Vilkår for bruk av Verid

Hovedavtalen mellom Verid og meglerforetaket. Databehandleravtalen er en del av den.

Partene

Verid: Verid AS, org.nr. 938 626 480, Storgata 4A, 8006 Bodø.

Foretaket: meglerforetaket som er registrert i Verid, med navn og organisasjonsnummer slik de står i Verid når vilkårene godtas.

1. Hvordan avtalen inngås

1.1 Avtalen er inngått når en person godtar vilkårene i Verid på vegne av Foretaket. Verid lagrer hvem som godtok, personens rolle, tidspunktet, IP-adressen og hvilken versjon av vilkårene og databehandleravtalen som ble godtatt.

1.2 Personen som godtar, bekrefter å ha fullmakt til å inngå avtalen for Foretaket. Har personen ikke fullmakt, kan Verid stenge tilgangen til Foretaket inntil en med fullmakt har godtatt.

1.3 Avtalen består av, i denne rekkefølgen ved motstrid:

1. databehandleravtalen, for alt som gjelder personopplysninger
2. en skriftlig særavtale mellom partene, hvis det finnes en
3. disse vilkårene

2. Tjenesten

2.1 Verid er et verktøy for kundetiltak etter hvitvaskingsloven i eiendomshandler. Verid henter opplysninger fra offentlige registre og åpne kilder, screener mot sanksjons- og PEP-lister, lager forslag til risikovurdering og dokumenterer saken i en rapport.

2.2 Verid er ikke et meglerforetak, en advokat eller en hvitvaskingsansvarlig. Verid gir ikke råd om enkeltsaker.

2.3 Hva Verid behandler, og hvordan, står i databehandleravtalen vedlegg 1. Hvor tjenesten kjøres og dataene lagres, land og region for Verid og hver underleverandør, står i vedlegg 3. Verid varsler endringer i stedene etter databehandleravtalen punkt 5.2. Underleverandører som leverer deler av tjenesten, følger de samme reglene: de står i vedlegg 3, og Verid er ansvarlig for dem etter databehandleravtalen punkt 5.3.

2.4 Verid kan endre og forbedre tjenesten. Verid varsler Foretaket minst 30 dager før en endring som tar bort en funksjon Foretaket bruker i kundetiltakene.

3. Foretakets ansvar for kundetiltakene

3.1 Foretaket er rapporteringspliktig etter hvitvaskingsloven og har hele ansvaret for kundetiltakene, risikovurderingen, rutinene og beslutningene. Ansvaret er det samme når Foretaket bruker Verid.

3.2 Forslag fra Verid, også forslag som en språkmodell har laget, er beslutningsstøtte. En megler eller hvitvaskingsansvarlig hos Foretaket skal vurdere og godkjenne hver sak. Verid godkjenner ingen sak selv.

3.3 Opplysningene i offentlige registre og åpne kilder kan være feil eller mangelfulle. Verid viser kilden og tidspunktet for hver opplysning. Verid er ikke ansvarlig for innholdet i kildene.

3.4 Foretaket avgjør selv om det skal undersøke en sak videre etter hvitvaskingsloven § 25 og melde til Økokrim etter § 26.

3.5 Der bruken av Verid er utkontraktering etter hvitvaskingsloven § 23, er denne avtalen og databehandleravtalen den skriftlige avtalen. Verid gir Foretaket det som trengs for å kontrollere tjenesten løpende (§ 23 andre ledd), og gjør ingenting som gjør tilsynet vanskeligere for Finanstilsynet.

3.6 DORA. Verid er en IKT-tredjepartstjenesteleverandør for Foretaket etter DORA-forordningen, som gjelder for eiendomsmeglingsforetak etter DORA-forskriften kapittel 2. Denne avtalen og databehandleravtalen er den skriftlige avtalen etter forordningen artikkel 30. Kundetiltakene er en viktig funksjon for Foretaket, så avtalen har også det artikkel 30 nr. 3 krever for kritiske eller viktige funksjoner. Opplysningene Foretaket trenger til sitt register over IKT-avtaler, står i punkt 15.

4. Brukere og tilgang

4.1 Foretaket bestemmer hvem som får tilgang, og inviterer brukerne selv. Foretaket fjerner tilgangen når en bruker slutter eller ikke lenger skal ha den.

4.2 Hver bruker har sin egen konto. Brukerne skal ikke dele innlogging.

4.3 Foretaket er ansvarlig for det brukerne gjør i Verid. Foretaket varsler Verid uten ugrunnet opphold hvis Foretaket tror at noen uten rett har fått tilgang.

4.4 Register over reelle rettighetshavere. Tilgangen til registeret er Foretakets. Foretaket delegerer den til Verid i Altinn. Verid bruker tilgangen bare til kundetiltak i Foretakets saker. Foretaket kan trekke delegeringen tilbake når som helst.

5. Bruk som ikke er tillatt

Foretaket og brukerne skal ikke:

• bruke Verid til noe annet enn kundetiltak og oppfølging etter hvitvaskingsloven
• søke opp personer som ikke er part i en handel Foretaket har oppdrag for
• prøve å få tilgang til andre foretaks data, eller teste sikkerheten uten skriftlig avtale med Verid
• kopiere eller videreselge tjenesten eller dataene fra den til andre

Bryter Foretaket dette vesentlig, kan Verid stenge tilgangen etter punkt 10.3.

6. Tilgjengelighet og drift

6.1 Tjenestenivå. Verid er tilgjengelig hele døgnet. Målet er en oppetid på 99,5 % per kalendermåned, utenom varslet vedlikehold. Oppetiden måles utenfra og vises på verid.no/status. Verid gir Foretaket tallene på forespørsel. Brudd på målet gir ikke rett til prisavslag, men gjentatte brudd er en grunn til å si opp etter punkt 10.5.

6.2 Verid varsler planlagt vedlikehold som stenger tjenesten, minst to virkedager i forveien, når det er mulig.

6.3 Status for tjenesten og hendelser står på verid.no/status.

6.4 Support: hei@verid.no. Verid svarer på virkedager, innen én virkedag.

6.5 IKT-hendelser. Ved en hendelse som gjelder tjenesten, varsler Verid Foretaket uten ugrunnet opphold, og hjelper Foretaket å håndtere den, uten ekstra kostnad. Verid varsler også uten ugrunnet opphold om forhold som kan svekke Verids evne til å levere tjenesten som avtalt, for eksempel endringer hos en underleverandør. Brudd på personopplysningssikkerheten varsles etter databehandleravtalen punkt 8.

6.6 Sikkerhetsopplæring. Ber Foretaket om det, deltar Verid i Foretakets opplæring i IKT-sikkerhet og digital motstandsdyktighet når opplæringen gjelder Verid. Verid gir også informasjon om tjenesten Foretaket kan bruke i egen opplæring. Det koster ikke noe ekstra.

6.7 Myndighetene. Verid samarbeider fullt ut med Finanstilsynet og andre myndigheter som fører tilsyn med Foretaket. Se databehandleravtalen punkt 9.4.

6.8 Sikkerhet og kontinuitet. Verid sikrer tilgjengelighet, autentisitet, integritet og konfidensialitet for dataene med tiltakene i databehandleravtalen vedlegg 2. Verid har en plan for kontinuitet og gjenoppretting, og tester minst én gang i året at sakene kan gjenopprettes. Foretaket får planen og resultatet av siste test på forespørsel.

6.9 Testing. Verid deltar i Foretakets testing av digital motstandsdyktighet når testen gjelder Verid. Tid og omfang avtales på forhånd, så testen ikke går ut over andre kunder.

6.10 Revisjon og innsyn. Foretaket, en tredjepart Foretaket utpeker, og Finanstilsynet har rett til tilgang, inspeksjon og revisjon hos Verid, og til å ta kopier av relevant dokumentasjon, etter databehandleravtalen punkt 9. Etter en alvorlig IKT-hendelse, eller når Finanstilsynet krever det, gjelder ikke varselfristen i databehandleravtalen punkt 9.2.

7. Vederlag

7.1 Foretaket betaler etter prisavtalen partene har inngått skriftlig.

7.2 Verid fakturerer månedlig etterskuddsvis. Betalingsfrist er 14 dager. Ved forsinket betaling gjelder forsinkelsesrenteloven.

7.3 Verid kan endre prisavtalen med minst 60 dagers skriftlig varsel. Foretaket kan da si opp avtalen fra endringen trer i kraft.

8. Rettigheter

8.1 Verid har alle rettigheter til tjenesten, programvaren og dokumentasjonen.

8.2 Foretaket har rettighetene til sine saker, rapporter og vurderinger. Verid bruker dem bare for å levere tjenesten til Foretaket, etter databehandleravtalen.

9. Ansvar

9.1 Hver part er ansvarlig for direkte tap den andre parten får fordi parten har brutt avtalen.

9.2 Ingen av partene er ansvarlig for indirekte tap, for eksempel tapt fortjeneste, tapte oppdrag, eller krav fra tredjepart. Overtredelsesgebyr som myndighetene ilegger Foretaket for brudd på hvitvaskingsloven, er Foretakets ansvar etter punkt 3.1.

9.3 Verids samlede ansvar per kalenderår er begrenset til vederlaget Foretaket har betalt de siste 12 månedene før skaden.

9.4 Begrensningene i 9.2 og 9.3 gjelder ikke ved forsett eller grov uaktsomhet. Ansvar etter personvernforordningen artikkel 82 overfor de registrerte følger forordningen.

9.5 Ingen av partene er ansvarlig for forhold utenfor partens kontroll (force majeure), så lenge forholdet varer.

10. Varighet og oppsigelse

10.1 Avtalen gjelder til den blir sagt opp.

10.2 Hver part kan si opp avtalen med tre måneders skriftlig varsel.

10.3 Hver part kan heve avtalen med straks virkning ved vesentlig mislighold som ikke er rettet innen 14 dager etter skriftlig varsel.

10.4 Når avtalen slutter, gjelder databehandleravtalen punkt 10 for utlevering og sletting av sakene. Det samme gjelder hvis Verid legger ned tjenesten, går konkurs eller av andre grunner ikke kan levere: Foretaket får sakene utlevert i et vanlig format (PDF og JSON) før noe blir slettet.

10.5 Foretaket kan si opp avtalen med straks virkning hvis:

• a) Verid vesentlig bryter lov, forskrift eller avtalen
• b) Foretaket finner forhold som kan endre hvordan tjenesten blir levert, for eksempel store endringer i avtalen eller hos Verid
• c) Verid har dokumenterte svakheter i IKT-risikostyringen, særlig i hvordan Verid sikrer tilgjengelighet, autentisitet, integritet og konfidensialitet for dataene
• d) Finanstilsynet ikke lenger kan føre effektivt tilsyn med Foretaket på grunn av avtalen eller forhold rundt den

Foretaket har fortsatt plikten til å oppbevare dokumentasjonen etter hvitvaskingsloven § 30.

10.6 Overgang. Når avtalen slutter, uansett grunn, kan Foretaket kreve at Verid fortsetter å levere tjenesten i en overgangsperiode på inntil seks måneder. Da kan Foretaket flytte kundetiltakene til en annen løsning eller ta dem inn selv uten avbrudd. Vederlaget i perioden følger prisavtalen. Verid hjelper Foretaket med overføringen, og leverer sakene etter punkt 10.4.

11. Endringer i vilkårene

11.1 Verid kan endre vilkårene med minst 30 dagers varsel i Verid og på e-post til Foretakets administratorer. Vesentlige endringer må godtas på nytt i Verid før de gjelder for Foretaket.

11.2 Godtar Foretaket ikke en vesentlig endring, kan Foretaket si opp avtalen uten kostnad før endringen trer i kraft.

12. Taushetsplikt

Partene holder avtalens innhold og den andre partens forretningsforhold konfidensielt. Det gjelder ikke opplysninger som er offentlige, eller som en part må gi etter lov eller pålegg fra myndighetene. Taushetsplikten for personopplysninger og for undersøkelser og meldinger etter hvitvaskingsloven står i databehandleravtalen punkt 3.

13. Overdragelse

Ingen av partene kan overdra avtalen uten skriftlig samtykke fra den andre. Verid kan likevel overdra avtalen til et selskap som overtar virksomheten, med skriftlig varsel til Foretaket.

14. Lovvalg og verneting

Norsk rett. Tvister går til Salten og Lofoten tingrett som avtalt verneting.

15. Til Foretakets register over IKT-avtaler

DORA-forskriften § 9 krever at Foretaket fører et register over avtalene med IKT-tredjepartstjenesteleverandører. For Verid: