Databehandleravtale

Avtalen inngås mellom kunden (behandlingsansvarlig) og KETL AS (databehandler). Partene forplikter seg til å behandle personopplysninger i henhold til GDPR og norsk personvernlov.

KETL behandler personopplysninger kun for å levere tjenestene kunden abonnerer på. Avtalen gjelder så lenge kunden har aktivt abonnement, pluss retention-perioden beskrevet i personvernerklæringen.

KETL behandler personopplysninger kun etter dokumenterte instrukser fra kunden, inkludert ved overføring til tredjeland. Konsoll- og API-bruk regnes som instrukser.

Alle ansatte hos KETL som har tilgang til personopplysninger har signert taushetsplikt og gjennomført årlig personvern- og sikkerhetstrening.

KETL implementerer egnede tekniske og organisatoriske tiltak, inkludert kryptering i transitt (TLS 1.3) og hvile (AES-256), tilgangskontroll basert på minste privilegium, og kontinuerlig overvåking.

KETL har et offentlig register over under-processors. Kunden får varsel minst 30 dager før nye under-processors tas i bruk, og har rett til å motsette seg endringer.

KETL bistår kunden med å besvare forespørsler fra registrerte, å gjennomføre DPIA/konsekvensvurdering, og å varsle brudd på personopplysningssikkerheten innen 24 timer.

Ved avtaleopphør sletter KETL alle personopplysninger innen 30 dager, eller returnerer dem på kundens forespørsel. Kopier som kreves av lov beholdes med klare restriksjoner.

Kunden har rett til årlig tilsyn. Inntil KETL har oppnådd sertifisering oppfylles tilsynsretten gjennom sikkerhetsdokumentasjon: utfylt sikkerhets-questionnaire, sammendrag av penetrasjonstest og oversikt over tekniske og organisatoriske tiltak. Når uavhengige revisjonsrapporter (SOC 2 Type 2 eller ISO 27001) foreligger, deles disse på forespørsel i stedet.

All overføring til tredjeland skjer på grunnlag av standard kontraktsklausuler (SCC) 2021, supplert med tekniske tiltak som kryptering og pseudonymisering der relevant.