Databehandleravtale

1. Partene og avtalens formål

Denne databehandleravtalen inngås mellom kunden («behandlingsansvarlig») og leverandøren av tjenesten Telefonassistent («databehandler»).

Avtalen regulerer databehandlerens behandling av personopplysninger på vegne av behandlingsansvarlig ved bruk av tjenesten, og oppfyller kravene i personvernforordningen (EU) 2016/679 artikkel 28 nr. 3.

Ved motstrid går denne avtalen foran øvrige avtalevilkår for så vidt gjelder behandling av personopplysninger.

2. Behandlingens gjenstand, varighet, art og formål

Gjenstand: drift av en AI-basert kundeservicetjeneste som besvarer henvendelser ut fra dokumenter og innhold behandlingsansvarlig selv laster opp.

Varighet: så lenge kundeforholdet består, samt slettefristene i punkt 9.

Art og formål: innsamling, lagring, strukturering, gjenfinning, visning og sletting av henvendelser og tilhørende innhold, for å levere svar, merke saker i behandlingsansvarliges dashbord, og gi behandlingsansvarlig statistikk og kvalitetsmåling på egne data.

3. Kategorier registrerte og personopplysninger

Registrerte: behandlingsansvarliges kunder, besøkende på behandlingsansvarliges nettsted, og behandlingsansvarliges egne ansatte og brukere av tjenesten.

Personopplysninger: kontaktopplysninger oppgitt i samtalen, innholdet i henvendelsen og svarene, brukerkontoopplysninger (navn, e-postadresse, rolle), samt tekniske opplysninger som tidspunkt, domene og IP-adresse i sikkerhetslogger.

Særlige kategorier personopplysninger etter artikkel 9 skal ikke behandles i tjenesten. Behandlingsansvarlig er ansvarlig for ikke å laste opp slikt innhold.

4. Databehandlerens plikter

Databehandler behandler personopplysninger kun etter dokumenterte instrukser fra behandlingsansvarlig, herunder denne avtalen og bruken av tjenestens innstillinger.

Databehandler sikrer at personer med tilgang til personopplysningene er underlagt taushetsplikt.

Databehandler bistår behandlingsansvarlig med egnede tekniske og organisatoriske tiltak ved henvendelser om de registrertes rettigheter, og med å oppfylle pliktene etter artikkel 32 til 36.

Databehandler gjør tilgjengelig all informasjon som er nødvendig for å påvise at pliktene etter artikkel 28 overholdes, og muliggjør og bidrar til revisjoner, herunder inspeksjoner, gjennomført av behandlingsansvarlig eller en revisor denne har gitt fullmakt. Revisjon varsles skriftlig minst 30 dager i forveien og kan gjennomføres én gang per kalenderår, med mindre et brudd på personopplysningssikkerheten gir grunn til hyppigere kontroll.

Databehandler varsler behandlingsansvarlig uten ugrunnet opphold dersom en instruks etter databehandlerens oppfatning er i strid med personvernregelverket.

5. Sikkerhet

Databehandler gjennomfører egnede tekniske og organisatoriske tiltak etter artikkel 32, tilpasset risikoen. Tiltakene omfatter kryptering av personopplysninger under overføring og lagring, logisk adskillelse av hver kundes data, tilgangsstyring etter prinsippet om minste privilegium, personlige og sporbare administratortilganger, logging av administrative handlinger, sikkerhetskopiering, og rutiner for regelmessig testing og evaluering av tiltakene.

Behandlingsansvarlig er ansvarlig for å forvalte egne brukerkontoer, tilgangsnivåer og godkjente domener i tjenesten.

6. Underdatabehandlere

Behandlingsansvarlig gir databehandler generell skriftlig godkjenning til å benytte underdatabehandlere for drift, lagring, svargenerering, varsling, betalingshåndtering og levering av nettstedet.

En til enhver tid gjeldende og navngitt oversikt over underdatabehandlere med behandlingssted framgår av Vedlegg B. Vedlegg B publiseres ikke offentlig, og utleveres til behandlingsansvarlig på forespørsel gjennom tjenesten.

Databehandler varsler behandlingsansvarlig skriftlig minst 30 dager før en ny underdatabehandler tas i bruk eller skiftes ut. Behandlingsansvarlig kan innen varselfristen protestere på saklig grunnlag; oppnås ikke enighet, kan behandlingsansvarlig si opp tjenesten med virkning fra endringstidspunktet, uten kostnad for gjenværende bindingstid.

Databehandler pålegger enhver underdatabehandler de samme forpliktelsene som følger av denne avtalen, og er fullt ut ansvarlig overfor behandlingsansvarlig for underdatabehandlerens oppfyllelse.

7. Overføring til land utenfor EØS

Behandlingsansvarliges data lagres i EU (Irland).

Enkelte underdatabehandlere kan behandle personopplysninger utenfor EØS. Slik overføring skjer bare der det foreligger et gyldig overføringsgrunnlag: en tilstrekkelighetsbeslutning etter artikkel 45, eller EU-kommisjonens standard personvernbestemmelser etter artikkel 46 nr. 2 bokstav c med supplerende tiltak.

Behandlingsansvarlig kan be om dokumentasjon på overføringsgrunnlaget sammen med Vedlegg B.

8. Brudd på personopplysningssikkerheten

Databehandler varsler behandlingsansvarlig uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten.

Varselet skal beskrive bruddets art, hvilke kategorier og omtrentlig antall registrerte og opplysninger som er berørt, sannsynlige konsekvenser, og tiltak som er eller vil bli truffet. Databehandler bistår behandlingsansvarlig med melding til tilsynsmyndighet og eventuell underretning til de registrerte.

Databehandler melder ikke bruddet til tilsynsmyndighet på egen hånd på vegne av behandlingsansvarlig uten skriftlig avtale om det.

9. Sletting og tilbakelevering

Behandlingsansvarlig kan når som helst eksportere egne data fra tjenesten, og kan slette enkeltsamtaler, enkeltpersoners data eller hele datasettet selv.

Samtalelogger slettes automatisk etter den oppbevaringstiden behandlingsansvarlig velger i tjenesten.

Ved opphør av avtalen slettes eller tilbakeleveres alle personopplysninger etter behandlingsansvarliges valg innen 30 dager, inkludert opplastede dokumenter og filer, med mindre lagring kreves etter gjeldende rett. Sikkerhetskopier slettes i tråd med ordinær rotasjon.

10. Ansvar, endringer og lovvalg

Partenes ansvar følger av personvernforordningen artikkel 82 og av hovedavtalens ansvarsbegrensninger så langt disse ikke er i strid med ufravikelig rett.

Databehandler kan oppdatere denne avtalen når regelverk eller tjenesten endres. Ny versjon varsles i tjenesten, og fortsatt bruk etter 30 dager anses som aksept. Den til enhver tid aksepterte versjonen logges med tidspunkt og hvem som aksepterte.

Avtalen reguleres av norsk rett, med Norge som verneting.

Vedlegg A – tekniske tiltak

Tiltakene er beskrevet i punkt 5 og utdypet på sikkerhetssiden.

Vedlegg B – underdatabehandlere

Vedlegg B publiseres ikke offentlig. Innloggede kunder som har godtatt gjeldende versjon av databehandleravtalen, laster det ned under Databehandleravtale i dashbordet.