Databehandleravtale

Denne avtalen gjelder mellom foreningen som bruker Klubba (behandlingsansvarlig) og Idekompaniet AS, org.nr. 981 289 900 (databehandler). Den inngås når foreningen godtar den i arrangørportalen, og gjelder så lenge Idekompaniet AS behandler personopplysninger på vegne av foreningen.

Avtalen oppfyller kravene i personvernforordningen artikkel 28. Der denne avtalen og vilkårene for Klubba sier noe ulikt om behandling av personopplysninger, gjelder denne avtalen.

1. Hva vi behandler, og hvorfor

Idekompaniet AS behandler personopplysninger på foreningens vegne for å levere nettauksjonene foreningen arrangerer: ta imot bud, holde orden på budhistorikken, finne vinnere, sende varsler og gi foreningen det den trenger for oppfølging og utlevering.

Hvem opplysningene gjelder	Budgivere og vinnere i foreningens auksjoner, følgere som har samtykket til varsling, givere og kontaktpersoner hos dem, og foreningens egne administratorer
Hvilke opplysninger	Navn, e-postadresse, telefonnummer, alias per auksjon, bud med beløp og tidspunkt, vinner- og utleveringsstatus, samt navn, kontaktperson og logo for givere og sponsorer. Administrative handlinger kan registreres i revisjonsloggen.
Hva vi gjør med dem	Samler inn, lagrer og viser opplysninger for foreningen, registrerer bud, finner vinnere, sender varsler, dokumenterer auksjonsforløpet og sletter opplysningene etter reglene i punkt 7

Brukerkontoen er ikke en del av denne avtalen. Kontoen følger brukeren på tvers av klubber og foreninger, og for denne behandlingen er Idekompaniet AS selvstendig behandlingsansvarlig. Det samme gjelder innlogging, bekreftelse av telefonnummer, plattformsikkerhet, forebygging av misbruk og vår fakturering av foreningen. Dette er beskrevet i personvernerklæringen for Klubba.

Klubba håndterer foreløpig ikke betaling eller betalingsopplysninger mellom budgiver og foreningen. Oppgjør for vunne objekter skjer utenfor Klubba og er foreningens ansvar.

2. Foreningens instrukser og ansvar

Foreningen bestemmer formålet med behandlingen av opplysningene i sine auksjoner og er ansvarlig for at behandlingen har et gyldig behandlingsgrunnlag, at de registrerte får nødvendig informasjon og at personvernreglene ellers følges.

Vi behandler personopplysningene bare etter dokumenterte instrukser fra foreningen. Instruksene følger av denne avtalen, vilkårene for Klubba og valgene foreningen gjør i arrangørportalen.

Dette gjelder også ved eventuell overføring av personopplysninger utenfor EØS.

Dersom lov pålegger oss å behandle opplysningene på en annen måte, informerer vi foreningen før behandlingen skjer, med mindre loven forbyr oss å gjøre det.

Mener vi at en instruks fra foreningen strider mot personvernreglene, sier vi fra uten ugrunnet opphold.

Vi bruker ikke opplysningene vi behandler på vegne av foreningen til egne formål, selger dem ikke og gjør dem ikke tilgjengelige for andre klubber eller foreninger. En budgiver som deltar i flere klubbers auksjoner, er ikke synlig for de andre klubbene.

3. Taushetsplikt og tilgang

Alle hos oss som har tilgang til personopplysninger, er underlagt taushetsplikt.

Tilgangen er begrenset til personer som trenger den for å utvikle, drifte, supportere eller feilsøke tjenesten.

Administrative endringer og relevante handlinger i en forenings data logges slik at hendelser kan spores i ettertid.

4. Sikkerhet

Vi gjennomfører tekniske og organisatoriske sikkerhetstiltak som passer til risikoen ved behandlingen, i samsvar med personvernforordningen artikkel 32.

Tiltakene omfatter blant annet:

• Kryptering av trafikk til og fra tjenesten, og lagring hos leverandører som tilbyr kryptering av data i ro.
• Tilgangskontroll i databasen, slik at hver forening bare får tilgang til sine egne auksjonsdata.
• Revisjonslogging av relevante administrative handlinger, med beskyttelse mot uautorisert endring og sletting.
• Sikkerhetskopiering av databasen og rutiner for gjenoppretting.
• Innlogging med engangskode eller Vipps, uten tradisjonelle passord.
• Begrensning av administrativ tilgang til personer som trenger den for å utføre arbeidet sitt.

Sikkerhetstiltakene kan endres når teknologien eller risikobildet endrer seg, så lenge det samlede sikkerhetsnivået ikke blir dårligere.

5. Underleverandører

Foreningen gir Idekompaniet AS generell skriftlig godkjenning til å bruke underdatabehandlere for å levere Klubba.

Ved inngåelsen av denne avtalen er følgende underdatabehandlere godkjent:

Leverandør	Hva de gjør	Behandlingssted
Supabase	Database og lagring av bilder	Primære prosjektdata lagres i Stockholm, Sverige (EØS). Supabase kan bruke egne underdatabehandlere i samsvar med sin databehandleravtale.
Vercel	Drift og levering av nettjenesten	Behandling kan skje i USA og andre land i samsvar med Vercels databehandleravtale. Overføringer utenfor EØS skal skje på gyldig overføringsgrunnlag, blant annet EUs standard personvernbestemmelser der det er relevant.
Brevo	Utsending av e-post og auksjonsvarsler	Primær datalagring i Frankrike og Tyskland (EØS). Brevo kan bruke egne underdatabehandlere i samsvar med sin databehandleravtale.

Vi inngår avtaler med underdatabehandlerne som pålegger dem tilsvarende personvernforpliktelser som gjelder for oss etter denne avtalen, så langt det er relevant for tjenesten de leverer.

Idekompaniet AS er fortsatt ansvarlig overfor foreningen for behandlingen underdatabehandlerne utfører på våre vegne.

Hvis vi vil legge til eller bytte en underdatabehandler, varsler vi foreningen minst 30 dager før endringen trer i kraft. Foreningen kan protestere dersom den har saklige personverngrunnlag for det. Dersom vi ikke finner en løsning, kan foreningen si opp Klubba uten ekstra kostnad.

Twilio er ikke underdatabehandler etter denne avtalen. Twilio brukes bare til bekreftelse av telefonnummer som en del av Klubba-kontoen, der Idekompaniet AS er selvstendig behandlingsansvarlig.

Det samme gjelder Vipps når Vipps brukes til innlogging. Vipps er selvstendig behandlingsansvarlig for behandlingen som skjer hos Vipps.

6. Når noe går galt

Oppdager vi et brudd på personopplysningssikkerheten som berører opplysninger vi behandler på vegne av foreningen, varsler vi foreningen uten ugrunnet opphold.

Vi gir den informasjonen vi har tilgjengelig om:

• hva som har skjedd
• hvilke typer opplysninger og registrerte som kan være berørt
• sannsynlige konsekvenser
• hvilke tiltak som er gjennomført eller planlagt

Dersom all informasjon ikke er tilgjengelig med en gang, gir vi den fortløpende etter hvert som den blir kjent.

Foreningen er ansvarlig for å vurdere om bruddet skal meldes til Datatilsynet eller de registrerte. Vi bistår med den informasjonen vi har tilgjengelig.

Vi bistår også foreningen, så langt det er relevant og mulig ut fra behandlingen og informasjonen vi har, med å oppfylle pliktene etter personvernforordningen artikkel 32–36. Dette omfatter blant annet sikkerhet, håndtering av avvik, vurdering av personvernkonsekvenser og eventuell kontakt med Datatilsynet.

7. Sletting og tilbakelevering

Når avtalen med Klubba avsluttes, velger foreningen om personopplysningene vi behandler på foreningens vegne skal slettes eller tilbakeleveres.

Hvis foreningen ønsker en kopi, må dette gjøres før den ordinære slettefristen. Når opplysningene er tilbakelevert, sletter vi våre aktive kopier.

Hvis foreningen ikke ber om tilbakelevering, slettes opplysningene etter disse fristene:

Opplysning	Hva skjer
Objektbeskrivelser, bilder, sponsorregister og utkast	Slettes senest 60 dager etter at foreningen avslutter abonnementet
Budhistorikk, vinneropplysninger, utleveringsstatus og auksjonsrelatert revisjonslogg	Oppbevares normalt i inntil 3 år etter at auksjonen er avsluttet for å kunne dokumentere auksjonsforløpet og håndtere eventuelle spørsmål eller tvister. Ved avslutning av abonnementet kan foreningen be om tidligere sletting.
Følgere og varslingssamtykker	Opplysningene brukes frem til samtykket trekkes tilbake eller kundeforholdet avsluttes. Når en person melder seg av, brukes opplysningene ikke lenger til varsling. Dokumentasjon på samtykke og avmelding kan beholdes i inntil 2 år.

Opplysninger kan beholdes lenger dersom lov krever det eller dersom de er nødvendige for å fastsette, gjøre gjeldende eller forsvare et konkret rettskrav.

Kopier som finnes i sikkerhetskopier, slettes gjennom den ordinære rotasjonen av sikkerhetskopiene. Slike kopier brukes ikke til andre formål og gjeninnføres ikke i aktiv behandling med mindre det er nødvendig for å gjenopprette systemet etter en hendelse.

Når slettingen er gjennomført, kan foreningen be om bekreftelse på dette.

8. De registrertes rettigheter

Ber en registrert foreningen om å få bruke sine rettigheter etter personvernforordningen, hjelper vi foreningen så langt det er nødvendig og mulig ut fra behandlingen.

Dette kan blant annet gjelde innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse der disse rettighetene gjelder.

Kommer en slik henvendelse direkte til oss om opplysninger vi behandler på vegne av foreningen, sender vi den videre til foreningen uten ugrunnet opphold og behandler ikke henvendelsen på egen hånd med mindre foreningen ber oss om det.

Henvendelser som gjelder Klubba-kontoen eller annen behandling der Idekompaniet AS selv er behandlingsansvarlig, håndterer vi selv.

9. Dokumentasjon og revisjon

Foreningen kan be om den informasjonen og dokumentasjonen som er nødvendig for å kontrollere at denne avtalen og kravene i personvernforordningen artikkel 28 følges.

Vi svarer normalt skriftlig og kan bruke dokumentasjon fra våre leverandører der dette er relevant.

Foreningen, eller en uavhengig revisor foreningen har gitt fullmakt, kan gjennomføre en rimelig kontroll dersom dokumentasjonen ikke er tilstrekkelig.

En slik kontroll avtales på forhånd og gjennomføres på en måte som i minst mulig grad forstyrrer driften eller gir tilgang til andre kunders opplysninger, sikkerhetsløsninger eller forretningshemmeligheter.

Vi bistår ved slike kontroller i rimelig omfang.

10. Varighet og endringer

Avtalen gjelder så lenge Idekompaniet AS behandler personopplysninger på vegne av foreningen, og frem til opplysningene er slettet eller tilbakelevert etter punkt 7.

Gjør vi vesentlige endringer i avtalen, får foreningen informasjon om dette og den nye versjonen til godkjenning i arrangørportalen. Den eksisterende avtalen gjelder frem til den nye versjonen er godtatt.

Endringer i listen over underdatabehandlere håndteres etter reglene i punkt 5 og krever ikke en ny godkjenning av hele databehandleravtalen.

Kontakt

Idekompaniet AS, Grønnlia 2, 1739 Borgenhaugen. Org.nr. 981 289 900. hei@klubba.no