Denne databehandleravtalen inngås mellom kunden («den behandlingsansvarlige») og FlowDule ApS («databehandleren») og utgjør en integrert del av vilkårene. Den fastsetter vilkårene for behandling etter personvernforordningens art. 28.
1. Gjenstand og varighet
FlowDule behandler personopplysninger på vegne av den behandlingsansvarlige så lenge den behandlingsansvarlige bruker plattformen.
2. Behandlingens art og formål
Behandlingen omfatter lagring og håndtering av bestillinger, klient- og journalopplysninger, betalinger og kommunikasjon med sikte på å levere plattformens funksjoner.
3. Typer opplysninger og kategorier av registrerte
Alminnelige personopplysninger om den behandlingsansvarliges klienter og medarbeidere samt - der journalmodulen brukes - særlige kategorier (helseopplysninger).
4. Databehandlerens forpliktelser
- Behandler kun etter dokumentert instruks fra den behandlingsansvarlige.
- Sikrer konfidensialitet hos personer med tilgang.
- Iverksetter egnede tekniske og organisatoriske tiltak (art. 32).
- Bistår den behandlingsansvarlige med å oppfylle de registrertes rettigheter og plikter etter art. 32-36.
- Sletter eller tilbakeleverer opplysninger ved opphør.
- Stiller opplysninger til rådighet for revisjon.
5. Underdatabehandlere
Den behandlingsansvarlige gir generell tillatelse til bruk av underdatabehandlere. Aktuelle underdatabehandlere fremgår av Underdatabehandlere. Vesentlige endringer varsles, slik at den behandlingsansvarlige kan gjøre innsigelse.
6. Overføringer til tredjeland
Eventuelle overføringer utenfor EØS skjer på et gyldig overføringsgrunnlag (SCC eller Data Privacy Framework).
7. Brudd på personopplysningssikkerheten
Databehandleren underretter den behandlingsansvarlige uten ugrunnet opphold etter å ha blitt kjent med et brudd, slik at den behandlingsansvarlige kan overholde 72-timersfristen etter art. 33.