Databehandleravtale

1. Parter og rollefordeling

Bedriften som bruker Smartrew er behandlingsansvarlig. Smartrew er databehandler og behandler personopplysninger utelukkende etter bedriftens instruks, slik den er uttrykt gjennom bruken av tjenesten og vilkårene.

2. Formål og kategorier

Formålet er å sende invitasjoner om tilbakemelding til bedriftens kunder og samle inn resultatet. Kategorier av data: navn, mobilnummer, e-postadresse, stjernevurdering og fritekst. Kategorier av personer: bedriftens sluttkunder og bedriftens egne brukere.

3. Sikkerhetstiltak

• Kryptering i transitt (TLS) og lagring i kryptert database.
• Radbasert tilgangskontroll som isolerer hver bedrifts data fullstendig.
• Tilgangsstyring etter minste privilegium og logging.
• Automatiske sikkerhetskopier med gjenoppretting.

4. Underdatabehandlere

Smartrew benytter underdatabehandlere for databasedrift, hosting og SMS-utsending. Alle er bundet av tilsvarende forpliktelser. Bedriften varsles minst 30 dager før nye underdatabehandlere tas i bruk, og kan protestere skriftlig.

5. Avvik

Ved brudd på personopplysningssikkerheten varsler Smartrew bedriften uten ugrunnet opphold, og senest innen 48 timer etter at bruddet ble oppdaget, med beskrivelse av omfang, konsekvens og tiltak.

6. Bistand og revisjon

Smartrew bistår bedriften med å svare på henvendelser om innsyn, retting og sletting, og gir på forespørsel dokumentasjon på sikkerhetstiltak.

7. Sletting ved avslutning

Ved opphør slettes eller tilbakeleveres alle personopplysninger innen 90 dager, med unntak av data som må beholdes etter lov. Se personvernerklæringen for lagringstider.