Databehandleravtale

Databehandler behandler personopplysninger på vegne av kunden utelukkende for å levere WorldOfZones: opprettelse og gjennomføring av lokasjonsbaserte spill, poengberegning, live oppfølging og lagring av resultater. Databehandler skal ikke behandle opplysningene til egne formål.

Registrerte: ansatte/lærere som er arrangører, og deltakere (elever, ansatte, gjester) organisert i lag.

Opplysninger:

• Arrangør: e-postadresse, ev. organisasjonsnavn
• Lag: lagnavn, lagfarge, valgfritt lagbilde
• Posisjonsdata under aktivt spill
• Svar på oppgaver, poeng og tidsstempler

Deltakelse er anonym – tjenesten ber ikke om navn, fødselsdato eller kontaktinfo for deltakere. Kunden skal ikke legge inn særlige kategorier personopplysninger (sensitive data).

• behandle opplysninger kun etter dokumentert instruks fra kunden
• sikre at personell med tilgang er underlagt taushetsplikt
• iverksette tekniske og organisatoriske sikkerhetstiltak (punkt 5)
• bistå kunden med å svare på henvendelser fra registrerte
• bistå ved personvernkonsekvensvurdering og avviksbehandling
• slette eller returnere opplysninger ved avtalens opphør, etter kundens valg

• ha gyldig behandlingsgrunnlag for bruken av tjenesten
• informere deltakere og foresatte om aktiviteten
• sørge for at lagnavn og bilder ikke identifiserer enkeltpersoner unødvendig
• administrere egne brukerkontoer og tilgang
• gjennomføre egen risikovurdering av selve arrangementet

• All kommunikasjon krypteres med TLS/HTTPS
• Data lagres i database med kryptering i ro
• Tilgangskontroll på radnivå: arrangører ser kun egne spill, deltakere kun eget spill
• Passord lagres hashet og kontrolleres mot kjente lekkasjelister
• Tilgang for driftspersonell er begrenset og logges
• Regelmessige sikkerhetskopier hos underleverandør

Kunden godkjenner følgende underdatabehandlere:

• Skyleverandør – drift, database, autentisering og fillagring. Data lagres innenfor EU/EØS.
• Innholdsleveringsnettverk (CDN) – levering av nettsted og trafikksikkerhet.
• AI-leverandør – generering av oppgaveforslag, kun når arrangør ber om det; ingen deltakerdata sendes.

Databehandler varsler kunden før nye underleverandører tas i bruk, slik at kunden kan protestere.

Behandlingen skjer primært innenfor EU/EØS. Ved eventuell overføring til tredjeland benyttes gyldig overføringsgrunnlag, som EU-kommisjonens standardvilkår (SCC) med supplerende tiltak.

Databehandler varsler kunden uten ugrunnet opphold, og senest innen 48 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten. Varselet beskriver bruddets art, berørte kategorier, sannsynlige konsekvenser og iverksatte tiltak. Kunden er ansvarlig for eventuell melding til Datatilsynet.

Arrangementer har en gyldighetsperiode (standard 180 dager) og slettes deretter med tilhørende deltakerdata. Kunden kan når som helst slette et arrangement selv eller be om sletting. Ved opphør av kundeforholdet slettes alle personopplysninger innen 30 dager, med mindre lagring kreves etter lov.

Databehandler skal på forespørsel gi kunden informasjon som er nødvendig for å dokumentere at pliktene i denne avtalen overholdes, og legge til rette for revisjon gjennomført av kunden eller en uavhengig revisor kunden har utpekt. Revisjon varsles i rimelig tid og skal ikke være til unødig ulempe for driften.

Avtalen gjelder så lenge databehandler behandler personopplysninger på vegne av kunden. Avtalen reguleres av norsk rett, med Kristiansand tingrett som verneting.

Kontaktpunkt hos databehandler: post@worldofzones.no. Se også personvernerklæringen og brukervilkårene.