Databehandleravtale

01 / Partene

Hvem avtalen gjelder mellom

Avtalen gjelder mellom kunden, som er behandlingsansvarlig, og Index Development (org.nr. 936 933 661), som er databehandler. Den oppfyller kravene i personvernforordningen (GDPR) artikkel 28, og gjelder sammen med vilkårene. Står det noe annet i vilkårene om personopplysninger, gjelder denne avtalen.

Avtalen gjelder fra kunden tar i bruk en tjeneste som behandler personopplysninger, og så lenge vi behandler slike opplysninger for kunden.

02 / Hva vi behandler

Opplysningene og hvem de gjelder

• Chatbot: meldingene besøkende skriver, og navn, e-post eller telefonnummer hvis de selv oppgir det.
• Telefonsvarer: telefonnummeret til den som ringer, tidspunktet, SMS-ene som sendes og svarene som kommer tilbake.
• Nettside og skjema: det besøkende sender i skjemaer på kundens nettside.
• Hvem det gjelder: kundens kunder og de som besøker eller kontakter kundens nettside.

Løsningene er ikke laget for særlige kategorier av personopplysninger, som helseopplysninger. Kunden skal ikke sette opp løsningen til å be om slike. Skriver noen det likevel, behandles det etter denne avtalen og slettes etter lagringstiden i punkt 08.

03 / Instrukser

Vi gjør bare det du ber om

Vi behandler opplysningene bare for å levere tjenesten kunden har bestilt, og etter kundens dokumenterte instrukser: denne avtalen, tilbudet og det kunden ber om skriftlig. Mener vi at en instruks er i strid med personvernreglene, sier vi fra.

04 / Taushet

Hvem som har tilgang

Bare de som trenger det for å levere tjenesten, får tilgang til opplysningene. Alle som jobber for oss, har skriftlig taushetsplikt, og den gjelder også etter at samarbeidet er slutt.

05 / Sikkerhet

Hvordan opplysningene beskyttes

Vi har tiltak som passer til risikoen, slik GDPR artikkel 32 krever. Overføring skjer kryptert (HTTPS), tilgang til data krever innlogging og er begrenset til dem som trenger den, og vi lagrer ikke mer enn tjenesten trenger. Løsningene setter ingen sporingskapsler hos besøkende.

06 / Underleverandører

Hvem vi bruker

Kunden gir oss en generell tillatelse til å bruke disse underleverandørene. Vi har avtaler med dem som gir minst samme vern som denne avtalen.

Bytter vi eller legger til en underleverandør, varsler vi kunden minst 30 dager før. Kunden kan da protestere, og har rett til å si opp tjenesten.

07 / Utenfor EØS

Overføring til USA

Anthropic og Resend behandler opplysninger i USA. Overføringen bygger på EUs standardkontraktsbestemmelser eller annet gyldig overføringsgrunnlag etter GDPR kapittel V.

08 / Lagringstid

Hvor lenge vi beholder opplysningene

• Samtaler i chatboten lagres i 30 dager, så vi kan rette feil og forbedre svarene, og slettes deretter automatisk.
• Beskjeder fra telefonsvareren og skjemaer sendes videre til kunden og lagres ikke hos oss lenger enn nødvendig for å levere dem.
• Annen lagringstid kan avtales skriftlig i tilbudet.

09 / Bistand og avvik

Når noe skjer

• Vi hjelper kunden å svare på henvendelser fra de registrerte, for eksempel krav om innsyn eller sletting.
• Oppdager vi et brudd på personopplysningssikkerheten, varsler vi kunden uten ugrunnet opphold, og senest innen 48 timer, med det vi vet om hva som har skjedd.
• Vi hjelper kunden med vurderinger og dokumentasjon kunden trenger etter GDPR artikkel 32 til 36.

10 / Kontroll

Innsyn i hvordan vi jobber

Vi gir kunden opplysningene som trengs for å vise at avtalen følges. Kunden kan be om en gjennomgang med rimelig varsel. Kunden dekker egne kostnader ved gjennomgangen.

11 / Når avtalen slutter

Sletting

Når tjenesten avsluttes, sletter vi opplysningene vi har behandlet for kunden innen 30 dager, eller gir dem tilbake hvis kunden ber om det før det. Opplysninger vi må beholde etter lov, som regnskapsmateriale, beholdes bare så lenge loven krever.

12 / Øvrig

Lovvalg

Avtalen er underlagt norsk rett, med samme verneting som i vilkårene. Spørsmål om avtalen sendes til andreas@indexdevelopment.no.