01Partene og rollene
Denne databehandleravtalen inngås mellom gården, som er behandlingsansvarlig, og LokSal AS, organisasjonsnummer 938 432 767, Amtmann Leths gate 35 B, 6413 Molde. E-post: post@loksal.no. Telefon: 995 22 359. som er databehandler. Avtalen oppfyller kravet i personvernforordningen artikkel 28, og gjelder LokSals behandling av personopplysninger om gårdens kunder.
02Hva behandlingen gjelder
LokSal behandler opplysninger om gårdens kunder for å gjennomføre kjøp i gårdsutsalget og gi gården oversikt over salget. Behandlingen omfatter å registrere handlekurv og ordre, formidle betaling gjennom Vipps, vise kvittering, og gi gården regnskaps- og salgsoversikt. LokSal behandler opplysningene bare for disse formålene og bare på gårdens instruks, slik den er gitt gjennom løsningen og denne avtalen.
03Hvilke opplysninger, og om hvem
De berørte er kunder som handler i gårdens utsalg. Opplysningene er knyttet til kjøpet: hvilke varer og antall, beløp, tidspunkt, ordrenummer, hvilken gård kjøpet gjelder, og referanse til betalingen hos Vipps med den statusen Vipps melder tilbake. Løsningen krever ikke at kunden oppretter konto eller oppgir navn. LokSal ber ikke om særlige kategorier av personopplysninger, og løsningen er ikke laget for å behandle slike.
04LokSals plikter
LokSal behandler opplysningene bare etter instruks og ikke til egne formål. LokSal sørger for at de som behandler opplysningene har taushetsplikt, og at tilgangen er begrenset til dem som trenger den. LokSal iverksetter egnede tekniske og organisatoriske sikkerhetstiltak, og fører logg over handlinger som endrer data. LokSal bistår gården med å oppfylle henvendelser fra kunder om innsyn, retting og sletting, og med å svare på henvendelser fra Datatilsynet.
05Avvik
Oppdager LokSal brudd på personopplysningssikkerheten, varsler LokSal gården uten ugrunnet opphold, og gir de opplysningene gården trenger for å vurdere og eventuelt melde bruddet.
06Underdatabehandlere
Gården godtar at LokSal bruker underdatabehandlere for drift: Supabase for database, innlogging og bildelagring; Render for drift av API-et; Vercel for drift av nettsidene; og Cloudflare, som Render bruker som leveringsnett foran API-et, og som derfor håndterer forespørslene underveis. LokSal har avtale med hver av dem med tilsvarende plikter som i denne avtalen. Hver av dem bruker i sin tur egne underleverandører, og flere av disse er selskaper etablert utenfor EØS. LokSal varsler gården før en ny underdatabehandler tas i bruk eller et behandlingssted endres, og gården kan protestere mot endringen.
Vipps er ikke underdatabehandler. Vipps er selv behandlingsansvarlig for betalingen, etter eget kundeforhold med gården.
07Overføring ut av EØS
LokSals egne tjenester er satt opp med behandling i Frankfurt: databasen, innloggingen og bildelagringen hos Supabase i eu-central-1, og API-et hos Render i samme region. Leverandørene bruker underleverandører som er etablert utenfor EØS, og LokSal har ikke ferdig kartlagt om, og i hvilket omfang, personopplysninger behandles utenfor EØS som følge av dette. Avtalene LokSal har med leverandørene inneholder EU-kommisjonens standard personvernbestemmelser. Gården får opplyst det vi vet, og blir varslet når kartleggingen er ferdig.
08Revisjon
Gården kan be om den dokumentasjonen som er nødvendig for å kontrollere at LokSal oppfyller avtalen.
09Ved opphør
Når avtalen avsluttes, sletter eller anonymiserer LokSal personopplysningene, med unntak av det som må beholdes etter lov, som regnskapsbilag. Gården kan be om å få opplysningene utlevert før sletting.
10Varighet
Avtalen gjelder så lenge LokSal behandler personopplysninger på gårdens vegne.