Databehandleravtale

Denne databehandleravtalen (DPA) gjelder mellom kunden (arrangøren), heretter kalt behandlingsansvarlig, og IMAGEX AS, heretter kalt databehandler. Avtalen inngås automatisk når arrangøren tar Attendly i bruk, og utfyller Attendlys vilkår og personvernerklæring.

1. Formål og omfang

Attendly behandler personopplysninger på vegne av arrangøren for å levere påmelding, deltakerhåndtering, kommunikasjon, innsjekk, betalingsformidling og rapportering i plattformen. Attendly behandler ikke opplysningene til egne formål.

2. Kategorier av registrerte og opplysninger

• Registrerte: deltakere, gjester, foredragsholdere, sponsorkontakter, crew og arrangørens egne brukere.
• Opplysninger: navn, kontaktinformasjon, organisasjon/stilling, påmeldings- og oppmøtedata, kommunikasjonshistorikk, betalingsstatus og eventuelle felter arrangøren selv oppretter (for eksempel allergier eller reisebehov).

Arrangøren bestemmer selv hvilke felter som samles inn, og skal ikke samle inn særlige kategorier av personopplysninger uten gyldig grunnlag og nødvendige tiltak.

3. Instrukser

Attendly behandler personopplysninger kun etter dokumenterte instrukser fra arrangøren. Bruk av plattformens funksjoner regnes som instruks. Attendly varsler arrangøren dersom en instruks etter vår vurdering strider mot personvernregelverket.

4. Taushetsplikt

Alle som får tilgang til personopplysninger hos Attendly er underlagt taushetsplikt. Tilgang gis etter behov og logges.

5. Sikkerhetstiltak

• Kryptering i transitt (TLS) og ved lagring
• Rad-nivå sikkerhet (RLS) slik at data er isolert per organisasjon
• Rollebasert tilgangsstyring og begrensninger per rolle
• Auditlogg over viktige handlinger og endringer
• Sikkerhetskopier og gjenoppretting
• Løpende sikkerhetstesting og oppdatering av avhengigheter

6. Underleverandører

Arrangøren gir Attendly generell godkjenning til å bruke underleverandører. Attendly har databehandleravtale med hver av dem, og varsler ved planlagte endringer slik at arrangøren kan protestere.

7. Overføring utenfor EØS

Primærlagring skjer i EU. Enkelte underleverandører kan behandle data utenfor EØS. Slik overføring skjer på grunnlag av EU-kommisjonens standardavtaler (SCC) med supplerende tiltak.

8. Bistand til behandlingsansvarlig

Attendly bistår arrangøren med å svare på henvendelser om innsyn, retting, sletting og dataportabilitet, og med personvernkonsekvensvurdering og sikkerhet, i den grad det er rimelig og nødvendig. Plattformen har innebygd eksport og sletting av deltakerdata.

9. Avvik og brudd på personopplysningssikkerheten

Attendly varsler arrangøren uten ugrunnet opphold, og senest innen 48 timer, etter at et brudd er oppdaget. Varselet beskriver hva som har skjedd, hvilke opplysninger som er berørt, sannsynlige konsekvenser og iverksatte tiltak.

10. Sletting ved opphør

Ved opphør av kundeforholdet slettes eller anonymiseres personopplysninger innen 30 dager, med mindre lov krever lengre lagring (for eksempel regnskapsdokumentasjon i 5 år). Arrangøren kan eksportere dataene sine før sletting.

11. Revisjon

Attendly gir arrangøren informasjon som er nødvendig for å vise at pliktene i denne avtalen etterleves, og kan legge til rette for revisjon etter nærmere avtale.

12. Betaling og roller

Ved billettsalg er arrangøren selger. Stripe er selvstendig behandlingsansvarlig for betalingsdata, og Attendly lagrer aldri kortnummer.

13. Kontakt

IMAGEX AS
923 275 908
Pegasus vei 8, 3113 Tønsberg, Norge
E-post: support@attendly.no

Trenger dere en signert versjon av denne avtalen, kontakt oss på support@attendly.no.