Databehandleren behandler Personopplysninger utelukkende for å levere de avtalte tjenestene til Behandlingsansvarlig. Med hensyn til disse Personopplysningene er Behandlingsansvarlig behandlingsansvarlig og Nashua er databehandler. Hver part overholder sine egne forpliktelser etter gjeldende personvernrett. Detaljene om behandlingen, kategoriene av registrerte og typene Personopplysninger er angitt i Vedlegg A.

Databehandleren behandler kun Personopplysninger etter dokumenterte instrukser fra Behandlingsansvarlig, herunder avtalen og denne DPA, og i den grad det er nødvendig for å levere tjenestene, med mindre behandling er påkrevd etter unionsretten eller en medlemsstats rett, i så fall informerer Databehandleren Behandlingsansvarlig først, med mindre nevnte rett forbyr det. Databehandleren informerer Behandlingsansvarlig dersom en instruks etter Databehandlerens oppfatning er i strid med personvernretten.

Databehandleren sørger for at personer som er autorisert til å behandle Personopplysningene, er underlagt en passende taushetsplikt og kun behandler opplysningene i samsvar med instruks. Tilgang er begrenset til personell som trenger den for å levere tjenestene.

Databehandleren gjennomfører passende tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er tilpasset risikoen, slik det kreves etter artikkel 32 i GDPR. Disse tiltakene er beskrevet i Vedlegg B og gjenspeiler et informasjonssikkerhetsprogram tilpasset ISO/IEC 27001 og SOC 2 Trust Services Criteria, og tar hensyn til Databehandlerens forpliktelser etter DORA og NIS2 slik de er gjennomført i nederlandsk rett. Databehandleren kan oppdatere tiltakene forutsatt at beskyttelsesnivået ikke reduseres.

Behandlingsansvarlig gir Databehandleren en generell autorisasjon til å engasjere underdatabehandlere for å levere tjenestene, herunder leverandørene av hosting og infrastruktur oppført i Vedlegg C. Databehandleren pålegger hver underdatabehandler, ved kontrakt, personvernforpliktelser som tilsvarer dem i denne DPA, og forblir fullt ut ansvarlig overfor Behandlingsansvarlig for hver underdatabehandlers oppfyllelse. Databehandleren informerer Behandlingsansvarlig om tiltenkte endringer i underdatabehandlere, og gir Behandlingsansvarlig en rimelig anledning til å komme med innsigelser på rimelig personvernrettslig grunnlag.

Databehandleren overfører ikke Personopplysninger ut av Det europeiske økonomiske samarbeidsområdet uten en beslutning om tilstrekkelig beskyttelsesnivå eller egnede garantier etter kapittel V i GDPR, særlig Europakommisjonens standard personvernbestemmelser sammen med eventuelle nødvendige supplerende tiltak. Som standard hostes Personopplysningene innenfor Nederland og EØS.

Idet det tas hensyn til behandlingens art, bistår Databehandleren Behandlingsansvarlig ved passende tekniske og organisatoriske tiltak, i den grad det er mulig, med å oppfylle Behandlingsansvarligs forpliktelser til å besvare henvendelser fra registrerte som utøver sine rettigheter, og bistår Behandlingsansvarlig med å sikre overholdelse av sine forpliktelser etter artikkel 32 til 36 i GDPR, herunder sikkerhet, melding om brudd, vurderinger av personvernkonsekvenser og forhåndsdrøfting, idet det tas hensyn til den informasjonen som er tilgjengelig for Databehandleren.

Databehandleren varsler Behandlingsansvarlig uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører Behandlingsansvarligs Personopplysninger, og gir den informasjonen Behandlingsansvarlig med rimelighet trenger for å oppfylle sine egne meldeplikter overfor tilsynsmyndigheter og registrerte. Databehandleren dokumenterer brudd og de utbedrende tiltak som er iverksatt.

Ved opphør av tjenestene, og etter Behandlingsansvarligs valg, sletter eller tilbakeleverer Databehandleren alle Personopplysninger og sletter eksisterende kopier, med mindre unionsretten eller en medlemsstats rett krever lagring. På forespørsel bekrefter Databehandleren skriftlig at dette er gjort.

Databehandleren gjør tilgjengelig for Behandlingsansvarlig den informasjonen som er nødvendig for å påvise overholdelse av artikkel 28 i GDPR, og legger til rette for og bidrar til revisjoner, herunder inspeksjoner, utført av Behandlingsansvarlig eller en revisor som Behandlingsansvarlig gir fullmakt. Databehandleren kan imøtekomme revisjonsforespørsler ved å fremlegge gjeldende sertifiseringer og attesteringer, slik som et ISO/IEC 27001-sertifikat eller en SOC 2-rapport, og revisjoner gjennomføres med rimelig varsel, i arbeidstiden, underlagt konfidensialitet og uten urimelig forstyrrelse av Databehandlerens virksomhet.

Hver parts ansvar etter denne DPA er underlagt de ansvarsbegrensninger som er avtalt i hovedavtalen, i den grad ufravikelig lovgivning tillater det. Ingenting i denne DPA begrenser en registrerts rettigheter etter GDPR eller noen av partenes ansvar overfor en tilsynsmyndighet.

Denne DPA trer i kraft sammen med avtalen og forblir i kraft så lenge Databehandleren behandler Personopplysninger på vegne av Behandlingsansvarlig. Den reguleres av nederlandsk rett, og tvister er underlagt den jurisdiksjon som er avtalt i hovedavtalen. Ved motstrid mellom denne DPA og hovedavtalen i personvernrettslige spørsmål, går denne DPA foran.

Formål og varighet: levering av de avtalte tjenestene i avtalens løpetid. Art og formål: hosting, lagring, behandling, analyse, støtte og drift av Nashua 360 Enterprise Platform og tilknyttede tjenester, etter instruks fra Behandlingsansvarlig. Kategorier av registrerte: som bestemt av Behandlingsansvarlig, som kan omfatte Behandlingsansvarligs ansatte, kunder, leverandører og kontakter. Typer Personopplysninger: som bestemt av Behandlingsansvarlig gjennom sin bruk av tjenestene, som kan omfatte identitets-, kontakt-, kontrakts-, finans-, ansettelses- og transaksjonsopplysninger. Behandlingsansvarlig instruerer ikke behandling av særlige kategorier av Personopplysninger med mindre det uttrykkelig er avtalt og dekket av passende tilleggstiltak.

Databehandleren opprettholder tiltak som er tilpasset risikoen, herunder: et styringssystem for informasjonssikkerhet tilpasset ISO/IEC 27001 og SOC 2 Trust Services Criteria; rollebasert tilgangsstyring og minste privilegium med flerfaktorautentisering; kryptering av Personopplysninger under overføring og i hvile; nettverkssegmentering og perimeterkontroller; sentralisert logging, overvåking og varsling; sikker programvareutvikling, kodegjennomgang og endringshåndtering; sårbarhetshåndtering og penetrasjonstesting; sikkerhetskopiering og testet katastrofegjenoppretting tilpasset avtalte gjenopprettingsmål; risikohåndtering for leverandører og underdatabehandlere; forretningskontinuitet og operasjonell motstandsdyktighet i tråd med DORA; screening av personell, taushetsplikt og opplæring i sikkerhetsbevissthet; og en dokumentert prosess for hendelseshåndtering og melding om brudd. De gjeldende, detaljerte tiltakene er tilgjengelige for Behandlingsansvarlig på forespørsel.

Databehandleren engasjerer et begrenset utvalg underdatabehandlere for å levere tjenestene, hovedsakelig for hosting og infrastruktur innenfor Nederland og EØS, og for kommunikasjons- og støtteverktøy. En gjeldende liste over underdatabehandlere, med deres rolle og lokasjon, er tilgjengelig for Behandlingsansvarlig på forespørsel, og Databehandleren varsler Behandlingsansvarlig om tiltenkte tilføyelser eller utskiftninger i samsvar med punkt 5.