Databehandleravtale

UTKAST – standardavtale foreslått av leverandøren. Skal kvalitetssikres av jurist før salg. Felt i [hakeparentes] må avklares.

Denne databehandleravtalen («avtalen») er inngått mellom kunden som har registrert en organisasjon i KI policy generator («behandlingsansvarlig» eller «kunden») og Kolbrun Retorikk AS, org.nr. 911 943 123, Bergen («databehandler»). Avtalen inngås når kunden aksepterer den ved registrering eller bestilling, og er en del av avtalen om bruk av tjenesten.

1. Formål og omfang

Avtalen regulerer databehandlers behandling av personopplysninger på vegne av kunden, og oppfyller kravene i personvernforordningen (GDPR) artikkel 28 og personopplysningsloven. Avtalen gjelder personopplysninger kunden legger inn i tjenesten om egne ansatte, innleide og andre som bruker KI på kundens vegne. Opplysninger om brukerkontoer, abonnement og fakturering behandler Kolbrun Retorikk AS som selvstendig behandlingsansvarlig, se personvernerklæringen.

2. Definisjoner

Begreper som «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler», «underdatabehandler» og «brudd på personopplysningssikkerheten» har samme betydning som i GDPR artikkel 4.

3. Behandlingen

Formål, kategorier av registrerte og personopplysninger, behandlingsaktiviteter og varighet er beskrevet i Bilag 1.

4. Databehandlers plikter

4.1 Instruks. Databehandler skal bare behandle personopplysninger etter dokumentert instruks fra kunden. Denne avtalen, kjøpsbetingelsene og kundens bruk av funksjonene i tjenesten utgjør kundens instruks. Databehandler skal straks varsle kunden dersom en instruks etter databehandlers vurdering er i strid med regelverket.

4.2 Taushetsplikt. Personer som har tilgang til personopplysningene, skal være underlagt taushetsplikt. Plattformadministratorer hos databehandler har kun lesetilgang til kundens innhold, og bruker den bare for å yte support eller drifte tjenesten.

4.3 Sikkerhet. Databehandler skal gjennomføre egnede tekniske og organisatoriske tiltak etter GDPR artikkel 32. Tiltakene er beskrevet i Bilag 2.

4.4 Bistand ved de registrertes rettigheter. Tjenesten har funksjoner som lar kunden se, rette, eksportere og markere ansatte som sluttet. Utover dette skal databehandler, så langt det er mulig, bistå kunden med å oppfylle forespørsler fra registrerte etter GDPR kapittel III.

4.5 Bistand ellers. Databehandler skal bistå kunden med å oppfylle pliktene i GDPR artikkel 32–36, ut fra behandlingens art og informasjonen databehandler har tilgang til.

4.6 Brudd på personopplysningssikkerheten. Databehandler skal varsle kunden uten ugrunnet opphold, og senest [48] timer etter å ha blitt kjent med et brudd som berører kundens personopplysninger. Varselet skal så langt det er mulig inneholde opplysningene i GDPR artikkel 33 nr. 3. Kunden er ansvarlig for eventuelt varsel til Datatilsynet og de registrerte.

5. Underdatabehandlere

5.1 Kunden gir generell forhåndsgodkjenning til bruk av underdatabehandlerne i Bilag 3.

5.2 Databehandler skal varsle kunden minst [30] dager før en ny underdatabehandler tas i bruk eller en eksisterende byttes ut. Kunden kan protestere innen fristen. Kan partene ikke bli enige, kan kunden si opp avtalen med virkning før endringen.

5.3 Databehandler skal pålegge underdatabehandlere de samme plikter som følger av denne avtalen, og er ansvarlig overfor kunden for underdatabehandlernes oppfyllelse.

6. Overføring til land utenfor EØS

Personopplysninger skal bare overføres til land utenfor EØS når det finnes et gyldig overføringsgrunnlag etter GDPR kapittel V. Eksempler er en beslutning om tilstrekkelig beskyttelsesnivå (herunder EU–US Data Privacy Framework for sertifiserte mottakere) eller EUs standardkontraktsklausuler med nødvendige tilleggstiltak. Overføringsgrunnlag per underdatabehandler fremgår av Bilag 3.

7. Dokumentasjon og revisjon

Databehandler skal på forespørsel gi kunden den informasjonen som er nødvendig for å vise at pliktene i denne avtalen og GDPR artikkel 28 er oppfylt. Kunden kan gjennomføre revisjon med minst [30] dagers skriftlig varsel, normalt høyst én gang per år, med mindre det foreligger et brudd eller et pålegg fra tilsynsmyndighet. Kunden dekker egne kostnader ved revisjon.

8. Kundens plikter

Kunden er ansvarlig for at:

• behandlingen har gyldig behandlingsgrunnlag, og at de ansatte er informert om behandlingen,
• det bare legges inn opplysninger som er nødvendige for formålet,
• det ikke legges inn særlige kategorier av personopplysninger (GDPR artikkel 9) eller opplysninger om straffedommer (artikkel 10),
• personlige lenker sendes til riktig person.

9. Varighet og opphør

Avtalen gjelder så lenge databehandler behandler personopplysninger på vegne av kunden. Ved opphør kan kunden eksportere tilgjengelige data i [30] dager. Deretter skal databehandler slette kundens personopplysninger innen [90] dager etter opphør, med mindre lov krever lagring. Sikkerhetskopier hos driftsleverandør overskrives etter leverandørens rutiner, innen [antall] dager. Databehandler skal på forespørsel bekrefte slettingen skriftlig.

10. Ansvar

Ansvar for skade som følge av brudd på personvernregelverket fordeles etter GDPR artikkel 82. For øvrig gjelder ansvarsbestemmelsene i kjøpsbetingelsene.

11. Motstrid

Ved motstrid mellom denne avtalen og andre avtaler mellom partene går denne avtalen foran i spørsmål om behandling av personopplysninger.

12. Lovvalg og verneting

Avtalen reguleres av norsk rett. Hordaland tingrett er avtalt verneting.

---

Bilag 1 – Beskrivelse av behandlingen

Formål: Levere KI policy generator. Det omfatter KI-register, kompetanseoversikt og registrering av KI-kortet®, intern KI-policy med versjoner, ansattes bekreftelse av policyen, offentlig KI-erklæring, og skanning av kundens egne nettsteder.

Kategorier av registrerte: Kundens ansatte, innleide og andre som bruker KI på kundens vegne. I tillegg kundens policyansvarlige og kontaktpersoner.

Kategorier av personopplysninger:

• navn, e-postadresse, avdeling, startdato og om personen har sluttet
• KI-kortet®: lenke, kort-ID og dato for bestått kurs
• bekreftelser: tidspunkt for åpning og bekreftelse, policyversjon, tekst-hash, svar på kontrollspørsmål og antall forsøk
• navn og rolle på policyansvarlig
• personopplysninger kunden selv skriver inn i fritekstfelt

Særlige kategorier: Ikke forutsatt. Kunden skal ikke registrere slike opplysninger.

Behandlingsaktiviteter: Lagring, organisering, visning, eksport, generering av personlige lenker, kø for e-postutsending, sletting og markering som sluttet. I tillegg sendes policygrunnlag til en KI-tjeneste for å formulere utkast til policytekst og kontrollspørsmål, se Bilag 3. Ansattlisten sendes ikke til KI-tjenesten. Policytekst kan likevel inneholde navn dersom kunden har skrevet det inn.

Varighet: Avtaleperioden, med tillegg av sletteperioden i punkt 9.

Lagringssted: [Region for database og sikkerhetskopier – avklares med driftsleverandør.]

Bilag 2 – Sikkerhetstiltak

• Tilgangsstyring: Data er skilt per organisasjon med radnivåsikkerhet i databasen. Brukerne har rollene eier, redaktør eller leser. Plattformadministrator har kun lesetilgang til kundeinnhold.
• Innlogging: Engangslenke på e-post. Ingen passord lagres i tjenesten.
• Offentlige grensesnitt: Uten innlogging er det ingen direkte tilgang til databasetabeller. Offentlige grensesnitt returnerer bare godkjent offentlig innhold, aldri navn på ansatte.
• Personlige lenker: Lange, tilfeldige nøkler. Hver lenke gir bare tilgang til én ansatt og én policyversjon.
• Integritet: Revisjonsloggen kan ikke endres eller slettes. Godkjente policyversjoner er låst og har fingeravtrykk (hash).
• Kryptering: All trafikk er kryptert (HTTPS/TLS). [Kryptering av lagrede data hos driftsleverandør – bekreft.]
• Nettstedsskanning: Bare offentlige adresser kan skannes. Forespørsler mot private og interne nettverk blokkeres.
• Dataminimering mot KI: Bare det policygrunnlaget formuleringen trenger, sendes. Ansattall sendes aggregert.
• Sikkerhetskopiering: [Frekvens og lagringstid hos driftsleverandør – bekreft.]
• Organisatorisk: Tilgang for databehandlers personell er begrenset til det som trengs for drift og support. [Rutine for avvikshåndtering – beskriv.]

Bilag 3 – Underdatabehandlere

| Underdatabehandler | Tjeneste | Behandlingssted | Overføringsgrunnlag | | --- | --- | --- | --- | | Lovable (Lovable Cloud) | Applikasjonsplattform, drift, database og innlogging | [Land/region – bekreft] | [Bekreft] | | Supabase (underleverandør i Lovable Cloud) | Database og autentisering | [Region – bekreft] | [Bekreft] | | Cloudflare | Levering av appen og DNS-oppslag ved nettstedstester | [Global – bekreft] | [Bekreft] | | Lovable AI Gateway / OpenAI | Formulering av policytekst, offentlig erklæring og kontrollspørsmål | [Land – bekreft] | [Bekreft, og om data brukes til trening] |

Brønnøysundregistrenes åpne API brukes til oppslag av organisasjonsnummer. Det er ikke en underdatabehandler, siden det bare mottar organisasjonsnummer. Når automatisk e-post tas i bruk, legges e-postleverandøren til i listen, med varsel etter punkt 5.2.