Databehandleravtale for Synoru GPS

1. Parter og formål

Behandlingsansvarlig er kunden som har bestilt Synoru GPS. Databehandler er SYNORU AS, org.nr. 925 122 041 MVA, Rødmyrjordet 5, 3735 Skien («Synoru»). Formålet er å levere Synoru GPS: registrere turer, vise dem i appen, lage kjørebok per bil og bilkostnader per prosjekt, og vise bilenes posisjon på kart.

2. Hvilke opplysninger og hvem det gjelder

• Registrerte: kundens ansatte og andre som kjører bilene, og brukere av appen.
• Opplysninger: posisjon, tidspunkt, hastighet, kilometer, turer og stopp, kjøretøy, turtype (Forretning eller Privat), formål og prosjekt, og brukerkontoer med navn og e-post.
• Særlige kategorier: skal ikke behandles. Kunden skal ikke skrive helseopplysninger eller lignende i formålsfeltet.

3. Kundens instrukser

Synoru behandler opplysningene bare etter kundens dokumenterte instrukser. Avtalen, vilkårene og kundens valg i appen er instruksene. Mener Synoru at en instruks er i strid med personvernregelverket, sier vi fra til kunden med en gang.

4. Kundens plikter

• Ha behandlingsgrunnlag og et saklig formål for sporingen.
• Informere de ansatte før enhetene tas i bruk, og drøfte tiltaket med tillitsvalgte etter arbeidsmiljøloven kapittel 9.
• Bestemme hvem i firmaet som skal ha tilgang i appen.

5. Taushetsplikt og tilgang

Bare personer hos Synoru som trenger det for å levere, drifte eller gi støtte på tjenesten, får tilgang til opplysningene, og de har taushetsplikt.

6. Sikkerhet

Synoru har tiltak som passer til risikoen, etter personvernforordningen artikkel 32: personlig innlogging med tofaktorinnlogging på web, skille mellom kunder slik at hvert firma bare ser egne data, kryptert overføring (HTTPS), sikkerhetskopier av databasen med kontroll av at kopiene er hele, og oversikt over innlogginger. Synoru beskriver tiltakene nærmere hvis kunden ber om det.

7. Underleverandører

Kunden gir generell forhåndsgodkjenning til at Synoru bruker underleverandører (underdatabehandlere). Synoru inngår avtale med hver av dem med de samme pliktene som i denne avtalen. Databasen med kjøredata ligger på Synorus egen server i Norge, ikke hos en skyleverandør. Synoru bruker underleverandør for SIM-kort og mobildata, som enhetene sender data gjennom, og for e-post. Oppdatert liste over underleverandører får kunden ved henvendelse. Synoru varsler kunden på e-post minst 30 dager før en ny underleverandør tas i bruk, og kunden kan protestere.

8. Overføring ut av EU/EØS

Kjøredataene lagres og behandles i Norge. De overføres ikke ut av EU/EØS uten at kunden er varslet og kravene i personvernforordningen kapittel V er oppfylt.

9. Bistand til kunden

Synoru hjelper kunden med å svare på krav fra de registrerte (innsyn, retting, sletting), med vurderinger av personvernkonsekvenser og med kontakt med Datatilsynet, så langt det gjelder Synorus del av behandlingen.

10. Brudd på sikkerheten

Oppdager Synoru et brudd på personopplysningssikkerheten, varsler vi kunden uten ugrunnet opphold og senest innen 48 timer, med det vi vet om hva som har skjedd, hvem det gjelder og hva vi gjør med det.

11. Kontroll

Synoru gir kunden informasjonen som trengs for å vise at avtalen følges. Kunden kan be om en gjennomgang med rimelig varsel. Hver part dekker egne kostnader.

12. Lagringstid og sletting

• Kjøredata lagres så lenge avtalen varer. Turer kan ikke slettes i appen, fordi kjøreboka skal være fullstendig. Kunden kan be Synoru om å rette eller slette opplysninger.
• Før avtalen slutter, kan kunden eksportere kjørebøkene i appen. Når avtalen er slutt, sletter Synoru kundens kjøredata, også i sikkerhetskopier, innen 90 dager, og bekrefter slettingen på e-post hvis kunden ber om det.

13. Varighet

Avtalen gjelder så lenge Synoru behandler personopplysninger for kunden.

14. Lovvalg

Avtalen reguleres av norsk rett, med verneting i Telemark tingrett.