Databehandleravtale
Denne databehandleravtalen («Databehandleravtalen») er en del av Kundevilkårene og gjelder mellom kunden («Kunden») og Reliable AI AS, org.nr. 934 343 786 («Leverandøren»). Den regulerer Leverandørens behandling av personopplysninger på vegne av Kunden ved levering av Tjenesten, og oppfyller kravene i personvernforordningen (GDPR) artikkel 28.
Databehandleravtalen foreligger på norsk og engelsk. Ved motstrid gjelder den norske versjonen.
1. Roller
1.1 Kunden er behandlingsansvarlig og Leverandøren er databehandler for personopplysninger som Leverandøren behandler på vegne av Kunden ved levering av Tjenesten, slik det er beskrevet i vedlegg 1.
1.2 For behandling Leverandøren gjør for egne formål, som er begrenset til administrasjon av kundeforholdet, fakturering, sikring av Tjenesten og forbedring av Tjenesten, er Leverandøren selv behandlingsansvarlig. Denne behandlingen er beskrevet i Leverandørens personvernerklæring.
1.3 Kunden er ansvarlig for at det foreligger behandlingsgrunnlag for personopplysningene som behandles på vegne av Kunden, og for at Kundens instrukser til Leverandøren er i samsvar med personvernregelverket.
1.4 Kunden kan slå av lagring av søketekst for alle sine Brukere. Lagret søketekst er ikke knyttet til Kunden eller Brukerne, behandles av Leverandøren som behandlingsansvarlig etter punkt 1.2 og slettes eller anonymiseres innen 90 dager. Punkt 7.2 gjelder ikke for lagret søketekst.
2. Leverandørens plikter
2.1 Leverandøren skal bare behandle personopplysninger etter dokumenterte instrukser fra Kunden. Kundeavtalen, Kundevilkårene og denne Databehandleravtalen utgjør Kundens instrukser. Mener Leverandøren at en instruks er i strid med personvernregelverket, skal Leverandøren varsle Kunden. Krever lov at Leverandøren behandler personopplysningene på annen måte, skal Leverandøren varsle Kunden før behandlingen, med mindre loven forbyr det.
2.2 Leverandøren skal sørge for at personer som har tilgang til personopplysningene, har taushetsplikt.
2.3 Leverandøren skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre personopplysningene, jf. GDPR artikkel 32. Tiltakene er beskrevet i vedlegg 2.
2.4 Leverandøren skal, så langt det er rimelig ut fra behandlingens art, bistå Kunden med å oppfylle de registrertes rettigheter og Kundens plikter etter GDPR artikkel 32 til 36.
2.5 Leverandøren skal ikke bruke personopplysninger som behandles på vegne av Kunden, til å trene generative KI-modeller.
3. Underdatabehandlere
3.1 Kunden gir generell tillatelse til at Leverandøren bruker underdatabehandlere. Gjeldende underdatabehandlere står oppført på Leverandørens nettsider, se Underleverandører.
3.2 Leverandøren skal varsle Kunden om nye eller utskiftede underdatabehandlere i rimelig tid, og som hovedregel minst 30 dager, før endringen trer i kraft. Kunden kan protestere på saklig grunnlag. Finner partene ikke en løsning, kan Kunden si opp Kundeavtalen med virkning fra endringen.
3.3 Leverandøren skal pålegge underdatabehandlere de samme personvernforpliktelsene som følger av denne avtalen, og er ansvarlig overfor Kunden for at underdatabehandlerne oppfyller dem.
4. Behandlingssted
4.1 Personopplysningene lagres og behandles innenfor EU/EØS. Overføring til land utenfor EU/EØS skjer bare med gyldig overføringsgrunnlag etter GDPR kapittel V.
5. Brudd på personopplysningssikkerheten
5.1 Leverandøren skal varsle Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører Kunden. Varselet skal, så langt det er kjent, inneholde den informasjonen Kunden trenger for å oppfylle sine plikter etter GDPR artikkel 33 og 34.
5.2 Leverandøren skal straks sette i verk nødvendige tiltak for å begrense skadevirkningene, og holde Kunden orientert til hendelsen er avsluttet.
6. Revisjon
6.1 Leverandøren skal gjøre tilgjengelig den informasjonen som er nødvendig for å vise at pliktene i denne avtalen er oppfylt.
6.2 Kunden kan, selv eller ved en uavhengig revisor med taushetsplikt, gjennomføre revisjon med rimelig varsel, på et tidspunkt partene avtaler. Leverandøren skal bidra til revisjonen. Revisjonen skal gjennomføres uten unødig ulempe for Leverandørens drift, og bekostes av Kunden.
7. Varighet, sletting og tilbakelevering
7.1 Databehandleravtalen gjelder så lenge Leverandøren behandler personopplysninger på vegne av Kunden.
7.2 Når Kundeavtalen opphører, skal Leverandøren etter Kundens valg slette eller tilbakelevere personopplysningene og slette eksisterende kopier, med mindre lov krever at de oppbevares. Leverandøren bekrefter slettingen skriftlig på forespørsel. Opplysninger i sikkerhetskopier og logger slettes når de faste lagringsperiodene for disse utløper.
8. Ansvar og forrang
8.1 Ansvar etter Databehandleravtalen reguleres av Kundevilkårene, herunder ansvarsbegrensningene.
8.2 Ved motstrid mellom Databehandleravtalen og Kundeavtalen eller Kundevilkårene, går Databehandleravtalen foran i spørsmål om behandling av personopplysninger.
8.3 Har partene inngått en egen databehandleravtale, går den foran denne.
Vedlegg 1: Behandlingen
Formål: Å levere Tjenesten til Kunden, herunder brukertilgang, søk, lagring og deling av prosjekter innad i Kundens virksomhet og brukerstøtte.
Behandlingens art: Innsamling, lagring, strukturering, bruk, deling innad i Kundens virksomhet og sletting.
Registrerte: Kundens ansatte og andre som Kunden gir tilgang til Tjenesten, samt personer som omtales i innhold brukerne selv legger inn.
Kategorier av personopplysninger:
- Brukeropplysninger: navn, e-postadresse og arbeidsgiver
- Innloggings- og sikkerhetslogger
- Opplysninger om bruk av Tjenesten
- Søketekst
- Prosjektinnhold: lagrede treff, notater og kommentarer
Særlige kategorier: Tjenesten er ikke beregnet for særlige kategorier av personopplysninger etter GDPR artikkel 9 og 10, og brukere bør ikke legge inn slike opplysninger i søk eller notater.
Varighet: Avtaleperioden, deretter etter punkt 7. Brukerkontoer som ikke har vært i bruk på 24 måneder, slettes automatisk.
Vedlegg 2: Sikkerhetstiltak
- Tjenesten driftes på Microsoft Azure innenfor EU/EØS. Innlogging håndteres av Microsoft Entra ID.
- Data krypteres under overføring og ved lagring.
- Tilgang til Kundedata er begrenset til et lite antall navngitte personer hos Leverandøren, med flerfaktorautentisering.
- Kundedata holdes adskilt mellom kunder og legges aldri inn i søkeindeksene, som bare inneholder offentlige kilder.
- Kundedata holdes i produksjonsmiljøet og kopieres ikke til utviklingsmiljøer eller bærbare maskiner.
- Data sikkerhetskopieres automatisk og kan gjenopprettes.
- Innlogging og hendelser i Tjenesten logges.
- Leverandøren har skriftlige rutiner for håndtering av sikkerhetshendelser, kontinuitet og gjenoppretting.
- Leverandøren gjennomfører jevnlige interne sikkerhetsgjennomganger.
Mer informasjon står på siden Sikkerhet.