Kort fortalt
- Opplysningene om kundene deres er deres. Vi bruker dem bare til å levere Humryk til dere, etter instruksene deres.
- Vi holder opplysningene sikre, og alle hos oss som har tilgang, har taushetsplikt.
- Underleverandørene våre står i personvernerklæringen, og vi varsler 30 dager før vi tar i bruk en ny.
- Vi varsler dere senest innen 48 timer hvis noe går galt med opplysningene, og hjelper dere å svare kundene.
- Når avtalen avsluttes, kan dere hente ut alt i 30 dager, og vi sletter det innen 90 dager.
Innhold
1. Partene
- Behandlingsansvarlig: bedriften som har avtale om å bruke Humryk («dere»).
- Databehandler: Key-Tech AS, org.nr. 932 472 112, Hans Tanks gate 19, 5008 Bergen («vi»).
Avtalen gjelder så lenge vi behandler personopplysninger for dere. Strider noe i vilkårene mot denne avtalen, går denne avtalen foran for personopplysninger.
2. Formål og instrukser
Vi behandler personopplysninger bare for å levere Humryk til dere og bare etter instruksene deres. Instruksene er vilkårene, denne avtalen, innstillingene og koblingene dere velger i Humryk, og skriftlige instrukser dere gir oss. Slår dere for eksempel på en kobling til et fraktselskap, er det en instruks om å sende mottaker og adresse dit.
Mener vi at en instruks er i strid med personvernregelverket, sier vi fra med en gang. Krever loven at vi behandler opplysningene på andre måter, varsler vi dere først, med mindre loven forbyr det.
3. Hva vi behandler
| Hva | Innhold |
|---|---|
| De registrerte | Kundene deres (forbrukere), kontaktpersoner hos bedriftskundene, abonnenter, mottakere av nyhetsbrev, besøkende i nettbutikken og brukerne deres. |
| Opplysninger | Navn og kontaktopplysninger, leverings- og fakturaadresser, bestillinger og betalingsstatus (aldri kortnummer), abonnement, samtykker og avmeldinger, meldinger og notater, innlogging i nettbutikken, bruk av nettbutikken og nyhetsbrev, og det dere ellers legger inn. |
| Særlige kategorier | Humryk er ikke laget for helseopplysninger eller andre særlige kategorier (GDPR artikkel 9). Dere skal ikke be om eller legge inn slike opplysninger. |
| Behandlingen | Lagring, visning, søk, organisering, sending av e-post, beregning av statistikk, overføring til koblinger dere slår på, uttrekk og sletting. |
| Varighet | Så lenge avtalen varer, og deretter til opplysningene er slettet etter punkt 11. |
4. Taushetsplikt
Bare de av oss som trenger det for drift, utvikling og kundestøtte, får tilgang til opplysningene, og de har taushetsplikt. Taushetsplikten gjelder også etter at avtalen er avsluttet.
5. Sikkerhet
Vi har tekniske og organisatoriske tiltak som passer til risikoen (GDPR artikkel 32), blant annet:
- kryptering av all trafikk (HTTPS) og av databasen og sikkerhetskopiene hos leverandøren
- skille mellom butikkene, så hver butikk bare ser sine egne opplysninger
- tilgang for brukerne deres etter rolle, og logging av hvem som gjorde hva i butikken
- krypterte tilgangsnøkler til koblinger
- tilgang til produksjonsdata bare for dem av oss som trenger det, og logging av det vi gjør i systemadministrasjonen
- jevnlige sikkerhetskopier og en plan for gjenoppretting
- gjennomgang av kode og automatiske tester før endringer tas i bruk
6. Underleverandører
Dere gir oss en generell tillatelse til å bruke underleverandører. Underleverandørene vi bruker i dag, står i personvernerklæringen. Vi gir dem de samme pliktene som vi har etter denne avtalen, og vi er ansvarlige for at de oppfyller dem.
Før vi tar i bruk en ny underleverandør eller bytter ut en, varsler vi dere på e-post minst 30 dager før. Har dere saklig grunn til å protestere, skriver dere til post@humryk.com. Finner vi ikke en løsning, kan dere si opp avtalen før endringen gjelder, og vi betaler tilbake det dere har betalt for tiden etterpå.
Leverandører dere selv kobler til – for eksempel Stripe, regnskapsprogram, fraktselskaper, Google, Meta og KI-assistenter – er ikke våre underleverandører. Dem har dere egne avtaler med, og vi sender opplysninger dit etter instruksen deres.
7. Overføring utenfor EØS
Vi overfører opplysninger til land utenfor EØS bare når overføringen har et gyldig grunnlag etter GDPR kapittel V, som et vedtak om tilstrekkelig beskyttelse, EU–US Data Privacy Framework eller EU-kommisjonens standardavtaler. Hvor underleverandørene behandler opplysningene, står i personvernerklæringen.
8. Hjelp med de registrertes rettigheter
I Humryk kan dere selv finne, rette, eksportere og slette kunder og kontakter. Får vi en henvendelse fra en av kundene deres, sender vi den til dere uten ugrunnet opphold og svarer ikke selv, med mindre dere ber oss om det. Trenger dere mer hjelp for å svare, hjelper vi til.
9. Avvik og annen bistand
Oppdager vi et brudd på personopplysningssikkerheten som gjelder opplysningene deres, varsler vi dere uten ugrunnet opphold og senest innen 48 timer. Vi forteller hva som har skjedd, hvilke opplysninger og hvor mange som er berørt, hvilke følger det kan få, og hva vi gjør. Har vi ikke alt med en gang, gir vi resten fortløpende. Det er dere som melder fra til Datatilsynet og til de registrerte når loven krever det, og vi hjelper med det dere trenger.
Vi hjelper dere også med vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet (GDPR artikkel 35 og 36), ut fra det vi vet om behandlingen.
10. Dokumentasjon og revisjon
Vi gir dere informasjonen dere trenger for å se at vi følger avtalen. Dere kan revidere oss selv eller med en uavhengig revisor med taushetsplikt, med 30 dagers varsel, normalt én gang i året og ellers etter et avvik eller pålegg fra myndighetene. Vi svarer først med dokumentasjon, og ofte er det nok. Hver part bærer egne kostnader.
11. Når avtalen avsluttes
Når avtalen om Humryk er avsluttet, kan dere hente ut opplysningene i 30 dager. Innen 90 dager etter at avtalen er avsluttet, sletter vi opplysningene hos oss og hos underleverandørene, bortsett fra det loven krever at vi oppbevarer. Slettede opplysninger kan ligge i sikkerhetskopier til de skrives over etter fast tidsplan. Vi bekrefter slettingen skriftlig når dere ber om det.
12. Ansvar og lovvalg
Ansvar overfor de registrerte følger GDPR artikkel 82. Mellom oss gjelder ansvarsreglene i vilkårene, så langt loven tillater. Avtalen følger norsk rett, med Bergen tingrett som avtalt verneting.
Spørsmål om avtalen sender dere til post@humryk.com.