MuchBetter Forretning
TILLEGG TIL DATABESKYTTELSE

1. Definisjoner

Alle termer med stor bokstav som ikke er definert i dette tillegget til databeskyttelse («DPA») har den betydningen som er angitt i avtalen.

1. Tilknytte betyr enhver person eller enhet som direkte eller indirekte kontrollerer, kontrolleres av eller er under felles kontroll med en part. I denne definisjonen betyr «kontroll» (inkludert, med tilsvarende betydning, begrepene «kontrollerende», «kontrollert av» og «under felles kontroll med») makten til å styre eller styre den aktuelle personens eller enhetens anliggender, enten gjennom eierskap til stemmeberettigede verdipapirer, gjennom kontrakt eller på annen måte.
2. Avtale betyr MuchBetter-avtalen for bedriftskontotjenester mellom MIR og kontoinnehaver som innebærer tilgang til eller annen behandling av personopplysninger;
3. Godkjent jurisdiksjon betyr en EØS-stat, eller annen jurisdiksjon som kan være godkjent for å ha tilstrekkelig juridisk beskyttelse av data av Europakommisjonen, eller av britiske tilstrekkelighetsforskrifter utstedt i henhold til paragraf 17A i databeskyttelsesloven av 2018 eller paragraf 4 og 5 i vedlegg 21 i databeskyttelsesloven av 2018, alt etter hva som er aktuelt;
4. Bruddhendelse betyr et sikkerhetsbrudd som fører til utilsiktet eller ulovlig ødeleggelse, tap, endring, uautorisert avsløring av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet;
5. Databeskyttelseslover betyr alle gjeldende nasjonale og utenlandske lover, regler, direktiver og forskrifter som gjelder personvern, datasikkerhet og/eller beskyttelse av personopplysninger, inkludert personvern- og elektronisk kommunikasjonsdirektiv 2002/58/EF (og respektive lokale implementeringslover) om behandling av personopplysninger og personvern i den elektroniske kommunikasjonssektoren (direktiv om personvern og elektronisk kommunikasjon), inkludert eventuelle endringer eller erstatninger av dem, inkludert forordning (EU) 2016/679 fra Europaparlamentet og Rådet av 27. april 2016 («GDPR») og inkludert databeskyttelsesloven av 2018 og GDPR slik den er en del av lovgivningen i England og Wales, Skottland og Nord-Irland i kraft av paragraf 3 i EU-lov (utmelding) av 2018 («UK GDPR»).
6. EØS betyr de landene som er medlemmer av Det europeiske økonomiske samarbeidsområdet.
7. MIR betyr MIR Limited UK Ltd, leverandør av MuchBetter-bedriftskontotjenester
8. Personopplysninger eller «Personopplysninger» betyr all informasjon som handler om, eller kan relateres til, en identifiserbar person. Det inkluderer all informasjon som kan knyttes til en person eller brukes til å direkte eller indirekte identifisere en individuell, fysisk person. Personopplysninger skal anses som konfidensiell informasjon uavhengig av kilde.
9. Behandle betyr enhver operasjon eller sett med operasjoner som utføres på personopplysninger, enten det er automatisk eller ikke, for eksempel innsamling, registrering, organisering, lagring, tilpasning eller endring, tilgang til, innhenting, konsultasjon, bruk, utlevering ved overføring, formidling eller annen tilgjengeliggjøring, sammenstilling eller kombinasjon, blokkering, sletting eller destruksjon. «Prosesser» eller «behandling» skal tolkes deretter.
10. Standard kontraktsklausuler eller «SCC-er» den gjeldende modulen i standardkontraktsklausulene for overføring av personopplysninger til tredjeland i henhold til Europaparlaments- og rådsforordning (EU) 2016/679 fra 4. juni 2021, som kan endres, erstattes eller erstattes fra tid til annen.
11. Tillegg for Storbritannia betyr tillegget til standardkontraktsklausulene for internasjonal dataoverføring, som trådte i kraft 21. mars 2022.

2. Anvendelse av denne databehandleravtalen

1. Denne databehandleravtalen gjelder kun i den grad alle følgende betingelser er oppfylt:
   
   1. En av partene behandler personopplysninger som gjøres tilgjengelige av den andre parten i forbindelse med avtalen;
   2. Personvernloven gjelder for behandling av personopplysninger.
2. Denne databehandleravtalen gjelder kun for tjenestene som partene ble enige om i avtalen, og som innlemmer databehandleravtalen ved referanse.

3. Databeskyttelse og personvern

1. I den grad en part har tilgang til eller på annen måte behandler personopplysninger som er gjort tilgjengelige for den andre parten, skal denne parten:
   
   1. Være en uavhengig behandlingsansvarlig for personopplysninger og vil bestemme formålene og midlene for behandlingen i samsvar med avtalen og personvernlovgivningen.
   2. Behandle kun personopplysningene i samsvar med kravene i personvernlovgivningen, og som påkrevd i henhold til personvernlovgivningen, føre nøyaktige skriftlige oversikter over all behandling av personopplysninger som utføres i henhold til avtalen.
   3. Uten å avvike fra det foregående, være ansvarlig for å gi den registrerte all informasjon som kreves i henhold til personvernlovgivningen, og å la registrerte utøve sine rettigheter i henhold til personvernlovgivningen, og skal gi den andre parten rimelig samarbeid og bistand for å oppfylle de foregående og eventuelle juridiske eller regulatoriske forpliktelser;
   4. Implementere og opprettholde kommersielt rimelige og passende fysiske, tekniske og organisatoriske sikkerhetstiltak for å beskytte personopplysninger mot utilsiktet eller ulovlig ødeleggelse; utilsiktet tap, endring, uautorisert utlevering av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet, og alle andre ulovlige former for behandling;
   5. Overholde eventuelle varslingsplikter om brudd på personopplysninger til tilsynsmyndigheten og kommunikasjonsplikter overfor registrerte, som kreves i henhold til personvernlovgivningen;
   6. Varsle den andre parten uten unødig forsinkelse og senest tjuefire (24) timer etter at vedkommende har blitt oppmerksom på en bruddhendelse.
2. Den parten som i utgangspunktet innhenter personopplysningene fra en registrert person, er ansvarlig for å innhente eventuelle samtykker som kan kreves fra den registrerte (i hvert tilfelle i den grad det er nødvendig for å overholde personvernlovgivningen) og for å gi informasjon til den registrerte før innsamling av personopplysningene (f.eks. «personvernerklæring» eller «personvernerklæring»), som er nødvendig for å overholde personvernlovgivningen. Det foregående skal ikke fravike den andre partens ansvar i henhold til personvernlovgivningen (for eksempel kravet om å gi informasjon til den registrerte når personopplysningene behandles i forbindelse med behandling av personopplysninger).
3. Hver part kan utnevne underleverandører, inkludert tilknyttede selskaper, til å behandle personopplysninger på sine vegne («underbehandlere») med det formål å utføre sine forpliktelser og tjenester i henhold til avtalen, forutsatt at: (i) utnevnelsen skal være underlagt en skriftlig avtale med den utnevnte underbehandleren som, der det er aktuelt, inneholder vilkår som gir tilsvarende beskyttelse av personopplysninger som angitt i dette personverntillegget; og (ii) hver part skal være ansvarlig for handlinger eller unnlatelser fra sine egne underbehandlere i samme grad den er ansvarlig for sine egne handlinger eller unnlatelser i henhold til dette personverntillegget, avtalen og personvernlovgivningen.

4. Overføring av personopplysninger

Partene skal ikke behandle eller overføre personopplysninger utenfor en godkjent jurisdiksjon;

1. Dersom en part ønsker å behandle personopplysninger i eller overføre personopplysninger til en annen jurisdiksjon enn en godkjent jurisdiksjon, skal den anses å ha inngått standardkontraktsklausulene (SCC-ene), der det er aktuelt, sammen med det britiske tillegget, i så fall: (i) det britiske tillegget og standardkontraktsklausulene er innlemmet heri ved referanse; og (ii) parten som utleverer personopplysningene skal anses som eksportør og parten som mottar personopplysningene skal anses som importør (slik disse begrepene er definert deri).

5. Generelt

1. Dersom noen av personvernlovene erstattes av nye eller endrede personvernlover (inkludert avgjørelser eller tolkninger fra en relevant domstol eller myndighet knyttet til disse), skal de nye eller endrede personvernlovene anses å være innlemmet i dette tillegget til personvern, og begge parter skal umiddelbart begynne å overholde slike personvernlover.
2. Hvis det er noen konflikt eller uoverensstemmelse mellom vilkårene i denne databehandleravtalen og standardkontraktsklausulene eller det britiske tillegget (der det er aktuelt), skal vilkårene i standardkontraktsklausulene eller det britiske tillegget (der det er aktuelt) gjelde.

Vedlegg I til standardkontraktsklausulene

1. Vedlegg 1 er en del av databehandleravtalen og angir partenes avtalte tolkning av deres respektive forpliktelser i henhold til det britiske tillegget og/eller standardkontraktsklausuler.
2. Partene er enige om at følgende skal gjelde for overføring av personopplysninger mellom MIR og kontoinnehaver:
   
   1. Klausul 7 i standardkontraktsklausulene gjelder ikke.
   2. Tilsynsmyndigheten skal være det britiske informasjonskommisjonærens kontor der det britiske tillegget er innlemmet, eller den irske databeskyttelseskommisjonæren når bare standardkontraktsklausulene er innlemmet.
   3. Lovene i England og Wales skal gjelde når det britiske tillegget gjelder, og i Irland der det ikke gjør det.
   4. Partene velger engelske domstoler som sitt valg av forum og jurisdiksjon når det britiske tillegget gjelder, og Irland når det ikke gjør det.
   5. I tabell 4 i det britiske tillegget kan hver av partene si opp avtalen i samsvar med paragraf 19 i det britiske tillegget.

Identifikasjon av parter

«Dataeksportør»: oversenderen av personopplysninger;

«Dataimportør»mottakeren av personopplysninger

Beskrivelse av overføring

Datasubjekter

Personopplysningene som behandles gjelder følgende kategorier av registrerte (vennligst spesifiser):

• ☐ MIRs ansatte
• ☐ MIRs kunder
• ☐ Kontoinnehaverens sluttbrukere
• ☐ Kontoinnehaverens ansatte
• ☐ Kontoinnehaverens kunder
• ☐ Annet: ________

Kategorier av personopplysninger

Personopplysningene som overføres gjelder følgende kategorier av data (vennligst spesifiser):

• ☐ Kontaktinformasjon (navn, alder, kjønn, adresse, telefonnummer, e-postadresse osv.)
• ☐ Finansielle og betalingsdata (f.eks. kredittkortnummer, bankkonto, transaksjoner)
• ☐ Offentlig ID (pass, førerkort)
• ☐ Enhetsidentifikatorer og internett- eller elektronisk nettverksaktivitet (IP-adresser, GAID/IDFA, nettleserlogg, tidsstempler)
• ☐ Geolokasjonsinformasjon
• ☐ Biometriske data
• ☐ Annet: ________

Spesielle datakategorier (hvis aktuelt)

Personopplysningene som overføres gjelder følgende spesielle kategorier av opplysninger (vennligst spesifiser):

• ☐ Ingen
• ☐ Genetiske eller biometriske data
• ☐ Helsedata
• ☐ Rasemessig eller etnisk opprinnelse
• ☐ Politiske meninger, religiøse eller filosofiske overbevisninger
• ☐ Annet: ________

Overføringsfrekvensen:

• ☐ Engangskjøp
• ☐ Kontinuerlig
• ☐ Annet: ________

Behandlingens art

• ☐ Samling
• ☐ Opptak
• ☐ Organisering eller strukturering
• ☐ Oppbevaring
• ☐ Tilpasning eller endring
• ☐ Henting
• ☐ Konsultasjon
• ☐ Offentliggjøring, formidling eller annen tilgjengeliggjøring
• ☐ Analyse
• ☐ Sletting eller ødeleggelse
• ☐ Annet: ________
•  

Formålet med overføringen og videre behandling

• ☐ Å tilby, administrere og drive MBB-kontotjenester
• ☐ Annet: ________

Oppbevaringsperiode

Personopplysninger vil bli oppbevart så lenge avtalen varer eller i samsvar med gjeldende lov.

Vedlegg II til standardkontraktsklausulene – Tekniske og organisatoriske tiltak, inkludert tekniske og organisatoriske tiltak for å sikre datasikkerheten

Dette vedlegget er en del av databehandleravtalen og beskriver de tekniske og organisatoriske sikkerhetstiltakene som er implementert av dataimportøren.

Tatt i betraktning det nåværende tekniske nivået, implementeringskostnadene og behandlingens art, omfang, kontekst og formål, samt risikoen av varierende sannsynlighet og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal dataimportøren implementere passende tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er passende for risikoen, inkludert blant annet etter behov:

• pseudonymisering og kryptering av personopplysninger;
• evnen til å sikre den løpende konfidensialiteten, integriteten, tilgjengeligheten og robustheten til behandlingssystemer og -tjenester;
• muligheten til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger på en rettidig måte i tilfelle en fysisk eller teknisk hendelse;
• en prosess for regelmessig testing, vurdering og evaluering av effektiviteten av tekniske og organisatoriske tiltak for å sikre sikkerheten ved behandlingen; og
• vedlikehold av retningslinjer for informasjonssikkerhet og personvern