til tredjeland eller internasjonale organisasjoner foretatt av Databehandleren skal alltid skje i samsvar med kapittel V i personvernforordningen.
10.2 Den Behandlingsansvarlige samtykker til at når Databehandleren engasjerer en Underdatabehandler for å utføre bestemte behandlingsaktiviteter, og disse behandlingsaktivitetene innebærer overføring av personopplysninger utenfor EU/EØS som nevnt i kapittel V i personvernforordningen, er Databehandleren bemyndiget til å tilrettelegge for slik overføring, forutsatt at minst ett av de rettslige grunnlagene nedenfor (adekvansbeslutning eller egnede garantier) kommer til anvendelse:
(i) Europakommisjonen har besluttet at beskyttelsesnivået i det aktuelle tredjelandet, som personopplysninger skal overføres til, er tilstrekkelig. Disse landene er oppført på Europakommisjonens nettside;
(ii) Databehandleren har, på vegne av den Behandlingsansvarlige, inngått en bindende avtale med Underdatabehandleren i tredjelandet som inkorporerer Europakommisjonens til enhver tid gjeldende standard personvernbestemmelser for overføring av personopplysninger til tredjeland; eller
(iii) overføringen er basert på bindende virksomhetsregler i samsvar med artikkel 47 i personvernforordningen.
10.3 Den til enhver tid gjeldende oversikten over Underdatabehandlere inngår i denne Databehandleravtalen ved henvisning, og er tilgjengelig på følgende lenke: https://svenn.com/personvern/underbehandlere
10.4 Dersom overføring til tredjeland eller internasjonale organisasjoner, som Databehandleren ikke er instruert av den Behandlingsansvarlige om å foreta, er påkrevd etter EU-retten eller medlemsstatenes rett som Databehandleren er underlagt, skal Databehandleren informere den Behandlingsansvarlige om dette rettslige kravet før behandlingen, med mindre slik informasjon er forbudt av viktige allmenne hensyn.
11 Tilgang til informasjon og gjennomføring av revisjoner
11.1 Dersom det foreligger rimelige indikasjoner på brudd på Databehandleravtalen eller gjeldende personvernlovgivning, herunder, men ikke begrenset til, ved brudd på personopplysningssikkerheten, har den Behandlingsansvarlige rett til, etter rimelig forhåndsvarsel til Databehandleren, å gjennomføre en revisjon eller kontroll av Databehandlerens behandling av personopplysningene, eventuelt ved å oppnevne en revisor. Databehandleren skal gjøre tilgjengelig all informasjon som er nødvendig for at den behandlingsansvarlige eller en revisor kan gjennomføre revisjonen eller kontrollen. Revisjonen eller kontrollen skal begrenses i omfang, gjennomføringsmåte og varighet til det som er rimelig nødvendig for å oppnå formålet, og skal ikke unødig forstyrre databehandlerens virksomhet.
11.2 Databehandleren skal avsette de ressursene, hovedsakelig tid, som er nødvendige for at den Behandlingsansvarlige skal kunne gjennomføre revisjonen eller kontrollen. Den Behandlingsansvarlige skal bære alle rimelige kostnader ved revisjonen eller kontrollen.
11.3 På grunnlag av resultatene av en slik revisjon eller kontroll kan den Behandlingsansvarlige kreve at ytterligere tiltak iverksettes for å sikre etterlevelse av gjeldende personvernlovgivning og Databehandleravtalen.
12 Varighet og opphør
12.1 Databehandleravtalen trer i kraft på datoen for inngåelse av Avtalen og gjelder så lenge Databehandleren behandler personopplysninger på vegne av den Behandlingsansvarlige i forbindelse med Avtalen og ytelse av Tjenesten.
12.2 Ved opphør av Avtalen skal Databehandleren avslutte behandlingen etter denne Databehandleravtalen, med mindre partene avtaler noe annet. Databehandleren skal, etter den Behandlingsansvarliges valg, slette eller tilbakelevere alle personopplysninger i sin besittelse som er behandlet i rollen som Databehandler, samt alle eksisterende kopier eller sikkerhetskopier, med mindre lagring av personopplysningene er lovpålagt.
12.3 Databehandleren skal sikre at enhver Underdatabehandler opphører behandlingen av personopplysningene og sletter alle personopplysningene fra sine arkiver ved opphør av Avtalen.
12.4 Begge parter har rett til å kreve at Databehandleravtalen reforhandles dersom lovendringer gir grunnlag for slik reforhandling.
13 Ansvar
13.1 Partenes ansvar for skade som den registrerte eller andre fysiske personer lider som følge av brudd på gjeldende personvernlovgivning, følger bestemmelsene i artikkel 82 i personvernforordningen. Partene er hver for seg ansvarlige overfor relevant tilsynsmyndighet for administrative gebyrer ilagt i henhold til artikkel 83 i personvernforordningen. Mellom Partene skal Databehandlerens ansvar etter Databehandleravtalen ikke overstige ansvarsbegrensningene som følger av Avtalen.
13.2 Databehandleren er ikke ansvarlig:
a) for indirekte tap eller følgeskader, tapt fortjeneste, omsetningstap, tapte for retningsmuligheter eller omdømmetap som den Behandlingsansvarlige lider,
b) for skade som de registrerte eller andre fysiske personer lider som følge av identitetstyveri, datatyveri eller cyberkriminalitet, dersom de tekniske og organisatoriske tiltakene fastsatt i punkt 8.2 i Databehandleravtalen er gjennomført, eller
c) for manglende eller forsinket oppfyllelse som skyldes forhold utenfor Databehandlerens rimelige kontroll.
14 Varsler
14.1 Varsler eller kommunikasjon i henhold til denne Databehandleravtalen skal sendes skriftlig til Partenes angitte kontaktpersoner, slik kontaktinfo fremgår av Avtalen eller ordrebekreftelsen.
15 Verneting og lovvalg
15.1 Med mindre annet er avtalt i hovedavtalen, skal denne Databehandleravtalen være underlagt norsk rett, med Oslo tingrett som verneting.
Vedlegg 1 – Instruks for behandlingen
Formål med behandlingenFormålet med behandlingen er å yte Tjenesten som angitt i Avtalen.
Kategorier av registrerte Ansatte og kunder av den Behandlingsansvarlige.
Kategorier av personopplysningerNavn, kontaktinfo, tidsbruk, informasjon om geografisk plassering for ulikt utført arbeid, stillingstittel og øvrig informasjon som fremgår av fritekstfelt for den ansatte ved den Behandlingsansvarlige.
Adresse, matrikkeldata, kontaktinformasjon, navn og øvrige opplysninger som fremgår av fritekstfelt for kunder til den Behandlingsansvarlige.
Vedlegg 2 – Tekniske og organisatoriske tiltak
Databehandleren skal etablere og opprettholde egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er passende i forhold til risikoen ved behandlingen, jf. personvernforordningen artikkel 32. Tiltakene skal særlig ivareta personopplysningenes konfidensialitet, integritet, tilgjengelighet og robusthet.
Tilgang til personopplysninger skal begrenses til autorisert personell med tjenstlig behov. Databehandleren skal benytte individuelle brukerkontoer, egnede autentiseringsmekanismer og tilgangsstyring basert på minste privilegium. Personell som behandler personopplysninger, skal være underlagt taushetsplikt og motta relevant opplæring i informasjonssikkerhet og personvern.
Databehandleren skal iverksette egnede tiltak for å beskytte systemer og personopplysninger mot uautorisert eller ulovlig behandling, utilsiktet tap, endring eller tilgjengeliggjøring. Tiltakene skal, der det er relevant, omfatte kryptering ved overføring og lagring, sikkerhetskopiering, sårbarhets- og oppdateringshåndtering, logging samt regelmessig testing og vurdering av sikkerhetstiltakenes effektivitet.
Databehandleren skal ha dokumenterte rutiner for håndtering av sikkerhetsbrudd, herunder vurdering, begrensning, utbedring og varsling til den behandlingsansvarlige uten ugrunnet opphold. Tiltakene skal gjennomgås og oppdateres ved behov, herunder ved vesentlige endringer i behandlingen, trusselbildet eller den tekniske løsningen.