Sist endret: 1. september 2026

MSP Databehandleravtale

Denne databehandleravtalen («Avtalen») utgjør en del av avtalen for leverandører av administrerte tjenester («Hovedavtalen») mellom Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Sveits, organisasjonsnummer CHE-354.686.492 (referert til som «Databehandleren»), og MSP-en identifisert i Hovedavtalen (referert til som «Selskapet», og som skal forstås som leverandøren av administrerte tjenester som bruker Tjenestene til å klargjøre, fakturere for og støtte sine egne Administrerte kunder, uavhengig av juridisk form).

Denne Avtalen regulerer de spesifikke kravene i Personvernlovgivningen i den grad Selskapets bruk av Tjenestene, inkludert Selskapets levering av Tjenestene til Administrerte kunder, innebærer Behandling av Personopplysninger underlagt Personvernlovgivningen.

Gyldighetstiden for denne avtalen skal følge gyldighetstiden for Hovedavtalen. Begreper som ikke er definert her, skal ha den betydningen som er angitt i Hovedavtalen.

BAKGRUNN

A) Selskapet opptrer som Behandlingsansvarlig, eller, der en Administrert kunde selv instruerer Behandlingen av sine egne Personopplysninger, som Databehandler på vegne av den Administrerte kunden (i begge tilfeller «Behandlingsansvarlig»).

B) Selskapet ønsker å sette ut visse Tjenester, som innebærer Behandling av Personopplysninger, til Proton AG, som opptrer som Databehandler («Databehandleren»).

C) Partene søker å implementere en databehandleravtale som er i samsvar med kravene i det gjeldende juridiske rammeverket for databehandling, inkludert forordning (EU) 2016/679 («GDPR») og den sveitsiske føderale personvernloven («FADP»), samt annen gjeldende Personvernlovgivning.

D) Partene ønsker å fastsette sine respektive rettigheter og forpliktelser.

DET ER AVTALT FØLGENDE:

1. Definisjoner, roller og virkeområde

1.1 Definisjoner. Med mindre annet er definert her, har termer med stor forbokstav den betydningen som er gitt i Hovedavtalen eller, der de ikke er definert der, følgende betydning:

«Selskapets personopplysninger» betyr alle Personopplysninger relatert til Selskapet, Selskapets Administrerte kunder eller deres respektive kunder eller ansatte, som Behandles i forbindelse med Hovedavtalen.
«Avtalt databehandler» betyr en Underdatabehandler.
«Personvernlovgivning» betyr GDPR, FADP og, i den grad det er gjeldende, personvernlovene i ethvert annet land.
«Dataoverføring» betyr (i) en overføring av Selskapets personopplysninger fra Selskapet til Databehandleren eller en Avtalt databehandler, eller (ii) en videreoverføring av Selskapets personopplysninger fra Databehandleren til en Underdatabehandler, eller mellom to etableringer av en Underdatabehandler.
«Administrert kunde» har den betydningen som er gitt i Hovedavtalen: en sluttbrukerenhet som Selskapet klargjør og leverer Tjenestene til som en del av Selskapets eget administrerte tjenestetilbud.
«Underdatabehandler» betyr enhver person eller enhet utpekt av eller på vegne av Databehandleren til å Behandle Personopplysninger i forbindelse med Avtalen.
Begrepene «Kommisjonen», «Behandlingsansvarlig», «Registrert», «Medlemsstat», «Personopplysninger», «Brudd på personopplysningssikkerheten», «Behandling» og «Tilsynsmyndighet» har samme betydning som i GDPR eller annen gjeldende Personvernlovgivning.

1.2 Partenes roller. I forholdet mellom Proton og Selskapet er Selskapet Behandlingsansvarlig (eller, etter hva som er aktuelt, Databehandleren som handler på instruks fra en Administrert kunde) og Proton er Databehandleren, med hensyn til alle Selskapets personopplysninger som Behandles under Hovedavtalen, inkludert Personopplysninger om eller knyttet til Administrerte kunder og deres respektive sluttbrukere. Denne Avtalen utgjør den fullstendige og eksklusive databehandlingsordningen mellom Proton og enhver part i kjeden av Administrerte kunder. Proton har intet direkte kontraktsforhold, forhold som Behandlingsansvarlig–Databehandler eller Databehandler–Underdatabehandler med noen Administrert kunde, og ingen Administrert kunde er part i, eller tredjepartsbegunstiget av, denne Avtalen. Selskapet er eneansvarlig for sine avtaler med og forpliktelser overfor sine Administrerte kunder, inkludert eventuelle personvernbestemmelser Selskapet skylder dem i henhold til gjeldende lov eller kontrakt.

1.3 Selskapets nedstrømsansvar. Selskapet skal inngå en skriftlig avtale med hver Administrerte kunde som pålegger Selskapet personvernforpliktelser som ikke gir mindre beskyttelse for den Administrerte kundens Personopplysninger enn forpliktelsene Proton har overfor Selskapet i henhold til denne Avtalen, i den grad det er relevant for arten av Tjenestene Selskapet leverer til den Administrerte kunden. Protons forpliktelser i henhold til denne Avtalen gjelder utelukkende overfor Selskapet; Selskapet forblir eneansvarlig overfor sine Administrerte kunder for Behandlingen av deres Personopplysninger, inkludert for enhver handling eller unnlatelse fra Proton, i forholdet mellom Selskapet og dets Administrerte kunder.

2. Behandling av Selskapets personopplysninger

Databehandleren skal:

overholde all gjeldende Personvernlovgivning ved Behandling av Selskapets personopplysninger; og
ikke Behandle Selskapets personopplysninger på annen måte enn etter Selskapets dokumenterte instrukser, som angitt nedenfor.

Selskapet instruerer Databehandleren om å Behandle Selskapets personopplysninger til å:

levere Tjenestene og relatert teknisk støtte til Selskapet og, gjennom Selskapet, til Administrerte kunder;
oppfylle juridiske forpliktelser eller løse tvister;
utføre interne oppgaver rettet mot å optimalisere sikkerheten, personvernet, konfidensialiteten og funksjonaliteten til Tjenestene; og
utføre intern rapportering, finansiell rapportering og andre lignende interne oppgaver.

3. Databehandlerens personell

Databehandleren skal iverksette rimelige tiltak for å sikre påliteligheten til enhver ansatt, agent eller leverandør hos enhver Avtalt databehandler som kan ha tilgang til Selskapets personopplysninger, og i hvert tilfelle sikre at tilgangen er strengt begrenset til de personene som har behov for å kjenne til eller ha tilgang til de relevante av Selskapets personopplysninger, slik det er strengt nødvendig for formålene med Hovedavtalen og/eller for å overholde Personvernlovgivningen, og sikre at alle slike personer er underlagt taushetserklæringer eller profesjonelle eller lovbestemte taushetsplikter.

4. Sikkerhet

I samsvar med artikkel 32(1) i GDPR skal Databehandleren iverksette egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er egnet med hensyn til risikoen, idet det tas hensyn til den tekniske utviklingen, gjennomføringskostnadene og Behandlingens art, omfang, formål og sammenhengen den utføres i. Disse tiltakene er utformet for å beskytte fysiske personers rettigheter og friheter, med tanke på risikoer av varierende sannsynlighets- og alvorlighetsgrad, inkludert risikoen for et Brudd på personopplysningssikkerheten. Selskapet skal iverksette egnede tekniske og organisatoriske tiltak for sin egen Behandling av Selskapets personopplysninger, inkludert administrasjon av Administrerte kunders kontoer gjennom MSP-administratorlisenser, og skal sikre at tilgang til slike kontoer er begrenset til personell i Selskapet som har behov for det, beskyttet av egnede autentiseringskontroller og omgående tilbakekalt når det ikke lenger er nødvendig.

5. Bruk av underdatabehandlere

Underlagt denne Avtalen gir Selskapet generell fullmakt til at Databehandleren kan engasjere Underdatabehandlere og utlevere eller overføre Selskapets personopplysninger til dem. Selskapet anerkjenner og godkjenner listen over Underdatabehandlere som er angitt i Databehandlerens Personvernerklæring, med forståelse av at denne listen kan oppdateres av Databehandleren fra tid til annen, i hvilket tilfelle Selskapet skal informeres i henhold til varslingsprosedyren i Personvernerklæringen. Selskapet gir videre Databehandleren fullmakt til å utlevere og overføre Personopplysninger til ethvert selskap i konsernet. Databehandleren skal sikre at Underdatabehandlere er underlagt en avtale med Databehandleren som ikke er mindre restriktiv og beskyttende enn denne Avtalen med hensyn til beskyttelse av Selskapets personopplysninger, i den grad det er relevant for arten av tjenestene levert av den Underdatabehandleren. For å unngå tvil er Selskapet ikke en Underdatabehandler for Proton, og denne delen gjelder ikke for Selskapets eget engasjement av noen Administrert kunde eller tredjepart.

6. De registrertes rettigheter

Databehandleren skal, idet det tas hensyn til Behandlingens art, i rimelig grad bistå Selskapet med å oppfylle Selskapets forpliktelse til å svare på anmodninger om utøvelse av den Registrertes rettigheter i henhold til Personvernlovgivningen, inkludert anmodninger som Selskapet mottar fra, eller på vegne av, en Administrert kunde eller den Administrerte kundens egne sluttbrukere.

Databehandleren skal:

omgående varsle Selskapet dersom den mottar en anmodning fra en Registrert i henhold til gjeldende Personvernlovgivning vedrørende Selskapets personopplysninger; og

sikre at den ikke svarer på denne anmodningen med mindre det foreligger dokumenterte instrukser fra Selskapet eller det kreves av gjeldende lov, i hvilket tilfelle Databehandleren, i den grad det er lovlig tillatt, skal informere Selskapet om dette lovkravet før det svares.

Selskapet er eneansvarlig for å besvare, og koordinere med eventuelle Administrerte kunder angående, enhver anmodning fra en Registrert knyttet til den Administrerte kundens Personopplysninger; Databehandleren har ingen forpliktelse til å identifisere eller kommunisere direkte med noen Administrert kunde.

7. Brudd på personopplysningssikkerheten

Databehandleren skal håndtere ethvert Brudd på personopplysningssikkerheten i samsvar med gjeldende Personvernlovgivning og sine interne prosedyrer for Brudd på personopplysningssikkerheten. Ved et Brudd på personopplysningssikkerheten som påvirker Selskapets personopplysninger, skal Databehandleren varsle Selskapet uten ugrunnet opphold og gi tilstrekkelig informasjon til at Selskapet kan oppfylle sine egne forpliktelser i henhold til Personvernlovgivningen, inkludert, der det er aktuelt, informere berørte Administrerte kunder og Registrerte. Databehandleren skal samarbeide med Selskapet og iverksette rimelige kommersielle tiltak etter instruks fra Selskapet for å bistå ved etterforskning, begrensning og retting av hvert slikt Brudd på personopplysningssikkerheten. Hver Part skal bære kostnadene for etterforskning, retting, begrensning og andre relaterte kostnader i den grad et Brudd på personopplysningssikkerheten er forårsaket av denne Parten. Hver Part skal bære kostnadene for eventuelle bøter, sanksjoner, erstatningskrav eller andre relaterte beløp pålagt av en kompetent tilsynsmyndighet i den grad de oppstår som følge av Partens eget brudd på sine forpliktelser i henhold til denne Avtalen. Selskapet er eneansvarlig for varsler om brudd til sine Administrerte kunder og deres Registrerte, samt for tidspunktet og innholdet i disse varslene.

8. Vurdering av personvernkonsekvenser og forhåndskonsultasjon

Databehandleren skal gi rimelig bistand til Selskapet ved vurderinger av personvernkonsekvenser og forhåndshøringer med tilsynsmyndigheter som Selskapet med rimelighet anser som påkrevd i henhold til artikkel 35 eller 36 i GDPR eller tilsvarende bestemmelser i annen Personvernlovgivning, i hvert tilfelle utelukkende i forbindelse med Behandling av Selskapets personopplysninger utført av, og under hensyntagen til Behandlingens art og informasjonen som er tilgjengelig for, de Avtalte databehandlerne.

9. Sletting eller retur av Selskapets personopplysninger

Ved opphør av enhver Tjeneste som involverer Behandling av Selskapets personopplysninger, skal Databehandleren slette alle Selskapets personopplysninger i den grad det er tillatt i henhold til gjeldende lov og i samsvar med Databehandlerens vilkår og betingelser samt Personvernerklæring. Dersom Selskapet krever en kopi av Selskapets personopplysninger, må dette anmodes før sletting; anmodninger fremsatt etter sletting kan ikke lenger tas til følge. Ved opphør av Hovedavtalen forblir Selskapet eneansvarlig for å administrere sletting, retur eller overføring av enhver Administrert kundes Personopplysninger i forholdet mellom Selskapet og den Administrerte kunden, i samsvar med avsnitt 5.4 i Hovedavtalen (Overgangsbistand).

10. Revisjonsrettigheter

Underlagt dette avsnitt 10 skal Databehandleren etter anmodning gjøre all informasjon som er nødvendig for å påvise samsvar med denne Avtalen, tilgjengelig for Selskapet, og skal gi mulighet for og bidra til revisjoner, inkludert inspeksjoner, utført av Selskapet eller en revisor bemyndiget av Selskapet, i forbindelse med Behandlingen av Selskapets personopplysninger utført av de Avtalte databehandlerne. Selskapet skal ikke utøve sine revisjonsrettigheter i henhold til dette avsnittet mer enn én gang per kalenderår, unntatt etter et Brudd på personopplysningssikkerheten eller etter pålegg fra en tilsynsmyndighet. Selskapet skal gi Databehandleren minst seksti (60) dagers forhåndsvarsel skriftlig om sin intensjon om å foreta revisjon. Revisjonen skal gjennomføres i Databehandlerens åpningstid, skal ikke forstyrre Databehandlerens drift, og skal sikre beskyttelse av Selskapets, Databehandlerens og andre Registrertes Personopplysninger. Partene skal på forhånd bli enige om dato, omfang, varighet samt sikkerhets- og konfidensialitetskontroller som gjelder for revisjonen; Databehandleren kan kreve en konfidensialitetsavtale forut for revisjonen. Informasjons- og revisjonsrettigheter i henhold til dette avsnittet oppstår bare i den grad denne Avtalen ikke ellers gir Selskapet informasjons- og revisjonsrettigheter som oppfyller de relevante kravene i Personvernlovgivningen. Dersom en Administrert kunde ber om informasjon om Protons Behandling som ledd i Selskapets egne aktsomhetsvurderinger overfor den Administrerte kunden, kan Selskapet støtte seg på dette avsnittet for å innhente nødvendig informasjon fra Databehandleren og videreformidle den, men den Administrerte kunden har selv ingen uavhengig revisjonsrett overfor Databehandleren.

11. Dataoverføring

I den grad det er mulig skal Databehandleren bare overføre eller godkjenne overføring av Selskapets personopplysninger til land innenfor Sveits, EU og/eller land som er gjenstand for en beslutning om tilstrekkelig beskyttelsesnivå, slik det fremgår av artikkel 45 i GDPR og artikkel 16 i den sveitsiske FADP. Dersom Selskapets personopplysninger som Behandles under denne Avtalen, overføres fra Sveits, EU eller et land som er underlagt en beslutning om tilstrekkelig beskyttelsesnivå, til et land utenfor dette virkeområdet, skal Partene sikre at Personopplysningene er tilstrekkelig beskyttet ved å basere seg på – med mindre annet er avtalt – Sveits-, EU- og/eller Storbritannia-godkjente og til enhver tid gjeldende standardkontraktsklausuler eller andre overføringsmekanismer fastsatt av Personvernlovgivningen. Databehandleren skal ha fullmakt til å utføre slike overføringer til Underdatabehandlere forutsatt at det iverksettes nødvendige garantier under hensyntagen til overføringens art.

12. Generelle vilkår

12.1 Overholdelse av gjeldende lover. Databehandleren vil Behandle Selskapets personopplysninger i samsvar med denne Avtalen og Personvernlovgivningen som gjelder for dens rolle under denne Avtalen. Databehandleren er ikke ansvarlig for å overholde Personvernlovgivning som utelukkende gjelder for Selskapet, eller for noen Administrert kunde, i kraft av deres respektive virksomhet eller bransje.

12.2 Konfidensialitet. Hver Part skal behandle all informasjon den mottar om den andre Parten i forbindelse med denne Avtalen konfidensielt, og skal ikke bruke eller utlevere den uten skriftlig forhåndssamtykke fra den andre Parten, unntatt i den grad (a) utlevering er påkrevd ved lov, eller (b) informasjonen allerede er offentlig tilgjengelig uten Partenes skyld.

12.3 Varsler. Varsler under denne Avtalen skal gis i samsvar med varslingsbestemmelsene i Hovedavtalen. Varsler til Databehandleren angående personvernsaker skal i tillegg sendes i kopi til legal@proton.ch

12.4 Ansvar. Hver Parts ansvar som oppstår fra eller i forbindelse med denne Avtalen, er underlagt og begrenset i samsvar med bestemmelsene om ansvarsbegrensning i Hovedavtalen, inkludert eventuelle spesifikke ansvarsgrenser fastsatt der for brudd på konfidensialitets- og personvernforpliktelser. Ingenting i denne Avtalen begrenser noen av Partenes ansvar for bøter eller sanksjoner som ilegges direkte av en kompetent tilsynsmyndighet som følge av Partens eget brudd på gjeldende Personvernlovgivning. Selskapet erkjenner at Selskapet, som den eneste part overfor sine Administrerte kunder i egenskap av Behandlingsansvarlig, bærer det hele og fulle ansvar for ethvert erstatningsansvar Selskapet pådrar seg overfor en Administrert kunde som overstiger det Selskapet er i stand til å gjenvinne fra Databehandleren under Hovedavtalens ansvarsbegrensning.

12.5 Gjeldende lov og verneting. Denne Avtalen er underlagt sveitsisk lov, uten hensyn til lovvalgs- eller lovkonfliktregler i noen annen jurisdiksjon, og tvister som oppstår fra eller i forbindelse med denne Avtalen, er underlagt den eksklusive jurisdiksjonen til domstolene i Genève, Sveits.

12.6 Tolkningsrekkefølge. Ved motstrid mellom denne Avtalen og Hovedavtalen med hensyn til Behandling av Personopplysninger, skal denne Avtalen ha forrang, i samsvar med avsnitt 10.1 i Hovedavtalen. Ved avvik mellom den engelske versjonen av denne Avtalen og en oversatt versjon, skal den engelske versjonen ha forrang.