Tillit

Underdatabehandlere

Når vi leverer tjenestene våre, bruker vi underdatabehandlere som behandler personopplysninger på våre vegne. Nedenfor finner du en oversikt over alle underdatabehandlerne vi bruker for øyeblikket, inkludert deres plassering og formålet de brukes til. Denne listen fungerer som vedlegg B til begge databehandleravtale (underdatabehandlere av my.host) og underdatabehandleravtale (under-underdatabehandlere av my.host når my.host fungerer som underdatabehandler).

Sist oppdatert: oktober 2026

Voxility • Infrastruktur

Dedikerte servere

EU

Worldstream • Infrastruktur

Dedikerte servere

Nederland

Datapacket • Infrastruktur

Dedikerte servere

EU

Leaseweb • Infrastruktur for sikkerhetskopiering

Dedikerte servere (sikkerhetskopier)

Nederland

SIDN • Domeneregistrering (.nl)

Register

Nederland

DNS Belgium • Domeneregistrering (.be)

Register

Belgia

Punktum dk • Domeneregistrering (.dk)

Register

Danmark

Norid • Domeneregistrering (.no)

Register

Norge

Internetstiftelsen • Domeneregistrering (.se/.nu)

Register

Sverige

Datasur • Domeneregistrering (.sr)

Register

Surinam

OpenProvider • Domeneregistrering

Registrar

EU

Pax8 • Microsoft 365-distribusjon

Distributør

EU / USA

Anthropic • AI-støttet ticketbehandling

Supportspørsmål via Claude. Overføring til USA på grunnlag av SCC-er.

USA

Google • AI-støttet ticketbehandling

Support questions via Gemini. Transfer to the US on the basis of SCCs.

USA

Databehandleravtale

Versjon: april 2026

Denne databehandleravtalen, inkludert vedleggene, inngås mellom my.host (heretter: «databehandleren») og Kunden (heretter: «den behandlingsansvarlige») og fastsetter avtalene mellom Partene om behandlingen av personopplysninger som databehandleren utfører på vegne av den behandlingsansvarlige i forbindelse med tjenestene my.host leverer til Kunden i henhold til hovedavtalen. Denne databehandleravtalen gjelder utelukkende behandlingen av personopplysninger som databehandleren utfører på vegne av den behandlingsansvarlige, og omfatter ikke aktiviteter som ikke innebærer behandling av personopplysninger. I den grad my.host behandler personopplysninger som selvstendig behandlingsansvarlig, faller den behandlingen utenfor virkeområdet til denne databehandleravtalen.

Parter

Denne databehandleravtalen gjelder mellom my.host (Pietersbergweg 291, 1105 BM Amsterdam, handelsregisteret (KvK): 89592514), heretter «databehandleren», og kunden som kjøper tjenester fra my.host, heretter «den behandlingsansvarlige». Felles betegnet som «Partene» og enkeltvis som en «Part».

1. Generelt

1. Partene er enige om at denne databehandleravtalen erstatter alle tidligere avtalte databehandleravtaler og/eller personvern- eller databeskyttelsesbestemmelser mellom Partene som gjelder de samme tjenestene og det samme behandlingsforholdet (nemlig: Kunden som behandlingsansvarlig og my.host som databehandler), med mindre Partene uttrykkelig har avtalt noe annet skriftlig. Denne databehandleravtalen berører ikke en eventuell underdatabehandleravtale inngått mellom Partene; begge avtalene gjelder side om side og gjelder hvert sitt behandlingsforhold.
2. Denne databehandleravtalen gjelder bare dersom og i den utstrekning behandlingen av personopplysninger er underlagt GDPR. Begreper fra GDPR som brukes i denne databehandleravtalen, herunder «personopplysninger», «behandling», «behandlingsansvarlig» og «databehandler», har den betydningen som er tillagt dem i GDPR.
3. Denne databehandleravtalen anses å utgjøre en integrert del av hovedavtalen mellom Partene.

2. Vedlegg

Følgende vedlegg utgjør en integrert del av denne databehandleravtalen:

• Vedlegg A: Nærmere opplysninger om databehandlingen
• Vedlegg B: Underdatabehandlere
• Vedlegg C: Sikkerhetstiltak (tekniske og organisatoriske tiltak)

3. Formålet med behandlingen

1. Databehandleren forplikter seg til, i samsvar med vilkårene i denne databehandleravtalen, å utføre behandlingen av personopplysninger på vegne av den behandlingsansvarlige.
2. Databehandleren behandler personopplysninger utelukkende i forbindelse med oppfyllelsen av hovedavtalen, strengt i samsvar med den behandlingsansvarliges dokumenterte instrukser, og gjelder én eller flere av tjenestene som nærmere beskrevet i vedlegg A. Databehandleren skal ikke bruke personopplysningene til noe annet formål eller på noen annen måte enn til det formålet som er fastsatt av den behandlingsansvarlige.
3. Den behandlingsansvarlige samtykker i at denne databehandleravtalen, hovedavtalen og eventuelle ytterligere (skriftlig avtalte) arbeidsordninger, samt de konfigurasjonene og innstillingene som den behandlingsansvarlige eller dennes autoriserte brukere velger for tjenestene (i samsvar med dokumentasjonen), til sammen utgjør den behandlingsansvarliges fullstendige instrukser til databehandleren om behandlingen av personopplysninger.
4. Tilleggsinstrukser eller avvikende instrukser gjelder bare dersom Partene har avtalt dem skriftlig, hvorved databehandleren har rett til å belaste eventuelle (rimelige) kostnader forbundet med gjennomføringen av slike instrukser.

4. Forpliktelser

1. Den behandlingsansvarlige erklærer og garanterer at vedkommende til enhver tid vil overholde gjeldende databeskyttelseslovgivning (herunder GDPR) med hensyn til (i) personopplysningene som stilles til rådighet for databehandleren eller behandles via tjenestene, og (ii) de (behandlings)instruksene som gis til databehandleren. Den behandlingsansvarlige garanterer at behandlingen av personopplysninger via tjenestene er lovlig, slik at databehandleren kan behandle personopplysningene på grunnlag av hovedavtalen og denne databehandleravtalen og i samsvar med gjeldende databeskyttelseslovgivning.
2. Den behandlingsansvarlige garanterer at vedkommende har alle nødvendige rettigheter, samtykker, behandlingsgrunnlag og fullmakter til å (a) stille personopplysninger til rådighet for databehandleren og (b) bemyndige databehandleren til å behandle personopplysningene som fastsatt i hovedavtalen, denne databehandleravtalen og den behandlingsansvarliges dokumenterte instrukser. Den behandlingsansvarlige er ansvarlig for opprinnelsen, nøyaktigheten, kvaliteten og lovligheten av personopplysningene og måten de er innhentet på.
3. I den grad tredjeparter retter krav mot databehandleren som gjelder personopplysninger eller behandling som den behandlingsansvarlige er ansvarlig for, skal den behandlingsansvarlige på første anmodning holde databehandleren skadesløs for slike krav, skader, bøter og kostnader, i den utstrekning det er tillatt etter ufravikelig rett og i den utstrekning det ikke er forårsaket av forsett eller grov uaktsomhet fra databehandlerens side.
4. Databehandleren er ikke ansvarlig for å vurdere om den behandlingsansvarliges instrukser er i samsvar med gjeldende lover og forskrifter. Dersom databehandleren anser at en instruks fra den behandlingsansvarlige er i strid med gjeldende databeskyttelseslovgivning, skal databehandleren umiddelbart underrette den behandlingsansvarlige om dette og er ikke forpliktet til å etterkomme en slik ulovlig instruks. Databehandleren skal utsette gjennomføringen av den aktuelle instruksen inntil den behandlingsansvarlige har trukket tilbake eller endret instruksen, eller skriftlig har bekreftet at instruksen er lovlig, alt i den utstrekning dette med rimelighet er mulig uten uforholdsmessig forstyrrelse av tjenestekontinuiteten.
5. Nærmere opplysninger om behandlingen, herunder kategoriene av personopplysninger som lastes opp eller på annen måte gjøres tilgjengelige av den behandlingsansvarlige i tjenestene og behandles av databehandleren på vegne av den behandlingsansvarlige, er angitt i vedlegg A (Nærmere opplysninger om databehandlingen).
6. Den behandlingsansvarlige skal underrette databehandleren skriftlig og med rimelig forhåndsvarsel dersom vedkommende har til hensikt å gjøre endringer i den ovennevnte behandlingen, herunder (men ikke begrenset til) endringer i art, formål, kategorier av personopplysninger eller kategorier av registrerte. Dersom det er nødvendig, skal Partene endre vedlegg A tilsvarende.
7. Den behandlingsansvarlige garanterer at vedkommende fører en fullstendig og oppdatert protokoll over behandlingsaktiviteter i samsvar med artikkel 30 i GDPR.
8. Den behandlingsansvarlige er forpliktet til å underrette databehandleren umiddelbart skriftlig dersom vedkommende (har til hensikt å) bruke tjenestene til å behandle personopplysninger (også) på vegne av én eller flere egne behandlingsansvarlige, eller dersom slik behandling opphører. Den behandlingsansvarlige er selv ansvarlig for korrekt kvalifikasjon av sin rolle etter GDPR og for å underrette databehandleren i tide om eventuelle endringer. I en slik situasjon gjelder også underdatabehandleravtalen mellom Partene, i den utstrekning den faktiske behandlingen gir grunnlag for det.

5. Databehandleravtalens varighet og opphør

1. Denne databehandleravtalen inngås for den perioden som er fastsatt i hovedavtalen. Partene forblir bundet av forpliktelser etter denne databehandleravtalen som etter sin art fortsetter å gjelde etter opphør.
2. Denne databehandleravtalen opphører automatisk når hovedavtalen opphører.
3. Etter opphør av hovedavtalen sletter databehandleren alle personopplysninger i samsvar med oppbevaringsperiodene angitt i vedlegg A, med mindre unionsretten eller nasjonal rett i en medlemsstat krever oppbevaring.
4. Dersom databehandleren av tekniske eller andre årsaker ikke er i stand til å slette personopplysninger, skal databehandleren treffe rimelige tiltak for å sikre at personopplysningene blokkeres for videre behandling og, i den utstrekning det er teknisk mulig, anonymiseres.

6. Underdatabehandlere

1. Den behandlingsansvarlige samtykker i at databehandleren kan engasjere underdatabehandlere til å behandle den behandlingsansvarliges personopplysninger for å levere tjenestene. Databehandleren fører en liste over sine autoriserte underdatabehandlere på sitt nettsted, og den behandlingsansvarlige bemyndiger databehandleren til å bruke disse underdatabehandlerne. Listen over underdatabehandlere som gjelder på hovedavtalens ikrafttredelsesdato, er vedlagt denne databehandleravtalen som vedlegg B.
2. Databehandleren kan engasjere underdatabehandlere innenfor og utenfor EU/EØS og kan overføre personopplysninger utenfor EU/EØS eller på annen måte behandle dem der. Databehandleren sørger for at underdatabehandlere er bundet av skriftlige avtaler til databehandlingsforpliktelser som, i den utstrekning det er hensiktsmessig ut fra arten av tjenestene underdatabehandleren leverer, gir minst et tilsvarende beskyttelsesnivå som forpliktelsene etter denne databehandleravtalen med hensyn til databeskyttelse.
3. Databehandleren sørger for at hver underdatabehandler som engasjeres, overholder de forpliktelsene som gjelder for databehandleren etter denne databehandleravtalen og gjeldende databeskyttelseslovgivning. Databehandleren forblir fullt ut ansvarlig overfor den behandlingsansvarlige for behandling utført av underdatabehandlere, som om databehandleren utførte behandlingen selv.
4. Databehandleren skal underrette den behandlingsansvarlige skriftlig minst fjorten (14) dager i forveien dersom det er planer om å gjøre endringer i listen over underdatabehandlere. Den behandlingsansvarlige kan innen denne fristen gjøre skriftlig innsigelse mot engasjement av en ny underdatabehandler (eller en vesentlig endring knyttet til en eksisterende underdatabehandler), forutsatt at innsigelsen er basert på saklige grunner knyttet til databeskyttelse.

7. Brudd på personopplysningssikkerheten

1. Ved brudd på personopplysningssikkerheten skal databehandleren underrette den behandlingsansvarlige uten ugrunnet opphold, og senest 48 timer etter at bruddet er oppdaget. Underretningen skal, i den utstrekning opplysningene er tilgjengelige, minst inneholde:
   • en beskrivelse av bruddets art, herunder – der det er mulig – hvordan det oppstod og det (antatte) tidspunktet for hendelsen og for oppdagelsen;
   • de (kategoriene av) personopplysninger som er berørt av bruddet;
   • de (kategoriene av) registrerte og, i den utstrekning det med rimelighet er mulig, et anslag over antallet berørte registrerte;
   • de sannsynlige konsekvensene og risikoene ved bruddet; og
   • tiltakene databehandleren har truffet eller foreslår å treffe for å håndtere bruddet og begrense mulige negative konsekvenser.
2. Dersom databehandleren ikke kan gi alle opplysninger som nevnt i artikkel 7.1 innen fristen i den artikkelen, skal databehandleren innen den fristen gi de opplysningene som da er tilgjengelige, og samtidig angi hvorfor ytterligere opplysninger fortsatt mangler. Databehandleren skal deretter gi ytterligere opplysninger uten ugrunnet opphold så snart de blir tilgjengelige.
3. Databehandleren skal gi den behandlingsansvarlige rimelig bistand til å oppfylle sine forpliktelser etter GDPR i forbindelse med bruddet, herunder – der det er relevant – bistand med (i) underretninger til den kompetente tilsynsmyndigheten (tilsynsmyndighetene) og (ii) kommunikasjon til registrerte.

8. Sikkerhet og konfidensialitet

1. Databehandleren har iverksatt egnede tekniske og organisatoriske tiltak for å sikre personopplysninger.
2. Disse sikkerhetstiltakene er utformet på et egnet sikkerhetsnivå, tatt i betraktning den tekniske utviklingen, gjennomføringskostnader, behandlingens art, omfang, formål og sammenheng samt den varierende sannsynligheten og alvorlighetsgraden av risikoer for fysiske personers rettigheter og friheter. De (gjeldende) sikkerhetstiltakene er nærmere beskrevet i vedlegg C.
3. Databehandleren overvåker overholdelsen av sikkerhetstiltakene periodisk og har rett til å justere sikkerhetstiltakene dersom dette med rimelighet er nødvendig for sikkerheten, kontinuiteten eller den videre utviklingen av tjenestene.
4. Databehandleren begrenser tilgangen til personopplysninger til de personene som trenger tilgang for å utføre tjenestene. Databehandleren sørger for at personer som behandler personopplysninger under dens instruks, er bundet av en egnet taushetsplikt og har fått egnede instrukser og opplæring om databeskyttelse og informasjonssikkerhet.

9. De registrertes rettigheter

1. Databehandleren skal, i den utstrekning det med rimelighet er mulig og tatt i betraktning behandlingens art, bistå den behandlingsansvarlige med å oppfylle sine forpliktelser knyttet til forespørsler fra registrerte om å utøve sine rettigheter etter GDPR (som retten til innsyn, retting, sletting, begrensning, dataportabilitet og protest).
2. Databehandleren skal uten ugrunnet opphold videresende forespørsler fra registrerte som sendes direkte til databehandleren, til den behandlingsansvarlige, og skal ikke behandle slike forespørsler selvstendig med mindre den behandlingsansvarlige uttrykkelig har gitt tillatelse til det.
3. Databehandleren kan belaste rimelige kostnader for bistand som går utover tjenestenes standardfunksjonalitet.

10. Overføring utenfor EU/EØS

1. Databehandleren kan behandle eller overføre personopplysninger utenfor EU/EØS, forutsatt at kravene i kapittel V i GDPR er oppfylt. Databehandleren sørger for at det gjelder en gyldig overføringsmekanisme, for eksempel en beslutning om tilstrekkelig beskyttelsesnivå, standardavtaler (Standard Contractual Clauses, SCC) vedtatt av Europakommisjonen, eller et annet instrument anerkjent av GDPR.
2. Der standardavtaler (SCC) gjelder, anses de å utgjøre en integrert del av denne databehandleravtalen.

11. Konsekvensvurdering av personvern og forhåndsdrøfting

1. Databehandleren skal, på anmodning og i den utstrekning det med rimelighet er mulig, bistå den behandlingsansvarlige med å gjennomføre en konsekvensvurdering av personvern (DPIA) og, der det er relevant, med forhåndsdrøfting med tilsynsmyndigheten.

12. Revisjon

1. Databehandleren skal stille til rådighet for den behandlingsansvarlige all informasjon som med rimelighet er nødvendig for å påvise overholdelse av forpliktelsene etter denne databehandleravtalen, og skal muliggjøre revisjoner – herunder inspeksjoner – av eller på vegne av den behandlingsansvarlige, med forbehold for bestemmelsene i denne artikkelen.
2. Revisjoner utføres for den behandlingsansvarliges regning, med rimelig forhåndsvarsel skriftlig (minst 30 dager), og begrenses til det som er nødvendig og forholdsmessig for å verifisere overholdelse av denne databehandleravtalen.
3. Den behandlingsansvarlige sørger for at revisjonen gjennomføres profesjonelt, ikke forstyrrer databehandlerens virksomhet uforholdsmessig og ikke setter konfidensialiteten og sikkerheten til databehandlerens data og dataene til dens øvrige kunder i fare.
4. Databehandleren har rett til å stille rimelige vilkår for revisjonen, herunder (men ikke begrenset til) forhåndsavtale om omfang og planlegging, taushetsplikt for revisorer og begrensning av tilgang til andre kunders data.
5. Dersom databehandleren har et gjeldende sertifikat, rapport eller erklæring fra en uavhengig revisor (for eksempel SOC 2 Type II, ISO 27001), utgjør dette tilstrekkelig bevis for overholdelse av de relevante sikkerhetsforpliktelsene etter denne databehandleravtalen, med mindre den behandlingsansvarlige på en begrunnet og skriftlig måte godtgjør at ytterligere undersøkelse er nødvendig.

13. Ansvar

1. Databehandlerens ansvar etter eller i tilknytning til denne databehandleravtalen er underlagt ansvarsbestemmelsene og -begrensningene som er fastsatt i hovedavtalen og de gjeldende alminnelige vilkårene, i den utstrekning det er tillatt etter ufravikelig rett.

14. Øvrige bestemmelser

1. Ved motstrid mellom bestemmelsene i denne databehandleravtalen og hovedavtalen, går denne databehandleravtalen foran i den utstrekning det gjelder behandling av personopplysninger.
2. Denne databehandleravtalen er underlagt nederlandsk rett. Tvister som oppstår av eller i tilknytning til denne databehandleravtalen, skal bringes inn for den kompetente domstolen i Amsterdam, med mindre annet er foreskrevet av ufravikelig rett.
3. Dersom en bestemmelse i denne databehandleravtalen er ugyldig, kjent ugyldig eller av andre grunner ikke kan håndheves, eller dersom denne databehandleravtalen inneholder et hull, forblir de øvrige bestemmelsene i full kraft. I så fall skal Partene rådføre seg for å avtale en erstatnings- eller tilleggsbestemmelse som er rettslig gyldig og som ligger så tett som mulig opp til hensikten med den opprinnelige bestemmelsen, tatt i betraktning kravene i artikkel 28 GDPR.

Vedlegg A: Nærmere opplysninger om databehandlingen

Vedlegg B: Underdatabehandlere

En oppdatert oversikt over alle underdatabehandlere som databehandleren engasjerer, er tilgjengelig på https://my.host/no/trust/underdatabehandlere.

Vedlegg C: Sikkerhetstiltak

Databehandleren iverksetter og opprettholder egnede tekniske og organisatoriske sikkerhetstiltak for å beskytte personopplysninger.

Organisatoriske tiltak

• Periodisk overvåking, evaluering og vurdering av effektiviteten av organisatoriske og tekniske tiltak.
• Prosedyre for overholdelse av oppbevaringsperioder og sletting i samsvar med avtaler/instrukser.
• Taushetsplikt for ansatte (kontraktsmessig og/eller via intern policy).
• Bevisstgjøring og opplæring av ansatte innen informasjonssikkerhet og personvern.

Tekniske tiltak

• Fysisk sikkerhet og nettverkssikkerhet: sikrede serverrom, nettverkssegmentering, brannmurer, hardening.
• Kryptering og sikker overføring: TLS/STARTTLS (der det er relevant), kryptering «in transit».
• E-postsikkerhet: anti-spam/anti-virus, rate limiting, DMARC/DKIM/SPF (der det er relevant).
• DNS-sikkerhet: DNSSEC (der det er mulig).
• Logging og overvåking: tilgangslogging, overvåking/varsling, SIEM/IDS (der det er hensiktsmessig), tidssynkronisering.
• Tilgangssikkerhet: MFA, least-privilege (der det er mulig), jump host/bastion.
• Sikkerhetskopi/kontinuitet: adskilt lagring, integritetskontroller.
• Skadevare/misbruk: endepunkt-/skadevareskanninger, karantener, kontrollert tilgang til prøver/logging.

Underdatabehandleravtale

Versjon: april 2026

Denne underdatabehandleravtalen, inkludert vedleggene, inngås mellom my.host (heretter: «underdatabehandleren») og kunden som kjøper tjenester fra my.host som databehandler (heretter: «databehandleren») og fastsetter avtalene mellom Partene om behandlingen av personopplysninger som underdatabehandleren utfører på vegne av og til fordel for databehandleren i forbindelse med tjenestene underdatabehandleren leverer til databehandleren.

Denne underdatabehandleravtalen gjelder utelukkende behandlingen av personopplysninger som underdatabehandleren utfører til fordel for databehandleren i forbindelse med tjenestene my.host leverer til databehandleren i henhold til hovedavtalen. Underdatabehandleren behandler personopplysninger på grunnlag av dokumenterte instrukser fra databehandleren. I den grad my.host behandler personopplysninger som selvstendig behandlingsansvarlig eller som (hoved)databehandler for egne kunder, faller den behandlingen utenfor virkeområdet til denne underdatabehandleravtalen.

Parter

Denne underdatabehandleravtalen gjelder mellom my.host (Pietersbergweg 291, 1105 BM Amsterdam, handelsregisteret (KvK): 89592514), heretter «underdatabehandleren», og databehandleren som kjøper tjenester fra my.host til fordel for sin(e) behandlingsansvarlige. Felles betegnet som «Partene» og enkeltvis som en «Part».

1. Generelt

1. Partene er enige om at denne underdatabehandleravtalen erstatter alle tidligere avtalte (under)databehandleravtaler og/eller personvern- eller databeskyttelsesbestemmelser mellom Partene som gjelder de samme tjenestene, med mindre Partene uttrykkelig har avtalt noe annet skriftlig.
2. Denne underdatabehandleravtalen gjelder bare dersom og i den utstrekning behandlingen av personopplysninger er underlagt GDPR. Begreper fra GDPR som brukes i denne underdatabehandleravtalen, herunder «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler» og «underdatabehandler», har den betydningen som er tillagt dem i GDPR.
3. Denne underdatabehandleravtalen anses å utgjøre en integrert del av hovedavtalen mellom underdatabehandleren og databehandleren. I denne underdatabehandleravtalen betyr begrepet «under-underdatabehandler»: en tredjepart som underdatabehandleren engasjerer for (en del av) behandlingen av personopplysninger.

2. Vedlegg

Følgende vedlegg utgjør en integrert del av denne underdatabehandleravtalen:

• Vedlegg A: Nærmere opplysninger om databehandlingen
• Vedlegg B: Under-underdatabehandlere
• Vedlegg C: Sikkerhetstiltak (tekniske og organisatoriske tiltak)

3. Formålet med behandlingen

1. Underdatabehandleren forplikter seg til, i samsvar med vilkårene i denne underdatabehandleravtalen, å utføre behandlingen av personopplysninger på vegne av databehandleren.
2. Behandlingen av personopplysninger ved underdatabehandleren skjer utelukkende i forbindelse med oppfyllelsen av hovedavtalen, strengt i samsvar med databehandlerens dokumenterte instrukser, og gjelder én eller flere av tjenestene som nærmere beskrevet i vedlegg A. Underdatabehandleren skal ikke bruke personopplysningene til noe annet formål eller på noen annen måte enn til det formålet databehandleren har meddelt.
3. Tilleggsinstrukser eller avvikende instrukser gjelder bare dersom Partene har avtalt dem skriftlig, hvorved underdatabehandleren har rett til å belaste eventuelle (rimelige) kostnader forbundet med gjennomføringen av slike instrukser overfor databehandleren.

4. Forpliktelser

1. Databehandleren erklærer og garanterer at vedkommende til enhver tid vil overholde gjeldende databeskyttelseslovgivning (herunder GDPR) med hensyn til (i) personopplysningene som stilles til rådighet for underdatabehandleren eller behandles via tjenestene, og (ii) de (behandlings)instruksene som gis til underdatabehandleren. Databehandleren garanterer at behandlingen av personopplysninger via tjenestene er lovlig, at vedkommende er bemyndiget til dette på grunnlag av en databehandleravtale med den/de relevante behandlingsansvarlige, og at underdatabehandleren kan behandle personopplysningene på grunnlag av hovedavtalen og denne underdatabehandleravtalen i samsvar med gjeldende databeskyttelseslovgivning.
2. Databehandleren garanterer at vedkommende er bemyndiget til å engasjere underdatabehandleren, og at instruksene som gis, er lovlige.
3. Underdatabehandleren er ikke ansvarlig for å vurdere om databehandlerens instrukser (eller de underliggende instruksene fra den/de behandlingsansvarlige) er i samsvar med gjeldende lover og forskrifter.
4. Nærmere opplysninger om behandlingen er angitt i vedlegg A (Nærmere opplysninger om databehandlingen).
5. Databehandleren skal underrette underdatabehandleren skriftlig og med rimelig forhåndsvarsel dersom vedkommende har til hensikt å gjøre endringer i den ovennevnte behandlingen, herunder (men ikke begrenset til) endringer i art, formål, kategorier av personopplysninger eller kategorier av registrerte. Dersom det er nødvendig, skal Partene endre vedlegg A tilsvarende.

5. Underdatabehandleravtalens varighet og opphør

1. Denne underdatabehandleravtalen inngås for den perioden som er fastsatt i hovedavtalen. Partene forblir bundet av forpliktelser etter denne underdatabehandleravtalen som etter sin art fortsetter å gjelde etter opphør.
2. Denne underdatabehandleravtalen opphører automatisk når hovedavtalen opphører.
3. Etter opphør av hovedavtalen sletter underdatabehandleren alle personopplysninger i samsvar med oppbevaringsperiodene angitt i vedlegg A, med mindre unionsretten eller nasjonal rett i en medlemsstat krever oppbevaring.
4. Dersom underdatabehandleren av tekniske eller andre årsaker ikke er i stand til å slette personopplysninger, skal underdatabehandleren treffe rimelige tiltak for å sikre at personopplysningene blokkeres for videre behandling og, i den utstrekning det er teknisk mulig, anonymiseres.

6. Under-underdatabehandlere

1. Databehandleren bemyndiger herved underdatabehandleren til å bruke under-underdatabehandlere ved behandlingen av personopplysninger, med forbehold for gjeldende databeskyttelseslovgivning. En oppdatert liste over under-underdatabehandlere er inntatt i vedlegg B.
2. Underdatabehandleren sørger for at under-underdatabehandlere er bundet av skriftlige avtaler til databehandlingsforpliktelser som gir minst et tilsvarende beskyttelsesnivå som forpliktelsene etter denne underdatabehandleravtalen.
3. Underdatabehandleren sørger for at hver under-underdatabehandler som engasjeres, overholder de forpliktelsene som gjelder for underdatabehandleren etter denne underdatabehandleravtalen og gjeldende databeskyttelseslovgivning. Underdatabehandleren forblir fullt ut ansvarlig overfor databehandleren for behandling utført av under-underdatabehandlere, som om underdatabehandleren utførte behandlingen selv.

7. Brudd på personopplysningssikkerheten

1. Ved brudd på personopplysningssikkerheten skal underdatabehandleren underrette databehandleren uten ugrunnet opphold etter at bruddet er oppdaget. Underretningen skal, i den utstrekning opplysningene er tilgjengelige, minst inneholde:
   • en beskrivelse av bruddets art, herunder – der det er mulig – hvordan det oppstod og det (antatte) tidspunktet for hendelsen og for oppdagelsen;
   • de (kategoriene av) personopplysninger som er berørt av bruddet;
   • de (kategoriene av) registrerte og, i den utstrekning det med rimelighet er mulig, et anslag over antallet berørte registrerte;
   • de sannsynlige konsekvensene og risikoene ved bruddet; og
   • tiltakene underdatabehandleren har truffet eller foreslår å treffe for å håndtere bruddet og begrense mulige negative konsekvenser.
2. Dersom underdatabehandleren ikke kan gi alle opplysninger som nevnt i artikkel 7.1 innen fristen i den artikkelen, skal underdatabehandleren innen den fristen gi de opplysningene som da er tilgjengelige, og samtidig angi hvorfor ytterligere opplysninger fortsatt mangler. Underdatabehandleren skal deretter gi ytterligere opplysninger uten ugrunnet opphold så snart de blir tilgjengelige.
3. Underdatabehandleren skal gi databehandleren rimelig bistand til å oppfylle sine forpliktelser etter GDPR i forbindelse med bruddet (herunder forpliktelsene overfor den/de behandlingsansvarlige), herunder – der det er relevant – bistand med (i) underretninger til den kompetente tilsynsmyndigheten (tilsynsmyndighetene) og (ii) kommunikasjon til registrerte.

8. Sikkerhet og konfidensialitet

1. Underdatabehandleren har iverksatt egnede tekniske og organisatoriske tiltak for å sikre personopplysninger.
2. Disse sikkerhetstiltakene er utformet på et egnet sikkerhetsnivå, tatt i betraktning den tekniske utviklingen, gjennomføringskostnader, behandlingens art, omfang, formål og sammenheng samt den varierende sannsynligheten og alvorlighetsgraden av risikoer for fysiske personers rettigheter og friheter. De (gjeldende) sikkerhetstiltakene er nærmere beskrevet i vedlegg C.
3. Underdatabehandleren overvåker overholdelsen av sikkerhetstiltakene periodisk og har rett til å justere sikkerhetstiltakene dersom dette med rimelighet er nødvendig for sikkerheten, kontinuiteten eller den videre utviklingen av tjenestene.
4. Underdatabehandleren begrenser tilgangen til personopplysninger til de personene som trenger tilgang for å utføre tjenestene. Underdatabehandleren sørger for at personer som behandler personopplysninger under dens instruks, er bundet av en egnet taushetsplikt og har fått egnede instrukser og opplæring om databeskyttelse og informasjonssikkerhet.

9. De registrertes rettigheter

1. Underdatabehandleren skal, i den utstrekning det med rimelighet er mulig og tatt i betraktning behandlingens art, bistå databehandleren med å oppfylle sine forpliktelser knyttet til forespørsler fra registrerte om å utøve sine rettigheter etter GDPR.
2. Underdatabehandleren skal uten ugrunnet opphold videresende forespørsler fra registrerte som sendes direkte til underdatabehandleren, til databehandleren, og skal ikke behandle slike forespørsler selvstendig med mindre databehandleren uttrykkelig har gitt tillatelse til det.
3. Underdatabehandleren kan belaste rimelige kostnader for bistand som går utover tjenestenes standardfunksjonalitet.

10. Overføring utenfor EU/EØS

1. Underdatabehandleren kan behandle eller overføre personopplysninger utenfor EU/EØS, forutsatt at kravene i kapittel V i GDPR er oppfylt. Underdatabehandleren sørger for at det gjelder en gyldig overføringsmekanisme, for eksempel en beslutning om tilstrekkelig beskyttelsesnivå, standardavtaler (Standard Contractual Clauses, SCC) vedtatt av Europakommisjonen, eller et annet instrument anerkjent av GDPR.
2. Der standardavtaler (SCC) gjelder, anses de å utgjøre en integrert del av denne underdatabehandleravtalen.

11. Konsekvensvurdering av personvern og forhåndsdrøfting

1. Underdatabehandleren skal, på anmodning og i den utstrekning det med rimelighet er mulig, bistå databehandleren med å gjennomføre en konsekvensvurdering av personvern (DPIA) og, der det er relevant, med forhåndsdrøfting med tilsynsmyndigheten.

12. Revisjon

1. Underdatabehandleren skal stille til rådighet for databehandleren all informasjon som med rimelighet er nødvendig for å påvise overholdelse av forpliktelsene etter denne underdatabehandleravtalen, og skal muliggjøre revisjoner – herunder inspeksjoner – av eller på vegne av databehandleren, med forbehold for bestemmelsene i denne artikkelen.
2. Revisjoner utføres for databehandlerens regning, med rimelig forhåndsvarsel skriftlig (minst 30 dager), og begrenses til det som er nødvendig og forholdsmessig for å verifisere overholdelse av denne underdatabehandleravtalen.
3. Databehandleren sørger for at revisjonen gjennomføres profesjonelt, ikke forstyrrer underdatabehandlerens virksomhet uforholdsmessig og ikke setter konfidensialiteten og sikkerheten til underdatabehandlerens data og dataene til dens øvrige kunder i fare.
4. Underdatabehandleren har rett til å stille rimelige vilkår for revisjonen, herunder (men ikke begrenset til) forhåndsavtale om omfang og planlegging, taushetsplikt for revisorer og begrensning av tilgang til andre kunders data.
5. Dersom underdatabehandleren har et gjeldende sertifikat, rapport eller erklæring fra en uavhengig revisor (for eksempel SOC 2 Type II, ISO 27001), utgjør dette tilstrekkelig bevis for overholdelse av de relevante sikkerhetsforpliktelsene etter denne underdatabehandleravtalen, med mindre databehandleren på en begrunnet og skriftlig måte godtgjør at ytterligere undersøkelse er nødvendig.

13. Ansvar

1. Underdatabehandlerens ansvar etter eller i tilknytning til denne underdatabehandleravtalen er underlagt ansvarsbestemmelsene og -begrensningene som er fastsatt i hovedavtalen og de gjeldende alminnelige vilkårene, i den utstrekning det er tillatt etter ufravikelig rett.

14. Øvrige bestemmelser

1. Ved motstrid mellom bestemmelsene i denne underdatabehandleravtalen og hovedavtalen, går denne underdatabehandleravtalen foran i den utstrekning det gjelder behandling av personopplysninger.
2. Denne underdatabehandleravtalen er underlagt nederlandsk rett. Tvister som oppstår av eller i tilknytning til denne underdatabehandleravtalen, skal bringes inn for den kompetente domstolen i Amsterdam, med mindre annet er foreskrevet av ufravikelig rett.
3. Dersom en bestemmelse i denne underdatabehandleravtalen er ugyldig, kjent ugyldig eller av andre grunner ikke kan håndheves, eller dersom denne underdatabehandleravtalen inneholder et hull, forblir de øvrige bestemmelsene i full kraft. I så fall skal Partene rådføre seg for å avtale en erstatnings- eller tilleggsbestemmelse som er rettslig gyldig og som ligger så tett som mulig opp til hensikten med den opprinnelige bestemmelsen, tatt i betraktning kravene i artikkel 28 GDPR.

Vedlegg A: Nærmere opplysninger om databehandlingen

Vedlegg B: Under-underdatabehandlere

En oppdatert oversikt over alle under-underdatabehandlere som underdatabehandleren engasjerer, finnes under fanen Underdatabehandlere.

Vedlegg C: Sikkerhetstiltak

Underdatabehandleren iverksetter og opprettholder egnede tekniske og organisatoriske sikkerhetstiltak for å beskytte personopplysninger.

Organisatoriske tiltak

• Periodisk overvåking, evaluering og vurdering av effektiviteten av organisatoriske og tekniske tiltak.
• Prosedyre for overholdelse av oppbevaringsperioder og sletting i samsvar med avtaler/instrukser.
• Taushetsplikt for ansatte (kontraktsmessig og/eller via intern policy).
• Bevisstgjøring og opplæring av ansatte innen informasjonssikkerhet og personvern.

Tekniske tiltak

• Fysisk sikkerhet og nettverkssikkerhet: sikrede serverrom, nettverkssegmentering, brannmurer, hardening.
• Kryptering og sikker overføring: TLS/STARTTLS (der det er relevant), kryptering «in transit».
• E-postsikkerhet: anti-spam/anti-virus, rate limiting, DMARC/DKIM/SPF (der det er relevant).
• DNS-sikkerhet: DNSSEC (der det er mulig).
• Logging og overvåking: tilgangslogging, overvåking/varsling, SIEM/IDS (der det er hensiktsmessig), tidssynkronisering.
• Tilgangssikkerhet: MFA, least-privilege (der det er mulig), jump host/bastion.
• Sikkerhetskopi/kontinuitet: adskilt lagring, integritetskontroller.
• Skadevare/misbruk: endepunkt-/skadevareskanninger, karantener, kontrollert tilgang til prøver/logging.