Databehandleravtale
Denne avtalen regulerer Third Acts behandling av personopplysninger på vegne av foreningen, og inngås som en del av avtalen om bruk av Reel Estate. Den følger kravene i personvernforordningen artikkel 28.
1. Partene
Behandlingsansvarlig er foreningen — borettslaget, sameiet eller velforeningen som bruker Reel Estate.
Databehandler er Third Act Sales AB, org.nr 925 044 377, ved den norske filialen Third Act Sales AB NUF, org.nr 924 943 432.
2. Hva behandlingen gjelder
Third Act behandler personopplysninger utelukkende for å levere beboerappen og backoffice: innlogging og tilgangsstyring, publisering av innhold, booking av fellesressurser, varsler, og det sosiale i appen.
| Kategori | Opplysninger |
|---|---|
| Beboere og styremedlemmer | Navn, e-post, telefon, leilighet, rolle, profilbilde |
| Bruksdata | Bookinger, innlegg, kommentarer, påmeldinger |
| Innhold | Dokumenter og bilder foreningen laster opp |
3. Instruks
Third Act behandler opplysningene kun etter dokumenterte instrukser fra foreningen. Denne avtalen, sammen med bruken av tjenesten, utgjør instruksen. Third Act bruker ikke opplysningene til egne formål, og verken selger eller deler dem videre.
4. Taushetsplikt og tilgang
Ansatte hos Third Act har taushetsplikt. Support har teknisk mulighet til å se innholdet i en forenings arena. Denne tilgangen brukes i to tilfeller: når foreningen ber om hjelp, og for å kontrollere at tjenesten ikke misbrukes — for eksempel at det opprettes arenaer utenfor avtalen. Tilgangen er begrenset til navngitte personer hos Third Act. Fyll ut om tilgangen logges, og hvem som har den.
5. Sikkerhet
- All trafikk krypteres (TLS 1.2 eller nyere).
- Tilgang til produksjonsdata er begrenset til navngitte personer.
- Innlogging og personfelter lagres kryptert.
- Databasen sikkerhetskopieres hver fjerde time.
- Passord lagres kryptert og aldri i klartekst.
6. Underleverandører
Foreningen samtykker til bruk av følgende underleverandører:
| Underleverandør | Oppgave | Land |
|---|---|---|
| Microsoft Azure | Drift, database og fillagring | Norge |
| Twilio SendGrid | E-post: invitasjoner og varsler | USA |
| Apple, Google | Pushvarsler til mobil | EU/USA |
Third Act varsler foreningen før nye underleverandører tas i bruk, slik at foreningen kan protestere.
7. Overføring ut av EØS
Behandlingen skjer i Norge. Pushvarsler kan innebære overføring til leverandører utenfor EØS, og skjer i så fall på grunnlag av EUs standardavtalevilkår.
8. Avvik
Oppdager Third Act et brudd på personopplysningssikkerheten, varsles foreningen uten ugrunnet opphold, og senest innen 48 timer. Varselet beskriver hva som har skjedd, hvilke opplysninger som er berørt og hvilke tiltak som er satt i verk. Foreningen er selv ansvarlig for å melde til Datatilsynet.
9. Bistand
Third Act bistår foreningen med å svare på henvendelser fra registrerte, og med personvernkonsekvensvurdering dersom det blir nødvendig. Beboere sletter selv kontoen sin i appen.
10. Sletting ved opphør
Ved opphør har foreningen 30 dager på å hente ut innholdet sitt. Deretter slettes foreningens data: innhold, dokumenter og bookinger merkes som slettet og gjøres utilgjengelige umiddelbart, og restdata og filer fjernes ved opprydding senest 90 dager etter.
Sikkerhetskopier av databasen oppbevares i inntil 8 timer og overskrives deretter automatisk.
11. Revisjon
Foreningen kan be om dokumentasjon på at avtalen etterleves. Third Act svarer innen rimelig tid.
klage til Datatilsynet.