Vinnslusamningur

1. Aðilar og gildissvið

Samningurinn er milli viðskiptavinar (fyrirtækis skráðs notanda) sem ábyrgðaraðila og Nómi ehf., Reykjavík, sem vinnsluaðila. Hann gildir um þá vinnslu persónuupplýsinga sem Nómi ehf. framkvæmir fyrir hönd viðskiptavinar við notkun Fivesay — fyrst og fremst geymslu póstlista og sendingu kannana á starfsfólk.

Nafnlaus könnunarsvör falla utan samningsins: þau innihalda engin persónuauðkenni og teljast ekki persónuupplýsingar eftir að svar hefur verið sent inn.

2. Efni vinnslunnar

3. Skyldur vinnsluaðila

Nómi ehf. skuldbindur sig til að:

• vinna persónuupplýsingar eingöngu samkvæmt skjalfestum fyrirmælum viðskiptavinar — notkun þjónustunnar telst slík fyrirmæli — og aldrei í eigin þágu,
• tryggja að starfsfólk með aðgang sé bundið trúnaði,
• gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir (sbr. 32. gr. GDPR), þar á meðal dulkóðun í flutningi og hvíld, aðgangsstýringar og lágmörkun gagna,
• aðstoða viðskiptavin við að svara beiðnum skráðra einstaklinga um réttindi sín,
• tilkynna viðskiptavini án ótilhlýðilegrar tafar verði öryggisbrestur við vinnslu persónuupplýsinga,
• veita þær upplýsingar sem sanngjarnt er að krefjast til að sýna fram á að skyldur samkvæmt 28. gr. GDPR séu uppfylltar og heimila úttektir með hæfilegum fyrirvara,
• eyða eða skila persónuupplýsingum við lok þjónustu, sbr. 7. gr.

4. Undirvinnsluaðilar

Viðskiptavinur veitir almenna heimild fyrir eftirtöldum undirvinnsluaðilum:

Breytingar á listanum verða kynntar skráðum notendum með hæfilegum fyrirvara svo unnt sé að andmæla. Undirvinnsluaðilar eru bundnir sambærilegum skyldum og hér greinir.

5. Flutningur út fyrir EES

Gagnagrunnur þjónustunnar er innan ESB. Þar sem vinnsla fer fram í Bandaríkjunum (tölvupóstsending, hlutar hýsingar) byggir flutningurinn á EU-US Data Privacy Framework eða stöðluðum samningsskilmálum framkvæmdastjórnar ESB (SCC).

6. Ábyrgð viðskiptavinar

Viðskiptavinur ábyrgist að hafa lögmætan grundvöll fyrir vinnslu netfanga starfsfólks síns, að upplýsa starfsfólk um kannanir í samræmi við 13.–14. gr. GDPR og að nota þjónustuna í samræmi við þjónustuskilmála.

7. Eyðing við lok þjónustu

Við eyðingu póstlista, reiknings eða lok viðskiptasambands eyðir Nómi ehf. persónuupplýsingum sem unnar voru fyrir hönd viðskiptavinar án ótilhlýðilegrar tafar, nema lög kveði á um áframhaldandi varðveislu. Nafnlaus samandregin svör, sem innihalda engin persónuauðkenni, geta staðið áfram.

8. Gildistími og forgangur

Samningurinn gildir á meðan Nómi ehf. vinnur persónuupplýsingar fyrir hönd viðskiptavinar. Stangist hann á við þjónustuskilmála gengur vinnslusamningurinn framar að því er varðar vinnslu persónuupplýsinga. Um samninginn gilda íslensk lög.