Databehandleravtale (DPA)

1. Parter og bakgrunn

Denne databehandleravtalen («Avtalen») er inngått mellom:

• Kunden / Virksomheten: Selskapet eller foretaket som har opprettet brukerkonto og benytter tjenesten («Behandlingsansvarlig»).
• Merkesvik Tjenester: Org.nr. 936 883 540, leverandør av Fremdriftsplan.no / Progressionplan.com, e-post: fremdriftsplan@outlook.com («Databehandler»).

Avtalen utgjør en integrert del av Brukervilkårene og regulerer all behandling av personopplysninger som Databehandleren utfører på vegne av den Behandlingsansvarlige.

2. Formål, art og varighet

Databehandleren leverer en skybasert programvaretjeneste for fremdriftsplanlegging, ressursstyring, timeføring og HMS/KS-rapportering. Behandlingen av personopplysninger pågår så lenge den Behandlingsansvarlige benytter tjenesten, frem til all prosjektdata er slettet iht. punkt 8.

3. Kategorier av registrerte og typer personopplysninger

Behandlingen omfatter opplysninger som legges inn i løsningen av den Behandlingsansvarlige og dennes inviterte brukere:

• Kategorier av registrerte: Ansatte, innleide arbeidere, prosjektledere, underentreprenører og kundens kontaktpersoner.
• Typer personopplysninger: Navn, e-postadresser, telefonnumre, bruker-ID, tildelte prosjektroller, timelister, signaturer/godkjenninger, SJA-skjemaer (Sikker Jobb Analyse), avvikslogger, prosjektnotater, bilder og vedlagte dokumenter.

4. Databehandlerens plikter

Databehandleren forplikter seg til å:

• Bare behandle personopplysninger i henhold til dokumenterte instrukser fra den Behandlingsansvarlige, med mindre annet kreves etter norsk lov eller EU-retten.
• Sikre at alle medarbeidere med tilgang til personopplysningene er underlagt lovfestet eller avtalt taushetsplikt.
• Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak iht. GDPR artikkel 32 for å beskytte opplysningene mot uautorisert tilgang, endring eller tap.
• Bistå den Behandlingsansvarlige med å besvare henvendelser fra registrerte som ønsker å utøve sine rettigheter (innsyn, retting, sletting osv.).
• Varsle den Behandlingsansvarlige uten ugrunnet opphold ved oppdagede brudd på personopplysningssikkerheten (GDPR artikkel 33).

5. Bruk av underdatabehandlere

Den Behandlingsansvarlige gir herved en generell godkjenning til at Databehandleren benytter følgende underleverandører:

• Google Cloud / Firebase (EU-region): Database (Firestore), skylagring (Cloud Storage) og autentisering.
• Stripe Inc.: Betalingsformidling og abonnementsfakturering.
• Plausible Analytics (EU): Anonymisert, informasjonskapselfri bruksstatistikk.

Databehandleren påser at alle underdatabehandlere er bundet av avtaler som stiller tilsvarende krav til personvern som denne Avtalen.

6. Den behandlingsansvarliges ansvar og bokføringsplikt

Den Behandlingsansvarlige bekrefter og innestår for at:

• Det foreligger et lovlig behandlingsgrunnlag (f.eks. arbeidsavtale, rettslig plikt eller berettiget interesse) for opplysningene som registreres i systemet.
• Bokføringsloven: Virksomheten er selv ansvarlig for å oppbevare egne regnskapsbilag (inkludert timelister, fakturagrunnlag og dokumentasjon) i 5 år. Virksomheten plikter å eksportere nødvendige data før sletting av konto eller prosjekt iverksettes.

7. Kunstig intelligens (KI)

KI-analysefunksjoner er for øyeblikket deaktivert. Ingen prosjektdata eller personopplysninger overføres til eksterne KI-modeller eller benyttes til maskinlæringstrening.

8. Avtaleopphør, slettekarantene og permanent sletting

Når den Behandlingsansvarlige sletter sin konto eller et prosjekt:

• Brukerprofilen og innloggingen slettes umiddelbart og permanent fra databasen og autentiseringssystemet.
• Prosjekter, timelister og tilhørende opplastede filer settes i en 14-dagers slettekarantene (arkivert tilstand). I denne perioden er dataene forseglet og utilgjengelige. Virksomheten kan innen 14 dager kontakte support for å avbryte slettingen eller gjenopprette prosjekter.
• Etter utløpet av 14 dager blir alle prosjektdata, delsamlinger, bilder og filer i skylagringen permanent og ugjenkallelig slettet.
• En minimal slettelogg (virksomhetens navn, organisasjonsnummer, Stripe-referanse og slettetidspunkt) oppbevares i 3 år til vern mot eventuelle tvister eller pengekrav (foreldelsesfristen), uten personnavn.

9. Revisjon og kontroll

Databehandleren skal på forespørsel gjøre tilgjengelig nødvendig dokumentasjon som godtgjør at pliktene etter GDPR artikkel 28 er oppfylt, og muliggjøre eventuelle revisjoner utført av den Behandlingsansvarlige eller en uavhengig tredjepart.

10. Lovvalg og verneting

Denne avtalen er underlagt norsk rett. Eventuelle tvister skal behandles ved Hordaland tingrett.