Databehandleravtale

Avtalen inngås mellom kunden (behandlingsansvarlig) og KETL AS (databehandler). Partene forplikter seg til å behandle personopplysninger i henhold til GDPR og norsk personvernlov.

KETL behandler personopplysninger kun for å levere tjenestene kunden abonnerer på. Avtalen gjelder så lenge kunden har aktivt abonnement, pluss retention-perioden beskrevet i personvernerklæringen.

KETL behandler personopplysninger kun etter dokumenterte instrukser fra kunden, inkludert ved overføring til tredjeland. Konsoll- og API-bruk regnes som instrukser.

Alle ansatte hos KETL som har tilgang til personopplysninger har signert taushetsplikt og gjennomført årlig personvern- og sikkerhetstrening.

KETL implementerer egnede tekniske og organisatoriske tiltak, inkludert kryptering i transitt (TLS 1.3) og hvile (AES-256), tilgangskontroll basert på minste privilegium, og kontinuerlig overvåking.

KETL har et offentlig register over under-processors. Kunden får varsel minst 30 dager før nye under-processors tas i bruk, og har rett til å motsette seg endringer.

KETL bistår kunden med å besvare forespørsler fra registrerte, å gjennomføre DPIA/konsekvensvurdering, og å varsle brudd på personopplysningssikkerheten innen 24 timer.

Ved avtaleopphør sletter KETL personopplysninger knyttet til kundens konto og innhold innen 30 dager, eller returnerer dem på kundens forespørsel. Denne fristen går foran Vilkårenes generelle 90-dagers-frist, som kun gjelder kundeinnhold uten personopplysninger. Unntatt er personopplysninger KETL er rettslig forpliktet til å bevare lenger — audit-logg (5 år) og faktura-/betalings-events (7 år) — som beholdes med klare tilgangsbegrensninger ut den lovpålagte oppbevaringstiden og slettes når fristen utløper. Fullstendige lagringstider fremgår av personvernerklæringen.

Kunden har rett til årlig tilsyn. Inntil KETL har oppnådd sertifisering oppfylles tilsynsretten gjennom sikkerhetsdokumentasjon: utfylt sikkerhets-questionnaire, sammendrag av penetrasjonstest og oversikt over tekniske og organisatoriske tiltak. Når uavhengige revisjonsrapporter (SOC 2 Type 2 eller ISO 27001) foreligger, deles disse på forespørsel i stedet.

All overføring til tredjeland skjer på grunnlag av standard kontraktsklausuler (SCC) 2021, supplert med tekniske tiltak som kryptering og pseudonymisering der relevant.

Denne databehandleravtalen er underlagt norsk rett. Tvister som ikke lar seg løse i minnelighet, bringes inn for Oslo tingrett som verneting — i samsvar med lovvalget i Vilkårene (§8).