Denne databehandleravtalen ("Avtalen") regulerer behandling av personopplysninger som skjer på vegne av Aveli AS ("Behandlingsansvarlig") når leverandører og eventuelle underleverandører ("Databehandler") behandler personopplysninger om Avelis brukere i forbindelse med bruk av Tjenesten, jf. personvernforordningen (GDPR) artikkel 28. Avtalen gjelder så lenge Databehandleren behandler personopplysninger på vegne av Behandlingsansvarlig.
Aveli AS opptrer som behandlingsansvarlig for personopplysninger som samles inn gjennom Tjenesten. Leverandører som mottar bookingopplysninger for å besvare og gjennomføre en bookingforespørsel, kan i visse tilfeller opptre som selvstendig behandlingsansvarlig for egen kundebehandling, og i andre tilfeller som databehandler på vegne av Aveli — dette avklares konkret for hver leverandørrelasjon.
Behandlingen omfatter mottak, lagring og bruk av personopplysninger for å kunne vurdere, besvare og gjennomføre bookingforespørsler formidlet gjennom Aveli, herunder kommunikasjon med kunden om den bestilte tjenesten.
Behandlingen omfatter følgende kategorier av personopplysninger: navn, e-postadresse, telefonnummer, ønsket dato og informasjon om bestilt pakke/tjeneste. De registrerte er kunder (par som planlegger bryllup) som har sendt en bookingforespørsel via Tjenesten. Det behandles ikke særlige kategorier av personopplysninger (sensitive opplysninger) som del av denne Avtalen.
Databehandleren skal:
Databehandleren skal ikke engasjere andre databehandlere (underleverandører) uten forutgående skriftlig godkjenning fra Behandlingsansvarlig, og skal sikre at samme databeskyttelsesforpliktelser pålegges eventuelle underleverandører gjennom avtale.
Databehandleren skal iverksette tiltak som er egnet til å sikre et sikkerhetsnivå som er tilpasset risikoen, herunder tiltak for å sikre konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemene, samt evne til å gjenopprette tilgangen til personopplysninger ved en fysisk eller teknisk hendelse.
Databehandleren skal, så langt det er mulig, bistå Behandlingsansvarlig med egnede tekniske og organisatoriske tiltak, slik at Behandlingsansvarlig kan oppfylle sin plikt til å besvare forespørsler om utøvelse av registrertes rettigheter (innsyn, retting, sletting, dataportabilitet m.m.).
Ved opphør av tjenesteleveransen skal Databehandleren, etter Behandlingsansvarliges valg, slette eller returnere alle personopplysninger til Behandlingsansvarlig, og slette eksisterende kopier med mindre lagring er pålagt etter lov.
Databehandleren skal gjøre tilgjengelig for Behandlingsansvarlig all informasjon som er nødvendig for å dokumentere overholdelse av forpliktelsene i denne Avtalen, og skal tillate og bidra til revisjoner, herunder inspeksjoner, gjennomført av Behandlingsansvarlig eller en revisor Behandlingsansvarlig har utpekt.
Hver part er ansvarlig for eget brudd på denne Avtalen og gjeldende personvernregelverk i den utstrekning som følger av GDPR og annen relevant lovgivning.
Denne Avtalen løper så lenge den underliggende avtalen om levering av tjenester mellom partene består, og opphører automatisk ved opphør av denne, med mindre partene skriftlig avtaler noe annet.