Databehandleravtale

1. Parter

Mellom den behandlingsansvarlige (kunden): Skolehotell AS sin kunde som har registrert et domene i Postvern, og databehandleren: Skolehotell AS, org.nr 937 201 028, Karjolvegen 77, 2319 Hamar, Norge.

2. Bakgrunn for databehandleravtalen

Denne avtalen fastsetter de rettigheter og forpliktelser som kommer til anvendelse når databehandleren foretar behandling av personopplysninger på vegne av den behandlingsansvarlige.

Avtalen er utformet med henblikk på partenes etterlevelse av artikkel 28 nr. 3 i Europaparlamentets og Rådets forordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (personvernforordningen), som stiller spesifikke krav til innholdet i en databehandleravtale.

Databehandlerens behandling av personopplysninger skjer for å oppfylle avtalt bruk av databehandlerens tjeneste Postvern, et spamfilter som tar imot innkommende e-post til den behandlingsansvarliges domener, vurderer den, holder tvilsom post i karantene og leverer resten videre til den behandlingsansvarliges e-postserver.

Til denne avtalen hører fire bilag. Bilagene er en integrert del av databehandleravtalen. Bilag A inneholder nærmere opplysninger om behandlingen, herunder formål og karakter, typen personopplysninger, kategoriene av registrerte og varighet. Bilag B inneholder den behandlingsansvarliges betingelser for at databehandleren kan bruke underleverandører, samt listen over godkjente underleverandører. Bilag C inneholder nærmere instruks om behandlingen, hvilke sikkerhetstiltak som minimum skal gjennomføres, og hvordan det føres tilsyn med databehandleren og eventuelle underleverandører. Bilag D inneholder partenes eventuelle regulering av forhold som ikke ellers fremgår av avtalen.

Databehandleravtalen med bilag oppbevares skriftlig, herunder elektronisk, av begge parter. Den behandlingsansvarlige finner den til enhver tid gjeldende versjonen på postvern.no/databehandleravtale.

Denne databehandleravtalen fritar ikke databehandleren for forpliktelser som etter personvernforordningen eller annen lovgivning direkte er pålagt databehandleren.

3. Den behandlingsansvarliges forpliktelser og rettigheter

Den behandlingsansvarlige har overfor omverdenen, herunder den registrerte, som utgangspunkt ansvaret for at behandlingen av personopplysninger skjer innenfor rammene av personvernlovgivningen. Den behandlingsansvarlige har derfor både rettighetene og forpliktelsene til å treffe beslutninger om til hvilke formål og med hvilke hjelpemidler behandling skal utføres.

Den behandlingsansvarlige er blant annet ansvarlig for at det foreligger hjemmel til den behandlingen som databehandleren instrueres i å utføre, for å informere egne brukere om at innkommende e-post filtreres av en databehandler, og for at e-postserveren som oppgis tilhører den behandlingsansvarlige.

4. Databehandleren handler etter instruks

Databehandleren må bare behandle personopplysninger etter dokumentert instruks fra den behandlingsansvarlige, med mindre det kreves i henhold til EØS-rett eller nasjonal rett som databehandleren er underlagt. I så fall underretter databehandleren den behandlingsansvarlige om dette rettslige kravet før behandlingen, med mindre lovgivningen forbyr slik underretning av hensyn til viktige samfunnsinteresser, jf. artikkel 28 nr. 3 bokstav a.

Instruksen utgjøres av denne avtalen, tjenesteavtalen og de innstillingene den behandlingsansvarlige og dennes brukere gjør i tjenesten (bilag C). Bruk til egne formål, analyse på tvers av kunder utover det som er nødvendig for spamfiltrering (bilag A), eller markedsføring, er ikke tillatt.

Databehandleren underretter omgående den behandlingsansvarlige hvis en instruks etter databehandlerens mening er i strid med personvernforordningen eller personvernbestemmelser i annen EØS-rett eller nasjonal rett.

5. Fortrolighet

Databehandleren sikrer at bare de personene som er autorisert til det, har adgang til de personopplysningene som behandles på vegne av den behandlingsansvarlige. Tilgangen stenges straks hvis autorisasjonen fratas eller utløper. Det autoriseres bare personer som har behov for adgang til personopplysningene for å oppfylle databehandlerens forpliktelser overfor den behandlingsansvarlige.

Databehandleren sikrer at de personene som er autorisert til å behandle personopplysninger på vegne av den behandlingsansvarlige, har forpliktet seg til fortrolighet eller er underlagt en passende lovbestemt taushetsplikt. Databehandleren skal etter anmodning fra den behandlingsansvarlige kunne påvise at de relevante medarbeiderne er underlagt slik taushetsplikt.

6. Behandlingssikkerhet

Databehandleren iverksetter alle tiltak som kreves etter personvernforordningens artikkel 32. Der fremgår det at det, under hensyn til det aktuelle tekniske nivået, gjennomføringskostnadene, behandlingens karakter, omfang, sammenheng og formål, samt risikoene av varierende sannsynlighet og alvor for fysiske personers rettigheter og friheter, skal gjennomføres egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som passer til disse risikoene.

Forpliktelsen innebærer at databehandleren skal foreta en risikovurdering og deretter gjennomføre tiltak for å møte de identifiserte risikoene. Avhengig av hva som er relevant, kan det være snakk om pseudonymisering og kryptering av personopplysninger, evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemer og tjenester, evne til rettidig å gjenopprette tilgjengeligheten av og adgangen til personopplysninger ved en fysisk eller teknisk hendelse, og en prosedyre for regelmessig testing, vurdering og evaluering av effektiviteten av tiltakene.

Databehandleren skal i alle tilfeller som minimum iverksette det sikkerhetsnivået og de tiltakene som er spesifisert i bilag C.

7. Bruk av underleverandører

Databehandleren skal oppfylle betingelsene i personvernforordningens artikkel 28 nr. 2 og 4 for bruk av annen databehandler (underleverandør). Databehandleren må således ikke bruke underleverandør til oppfyllelse av databehandleravtalen uten forutgående spesifikk eller generell skriftlig godkjennelse fra den behandlingsansvarlige.

Ved generell skriftlig godkjennelse skal databehandleren underrette den behandlingsansvarlige om eventuelle planlagte endringer vedrørende tilføyelse eller erstatning av underleverandører, og slik gi den behandlingsansvarlige mulighet til å fremme innsigelse mot slike endringer. Den behandlingsansvarliges nærmere betingelser for bruk av underleverandører og godkjennelsen av spesifikke underleverandører fremgår av bilag B.

Når databehandleren har den behandlingsansvarliges godkjennelse til å bruke en underleverandør, sørger databehandleren for å pålegge underleverandøren de samme personvernforpliktelsene som er fastsatt i denne databehandleravtalen, gjennom en kontrakt eller annet rettslig dokument, slik at underleverandøren gir de nødvendige garantier for å gjennomføre egnede tekniske og organisatoriske tiltak som oppfyller kravene i personvernforordningen. Databehandleren er ansvarlig for å pålegge en eventuell underleverandør minst de forpliktelsene databehandleren selv er underlagt etter personvernlovgivningen og denne avtalen.

Underleverandøravtalen og senere endringer sendes etter anmodning i kopi til den behandlingsansvarlige, slik at denne kan sikre seg at det er inngått en gyldig avtale mellom databehandleren og underleverandøren. Kommersielle vilkår som ikke påvirker det personvernrettslige innholdet, sendes ikke.

Databehandleren skal i sin avtale med underleverandøren innføre den behandlingsansvarlige som begunstiget tredjemann ved databehandlerens konkurs, slik at den behandlingsansvarlige kan overta databehandlerens rettigheter og gjøre dem gjeldende overfor underleverandøren, for eksempel instruere underleverandøren om sletting eller tilbakelevering av opplysninger.

Hvis underleverandøren ikke oppfyller sine personvernforpliktelser, forblir databehandleren fullt ansvarlig overfor den behandlingsansvarlige for oppfyllelsen av underleverandørens forpliktelser.

8. Overføring av opplysninger til tredjeland eller internasjonale organisasjoner

Databehandleren må bare behandle personopplysninger etter dokumentert instruks fra den behandlingsansvarlige, herunder når det gjelder overføring (overlatelse, videregivelse og intern bruk) av personopplysninger til tredjeland eller internasjonale organisasjoner, med mindre det kreves etter EØS-rett eller nasjonal rett som databehandleren er underlagt. I så fall underretter databehandleren den behandlingsansvarlige om dette rettslige kravet før behandlingen, med mindre lovgivningen forbyr slik underretning av hensyn til viktige samfunnsinteresser, jf. artikkel 28 nr. 3 bokstav a.

Uten den behandlingsansvarliges instruks eller godkjennelse kan databehandleren innenfor rammene av databehandleravtalen derfor ikke videreformidle personopplysningene til en behandlingsansvarlig i et tredjeland eller i en internasjonal organisasjon, overlate behandlingen av personopplysninger til en underleverandør i et tredjeland, eller la opplysningene behandles i en annen av databehandlerens avdelinger plassert i et tredjeland.

Den behandlingsansvarliges eventuelle instruks eller godkjennelse av overføring av personopplysninger til et tredjeland fremgår av bilag C.

9. Bistand til den behandlingsansvarlige

Databehandleren bistår, under hensyn til behandlingens karakter, så langt det er mulig den behandlingsansvarlige ved hjelp av egnede tekniske og organisatoriske tiltak med å oppfylle den behandlingsansvarliges plikt til å svare på anmodninger om utøvelse av de registrertes rettigheter etter personvernforordningens kapittel III. Dette innebærer at databehandleren så langt det er mulig skal bistå den behandlingsansvarlige med å sikre overholdelse av opplysningsplikten ved innsamling av personopplysninger fra den registrerte, opplysningsplikten når personopplysninger ikke er samlet inn fra den registrerte, den registrertes rett til innsyn, retten til retting, retten til sletting («retten til å bli glemt»), retten til begrensning av behandling, underretningsplikten i forbindelse med retting, sletting eller begrensning, retten til dataportabilitet, retten til å protestere, og retten til ikke å være gjenstand for automatiserte individuelle avgjørelser, herunder profilering.

Databehandleren bistår den behandlingsansvarlige med å sikre overholdelse av den behandlingsansvarliges forpliktelser etter personvernforordningens artikkel 32 til 36, under hensyn til behandlingens karakter og de opplysningene som er tilgjengelige for databehandleren, jf. artikkel 28 nr. 3 bokstav f. Dette gjelder forpliktelsen til å gjennomføre egnede tekniske og organisatoriske tiltak for et sikkerhetsnivå som passer til risikoen, forpliktelsen til å melde brudd på personopplysningssikkerheten til tilsynsmyndigheten (Datatilsynet) uten ugrunnet opphold og om mulig senest 72 timer etter at den behandlingsansvarlige ble kjent med bruddet, med mindre det er usannsynlig at bruddet innebærer en risiko for fysiske personers rettigheter og friheter, forpliktelsen til uten ugrunnet opphold å underrette de registrerte om brudd som sannsynligvis vil innebære høy risiko, forpliktelsen til å gjennomføre en vurdering av personvernkonsekvenser når en behandling sannsynligvis vil innebære høy risiko, og forpliktelsen til å rådføre seg med tilsynsmyndigheten før behandlingen dersom vurderingen viser at behandlingen vil føre til høy risiko uten avbøtende tiltak.

10. Underretning om brudd på personopplysningssikkerheten

Databehandleren underretter uten ugrunnet opphold den behandlingsansvarlige etter å ha blitt oppmerksom på at det har skjedd brudd på personopplysningssikkerheten hos databehandleren eller en eventuell underleverandør. Underretningen skal om mulig skje senest 24 timer etter at databehandleren ble kjent med bruddet, slik at den behandlingsansvarlige har mulighet til å etterleve sin eventuelle plikt til å melde bruddet til tilsynsmyndigheten innen 72 timer.

I overensstemmelse med punkt 9 skal databehandleren, under hensyn til behandlingens karakter og de opplysningene som er tilgjengelige, bistå den behandlingsansvarlige med å melde bruddet til tilsynsmyndigheten. Det kan bety at databehandleren blant annet skal hjelpe til med å skaffe følgende opplysninger, som etter personvernforordningens artikkel 33 nr. 3 skal fremgå av meldingen: bruddets karakter, herunder om mulig kategoriene og det omtrentlige antallet berørte registrerte og registreringer, sannsynlige konsekvenser av bruddet, og tiltak som er truffet eller foreslås truffet for å håndtere bruddet, herunder tiltak for å begrense mulige skadevirkninger.

11. Sletting og tilbakelevering av opplysninger

Ved opphør av tjenestene forplikter databehandleren seg til, etter den behandlingsansvarliges valg, å slette eller tilbakelevere alle personopplysninger til den behandlingsansvarlige, og å slette eksisterende kopier, med mindre EØS-rett eller nasjonal rett krever at personopplysningene oppbevares. Fristene fremgår av bilag C.

12. Tilsyn og revisjon

Databehandleren stiller alle opplysninger som er nødvendige for å påvise databehandlerens overholdelse av personvernforordningens artikkel 28 og denne avtalen til rådighet for den behandlingsansvarlige, og muliggjør og bidrar til revisjoner, herunder inspeksjoner, som gjennomføres av den behandlingsansvarlige eller en annen revisor som er bemyndiget av den behandlingsansvarlige.

Den nærmere prosedyren for den behandlingsansvarliges tilsyn med databehandleren fremgår av bilag C. Den behandlingsansvarliges tilsyn med eventuelle underleverandører skjer som utgangspunkt gjennom databehandleren.

Databehandleren er forpliktet til å gi myndigheter som etter gjeldende lovgivning har adgang til den behandlingsansvarliges og databehandlerens fasiliteter, eller representanter som opptrer på myndighetens vegne, adgang til databehandlerens fysiske fasiliteter mot behørig legitimasjon.

13. Partenes avtaler om andre forhold

En eventuell særlig regulering av konsekvensene av partenes mislighold av databehandleravtalen, og en eventuell regulering av andre forhold mellom partene, fremgår av bilag D.

14. Mislighold

Ved mislighold av vilkårene i denne avtalen som skyldes feil eller forsømmelser fra databehandlerens side, kan den behandlingsansvarlige si opp avtalen med øyeblikkelig virkning. Databehandleren er fortsatt forpliktet til å tilbakelevere og slette personopplysninger etter punkt 11.

Databehandleren er erstatningsansvarlig overfor de registrerte dersom feil eller forsømmelser hos databehandleren påfører de registrerte økonomisk eller ikke-økonomisk tap som følge av at deres rettigheter eller personvern er krenket. Den behandlingsansvarlige kan kreve erstatning for økonomisk tap som skyldes feil eller forsømmelser fra databehandlerens side, inkludert mislighold av vilkårene i denne avtalen. Ansvarsbegrensningene i tjenesteavtalen gjelder ikke for ansvar som følger direkte av personvernforordningen.

15. Lovvalg og verneting

Avtalen er underlagt norsk rett, og partene vedtar Østre Innlandet tingrett som verneting. Dette gjelder også etter opphør av avtalen.

16. Ikrafttredelse og opphør

Denne avtalen trer i kraft når kunden registrerer et domene i Postvern og godtar tjenesteavtalen. Avtalen kan av begge parter kreves reforhandlet hvis lovendringer eller uhensiktsmessigheter i avtalen gir grunn til det.

Avtalen gjelder så lenge behandlingen består. Uansett oppsigelse forblir databehandleravtalen i kraft fram til behandlingens opphør og opplysningenes sletting hos databehandleren og eventuelle underleverandører.

17. Kontaktpersoner

Databehandleren (Skolehotell AS): personvern og generelle henvendelser på e-post post@postvern.no. Adresse: Karjolvegen 77, 2319 Hamar, Norge. Den behandlingsansvarliges kontaktperson er eieren av kundekontoen, med e-postadressen som er registrert der.

Bilag A – Opplysninger om behandlingen

Formål med behandlingen

Formålet med databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige er at den behandlingsansvarlige kan bruke spamfiltertjenesten Postvern (heretter Tjenesten): filtrering av innkommende e-post til den behandlingsansvarliges domener, karantene, rapporter til mottakerne og hvite- og svartelister.

Karakteren av behandlingen

Databehandleren stiller Tjenesten til rådighet for den behandlingsansvarlige og tar gjennom den imot, lagrer midlertidig, vurderer, gjør tilgjengelig for mottakeren og domeneadministratoren, videresender og sletter e-post til den behandlingsansvarliges domener.

Meldinger som mottakeren merker som spam eller frigir fra karantene, brukes til å trene filteret. Fingeravtrykk (hasher) av innholdet deles i et felles fingeravtrykkslager slik at samme utsendelse gjenkjennes for alle kunder av Tjenesten. Innholdet deles ikke mellom kunder.

Typer av personopplysninger

Behandlingen omfatter e-postadresser og navn på avsendere og mottakere, innholdet i e-post og vedlegg, som kan inneholde alle typer personopplysninger avsenderen har tatt med, herunder særlige kategorier av personopplysninger dersom avsenderen har sendt slike, avsenderes IP-adresser, samt innstillinger og lister per mottaker.

Kategorier av registrerte

Den behandlingsansvarliges ansatte og brukere med e-postadresse på domenene som er registrert i Tjenesten, og avsendere av e-post til dem.

Varighet

Databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige kan påbegynnes etter denne avtalens ikrafttreden. Behandlingen er ikke tidsbegrenset og varer inntil avtalen sies opp eller heves av en av partene.

Bilag B – Betingelser for databehandlerens bruk av underleverandører

B.1 Betingelser for bruk av underleverandører

Databehandleren har den behandlingsansvarliges generelle godkjennelse til å benytte seg av underleverandører. Databehandleren skal underrette den behandlingsansvarlige på e-post om eventuelle planlagte endringer vedrørende tilføyelse eller erstatning av underleverandører, og på denne måten gi den behandlingsansvarlige mulighet til å fremme innsigelse mot slike endringer.

Slik underretning skal være den behandlingsansvarlige i hende minimum 1 måned før endringen trer i kraft. Har den behandlingsansvarlige innsigelser mot endringen, skal den behandlingsansvarlige melde fra til databehandleren innen 1 måned etter å ha mottatt underretningen. Den behandlingsansvarlige kan bare fremme innsigelse når det foreligger rimelige, konkrete grunner, og kan da si opp Tjenesten uten kostnad.

B.2 Godkjente underleverandører

Den behandlingsansvarlige har ved avtalens ikrafttreden godkjent bruken av følgende underleverandører:

Navn	Beskrivelse av behandling
Underleverandører i utlandet (EU/EØS)
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Tyskland	Drift av databehandlerens servere i datasenter i Helsinki, Finland, og sikkerhetskopi av innstillinger og filterdata.
Underleverandører i utlandet (utenfor EU/EØS)
Cloudflare, Inc., USA	Navnetjenester og beskyttelse for postvern.no og kundepanelet app.postvern.no. E-posttrafikken går ikke gjennom Cloudflare. Overføring til USA skjer under EUs standardbestemmelser.

Ved vurdering av e-post slår filteret opp avsenderens IP-adresse og domene i offentlige omdømmelister og sender fingeravtrykk (hasher) av innholdet til offentlige fingeravtrykkslagre (rspamd.com). Dette er oppslag, ikke utlevering av innhold.

Den behandlingsansvarlige har ved avtalens ikrafttreden spesifikt godkjent bruken av de nevnte underleverandørene til nettopp den behandlingen som er beskrevet. Databehandleren kan ikke, uten den behandlingsansvarliges spesifikke og skriftlige godkjennelse, bruke den enkelte underleverandør til en annen behandling enn avtalt, eller la en annen underleverandør foreta den beskrevne behandlingen.

Bilag C – Instruks vedrørende behandling av personopplysninger

C.1 Behandlingens gjenstand og instruks

Databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige skjer ved at databehandleren tar imot innkommende e-post til den behandlingsansvarliges domener, vurderer den automatisk, holder tvilsom post i karantene, leverer øvrig post videre til e-postserveren den behandlingsansvarlige har oppgitt, gjør karantenen tilgjengelig for mottakeren og domeneadministratoren, sender daglige rapporter til mottakerne, og lagrer de innstillingene og listene mottakerne og domeneadministratoren legger inn.

C.2 Behandlingssikkerhet

Sikkerhetsnivået skal avspeile at det er snakk om behandling av innholdet i virksomheters e-post, som kan inneholde alle typer personopplysninger. Databehandleren er berettiget og forpliktet til å treffe beslutninger om hvilke tekniske og organisatoriske sikkerhetstiltak som skal anvendes for å sørge for det nødvendige og avtalte sikkerhetsnivået.

Databehandleren skal i alle tilfeller og som minimum gjennomføre følgende tiltak, som er avtalt med den behandlingsansvarlige:

• Kryptert overføring (TLS) inn til Tjenesten, videre til den behandlingsansvarliges e-postserver der serveren støtter det, og i kundepanelet.
• Tilgang til serverne bare med kryptografisk nøkkel, fra navngitte personer, logget. Brannmur og automatiske sikkerhetsoppdateringer.
• Innlogging for mottakere mot den behandlingsansvarliges egen e-postserver eller med engangskode på e-post; passord til postkasser lagres ikke. Kundekonto med hash-lagret passord og sperre etter gjentatte feil.
• Karantene er bare tilgjengelig for mottakeren og domeneadministratoren. Lenker i rapporter er signerte og tidsbegrensede.
• Automatisk sletting etter fristene i punkt C.3.
• Daglig sikkerhetskopi av innstillinger, lister og filterdata, oppbevart i minst 14 dager. Meldingsinnhold sikkerhetskopieres ikke.
• Rutiner for gjenoppretting fra sikkerhetskopi ved en fysisk eller teknisk hendelse.
• Fysisk sikring av lokalene og driftssikkerhet hos Hetzner (ISO 27001-sertifiserte datasentre).
• Logg over hvem som har hatt tilgang til systemene der personopplysninger behandles.

C.3 Oppbevaringsperiode og sletterutiner

Meldinger i karantene slettes etter 30 dager. Kopi av levert post slettes etter 3 dager. Filterlogg (avsender, mottaker, emne, poengsum) slettes etter 60 dager. Avvist post lagres ikke. Lister og innstillinger oppbevares så lenge Tjenesten varer. Når Tjenesten avsluttes for et domene, slettes alle meldinger, kopier, lister og innstillinger for domenet innen 30 dager. Den behandlingsansvarlige kan hente ut meldinger fra karantenen i kundepanelet før avslutning. Fakturagrunnlag (antall postkasser per dag, uten innhold) oppbevares etter bokføringslovens frister.

C.4 Lokalitet for behandling

Behandling av de personopplysningene som er omfattet av avtalen, kan ikke uten den behandlingsansvarliges forutgående skriftlige godkjennelse skje på andre lokaliteter enn Hetzner Online GmbH sitt datasenter i Helsinki, Finland, samt databehandlerens egen server for kundekonto og panel i samme datasenter.

C.5 Instruks eller godkjennelse vedrørende overføring av personopplysninger til land utenfor EU/EØS

Hvis den behandlingsansvarlige ikke i dette avsnittet eller ved en etterfølgende skriftlig meddelelse har angitt en instruks eller godkjennelse vedrørende overføring av personopplysninger til et tredjeland, må databehandleren ikke innenfor rammene av databehandleravtalen foreta slik overføring.

Den behandlingsansvarlige godkjenner at opplysninger om navnetjenester og trafikk til kundepanelet kan passere Cloudflare, Inc. som beskrevet i bilag B, under EUs standardbestemmelser. Innholdet i e-post overføres ikke til land utenfor EU/EØS.

Hvis utlevering av personopplysninger kreves i henhold til EØS-rett eller nasjonal rett som databehandleren er underlagt, skal databehandleren underrette den behandlingsansvarlige om det rettslige kravet før behandlingen, med mindre denne retten av hensyn til viktige samfunnsinteresser forbyr slik underretning.

C.6 Nærmere prosedyrer for den behandlingsansvarliges tilsyn

Den behandlingsansvarlige kan, hvis nødvendig, velge å gjennomføre et tilsyn med overholdelsen av denne databehandleravtalen hos databehandleren. Tilsynet kan gjennomføres av den behandlingsansvarlige selv eller en representant som den behandlingsansvarlige har bemyndiget, med rimelig varsel på e-post. Databehandleren besvarer først skriftlige spørsmål og legger fram dokumentasjon; fysisk tilsyn gjennomføres bare der dette ikke er tilstrekkelig.

Den behandlingsansvarliges eventuelle utgifter i forbindelse med tilsyn dekkes av den behandlingsansvarlige selv. Databehandleren er forpliktet til å avsette de ressursene, hovedsakelig tid, som er nødvendige for at den behandlingsansvarlige kan gjennomføre sitt tilsyn.

Bilag D – Partenes regulering av andre forhold

Det er ingen andre forhold i denne avtalen.