Databehandleravtale

1. Parter og roller

Virksomheten som abonnerer er behandlingsansvarlig. Internvarsling.no er databehandler og behandler personopplysninger utelukkende etter dokumenterte instrukser fra behandlingsansvarlig, slik de er gitt gjennom bruk av tjenesten og denne avtalen.

2. Formål og kategorier

• Formål: motta, behandle og dokumentere varsler om kritikkverdige forhold.
• Registrerte: varslere (også anonyme), omvarslede, vitner, saksbehandlere og varslingsmottakere.
• Kategorier: kontaktopplysninger, fritekst i varsel og dialog, vedlegg, saksnotater og beslutninger. Særlige kategorier kan forekomme fordi varsleren selv velger innhold.

3. Sikkerhetstiltak

• Kryptering i transitt (TLS) og ved lagring.
• Rollestyrt tilgang med tilgangskontroll på databasenivå per virksomhet og sak.
• Vedlegg lagres i privat lagring med tidsbegrensede, signerte nedlastingslenker.
• Uforanderlig revisjonslogg over hendelser i saksbehandlingen.
• Anonyme varsler lagres uten IP-adresse eller andre sporingsdata om varsleren.

4. Underleverandører

Databehandler benytter underleverandører for drift, database og lagring innenfor EØS. Behandlingsansvarlig varsles minst 30 dager før endringer i listen, og kan protestere skriftlig. Alle underleverandører er bundet av tilsvarende forpliktelser.

5. Overføring ut av EØS

Personopplysninger lagres og behandles innenfor EØS. Overføring til tredjeland skjer ikke uten skriftlig forhåndsgodkjenning og gyldig overføringsgrunnlag.

6. Bistand og avvik

Databehandler bistår behandlingsansvarlig med å svare på henvendelser fra registrerte, med personvernkonsekvensvurderinger og med sikkerheten i behandlingen. Brudd på personopplysningssikkerheten varsles uten ugrunnet opphold, og senest innen 24 timer etter at bruddet ble kjent.

7. Lagringstid og sletting

Saksdokumentasjon oppbevares så lenge det er nødvendig for formålet. Systemet støtter planlagt gjennomgang av lagringstid, bevaringspålegg og dokumentert sletting. Ved opphør av avtalen slettes eller tilbakeleveres alle personopplysninger innen 30 dager, med mindre lov krever fortsatt oppbevaring.

8. Revisjon

Behandlingsansvarlig kan én gang i året kreve dokumentasjon på etterlevelse, og gjennomføre revisjon etter rimelig varsel.