Databehandleravtale

2. Bakgrunn og formål

Denne databehandleravtalen regulerer FjordNS AS sin behandling av personopplysninger på vegne av Kunden i forbindelse med levering av DNS-administrasjonstjenester.

Formålet med behandlingen er:

• Administrasjon og hosting av kundens DNS-soner og -poster
• Loggføring av endringer i DNS-data (uforanderlig revisjonslogg)
• Tilgangskontroll og autentisering av brukere
• Overvåking av tjenestens ytelse og tilgjengelighet

3. Kategorier av personopplysninger

Følgende kategorier av personopplysninger behandles som del av tjenesten:

Sensitive personopplysninger: Tjenesten er ikke designet for å behandle særlige kategorier av personopplysninger (helseopplysninger, politisk tilhørighet, etc.).

4. Registrerte personer

Behandlingen omfatter personopplysninger om:

• Kundens ansatte og brukere av plattformen
• Tredjeparter som kan figurere i DNS-data (f.eks. IP-adresser, e-postadresser i MX/TXT-poster)

5. Behandlingssted og infrastruktur

All behandling skjer i Norge:

6. Varighet og oppbevaring

• Kontoinformasjon oppbevares så lenge kontoen er aktiv, pluss 30 dager etter sletting.
• DNS-data slettes ved sletting av sone eller konto.
• Tilgangslogger oppbevares i 12 måneder.
• Revisjonslogg oppbevares i kontraktperioden.
• Ved opphør av avtalen slettes alle kundens data innen 90 dager, med mindre annet er avtalt.
• Kunden kan be om eksport av sine data før sletting.

7. Underdatabehandlere

FjordNS AS benytter ingen underdatabehandlere. All databehandling utføres av FjordNS AS med egen infrastruktur og eget personale.

Dersom det blir nødvendig å benytte underdatabehandlere, skal Kunden varsles skriftlig minimum 30 dager i forkant. Kunden har rett til å motsette seg endringen innen varselsfristen.

8. Sikkerhetstiltak

FjordNS AS har implementert følgende tekniske og organisatoriske tiltak for å beskytte personopplysninger:

Tekniske tiltak

• Kryptering i transit: TLS 1.3 for all dataoverføring
• Kryptert lagring: Data lagres kryptert på disk
• Nettverksisolering: Kundedata er logisk isolert — ingen krysskundetilgang
• Tilgangskontroll: Rollebasert tilgangsstyring, MFA for alle administratorer
• Uforanderlig revisjonslogg: Alle administratorhandlinger logges og kan ikke endres eller slettes

Organisatoriske tiltak

• Begrenset antall personell med tilgang til kundedata
• Taushetserklæring for alle ansatte
• Årlig gjennomgang av sikkerhetstiltak
• Hendelseshåndteringsprosedyrer

9. Varsling ved sikkerhetsbrudd

Ved brudd på sikkerheten som medfører risiko for registrertes rettigheter og friheter:

1. FjordNS AS varsler Kunden uten ugrunnet opphold, og senest innen 72 timer etter at bruddet ble oppdaget (jf. GDPR artikkel 33).
2. Varselet skal inneholde:
   • Beskrivelse av bruddet
   • Kategorier og omtrentlig antall berørte registrerte
   • Sannsynlige konsekvenser
   • Tiltak som er iverksatt eller foreslått
3. FjordNS AS bistår Kunden med å oppfylle sine plikter etter GDPR artikkel 33 og 34.

10. Registrertes rettigheter

FjordNS AS bistår Kunden med å oppfylle sine plikter overfor registrerte, herunder:

• Innsyn (art. 15) — eksport av data knyttet til en registrert
• Retting (art. 16) — korrigering av uriktige opplysninger
• Sletting (art. 17) — sletting av data knyttet til en registrert
• Begrensning (art. 18) — begrensning av behandling
• Dataportabilitet (art. 20) — eksport i maskinlesbart format

Forespørsler fra registrerte som mottas av FjordNS AS videresendes til Kunden uten ugrunnet opphold.

11. Bistandsplikt

FjordNS AS bistår Kunden med:

• Gjennomføring av vurdering av personvernkonsekvenser (DPIA) der det er relevant
• Forhåndsdrøftelse med Datatilsynet der det er påkrevd
• Oppfyllelse av kundens plikter etter GDPR artikkel 32–36

12. Revisjon og kontroll

• Kunden har rett til å gjennomføre revisjon av databehandlers behandling av personopplysninger, enten selv eller ved bruk av uavhengig tredjepart.
• Revisjon skal varsles minimum 30 dager i forkant.
• FjordNS AS skal stille nødvendig dokumentasjon og informasjon til rådighet for å påvise overholdelse av forpliktelsene i denne avtalen.
• Kostnadene ved revisjon bæres av Kunden, med mindre revisjonen avdekker vesentlige avvik.

13. Instruks

FjordNS AS behandler personopplysninger kun etter dokumentert instruks fra Kunden. Brukervilkårene og denne databehandleravtalen utgjør den dokumenterte instruksen.

Dersom FjordNS AS mener at en instruks er i strid med GDPR eller annen personvernlovgivning, skal Kunden varsles umiddelbart.

14. Ved opphør av avtalen

Ved opphør av avtalen skal FjordNS AS:

1. Slutte å behandle personopplysninger på vegne av Kunden
2. Tilby eksport av alle kundens data i maskinlesbart format (standard sonefilformat)
3. Slette alle personopplysninger innen 90 dager etter opphør, med mindre lovpålagt oppbevaring krever annet
4. Bekrefte skriftlig at sletting er gjennomført

15. Lovvalg og verneting

Denne avtalen er underlagt norsk lov. Tvister som ikke løses i minnelighet, avgjøres ved Telemark tingrett.

16. Ikrafttredelse

Denne databehandleravtalen trer i kraft ved opprettelse av konto på FjordNS-plattformen og aksept av brukervilkårene.