Underleverandører og mottakere
Her skal kundene til enhver tid kunne se hvem som behandler personopplysninger for HybelMåleren, formålet, hvor behandlingen skjer og hvilket overføringsgrunnlag som brukes.
One.com og Domeneshop er valgt for rollene beskrevet nedenfor. Automatiske systemmeldinger, betaling og eventuell ekstern overvåking kan ikke tas i produksjonsbruk før leverandør, behandlingssted, databehandleravtale, sikkerhetsvurdering og eventuell tredjelandsoverføring er dokumentert.
| Leverandør | Tjeneste og formål | Opplysninger | Behandlingssted og overføring | Status |
|---|---|---|---|---|
| One.com Group AB Sverige · org.nr. 559205-2400 | VPS-infrastruktur for portal, API, MQTT, database, kø og operative sikkerhetskopier | Konto, måler, leieforhold, oppgjør, tekniske logger og sikkerhetsdata | One.com opplyser at data for EU-kunder lagres i Danmark (EU). Avtalt VPS-region og alle underdatabehandlere skal kontrolleres mot abonnementet før produksjon. | Valgt. One.com opplyser at databehandleravtalen inngår i kundekontrakten. Avtale, region, sletting og gjenoppretting skal dokumenteres i leverandørkontrollen. |
| Domeneshop AS Norge · org.nr. 930 834 408 | Firmapostkasser og mottak av blant annet personvern- og supporthenvendelser | Navn, e-postadresse, meldingsinnhold, vedlegg og e-postmetadata | Domeneshop opplyser at kundens hostingdata lagres i EU/EØS. Deres gjeldende liste over underdatabehandlere og eventuelle overføringer skal inngå i leverandørkontrollen. | Valgt for firmapost. Domeneshops databehandleravtale inngår i vilkårene for hostingtjenesten. |
| Ikke valgt | Automatiske systemmeldinger: kontoverifisering, invitasjoner, sikkerhetsvarsler, kvitteringer og driftsvarsler | Navn, e-postadresse, melding, teknisk leveringsstatus og hendelsesreferanse | Skal fastsettes etter leverandør- og overføringsvurdering. | Blokkert for produksjon. Domeneshops SMTP-tjeneste er ikke beregnet på automatiske utsendelser fra webserver eller skytjeneste. |
| Ikke endelig valgt | DNS, TLS og angrepsbeskyttelse for sikker og tilgjengelig nettjeneste | IP-adresse, forespørsels- og sikkerhetsmetadata; DNS-sonedata kan distribueres globalt | Skal dokumenteres når DNS- og sikkerhetsleverandør er besluttet. | Leverandør og datarolle må avklares før produksjon. |
| Vipps MobilePay AS (planlagt) | Opprette og følge betalingskrav | Kontakt, beløp, referanse og betalingsstatus | Behandlingssted, rolle og eventuelle overføringer skal dokumenteres mot valgt produktavtale. | Planlagt; produksjonsavtale og rollefordeling er ikke ferdigstilt. |
| Ikke valgt | Ekstern feil- og driftsovervåking | Tekniske logger minimert for personopplysninger | Skal fastsettes etter leverandør- og overføringsvurdering. | Ingen ekstern leverandør valgt. |
Leverandørdokumentasjon
- One.com om GDPR, databehandleravtale og lagringssted
- One.com databehandleravtale
- Domeneshops vilkår og databehandleravtale
- Domeneshops liste over underdatabehandlere
- Domeneshop om begrensningene for SMTP
Varsling om endringer
Kunden skal varsles før en ny underleverandør begynner å behandle kundens data, med rimelig frist til å fremme en saklig personverninnsigelse. Endringer publiseres med dato og historikk.
Behandling utenfor EU/EØS
HybelMåleren skal prioritere behandling i EU/EØS. Dersom en leverandør eller støttetjeneste kan behandle opplysninger i et tredjeland, skal overføringsgrunnlag, vurdering og eventuelle tilleggstiltak beskrives her før behandlingen starter.