Databehandleravtale

Avtalen gjelder når Cativity AS («databehandler») behandler personopplysninger på vegne av kunden («behandlingsansvarlig») i Moosecast. Den inngås når kunden godtar vilkårene, og gjelder så lenge kunden har en konto.

1. Formål og omfang

Databehandler behandler personopplysninger bare for å levere tjenesten: vise innhold på skjermer, hente data fra kundens tilkoblede tjenester og håndtere møteromsbooking.

2. Kategorier

• Registrerte: kundens ansatte, brukere og gjester som omtales i innhold eller kalendere.
• Opplysninger: navn, e-postadresse, kalenderoppføringer (tittel, tid, arrangør), bilder og video kunden laster opp, og opplysninger fra kundens egne integrasjoner.
• Særlige kategorier: skal ikke behandles i tjenesten.

3. Databehandlers plikter

• Behandle opplysningene bare etter dokumenterte instrukser fra kunden, som er avtalen og kundens bruk av tjenesten.
• Sørge for at alle med tilgang har taushetsplikt.
• Iverksette tekniske og organisatoriske tiltak etter GDPR art. 32, se punkt 6.
• Bistå kunden med å oppfylle de registrertes rettigheter, blant annet med eksport og sletting fra innstillingene.
• Varsle kunden uten ugrunnet opphold, og senest innen 48 timer, ved brudd på personopplysningssikkerheten.
• Gjøre tilgjengelig informasjon som trengs for å vise at pliktene er oppfylt, og tillate revisjon etter rimelig varsel.

4. Underdatabehandlere

Kunden gir generell godkjenning til underdatabehandlerne på listen over underleverandører. Databehandler varsler minst 30 dager før nye tas i bruk, og kunden kan protestere. Underdatabehandlere bindes av tilsvarende plikter.

5. Overføring ut av EØS

Opplysninger overføres bare ut av EØS med gyldig grunnlag etter GDPR kapittel V, som EUs standardavtaler eller EU–US Data Privacy Framework.

6. Sikkerhetstiltak

• Kryptering under overføring (TLS) og lagring. API-nøkler krypteres i tillegg med AES-256-GCM.
• Kundene er logisk adskilt med radnivåsikkerhet i databasen. Tilganger styres med roller og skjermgrupper.
• Skjermer autentiseres med individuelle nøkler som kan trekkes tilbake.
• Revisjonslogg over endringer i organisasjonen.
• Data og sikkerhetskopier lagres i EU.

7. Opphør

Når avtalen opphører, slettes kundens opplysninger innen 30 dager, med mindre lov krever lagring. Kunden kan laste ned data før sletting.

8. Kontakt

Spørsmål om avtalen: hello@cativity.no. Kunder som trenger en signert versjon, kan be om det.