Databehandleravtale for Personvernsil

1 Roller og omfang

For personopplysninger i tekst som virksomheten sender til Personvernsil med sine API-nøkler, er virksomheten behandlingsansvarlig og vi databehandler. Det samme gjelder tekst som virksomhetens ansatte sender uten nøkkel gjennom verktøyet på nettsiden, nettleserutvidelsen eller tilleggene for Word og Outlook i arbeid for virksomheten. Kontoopplysningene og rapporter fra «Meld fra om en glipp» behandler vi som behandlingsansvarlig.

2 Instrukser

Vi behandler personopplysningene bare etter dokumenterte instrukser fra virksomheten, også ved overføring til land utenfor EØS. Instruksene er avtalen og virksomhetens bruk av tjenesten. Krever EØS-retten eller norsk rett en annen behandling, varsler vi virksomheten før vi behandler opplysningene, med mindre loven forbyr et slikt varsel. Mener vi at en instruks bryter personvernregelverket, gir vi virksomheten beskjed straks. Teksten bruker vi ikke til noe annet formål, heller ikke til å trene modeller.

3 Taushetsplikt og sikkerhet

Alle hos oss som har tilgang til personopplysningene, har taushetsplikt. Vi sikrer behandlingen med tiltakene i vedlegg 2 og kan endre dem uten varsel når sikkerheten blir minst like god som før.

4 Underdatabehandlere

Virksomheten gir oss generell skriftlig tillatelse til å bruke underdatabehandlere. Listen over dem får virksomheten før den godtar avtalen, og listen er en del av avtalen. Vi sender listen på nytt når virksomheten ber om det på info@l2x.ai. Vi varsler virksomheten minst 14 dager før vi legger til eller bytter ut en underdatabehandler. Virksomheten kan protestere innen fristen og si opp avtalen før endringen gjelder, og oppsigelse er da virksomhetens eneste beføyelse.

Hver underdatabehandler binder vi ved avtale til de samme pliktene om vern av personopplysninger som vi har etter denne avtalen, slik artikkel 28 nr. 4 i personvernforordningen krever. En leverandør som virksomheten selv velger og bruker med egen nøkkel, er ikke vår underdatabehandler.

5 Hvor opplysningene behandles

Vi behandler teksten bare på servere i EU. Overføring til en underdatabehandler som er etablert utenfor EØS, bygger på EU-kommisjonens standardavtalevilkår for overføring (gjennomføringsbeslutning (EU) 2021/914).

6 Bistand til virksomheten

Får vi en henvendelse fra en registrert om behandling vi utfører for virksomheten, sender vi den til virksomhetens kontaktadresse. Ber virksomheten om det, gir vi den en beskrivelse av behandlingen til bruk i vurderingen av personvernkonsekvenser og i forhåndsdrøftingen med Datatilsynet. Bistand utover det dette punktet og punkt 7 beskriver, betaler virksomheten til vår timepris, som vi oppgir på forhånd, med mindre behovet skyldes at vi har brutt avtalen.

7 Brudd på personopplysningssikkerheten

Vi varsler virksomheten på e-post uten ugrunnet opphold etter at vi har fått kjennskap til et brudd på personopplysningssikkerheten. Vi gir virksomheten den informasjonen vi har og som virksomheten trenger for å melde bruddet til Datatilsynet og underrette de registrerte.

8 Sletting og tilbakelevering

Vi lagrer ikke tekst fra virksomheten og har ingen tekst å slette eller levere tilbake når avtalen opphører.

9 Informasjon og revisjon

Vi gir virksomheten informasjonen den trenger for å vise at vi oppfyller artikkel 28 i personvernforordningen. Virksomheten kan kreve en revisjon i året, og vi svarer først med dokumentasjon. Er dokumentasjonen ikke nok, kan virksomheten kreve revisjon på stedet med minst 30 dagers varsel og gjennomføre den i vanlig arbeidstid. Alle som deltar, har taushetsplikt. Virksomheten dekker kostnadene ved revisjonen, også våre kostnader. Hos underdatabehandlerne bygger revisjonen på deres egne revisjonsrapporter og sertifiseringer.

10 Varighet, ansvar og lovvalg

Avtalen gjelder fra virksomheten godtar den og så lenge virksomheten har en konto. Vi kan si opp avtalen med en måneds skriftlig varsel, og med virkning straks hvis virksomheten bryter den vesentlig. Hvis virksomheten bryter avtalen eller ikke betaler, kan vi sperre tilgangen til tjenesten.

Endringer i avtalen utenom vedlegg 2 varsler vi minst 14 dager i forveien, og virksomheten kan da si opp avtalen slik punkt 4 beskriver. Varsler sender vi på e-post til kontaktadressen virksomheten holder oppdatert, og et varsel er gitt når vi har sendt det.

Vi garanterer ikke at Personvernsil finner alle personopplysninger i en tekst, og vi svarer ikke for tap som skyldes at tjenesten ikke fant en personopplysning. Vi svarer ikke for indirekte tap. Vårt samlede ansvar overfor virksomheten for krav som gjelder Personvernsil eller denne avtalen, er begrenset til vederlaget virksomheten har betalt oss for Personvernsil de siste 12 månedene før tapet oppsto. I en prøveperiode svarer vi ikke for tap, så langt loven tillater det. Begrensningen gjelder også regress etter artikkel 82 nr. 5 i personvernforordningen, og hver part bærer selv et overtredelsesgebyr som en tilsynsmyndighet har ilagt den.

Norsk rett gjelder for avtalen, og Oslo tingrett er avtalt verneting. Avtalen finnes på norsk og engelsk, og ved motstrid gjelder den norske teksten.

Vedlegg 1 Behandlingen

Vedlegg 2 Tekniske og organisatoriske tiltak

1. Vi holder teksten og svaret bare i minnet mens vi behandler forespørselen. Vi lagrer dem ikke, og ingen logg inneholder dem.

2. Vi krypterer all trafikk til og fra tjenesten med HTTPS.

3. Vi lagrer bare en hashverdi av hver API-nøkkel og begrenser forsøk med feil nøkkel. En nøkkel sperrer vi når virksomheten ber om det.

4. Bare navngitte personer hos oss har tilgang til driftsmiljøet, og tilgangen krever flerfaktorautentisering. Hver av dem har skrevet under på en taushetserklæring.

5. Underdatabehandlerne sikrer serverne fysisk.

Vilkår for API-et til Personvernsil