Databehandlingsavtale (DPA)

Sist oppdatert: 2026-10-23

Siden om underleverandører sist oppdatert: 2026-10-23

Denne databehandleravtalen skisserer vilkårene for hvordan vi behandler personopplysninger på dine vegne.

Denne databehandleravtalen (avtalen) beskriver forpliktelsene og betingelsene under hvilke Petitions.com Group Oy (Tjenesteleverandør) behandler personopplysninger på vegne av oppropforfatteren (Oppropforfatteren eller behandlingsansvarlig) i forbindelse med levering av tjenester for vertsopproptjenester på nettet (tjenester).

Endring av vilkår

Vi forbeholder oss retten til å endre eller modifisere disse vilkårene når som helst uten forvarsel.

Definisjoner og roller

• Tjenesteleverandør: Opprop.net (Petitions.com Group Oy), som fungerer som databehandler, behandler personopplysninger på vegne av den behandlingsansvarlige etter behov for å levere tjenestene.
• Behandlingsansvarlig: Underskriftskampanjens forfatter, som bestemmer formålene og metodene for behandling av personopplysninger samlet inn fra underskriverne av deres opprop. Som forfatter av en opprop vert på Opprop.net, anses du som behandlingsansvarlig. Du bestemmer innholdet i oppropet, hva som blir spurt fra underskriverne, formålene med behandlingen av deres personopplysninger, og hvor lenge personopplysningene blir lagret. Opprop.net tilbyr en nettplattform for å lage og være vertskap for opprop, og muliggjør din rolle som Behandlingsansvarlig med autonomi til å forme datainnsamlingen og bruken av oppropet i henhold til dine mål og juridiske forpliktelser.

Behandlingsomfang

Tjenesteleverandøren vil behandle personopplysninger utelukkende på grunnlag av den behandlingsansvarliges instruksjoner og bare i den grad det er nødvendig for å levere Tjenestene, med mindre dette er påkrevd etter unionsretten eller medlemsstatens rett som tjenesteleverandøren er underlagt. I så fall vil tjenesteleverandøren informere den behandlingsansvarlige om dette rettslige kravet før behandlingen, med mindre loven forbyr dette av viktige hensyn til offentlig interesse. Omfanget av behandlingsaktiviteter er begrenset til hosting, administrasjon og tilrettelegging av underskriftskampanjer på nett.

Som databehandler sletter ikke tjenesteleverandøren signaturdata på eget initiativ. All sletting av underskriftsdata utføres etter dokumenterte instrukser fra den behandlingsansvarlige, enten de er gitt spesifikt eller på forhånd gjennom denne avtalen.

Den behandlingsansvarliges aksept av denne avtalen utgjør den behandlingsansvarliges dokumenterte instruksjoner til tjenesteleverandøren, inkludert prosedyrene for håndtering av forespørsler om sletting fra underskrivere som er beskrevet nedenfor, samt eventuelle selvbetjeningsverktøy som tjenesteleverandøren gjør tilgjengelig for underskrivere på den behandlingsansvarliges vegne.

Antall signaturer og lister

For å drifte og synliggjøre oppropet teller tjenesteleverandøren underskriftene og viser tallene på tjenestene: det totale antallet underskrifter, antall underskrifter i en bestemt periode og antall underskrifter samlet inn på hvert nettsted som inngår i tjenestene. Tallene brukes også til å rangere og liste offentlige opprop, for eksempel de mest signerte oppropene på et nettsted eller i landet opproppsforfatteren har oppgitt. Rangeringer etter antall signaturer inkluderer bare opprop med minst fem signaturer.

Disse tallene er anonyme statistikker som ikke identifiserer noen underskriver. De er ikke basert på land, by eller andre opplysninger som underskrivere oppgir i signeringsskjemaet. Slike opplysninger publiseres kun i aggregert form dersom opproppsforfatteren velger å publisere fordelingen av signaturer etter sted på oppproppets statistikkside, der steder med færre enn fem signaturer slås sammen.

Den behandlingsansvarliges aksept av denne avtalen utgjør den dokumenterte instruksen for denne behandlingen.

Databeskyttelse

Tjenesteleverandøren forplikter seg til å implementere tekniske og organisatoriske tiltak for å sikre personopplysninger mot uautorisert tilgang, tap eller skade.

Forbudt datainnsamling

Det er forbudt å be om personnummer (som nasjonale ID-numre) fra underskrivere.

Underbehandlere

Tjenesteleverandøren kan engasjere underbehandlere for å bistå med å levere tjenestene. Tjenesteleverandøren vil sikre at underprosessorer overholder forpliktelser om databeskyttelse i samsvar med denne DPA. Du erkjenner og samtykker i at tjenesteleverandøren har skjønnsmyndighet til å velge og skifte ut underdatabehandlere etter behov for å levere tjenestene effektivt.

Liste over underbehandlere. (Sist oppdatert: 2026-10-23)

Behandlingsansvarliges ansvar

Behandlingsansvarlig er ansvarlig for å sikre at innsamlingen, behandlingen og håndteringen av personopplysninger overholder alle gjeldende lover og forskrifter.

Behandlingsansvarlig identifikasjon

Under personvernforordningen (GDPR) er det et krav at identiteten til behandlingsansvarlig klart oppgis. Følgende bestemmelser gjelder for forfattere av opprop som bruker vår nettside:

Individuelle oppropsforfattere

Hvis du som enkeltperson oppretter et opprop, må du oppgi ditt fullt juridiske navn. Dette fungerer som din identifikasjon som behandlingsansvarlig for formålene med GDPR.

Organisatoriske Oppropforfattere

Hvis en opprop opprettes på vegne av en organisasjon, må organisasjonens fulle juridiske navn oppgis. I tillegg bør organisasjonen utpeke og oppgi kontaktinformasjon for en representant som er ansvarlig for databehandlingsaktiviteter, for eksempel et personvernombud (DPO) eller lignende.

Registrertes rettigheter

Behandlingsansvarlig må sikre at de registrerte (underskrivere av opprop) kan utøve sine rettigheter under GDPR, slik som retten til innsyn, retting eller sletting av sine data, eller til å klage til en tilsynsmyndighet.

Håndtering av slettingsforespørsler fra registrerte fra underskrivere

Rollene er forskjellige avhengig av hvilke data det gjelder. For personopplysninger som samles inn gjennom opproppsunderskrifter, opptrer tjenesteleverandøren som databehandler, og oppproppsforfatteren som behandlingsansvarlig. For tjenesteleverandørens egne driftsdata, for eksempel kontoopplysninger, tekniske logger og meldinger fra kontaktskjemaet, er tjenesteleverandøren en selvstendig behandlingsansvarlig.

Siden tjenesteleverandøren kun handler etter den behandlingsansvarliges dokumenterte instrukser, utgjør fremgangsmåten nedenfor den behandlingsansvarliges stående instruks for håndtering av slike forespørsler, og gir tjenesteleverandøren fullmakt til å handle uten å innhente særskilt godkjenning for hver enkelt forespørsel.

Når en underskriver ber tjenesteleverandøren slette personopplysninger knyttet til en signatur, vil tjenesteleverandøren uten ugrunnet opphold skjule signaturen fra offentlig visning og gjøre informasjon om slettingen tilgjengelig for oppproppsforfatteren i Tjenestene (for eksempel på en oversiktsside om personvern og gjennom en indikator i kontoen). Tjenesteleverandøren er ikke forpliktet til å sende en egen e-post for hver sletting. Opproppsforfatteren får 14 dager til å vurdere forespørselen og til å slette eventuelle kopier av underskriverens personopplysninger som de har lastet ned, eksportert, skrevet ut eller på annen måte lagret utenfor Tjenestene. Oppropsforfatteren kan kun protestere mot slettingen dersom det foreligger et lovlig grunnlag for å fortsette behandlingen av opplysningene (for eksempel for å fastsette, gjøre gjeldende eller forsvare rettskrav); en ren preferanse for å beholde underskriften er ikke et gyldig grunnlag. Enhver slik innsigelse må fremsettes ved å kontakte tjenesteleverandøren innen den perioden, med opplysning om det rettslige grunnlaget, tjenesteleverandøren tilbyr ikke noen automatisk måte for oppproppsforfatteren å reversere en sletting på. Hvis oppproppsforfatteren ikke protesterer på slikt grunnlag innen den perioden, vil tjenesteleverandøren slette signaturdataene permanent fra den aktive databasen. Tjenesteleverandøren tar sikte på å fullføre prosessen innen den en måneds fristen som kreves av GDPR.

Tjenesteleverandøren kan også tilby et selvbetjeningsverktøy, for eksempel en fjerningslenke i bekreftelsesmeldinger for underskrifter eller på oppropssiden, som lar underskrivere fjerne sin egen underskrift direkte. Når et slikt verktøy brukes, handler tjenesteleverandøren på vegne av den behandlingsansvarlige i henhold til de dokumenterte instruksjonene som er fastsatt i denne avtalen.

Personopplysninger kan bli værende i rutinemessige sikkerhetskopier i en begrenset periode etter sletting fra den aktive databasen. Slike sikkerhetskopier brukes ikke til daglig behandling og overskrives fortløpende i en rullerende syklus, hvoretter dataene fjernes permanent.

Tekniske logger kan inneholde personopplysninger, for eksempel IP-adresser eller metadata om levering av e-post. Disse loggene slettes innen 30 dager. Meldinger fra kontaktskjemaet kan lagres i opptil 5 år for revisjons-, sikkerhets- og tvisteløsningsformål.

Tjenesteleverandøren fører en minimal oversikt over at en sletting er utført, uten å beholde de slettede personopplysningene, for å dokumentere etterlevelse. This record contains the number of the signature, the petition, who removed it (the signatory, the Petition Author or the Service Provider), a reason chosen from a fixed list and the time, but no name or email address.

In addition, the Service Provider keeps, as an independent Data Controller, a record of each removal containing a code computed from the signatory's email address (not the address itself), the day of the removal and who removed it, but not the petition. It is used only to answer the signatory's later questions about their data and to demonstrate compliance. It is deleted after 14 days, and from backups at most 30 days later.

If a signatory reports that someone else signed with their email address and asks for it, the Service Provider may, as an independent Data Controller, keep the technical details of that signature (such as the IP address, device details and times) for 30 days to 2 years, only for disclosure to the police or another authority on their official request. These details are not made available to the Petition Author.

Håndtering av rettingforespørsler fra underskrivere

Retten til retting håndteres på samme måte som sletting: som databehandler endrer ikke tjenesteleverandøren signaturdata på eget initiativ, men bare på den behandlingsansvarliges dokumenterte instruksjoner, inkludert eventuelle selvbetjeningsverktøy som tjenesteleverandøren gjør tilgjengelig for underskrivere på den behandlingsansvarliges vegne for å korrigere egne data.

Når en korrigering er gjort, vil den aktive signaturlisten i Tjenestene gjenspeile den korrigerte verdien. I samsvar med plikten til å bruke oppdaterte signaturdata må den behandlingsansvarlige bare stole på en nylig hentet kopi og oppdatere eller forkaste eventuelle utdaterte kopier deretter, tjenesteleverandøren er ikke forpliktet til å opplyse den behandlingsansvarlige om den tidligere, feilaktige verdien.

Tjenesteleverandøren kan oppbevare en intern oversikt over endringen , for eksempel de tidligere og nye verdiene og tidspunktet for endringen, for formål knyttet til svindelforebygging, sikkerhet og tvisteløsning. Denne oversikten gjøres ikke tilgjengelig for den behandlingsansvarlige som standard og lagres bare så lenge det er nødvendig for disse formålene.

Varsling av mottakere

Dersom den behandlingsansvarlige har utlevert signaturdata til en mottaker, for eksempel en beslutningstaker eller annen tredjepart, er den behandlingsansvarlige ansvarlig, i henhold til artikkel 19 i GDPR, for å formidle enhver senere sletting eller retting av disse dataene til hver slik mottaker, med mindre dette viser seg umulig eller medfører en uforholdsmessig stor innsats. Tjenesteleverandørens fjerning eller korrigering av data i Tjenestene fritar ikke for denne forpliktelsen når det gjelder kopier som den behandlingsansvarlige har delt utenfor Tjenestene.

Ansvarlighet og etterlevelse

Datakontrolløren må kunne demonstrere overholdelse av GDPR, inkludert å svare på registrertes forespørsler angående deres personopplysninger.

Personvernerklæring

En tydelig og tilgjengelig personvernpolicy eller erklæring må gis, som beskriver hvordan personopplysninger behandles, formålet med behandlingen, og hvordan registrerte kan utøve sine rettigheter.

Varsel om endringer

Oppropsforfattere er pålagt å varsle Opprop.net (Petitions.com Group Oy) om eventuelle endringer i deres status som behandlingsansvarlig eller i deres representants kontaktinformasjon.

Årlig gjennomgang av databehandling

Oppropsforfatteren er pålagt å gjennomføre en årlig gjennomgang for å fastslå om det fortsatt er en gyldig grunn til fortsatt behandling av de registrertes personopplysninger. Denne gjennomgangen skal vurdere nødvendigheten og relevansen av dataene i forhold til formålet med oppropet. Hvis oppropsforfatteren bestemmer at det ikke lenger er en gyldig grunn til å fortsette behandlingen av dataene, må de ta passende skritt for å stanse behandlingen og initiere sletting av dataene i samsvar med gjeldende databeskyttelseslover.

Bruk av oppdaterte signaturdata

Før den behandlingsansvarlige utleverer underskriftsdata til tredjeparter (for eksempel en beslutningstaker eller en annen mottaker av oppropet), eller på annen måte behandler dataene utenfor tjenestene (inkludert å kontakte underskrivere på e-post), må den behandlingsansvarlige hente en ny kopi av underskriftslisten fra tjenestene og bruke kun denne gjeldende versjonen. Underskrivere kan når som helst utøve sin rett til sletting, og bare den aktive listen som vedlikeholdes i Tjenestene gjenspeiler slike slettinger. Den behandlingsansvarlige må ikke bruke tidligere nedlastede, eksporterte eller utskrevne kopier til disse formålene, og må kassere utdaterte kopier på en sikker måte.

Lagring og sletting av data

Skulle behandlingsansvarlig (forfatteren av oppropet) bryte noen av vilkårene i databehandleravtalen (DPA), inkludert men ikke begrenset til manglende gjennomføring av en årlig gjennomgang av databehandlingsaktiviteter eller levere en gyldig begrunnelse for fortsatt behandling av underskrivernes personopplysninger, forbeholder tjenesteleverandøren seg retten til å fjerne eller slette personopplysningene knyttet til deres opprop.

Ansvarsbegrensning

Under ingen omstendigheter skal den totale erstatningsansvaret til databehandleren overfor behandlingsansvarlig for alle skader, tap og rettskrav, enten i kontrakt, erstatningsrett (inkludert uaktsomhet), eller på annen måte, overstige det totale beløpet behandlingsansvarlig har betalt til databehandleren under denne avtalen.

Gjeldende lovgivning

Denne avtalen skal være underlagt lovene i Finland.