Databehandleravtale, Bedriftsflyt

Denne avtalen regulerer Grønberg Tech Solutions (databehandler) sin behandling av personopplysninger på vegne av bedriften som bruker Bedriftsflyt (behandlingsansvarlig), i tråd med personvernforordningen (GDPR) artikkel 28.

1. Partene

Behandlingsansvarlig: Bedriften/enkeltpersonforetaket som er registrert som kunde på Bedriftsflyt (identifisert ved firmanavn og e-post ved registrering).

Databehandler: Grønberg Tech Solutions (enkeltpersonforetak), org.nr 927 889 404 MVA, Modum.

2. Formål og varighet

Databehandleren behandler personopplysninger på vegne av den behandlingsansvarlige for å levere Bedriftsflyt-tjenesten: booking, fakturering og kundekommunikasjon for den behandlingsansvarliges sluttkunder. Avtalen gjelder så lenge den behandlingsansvarlige har et aktivt kundeforhold til Bedriftsflyt, og opphører når kontoen avsluttes og data er slettet, jf. punkt 7.

3. Hvilke personopplysninger, og om hvem

Databehandleren behandler følgende personopplysninger om den behandlingsansvarliges sluttkunder, samlet inn via booking-lenken:

• Navn
• Telefonnummer og/eller e-postadresse
• Hvilken tjeneste og hvilket tidspunkt som er booket
• Eventuell meldingshistorikk med KI-assistenten (spørsmål om pris, åpningstid, ledig tid)

Ingen særlige kategorier persondata (helseopplysninger, etnisitet o.l.) behandles bevisst av tjenesten.

4. Databehandlerens forpliktelser

• Behandler kun personopplysninger etter dokumenterte instrukser fra den behandlingsansvarlige (slik tjenesten er bygget og beskrevet).
• Sikrer at personer med tilgang til opplysningene har underlagt seg taushetsplikt.
• Gjennomfører tekniske og organisatoriske sikkerhetstiltak, jf. GDPR art. 32 (kryptering i transitt, tilgangsbegrensning, rate-limiting mot misbruk).
• Bistår den behandlingsansvarlige med å svare på henvendelser fra sluttkunder som ønsker å bruke sine rettigheter (innsyn, retting, sletting).
• Varsler den behandlingsansvarlige uten ugrunnet opphold ved brudd på personopplysningssikkerheten som gjelder dennes sluttkunder.

5. Underdatabehandlere

Den behandlingsansvarlige gir generell godkjenning til at databehandleren bruker følgende underdatabehandlere:

• Railway - hosting og database
• Anthropic - språkmodell for KI-assistenten som svarer sluttkunder
• Vipps - betaling av faktura og faste avtaler
• Brevo - utsending av bookingbekreftelser og påminnelser på e-post

Databehandleren informerer den behandlingsansvarlige ved planlagte endringer i denne listen, slik at det er mulig å protestere før endringen trer i kraft.

6. Overføring utenfor EU/EØS

Railway-databasen for Bedriftsflyt kjører i EU-vest, ingen overføring ut av EU/EØS for booking- og kontodata. Vipps og Brevo behandler data i Norge/EU. Anthropic (KI-assistenten) er et amerikansk selskap, og behandling av kundedialog kan skje på infrastruktur utenfor EU/EØS. Overføringsgrunnlaget er EUs standardklausuler (SCC), som Anthropic tilbyr i sin egen databehandleravtale. [Vurder å be Anthropic bekrefte SCC-status skriftlig, og legg ved som vedlegg, hvis denne avtalen skal gjøres fullt bindende.]

7. Sletting eller retur ved avtaleslutt

Ved avsluttet kundeforhold slettes eller anonymiseres bookingdata om sluttkunder senest 12 måneder etter siste aktivitet, med unntak av fakturadata som lagres i minimum 5 år etter bokføringsloven §13. Den behandlingsansvarlige kan når som helst be om at data slettes tidligere, med mindre lovpålagt oppbevaringsplikt er til hinder for det.

8. Kontroll

Den behandlingsansvarlige kan be om dokumentasjon som viser at databehandleren oppfyller sine forpliktelser etter denne avtalen. Kontakt kontakt@helene.cloud.