Databehandleravtale (DPA)

1. Formål, art og varighet

Formålet med behandlingen er å stille til rådighet en digital skatte- og regnskapsapplikasjon som gjør det mulig for den behandlingsansvarlige å registrere husleieinntekter, utgiftsbilag, fordele felleskostnader og avstemme innbetalinger for privat boligutleie.

Behandlingens varighet løper så lenge den behandlingsansvarlige har en aktiv brukerkonto i Husleieoversikten, eller inntil avtalen opphører ved kontosletting.

2. Kategorier av opplysninger og registrerte

Avtalen omfatter opplysninger om den behandlingsansvarliges leietakere:

• Registrerte personer: Nåværende, tidligere og potensielle leietakere i utleieboligene.
• Alminnelige personopplysninger: Navn, leiebeløp, rom/enhet, start- og sluttdato for leieforhold, telefonnummer, e-post, og eventuelt depositumskontonummer og banknavn.
• Forbudte kategorier: Fødselsnummer (11 siffer) og særlige kategorier av personopplysninger (sensitive opplysninger som helse, politisk oppfatning osv.) skal ikke registreres i systemet.

3. Behandling etter dokumentert instruks (Art. 28 nr. 3 a)

Databehandleren forplikter seg til kun å behandle personopplysningene i samsvar med dokumentert instruks fra den behandlingsansvarlige, med mindre annet kreves i henhold til unionsrett eller norsk lov som databehandleren er underlagt.

Bruk av applikasjonens funksjoner og innstillinger anses som den behandlingsansvarliges løpende instruks for behandlingen.

4. Taushetsplikt og konfidensialitet (Art. 28 nr. 3 b)

Databehandleren skal sikre at alle personer som har autorisert tilgang til å behandle personopplysningene, har forpliktet seg til konfidensialitet eller er underlagt en passende lovfestet taushetsplikt.

5. Tekniske og organisatoriske sikkerhetstiltak (Art. 28 nr. 3 c og Art. 32)

Databehandleren iverksetter egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er tilpasset risikoen:

6. Bruk av underdatabehandlere (Art. 28 nr. 3 d)

Den behandlingsansvarlige gir herved en generell forhåndsgodkjenning til at databehandleren benytter følgende underleverandører:

• Google Ireland Limited (Google Cloud / Firebase): Skylagring, databaseinfrastruktur og hosting lokalisert innen EU (Frankfurt, Tyskland).

Databehandleren skal varsle den behandlingsansvarlige om eventuelle planlagte endringer i eller utskifting av underdatabehandlere med minst 30 dagers varsel, slik at den behandlingsansvarlige gis mulighet til å motsette seg slike endringer eller avslutte avtalen.

7. Bistand ved registrertes rettigheter (Art. 28 nr. 3 e)

Databehandleren skal, så langt det er teknisk mulig, bistå den behandlingsansvarlige med å oppfylle plikten til å svare på anmodninger fra registrerte leietakere om utøvelse av deres rettigheter etter GDPR kapittel III (innsyn, retting, sletting, dataportabilitet).

Applikasjonen tilbyr innebygde funksjoner for umiddelbar eksport av leietakeropplysninger i JSON-format og permanent sletting av enkeltleietakere eller hele leieforhold.

8. Varsling ved avvik og sikkerhetsbrudd (Art. 28 nr. 3 f)

Dersom databehandleren oppdager et brudd på personopplysningssikkerheten som berører opplysninger om den behandlingsansvarliges leietakere, skal databehandleren varsle den behandlingsansvarlige uten ugrunnet opphold og senest innen 48 timer etter å ha fått kjennskap til bruddet.

Varselet skal beskrive bruddets art, antatt omfang, sannsynlige konsekvenser og tiltak som er iverksatt eller foreslått for å håndtere bruddet.

9. Sletting eller tilbakelevering ved avtaleopphør (Art. 28 nr. 3 g)

Ved opphør av tjenesteavtalen forplikter databehandleren seg til, etter den behandlingsansvarliges valg, permanent å slette eller tilbakelevere alle personopplysninger.

Den behandlingsansvarlige kan selv eksportere en fullstendig kopi av alle data via «Eksporter alle data (GDPR)» og deretter initiere sletting via funksjonen «Slett konto og data».

10. Revisjon og etterlevelse (Art. 28 nr. 3 h)

Databehandleren skal stille til rådighet for den behandlingsansvarlige all informasjon som er nødvendig for å påvise at forpliktelsene i denne avtalen er oppfylt, og muliggjøre og bidra til revisjoner utført av den behandlingsansvarlige eller en uavhengig revisor bemyndiget av denne.