1. Innledning
Denne databehandleravtalen ("DPA") er en del av avtalen mellom deg ("Kunden") og Getia AS ("Databehandler") for bruk av Portifer-tjenester.
2. Definisjoner
- Personal Data: Personopplysninger: Enhver informasjon som gjelder en identifisert eller identifiserbar person
- Processing: Behandling: Enhver operasjon utført på personopplysninger
- Controller: Behandlingsansvarlig: Enheten som bestemmer formålene og midlene for behandling
- Processor: Databehandler: Enheten som behandler personopplysninger på vegne av den behandlingsansvarlige
3. Omfang av behandling
Databehandleren skal:
- Behandle personopplysninger kun etter dokumenterte instruksjoner fra kunden
- Sikre at personer som behandler data er underlagt taushetsplikt
- Implementere hensiktsmessige tekniske og organisatoriske sikkerhetstiltak
- Bistå kunden med å svare på forespørsler fra registrerte
- Slette eller returnere alle personopplysninger ved opphør av tjenester
4. Underdatabehandlere
Kunden godkjenner at databehandleren engasjerer underdatabehandlere som oppført i Liste over underdatabehandlere.
5. Sikkerhetstiltak
- Kryptering under overføring: tjenesten leveres kun over HTTPS, med HTTP Strict Transport Security.
- Kryptering av lagrede påloggingsopplysninger: API-påloggingsopplysninger for transportører, CRM-tokener og nøkler til utskriftstjenesten krypteres på applikasjonsnivå med AES-256-GCM. Øvrige lagrede data beskyttes av sikkerhetskontrollene hos underdatabehandlerne for hosting og lagring.
- Hashing: kunders API-nøkler lagres kun som hashverdier, og brukeres passord hashes med bcrypt.
- Tilgangskontroll: rollebasert tilgang per kundeorganisasjon, valgfri tofaktorautentisering (TOTP), utløp av økter med sentral tilbakekalling, og hastighetsbegrensning med midlertidig sperring etter gjentatte mislykkede innloggingsforsøk.
- Logging: sikkerhetsrelevante administrative handlinger, innlogginger og ansattes tilgang til kundekontoer registreres i revisjonslogger.
- Integrasjoner: utgående webhooks signeres med HMAC-SHA256, og forespørsler til interne nettverksadresser blokkeres.
- Brudd på personopplysningssikkerheten håndteres og varsles som beskrevet i punkt 6.
6. Varsling om databrudd
Ved et personopplysningsbrudd skal databehandleren varsle kunden innen 72 timer.
7. Kontakt
For spørsmål om databehandling, kontakt oss på [email protected]
Selskap: Getia AS (Org.nr: 926 610 198)
Adresse: Mesh, Møllergata 6, 0179 Oslo, Norge