Databehandleravtale
Vilkårene og databehandleravtalen godtas samlet i Verid når foretaket kommer i gang. Dere får avtalen som PDF.
Etter personvernforordningen (GDPR) artikkel 28 nr. 3.
Strukturen følger kravene i artikkel 28 nr. 3 bokstav a–h og EU-kommisjonens standardavtaleklausuler for behandlingsansvarlige og databehandlere (gjennomføringsbeslutning 2021/915).
Partene
Behandlingsansvarlig: meglerforetaket som er registrert i Verid, med navn, organisasjonsnummer og adresse slik de står i Verid når avtalen godtas — heretter «Foretaket».
Databehandler: Verid AS, org.nr. 938 626 480, Storgata 4A, 8006 Bodø — heretter «Verid».
Avtalen gjelder så lenge Foretaket bruker Verid (hovedavtalen), og til alle personopplysninger er slettet eller levert tilbake etter punkt 10.
1. Formål og omfang
1.1 Verid behandler personopplysninger på vegne av Foretaket for å levere tjenesten: utvidet søk i åpne kilder og dokumentasjon av kundetiltak etter hvitvaskingsloven.
1.2 Behandlingens art, formål, kategorier av registrerte og opplysninger, og varighet står i vedlegg 1.
1.3 Avtalen gjelder ikke behandlingen der Verid selv er behandlingsansvarlig: kopien av aksjonærregisteret og rolleindeksen. Den er beskrevet på verid.no/personvern.
1.4 Foretaket er rapporteringspliktig etter hvitvaskingsloven og har hele ansvaret for kundetiltakene, risikovurderingen og beslutningene i hver sak. Verid er et verktøy for Foretaket. Forslag fra Verid, også forslag fra en språkmodell, er beslutningsstøtte som en megler eller hvitvaskingsansvarlig hos Foretaket vurderer og godkjenner. Verid er ikke tredjepart etter hvitvaskingsloven § 22, og godkjenner ingen sak selv. Der bruken av Verid er utkontraktering etter § 23, er denne avtalen og hovedavtalen den skriftlige avtalen loven krever. Foretakets ansvar er det samme (§ 23 tredje ledd).
2. Instruks
2.1 Verid behandler personopplysningene bare etter dokumentert instruks fra Foretaket. Denne avtalen, hovedavtalen og Foretakets bruk av funksjonene i tjenesten utgjør instruksen.
2.2 Verid varsler Foretaket straks hvis Verid mener en instruks er i strid med personvernforordningen eller annen personvernlovgivning.
2.3 Hvis Verid etter EU- eller EØS-rett eller norsk rett må behandle opplysningene på en annen måte, varsler Verid Foretaket før behandlingen, med mindre loven forbyr det.
3. Taushetsplikt
3.1 Verid sørger for at alle som har tilgang til personopplysningene, har taushetsplikt, enten ved avtale eller etter lov.
3.2 Undersøkelser og meldinger til Økokrim. Verid skal ikke fortelle kunden, de registrerte eller andre at Foretaket undersøker en sak etter hvitvaskingsloven § 25, at Foretaket har meldt eller vurderer å melde til Økokrim etter § 26, eller at det er etterforskning. Forbudet står i § 28 og gjelder også for «andre som utfører oppdrag på vegne av rapporteringspliktige», altså Verid. Det gjelder også etter at avtalen er slutt. Plikten går foran punkt 7.1: en forespørsel om innsyn fra en registrert som gjelder slike opplysninger, sendes til Foretaket uten at Verid svarer.
3.3 Verids tilgang til saksdata. Verids ansatte har ingen tilgang til saker gjennom tjenesten. Det eneste unntaket er innsyn: en med plattformrolle ser Verid som en bestemt bruker hos Foretaket, for å hjelpe brukeren.
- Innsyn krever en skriftlig grunn og varer høyst 30 minutter.
- Innsynet logges før det starter (hvem, når, hvilken bruker og grunnen). Hver sak Verid åpner under innsynet, logges også.
- Brukeren ser innsynet under Innstillinger, Sikkerhet. Eier og hvitvaskingsansvarlig ser innsyn og sakene som ble åpnet under Innstillinger, Aktivitet, Verid.
- Under innsyn kan Verid ikke godkjenne rapporter, sende saker til kontroll, kontrasignere eller sende melding til Økokrim.
- Under innsyn ser Verid ikke opplysningene i punkt 3.2: ikke kontrollen, ikke meldingene til Økokrim, ikke rapporten til styret og ikke aktivitetsloggen. Verid ser saken som en megler uten tilgang til dem.
3.4 Direkte tilgang til databasen har bare Christer Hagen, daglig leder, for drift, feilretting og gjenoppretting.
4. Sikkerhet
4.1 Verid gjennomfører tiltakene i artikkel 32. Tiltakene står i vedlegg 2, inkludert kjente mangler og planen for dem.
4.2 Verid kan endre tiltakene så lenge sikkerhetsnivået ikke blir lavere.
5. Underdatabehandlere
5.1 Foretaket gir generell forhåndsgodkjenning til underdatabehandlerne i vedlegg 3.
5.2 Verid varsler Foretaket skriftlig minst 30 dager før Verid tar i bruk en ny underdatabehandler eller bytter ut en. Legger en underdatabehandler selv til en av sine underleverandører med kortere varsel til Verid, varsler Verid Foretaket innen fem virkedager etter at Verid selv ble varslet. Foretaket kan protestere på saklig grunnlag i varslingsperioden. Hvis partene ikke blir enige, kan Foretaket si opp hovedavtalen uten kostnad.
5.3 Verid pålegger hver underdatabehandler de samme pliktene som i denne avtalen, skriftlig. Verid er ansvarlig overfor Foretaket for at underdatabehandlerne oppfyller dem.
6. Overføring til land utenfor EØS
6.1 Verid overfører personopplysninger ut av EØS bare når det står i vedlegg 3, og bare med et gyldig grunnlag etter kapittel V i personvernforordningen.
6.2 Grunnlaget for hver overføring står i vedlegg 3.
7. Bistand til Foretaket
7.1 De registrertes rettigheter. Verid hjelper Foretaket å svare på forespørsler om innsyn, retting, sletting, begrensning og protest. En forespørsel som kommer direkte til Verid, sendes videre til Foretaket uten ugrunnet opphold. Verid svarer ikke den registrerte selv, med mindre Foretaket ber om det.
7.2 Sikkerhet, brudd og DPIA. Verid hjelper Foretaket med pliktene i artikkel 32 til 36, ut fra behandlingens art og opplysningene Verid har. Verid gir Foretaket en mal for vurdering av personvernkonsekvenser (DPIA) for kundetiltak med Verid.
8. Brudd på personopplysningssikkerheten
8.1 Verid varsler Foretaket uten ugrunnet opphold, og senest 48 timer etter at Verid ble kjent med bruddet.
8.2 Varselet inneholder, så langt det er kjent:
- hva som skjedde, og når
- hvilke kategorier og omtrent hvor mange registrerte og opplysninger det gjelder
- sannsynlige konsekvenser
- tiltak som er gjort eller foreslått
- kontaktperson hos Verid
8.3 Opplysninger som ikke er kjent ennå, sendes så snart de er kjent.
8.4 Foretaket er ansvarlig for å melde bruddet til Datatilsynet og de registrerte etter artikkel 33 og 34.
9. Revisjon og dokumentasjon
9.1 Verid gir Foretaket de opplysningene som trengs for å vise at pliktene i artikkel 28 er oppfylt.
9.2 Foretaket, eller en uavhengig revisor Foretaket velger, kan revidere Verid. Revisjonen varsles minst 30 dager i forveien, skjer i vanlig arbeidstid, og skal ikke gi tilgang til andre kunders opplysninger. Foretaket bærer egne kostnader. Etter en alvorlig IKT-hendelse kan revisjonen skje med kortere varsel. Foretaket og revisoren kan ta kopier av relevant dokumentasjon.
9.3 Verid kan i stedet gi en rapport fra en uavhengig revisor eller en sertifisering, hvis den dekker det Foretaket vil kontrollere.
9.4 Finanstilsynet og andre myndigheter. Finanstilsynet, og andre myndigheter som fører tilsyn med Foretaket, kan kontrollere Verid på samme måte som Foretaket etter punkt 9.2, uten varselfristen. Verid gir dem opplysninger og dokumenter om behandlingen for Foretaket, og samarbeider med dem. Verid varsler Foretaket om slike henvendelser, med mindre myndigheten forbyr det.
9.5 Verid skal på forespørsel gi Foretaket det Foretaket trenger for å vise Finanstilsynet hvordan kundetiltakene er utført i Verid, også etter at avtalen er slutt, så lenge Verid har sakene.
10. Når avtalen slutter
10.1 Når hovedavtalen slutter, velger Foretaket om Verid skal:
- a) levere tilbake alle rapporter og saksdata i et vanlig format (PDF og JSON), og deretter slette dem, eller
- b) slette dem.
Tjenesten har ingen eksportfunksjon. Verid lager eksporten etter bokstav a for hånd.
10.2 Hvis Foretaket ikke har valgt innen 30 dager, sletter Verid.
10.3 Verid bekrefter slettingen skriftlig. Kopier i databasens historikk er borte senest 7 døgn etter slettingen, når Neons vindu for gjenoppretting går ut.
10.4 Oppbevaringsplikten i hvitvaskingsloven § 30 ligger hos Foretaket. Hvis Foretaket vil at Verid skal oppbevare sakene videre, må partene avtale det skriftlig.
11. Ansvar
Ansvar for tap følger hovedavtalen og artikkel 82 i personvernforordningen.
12. Lovvalg og verneting
Norsk rett. Tvister går til Salten og Lofoten tingrett som avtalt verneting.
Avtalen inngås elektronisk når den godtas i Verid på vegne av Foretaket (personvernforordningen artikkel 28 nr. 9), sammen med vilkårene for bruk av Verid. Hvem som godtok, rollen, tidspunktet og versjonen står i kopien Foretaket kan laste ned i Verid.
Vedlegg 1 — Beskrivelse av behandlingen
| Formål | Kundetiltak etter hvitvaskingsloven (lov 1. juni 2018 nr. 23) §§ 10 til 13, reelle rettighetshavere (§ 14), tiltak også overfor medkontrahenten (§ 15), forsterkede kundetiltak (§ 17) og PEP (§ 18): innhente opplysninger om partene fra offentlige registre og åpne kilder, dokumentere dem med kilde og tidspunkt, og lage rapport og sjekkliste. Undersøkelser etter § 25, og melding til Økokrim etter § 26. |
| Behandlingens art | Innsamling, sammenstilling, lagring, screening mot lister, klassifisering av søketreff, forslag til risikovurdering, rapport, sletting. |
| Kategorier registrerte | Parter i eiendomshandler: selgere, kjøpere, hjemmelshavere, reelle rettighetshavere, disponenter, fullmaktsgivere og personer med roller i foretak som er part. Foretakets egne brukere (meglere). |
| Kategorier opplysninger | Navn, adresse, fødselsdato, rolle i handelen, statsborgerskap, yrke, formål med kundeforholdet, PEP-status, egenkapitalens opprinnelse (fra kundeerklæringen), organisasjonsnummer, roller og eierskap i foretak, grunnboksdata, treff i sanksjons- og PEP-lister, søketreff i åpne kilder, tekstkopi av sidene bak søketreff som skal vurderes, kjønn (i resultatet av kjøringen), fullmakt og disponent, kundens rettelser, meglerens vurderinger, kontroll av saken (meglerens klasse, hvitvaskingsansvarliges kommentarer), styrerapport, innholdet i melding om mistenkelig forhold. For kundeerklæringen: tidspunkt, IP-adresse, by og land (fra Vercels hoder) og nettleser ved åpning og signering. For brukerne: navn, e-postadresse, medlemskap og invitasjoner, IP-adresse og nettleser i sesjonen, IP-adresse i begrensningen av innlogginger, aktivitet i revisjonssporet, forbruk og fakturagrunnlag. |
| Særlige kategorier (art. 9) | Ingen tilsiktet. Søketreff i åpne kilder kan tilfeldigvis nevne slike opplysninger. |
| Straffedommer og lovbrudd (art. 10) | Søketreff kan nevne straffbare forhold. Melding om mistenkelig forhold inneholder en mistanke om lovbrudd. Behandlingen har hjemmel i hvitvaskingsloven. |
| Fødselsnummer | Lagres ikke. Kan tastes inn for å bekrefte en fødselsdato, og i melding til Økokrim, som sendes direkte. |
| Varighet | Så lenge hovedavtalen gjelder. Hver sak slettes fem år etter at oppdraget er avsluttet (hvitvaskingsloven § 30), eller tidligere etter punkt 10. Fristen starter når megleren merker saken «oppdrag avsluttet». Blir saken ikke merket, blir den ikke slettet. |
| Hvor | Se vedlegg 2, punkt 1, og vedlegg 3. |
Vedlegg 2 — Sikkerhetstiltak
Se sikkerhetstiltak.