Databehandleravtale

Om dette dokumentet. Punkt 2–15 er hentet ordrett fra malen til databehandleravtale som Datatilsynet har gjennomgått: den norske oversettelsen av standardavtalevilkårene det danske Datatilsynet har vedtatt etter personvernforordningen artikkel 28 nummer 8. Vi har bare tatt de valgene malen åpner for: generell forhåndsgodkjennelse av underdatabehandlere med 30 dagers varsel (7.2–7.3), Datatilsynet som tilsynsmyndighet (9.2), 48 timer som varslingsfrist ved brudd (10.2) og sletting ved opphør (11.1). Den valgfrie bestemmelsen i 7.6 og den valgfrie bestemmelsen om lovpålagt oppbevaring i punkt 11 er ikke tatt inn. Vedlegg A–D har vi skrevet selv, slik malen forutsetter.

Standardavtalevilkår i henhold til artikkel 28 nummer 3, i Europaparlamentets og Rådets forordning 2016/679 (personvernforordningen) med henblikk på databehandlerens behandling av personopplysninger

mellom

virksomheten som har godtatt tjenestevilkårene for Arkiflyt, heretter «den behandlingsansvarlige»

og

Arkiflyt AS, org.nr. 838 585 302, Liomveien 19A, 1362 Hosle, heretter «databehandleren»

som hver for seg er en «part» og sammen utgjør «partene»

HAR AVTALT følgende standardavtalevilkår (Vilkårene) med henblikk på å overholde personvernforordningen og sikre beskyttelse av fysiske personers grunnleggende rettigheter og friheter

2. Innledning

2.1. Disse Vilkårene fastsetter den behandlingsansvarlige og databehandlerens rettigheter og plikter når databehandleren utfører behandling av personopplysninger på vegne av den behandlingsansvarlige.

2.2. Disse Vilkårene er utformet med for å sikre partenes etterlevelse av artikkel 28 nummer 3 i Europaparlamentets og Rådets forordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (personvernforordningen).

2.3. I forbindelse med leveringen av Arkiflyt behandler databehandleren personopplysninger på vegne av den behandlingsansvarlige i overensstemmelse med disse Vilkårene.

2.4. Vilkårene har forrang i forhold til eventuelle tilsvarende bestemmelser i andre avtaler mellom partene.

2.5. Det er fire vedlegg til disse Vilkårene, og vedleggene utgjør en integrert del av Vilkårene.

2.6. Vedlegg A inneholder nærmere opplysninger om behandlingen av personopplysninger, herunder om behandlingens formål og art, typen av personopplysninger, kategoriene av registrerte og behandlingens varighet.

2.7. Vedlegg B inneholder den behandlingsansvarliges betingelser for databehandlerens bruk av underdatabehandlere og en liste over underdatabehandlere som den behandlingsansvarlige har godkjent.

2.8. Vedlegg C inneholder den behandlingsansvarliges instruks når det gjelder databehandlerens behandling av personopplysninger, en beskrivelse av de sikkerhetstiltakene som databehandleren som minimum skal gjennomføre, og hvordan revisjoner av databehandleren og eventuelle underdatabehandlere skal utføres.

2.9. Vedlegg D inneholder bestemmelser om andre aktiviteter som ikke er omfattet av Vilkårene.

2.10. Vilkårene med tilhørende vedlegg skal oppbevares skriftlig, herunder elektronisk, av begge parter.

2.11. Disse Vilkårene fritar ikke databehandleren fra plikter som databehandleren er pålagt etter personvernforordningen eller annen lovgivning.

3. Den behandlingsansvarliges rettigheter og plikter

3.1. Den behandlingsansvarlige er ansvarlig for å sikre at behandlingen av personopplysninger skjer i overensstemmelse med personvernforordningen (se personvernforordningen artikkel 24), gjeldende personopplysningsvernbestemmelser i unionsretten eller medlemsstatenes nasjonale rett og disse Vilkårene.

3.2. Den behandlingsansvarlige har rett og plikt til å bestemme formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes.

3.3. Den behandlingsansvarlige er ansvarlig for, blant annet, å sikre at det foreligger et behandlingsgrunnlag for behandlingen av personopplysninger som databehandleren instrueres om å gjøre.

4. Databehandleren handler etter instrukser

4.1. Databehandleren skal bare behandle personopplysninger etter dokumenterte instrukser fra den behandlingsansvarlige, med mindre noe annet kreves av unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt. Disse instruksene skal være spesifisert i vedlegg A og C. Etterfølgende instrukser kan også gis av den behandlingsansvarlige mens det skjer behandling av personopplysninger, men instruksene skal alltid være dokumenterte og oppbevares skriftlig, herunder elektronisk, sammen med disse Vilkårene.

4.2. Databehandleren skal omgående underrette den behandlingsansvarlige dersom en instruks fra den behandlingsansvarlige, etter databehandlerens mening, er i strid med personvernforordningen eller gjeldende personopplysningsvernbestemmelser i unionsretten eller medlemsstatenes nasjonale rett.

5. Konfidensialitet

5.1. Databehandleren kan bare gi tilgang til personopplysninger som behandles på den behandlingsansvarliges vegne til personer underlagt databehandlerens instruksjonsmyndighet som har forpliktet seg til konfidensialitet eller er underlagt en passende lovbestemt taushetsplikt, og bare i det nødvendige omfang. Listen av personer som har fått tilgang skal gjennomgås fortløpende. På bakgrunn av en slik gjennomgang kan tilgangen til personopplysninger stenges, dersom den ikke lenger er nødvendig, og personopplysningene skal deretter ikke lenger være tilgjengelig for disse personene.

5.2. Databehandleren skal etter anmodning fra den behandlingsansvarlige kunne påvise at de aktuelle personene underlagt databehandlerens instruksjonsmyndighet er underlagt ovennevnte taushetsplikt.

6. Sikkerhet ved behandlingen

6.1. Personvernforordningen artikkel 32 fastslår at, idet det tas hensyn til den tekniske utviklingen, gjennomføringskostnadene og behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige og databehandleren gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen.

Den behandlingsansvarlige skal vurdere risikoene for fysiske personers rettigheter og friheter som behandlingen utgjør og gjennomføre tiltak for å imøtegå disse risikoene. Avhengig av relevans kan tiltakene omfatte:

• a. pseudonymisering og kryptering av personopplysninger
• b. evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemene og -tjenestene
• c. evne til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger i rett tid dersom det oppstår en fysisk eller teknisk hendelse
• d. en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er.

6.2. Ifølge personvernforordningen artikkel 32 skal databehandleren – uavhengig av den behandlingsansvarlige – også vurdere risikoene for fysiske personers rettigheter og friheter som behandlingen utgjør, og gjennomføre tiltak for å imøtegå risikoene. Med henblikk på denne vurderingen skal den behandlingsansvarlige stille den nødvendige informasjonen til rådighet for databehandleren som gjør vedkommende i stand til å identifisere og vurdere slike risikoer.

6.3. Databehandleren skal også bistå den behandlingsansvarlige med å overholde den behandlingsansvarliges plikter etter personvernforordningen artikkel 32, ved blant annet å stille til den behandlingsansvarliges rådighet nødvendig informasjon om de tekniske og organisatoriske sikkerhetstiltakene som databehandleren allerede har gjennomført i henhold til personvernforordningen artikkel 32, samt all annen informasjon som er nødvendig for at den behandlingsansvarlige skal kunne overholde sine plikter etter personvernforordningen artikkel 32.

Hvis imøtegåelse av de identifiserte risikoene – etter den behandlingsansvarliges vurdering – krever at det gjennomføres ytterligere tiltak enn det databehandleren allerede har gjennomført, skal den behandlingsansvarlige angi disse tiltakene i vedlegg C.

7. Bruk av underdatabehandlere

7.1. Databehandleren skal oppfylle betingelsene som er fastsatt i personvernforordningen artikkel 28 nummer 2 og nummer 4 for å gjøre bruk av en annen databehandler (en underdatabehandler).

7.2. Databehandleren må således ikke bruke en underdatabehandler for å oppfylle Vilkårene uten på forhånd å ha innhentet en generell skriftlig godkjennelse fra den behandlingsansvarlige.

7.3. Databehandleren har den behandlingsansvarliges generelle godkjennelse til å benytte underdatabehandlere. Databehandleren skal skriftlig underrette den behandlingsansvarlige om eventuelle planlagte endringer som gjelder tilføyelse eller utskiftning av underdatabehandlere med minst 30 dagers varsel og dermed gi den behandlingsansvarlige mulighet til å motsette seg slike endringer før den eller de beskrevne underdatabehandler(e) engasjeres. Lengre varslingsfrister for spesifikke underdatabehandlertjenester kan angis i vedlegg B. Listen over underdatabehandlere som den behandlingsansvarlige allerede har godkjent fremgår av vedlegg B.

7.4. Når databehandleren engasjerer en underdatabehandler for å utføre spesifikke behandlingsaktiviteter på vegne av den behandlingsansvarlige, skal underleverandøren pålegges de samme forpliktelsene med hensyn til vern av personopplysninger som er fastsatt i disse Vilkårene, ved hjelp av en avtale eller et annet rettslig dokument i henhold til unionsretten eller medlemsstatenes nasjonale rett, der det særlig gis tilstrekkelige garantier for at det vil bli gjennomført tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i denne forordning.

Databehandleren er derfor ansvarlig for å kreve at underdatabehandleren som minimum overholder databehandlerens forpliktelser etter disse Vilkårene og personvernforordningen.

7.5. En kopi av slik underdatabehandleravtale og eventuelle etterfølgende endringer skal – ved den behandlingsansvarliges anmodning – sendes til den behandlingsansvarlige, som på denne måten har mulighet for å sørge for at underdatabehandleren er pålagt de samme forpliktelsene med hensyn til vern av personopplysninger som er fastsatt i disse Vilkårene. Kommersielle bestemmelser som ikke påvirker det personopplysningsvernrettslige innholdet av underdatabehandleravtalen, er ikke underlagt kravet om kopi til den behandlingsansvarlige.

7.6. (Ikke benyttet, jf. vedlegg D.7.)

7.7. Hvis underdatabehandleren ikke oppfyller sine personopplysningsvernforpliktelser blir databehandleren fullt ut ansvarlig overfor den behandlingsansvarlige når det gjelder oppfyllelse av underdatabehandlerens forpliktelser. Dette påvirker ikke de registrertes rettigheter etter personvernforordningen – særlig de nedfestet i personvernforordningen artikkel 79 og 82 – overfor den behandlingsansvarlige og databehandleren, herunder underdatabehandleren.

8. Overføring til tredjeland eller internasjonale organisasjoner

8.1. Databehandleren kan kun overføre personopplysninger til tredjeland eller internasjonale organisasjoner etter dokumentert instruks fra den behandlingsansvarlige, og slik overføring skal alltid skje i overensstemmelse med personvernforordningen kapittel V.

8.2. Hvis overføring av personopplysninger til tredjeland eller internasjonale organisasjoner, som databehandleren ikke er blitt instruert av den behandlingsansvarlige om å gjennomføre, kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt, skal databehandleren underrette den behandlingsansvarlige om nevnte rettslige krav før behandlingen, med mindre denne rett av hensyn til viktige allmenne interesser forbyr en slik underretning.

8.3. Uten dokumentert instruks fra den behandlingsansvarlige kan databehandleren innenfor rammene av disse Vilkårene således ikke:

• a. overføre personopplysninger til en behandlingsansvarlig eller databehandler i et tredjeland eller en internasjonal organisasjon
• b. overlate behandling av personopplysninger til en underdatabehandler i et tredjeland
• c. behandle personopplysningene i et tredjeland

8.4. Den behandlingsansvarliges instruks når det gjelder overføring av personopplysninger til et tredjeland, herunder det eventuelle overføringsgrunnlaget i personvernforordningen kapittel V som overføringen er basert på, skal angis i vedlegg C.6.

8.5. Disse Vilkårene skal ikke forveksles med standard personvernbestemmelser som omhandlet i personvernforordningen artikkel 46 nummer 2 bokstav c og d, og disse Vilkårene kan ikke utgjøre et grunnlag for overføring av personopplysninger under personvernforordningen kapittel V.

9. Bistand til den behandlingsansvarlige

9.1. Databehandleren bistår, idet det tas hensyn til behandlingens art og i den grad det er mulig, ved hjelp av egnede tekniske og organisatoriske tiltak, den behandlingsansvarlige med å oppfylle vedkommendes plikt til å svare på anmodninger som den registrerte inngir med henblikk på å utøve sine rettigheter fastsatt i personvernforordningen kapittel III.

Dette innebærer at databehandleren så langt det er mulig skal bistå den behandlingsansvarlige i den behandlingsansvarlige oppfyllelse av:

• a. opplysningsplikten ved innsamling av personopplysninger fra den registrerte
• b. opplysningsplikten dersom personopplysninger ikke er blitt samlet inn fra den registrerte
• c. den registrertes rett til innsyn
• d. retten til retting
• e. retten til sletting («retten til å bli glemt»)
• f. retten til begrensning av behandling
• g. underretningsplikten i forbindelse med retting eller sletting av personopplysninger eller begrensning av behandling
• h. retten til dataportabilitet
• i. retten til å protestere
• j. retten til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisk behandling, herunder profilering

9.2. I tillegg til databehandlerens forpliktelse til å bistå den behandlingsansvarlige i henhold til Vilkårene 6.3., bistår databehandleren også, idet det tas hensyn til behandlingens art og den informasjonen som er tilgjengelig for databehandleren, den behandlingsansvarlige med:

• a. den behandlingsansvarliges forpliktelse ved brudd på personopplysningssikkerheten til uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det, melde bruddet på personopplysningssikkerheten til den kompetente tilsynsmyndigheten, Datatilsynet, med mindre bruddet sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter
• b. den behandlingsansvarliges forpliktelse til uten ugrunnet opphold å underrette den registrerte om bruddet på personopplysningssikkerheten når det er sannsynlig at bruddet vil medføre en høy risiko for fysiske personers rettigheter og friheter
• c. den behandlingsansvarliges forpliktelse til før behandlingen å foreta en vurdering av hvilke konsekvenser den planlagte behandlingen vil ha for personopplysningsvernet (vurdering av personvernkonsekvenser)
• d. den behandlingsansvarliges forpliktelse til å rådføre seg med den kompetente tilsynsmyndigheten, Datatilsynet, før behandlingen dersom en vurdering av personvernkonsekvenser tilsier at behandlingen vil medføre en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen.

9.3. Partene skal i vedlegg C oppgi de egnede tekniske og organisatoriske tiltakene gjennom hvilke databehandleren skal bistå den behandlingsansvarlige, samt omfanget og utstrekningen av den påkrevde bistanden. Dette gjelder for forpliktelsene som følger av Vilkårene 9.1. og 9.2.

10. Underretning om brudd på personopplysningssikkerheten

10.1. Ved brudd på personopplysningssikkerheten skal databehandleren underrette den behandlingsansvarlige om bruddet uten ugrunnet opphold etter å ha fått kjennskap til det.

10.2. Databehandlerens underretning til den behandlingsansvarlige skal om mulig skje innen 48 timer etter at databehandleren har fått kjennskap til bruddet på personopplysningssikkerheten, slik at den behandlingsansvarlige kan overholde sin forpliktelse til å melde bruddet til den kompetente tilsynsmyndigheten, jf. personvernforordningen artikkel 33.

10.3. I overensstemmelse med Vilkår 9 nummer 2 bokstav a skal databehandleren bistå den behandlingsansvarlige med å melde bruddet til den kompetente tilsynsmyndigheten. Det innebærer at databehandleren skal bistå med å fremskaffe informasjon listet opp nedenfor, som ifølge personvernforordningen artikkel 33 nummer 3 skal fremgå av den behandlingsansvarliges melding av bruddet til den kompetente tilsynsmyndigheten:

• a. arten av bruddet på personopplysningssikkerheten, herunder, når det er mulig, kategoriene av og omtrentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt
• b. de sannsynlige konsekvenser av bruddet på personopplysningssikkerheten
• c. de tiltak som den behandlingsansvarlige har truffet eller foreslår å treffe for å håndtere bruddet på personopplysningssikkerheten, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet.

10.4. Partene skal i vedlegg C oppgi all informasjon som databehandleren skal fremskaffe når vedkommende bistår den behandlingsansvarlige med å melde brudd på personopplysningssikkerheten til den kompetente tilsynsmyndigheten.

11. Sletting og returnering av opplysninger

11.1. Ved opphør av databehandlertjenestene skal databehandleren slette alle personopplysninger som er blitt behandlet på vegne av den behandlingsansvarlige og bekrefte overfor den behandlingsansvarlige at opplysningene er slettet, med mindre unionsretten eller medlemsstatenes nasjonale rett krever oppbevaring av personopplysningene.

12. Revisjon, herunder inspeksjon

12.1. Databehandleren skal stille til den behandlingsansvarliges disposisjon all informasjon som er nødvendig for å påvise etterlevelse av forpliktelsene etter personvernforordningen artikkel 28 og disse Vilkårene. Videre skal databehandleren muliggjøre og bidra til revisjoner, herunder inspeksjoner, som utføres av den behandlingsansvarlige eller en annen revisor som er bemyndiget av den behandlingsansvarlige.

12.2. Prosedyrene for den behandlingsansvarliges revisjoner, herunder inspeksjoner, av databehandleren og underdatabehandlere er spesifisert i vedlegg C.7 og C.8.

12.3. Databehandleren forplikter seg til å gi tilsynsmyndighetene, som etter gjeldende lovgivning har tilgang til den behandlingsansvarliges eller databehandlerens lokaler, eller representanter som opptrer på slike tilsynsmyndigheters vegne, adgang til databehandlerens fysiske lokaler ved presentasjon av behørig legitimasjon.

13. Partenes avtale om andre forhold

13.1. Partene kan avtale andre bestemmelser som gjelder databehandlertjenestene, f.eks. erstatningsansvar, så lenge disse andre bestemmelsene ikke direkte eller indirekte strider mot disse Vilkårene eller er til skade for den registrertes grunnleggende rettigheter og friheter og beskyttelsen som følger av personvernforordningen.

14. Ikrafttredelse og opphør

14.1. Vilkårene trer i kraft på datoen for begge partenes underskrift.

14.2. Begge partene kan kreve Vilkårene reforhandlet dersom lovendringer eller uhensiktsmessigheter i Vilkårene gir grunn til dette.

14.3. Vilkårene gjelder så lenge databehandlertjenestene varer. I denne perioden kan Vilkårene ikke sies opp, med mindre partene avtaler andre vilkår som regulerer levering av databehandlertjenestene.

14.4. Hvis leveringen av databehandlertjenestene opphører, og personopplysningene er slettet eller returnert til den behandlingsansvarlige i overensstemmelse med Vilkårene 11.1 og vedlegg C.4, kan Vilkårene sies opp med skriftlig varsel av begge partene.

Vilkårene inngås uten underskrift, jf. vedlegg D.1.

15. Kontaktpersoner hos den behandlingsansvarlige og databehandleren

15.1. Partene kan kontakte hverandre via nedenstående kontaktpersoner.

15.2. Partene forplikter seg til å orientere hverandre løpende om endringer som gjelder kontaktpersoner.

Kontaktpunktene fremgår av vedlegg D.5.

Vedlegg A Opplysninger om behandlingen

A.1. Formålet med databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige er:

Å levere Arkiflyt til den behandlingsansvarlige slik tjenesten er beskrevet i tjenestevilkårene: prosjekt- og dokumentstyring, byggesøknader og varsling av naboer og andre parter, kvalitetssikring, tilbud og CV-er, møter, oppgaver, planlegging, intern kommunikasjon, visualiseringer (bilder og korte filmer av prosjektet), og AI-assistert analyse og utkast basert på den behandlingsansvarliges eget innhold.

A.2. Databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige skal primært dreie seg om (behandlingens art):

Lagring, strukturering, visning og søk; uttrekk av tekst fra opplastede filer; maskinell analyse og generering av utkast, bilder og video ved hjelp av AI-modeller; utsending av varsler og e-post; sikkerhetskopiering; utlevering og sletting.

A.3. Behandlingen omfatter følgende typer av personopplysninger om de registrerte:

• Brukere: navn, e-postadresse, profilbilde, språkvalg, rolle i organisasjonen og i prosjekter, stillingsprosent, prosjektallokering, varslingsvalg, og – dersom brukeren selv legger det inn – fødselsdato og ansettelsesdato.
• CV-er: tittel, antall års erfaring, biografi, spesialiseringer, utdanning, sertifiseringer, prosjekterfaring og roller, samt rolle, timeanslag og timepris i tilbud.
• Innhold brukerne skaper: oppgaver, kommentarer, møtereferater og beslutninger, ukesoppdateringer, innlegg, reaksjoner og bilder i den interne strømmen, samtaler med assistenten, og loggen over hvem som har gjort hva i et prosjekt.
• Naboer og andre parter i varslinger: navn, adresse, eiendomsbetegnelse (gnr./bnr.), e-postadresse, kategori, om varsel er sendt og kvittert, og merknadene de sender inn – full tekst, skannede brev og sitater fra dem.
• Eksterne samarbeidspartnere: navn, e-postadresse og firma for konsulenter som laster opp dokumenter; navn på eksterne møtedeltakere; kontaktpersoner som står i dokumenter og anbudskunngjøringer.
• Personer funnet på den behandlingsansvarliges egen nettside når organisasjonen ber om en gjennomgang av den: navn, e-postadresse, tittel, omtale og lenke til bilde, brukt som forslag til hvem som kan inviteres.
• Personopplysninger som ellers står i dokumenter, tegninger, modeller og bilder den behandlingsansvarlige laster opp.

Tjenesten er ikke laget for særlige kategorier av personopplysninger (personvernforordningen artikkel 9), opplysninger om straffedommer og lovovertredelser (artikkel 10) eller fødselsnummer, og den behandlingsansvarlige skal ikke bruke den til det. Slike opplysninger kan likevel forekomme tilfeldig, for eksempel i en nabomerknad.

A.4. Behandlingen omfatter følgende kategorier av registrerte:

• ansatte og innleide hos den behandlingsansvarlige som er brukere av tjenesten, eller som har CV i den
• naboer, gjenboere, hjemmelshavere og andre som varsles eller gir merknad i en byggesak eller plansak
• kontaktpersoner hos oppdragsgivere, myndigheter, konsulenter og andre samarbeidspartnere
• andre personer som er omtalt i innhold den behandlingsansvarlige legger inn

A.5. Databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige kan begynne etter at Vilkårene har trådt i kraft. Behandlingen har følgende varighet:

Så lenge den behandlingsansvarlige har en avtale om bruk av Arkiflyt, og deretter til opplysningene er slettet slik vedlegg C.4 beskriver.

Vedlegg B Underdatabehandlere

B.1. Godkjente underdatabehandlere

Ved Vilkårenes ikrafttredelse godkjenner den behandlingsansvarlige bruken av underdatabehandlerne som på det tidspunktet står på listen på arkiflyt.app/subprocessors, for den behandlingsaktiviteten som er beskrevet for hver av dem. Listen oppgir navn, behandlingsaktivitet og sted for behandlingen, og er en del av dette vedlegget.

Senere endringer i listen følger Vilkårene punkt 7.3 og vedlegg B.2.

B.2. Varsel for godkjennelse av underdatabehandlere

Databehandleren varsler planlagte tilføyelser og utskiftninger minst 30 dager på forhånd, med e-post til den behandlingsansvarliges administratorer i tjenesten og ved å oppdatere listen. Varselet oppgir hvem den nye underdatabehandleren er, hva den skal gjøre og hvor behandlingen skjer.

Den behandlingsansvarlige kan motsette seg endringen skriftlig innen varslingsfristen. Finner partene ingen løsning, kan den behandlingsansvarlige si opp avtalen med virkning fra den dagen endringen trer i kraft og få tilbake forskuddsbetalt vederlag for tiden etter opphøret. Databehandleren kan gjennomføre endringen for tjenesten som helhet. Har den behandlingsansvarlige ikke motsatt seg endringen innen fristen, er underdatabehandleren godkjent.

Må en underdatabehandler byttes raskere for å avverge en sikkerhetshendelse eller et driftsavbrudd, varsler databehandleren uten ugrunnet opphold, og den behandlingsansvarlige har den samme retten til å si opp.

Vedlegg C Instruks for behandling av personopplysninger

C.1. Behandlingens gjenstand/instruks for behandlingen

Databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige skjer ved at databehandleren utfører følgende:

Leverer Arkiflyt i samsvar med tjenestevilkårene og disse Vilkårene. Det brukerne til den behandlingsansvarlige gjør i tjenesten – laster opp, skriver, deler, ber assistenten om, eksporterer eller sletter – regnes som dokumenterte instrukser. Databehandleren bruker ikke opplysningene til egne formål og trener ikke AI-modeller på dem, og tillater heller ikke at underdatabehandlere gjør det.

C.2. Informasjonssikkerhet

Sikkerhetsnivået skal gjenspeile:

At behandlingen i hovedsak gjelder alminnelige personopplysninger om ansatte og om parter i byggesaker, sammen med forretningsfortrolig prosjektmateriale, og at særlige kategorier av personopplysninger ikke er tilsiktet. Sikkerhetsnivået skal derfor være tilpasset fortrolig forretningsinformasjon og alminnelige personopplysninger i et visst omfang.

Databehandleren har heretter rett og plikt til å treffe beslutninger om hvilke tekniske og organisatoriske sikkerhetstiltak som skal gjennomføres for å etablere det nødvendige (og avtalte) sikkerhetsnivået.

Databehandleren skal likevel – under enhver omstendighet og som minimum – gjennomføre følgende tiltak, som er avtalt med den behandlingsansvarlige:

• Kryptering: All trafikk mellom bruker, tjeneste og underdatabehandlere går over TLS. Database, filer og sikkerhetskopier er kryptert ved lagring. API-nøkler organisasjonen selv legger inn, lagres kryptert på feltnivå.
• Konfidensialitet, integritet, tilgjengelighet og robusthet: Hver organisasjons data er skilt fra andres med tilgangsregler i selve databasen (radnivåsikkerhet), i tillegg til tilgangskontrollen i applikasjonen. Tilgang følger rolle i organisasjonen og i det enkelte prosjektet. Dokumenter ligger i private lagringsområder og hentes med tidsbegrensede, signerte lenker. Unntak: profilbilder, logoer, forsidebilder for prosjekter og bilder i den interne strømmen hentes fra adresser som ikke krever innlogging, og som er beskyttet ved at adressen ikke lar seg gjette.
• Gjenoppretting: Databasen sikkerhetskopieres daglig hos underdatabehandleren. Infrastrukturen er beskrevet som kode og migreringer, slik at tjenesten kan settes opp på nytt.
• Testing og vurdering: Endringer går gjennom automatiske tester og kodegjennomgang før de settes i drift. Tilgangsregler og avhengigheter gjennomgås jevnlig, og nye versjoner av tredjepartspakker tas ikke i bruk før de har ligget ute en karantenetid.
• Tilgang via internett: Bare innloggede brukere har tilgang. Tofaktorautentisering er tilgjengelig. Delingslenker for opplasting og for fremdriftsplaner er basert på tilfeldige nøkler og kan trekkes tilbake; opplastingslenker utløper. Åpne endepunkter er begrenset med hensyn til hvor ofte de kan kalles.
• Beskyttelse under overføring: TLS som beskrevet over, også mot underdatabehandlere.
• Beskyttelse under oppbevaring: Lagring i EU/EØS hos underdatabehandlerne i vedlegg B, kryptert som beskrevet over.
• Fysisk sikring: Databehandleren har ingen egne datasentre. Behandlingen skjer i underdatabehandlernes datasentre, som har egne fysiske sikringstiltak og uavhengige revisjoner.
• Hjemme- og fjernarbeid: Databehandlerens personell har bare tilgang fra enheter med kryptert disk og skjermlås, og med tofaktorautentisering på kontoene hos underdatabehandlerne. Produksjonsdata kopieres ikke til lokale enheter ut over det en konkret feilsøking krever.
• Logging: Tjenesten logger hvem som har gjort hva i et prosjekt. Bruk av AI-modeller logges med tidspunkt, modell og volum, uten innholdet i forespørselen. Serverlogger oppbevares i en begrenset periode.
• Databehandlerens egen tilgang: Bare navngitt personell hos databehandleren har tilgang til produksjonsdata, og bare for drift, feilsøking og support. Skal personellet åpne den behandlingsansvarliges organisasjon i tjenesten, legges vedkommende til som et synlig, merket medlem som administratorene ser i medlemslisten, og hver tildeling og fjerning loggføres. Personellet er underlagt taushetsplikt.

C.3. Bistand til den behandlingsansvarlige

Databehandleren skal i den grad det er mulig – i det nedenfor beskrevne omfang og utstrekning – bistå den behandlingsansvarlige i samsvar med Vilkårene 9.1 og 9.2 ved å gjennomføre følgende tekniske og organisatoriske tiltak:

• Brukere og administratorer kan selv se, rette og slette det meste av innholdet i tjenesten. Der det ikke er mulig, bistår databehandleren etter skriftlig henvendelse og svarer innen ti virkedager.
• Henvender en registrert seg direkte til databehandleren om opplysninger som behandles på vegne av den behandlingsansvarlige, sender databehandleren henvendelsen videre uten ugrunnet opphold og svarer ikke selv på den.
• På forespørsel utleverer databehandleren den behandlingsansvarliges data i et vanlig, maskinlesbart format.
• Ved brudd på personopplysningssikkerheten varsler databehandleren administratorene hos den behandlingsansvarlige på e-post. Varselet beskriver hva som har skjedd, hvilke kategorier av registrerte og opplysninger det gjelder og omtrent hvor mange, sannsynlige konsekvenser, og hva som er gjort og vil bli gjort. Det som ikke er kjent med én gang, ettersendes.
• Databehandleren gir den informasjonen om tjenesten og sikkerhetstiltakene som den behandlingsansvarlige trenger til en vurdering av personvernkonsekvenser eller en forhåndsdrøfting med Datatilsynet.

C.4. Oppbevaringsperiode/sletteprosedyrer

Personopplysningene oppbevares så lenge avtalen løper, med mindre den behandlingsansvarlige sletter dem tidligere. Den behandlingsansvarlige kan når som helst slette prosjekter, dokumenter og annet innhold i tjenesten.

Unntak: Noen logger og oppføringer som tjenesten skriver selv, slettes etter faste perioder mens avtalen løper:

• loggen over hvem som har gjort hva i et prosjekt, og loggen over hva eksterne deltakere og kontoret har gjort med deltakerlenkene: etter 24 måneder
• hendelser tjenesten selv legger i den interne strømmen, for eksempel bursdager og vunne anbud, med kommentarene og reaksjonene på dem: etter 24 måneder
• varsler i appen: 6 måneder etter at de ble sendt når de er lest, ellers etter 12 måneder. Varsler om frister og om kvalitetssikringsområder som er klare til signering, beholdes, fordi tjenesten bruker dem for ikke å sende samme varsel to ganger.
• kopier av hendelser fra en tilkoblet Outlook-kalender: 90 dager etter hendelsen, eller 24 måneder etter hendelsen når den er lagt til et prosjekt. Møtet i prosjektet beholdes.

Ved opphør av databehandlertjenestene kan den behandlingsansvarlige i 30 dager be om å få sine data utlevert. Deretter sletter databehandleren personopplysningene i samsvar med Vilkårene 11.1, senest 90 dager etter opphøret. Sikkerhetskopier overskrives etter en rullerende plan, senest 30 dager etter slettingen. Databehandleren bekrefter slettingen skriftlig.

C.5. Lokasjon for behandling

Behandling av personopplysninger som omfattes av Vilkårene kan ikke, uten den behandlingsansvarliges skriftlige forhåndsgodkjennelse, finne sted på andre lokasjoner enn følgende:

• EU/EØS, hos underdatabehandlerne og på de stedene som står på listen i vedlegg B.1
• Norge, der databehandlerens eget personell arbeider
• tredjeland, bare i det omfanget vedlegg C.6 beskriver

En endring av lokasjon varsles på samme måte som en endring av underdatabehandler, jf. vedlegg B.2.

C.6. Instruks for overføring av personopplysninger til tredjeland

Den behandlingsansvarlige instruerer databehandleren om å overføre personopplysninger til tredjeland i følgende tilfelle:

Når en bruker tar i bruk en funksjon som benytter AI-modeller, sendes innholdet som skal analyseres – for eksempel teksten i et dokument, en merknad eller en CV, eller et bilde av bygget som skal visualiseres – til databehandlerens AI-formidler og videre til leverandøren av den aktuelle modellen. De er oppført på listen i vedlegg B.1 og kan behandle forespørselen i USA eller andre land utenfor EU/EØS. Forespørselen inneholder ikke opplysninger om hvilken bruker som har sendt den. Innholdet brukes ikke til å trene modeller. Leverandørene kan oppbevare forespørsler i en begrenset periode for å avdekke misbruk.

Overføringsgrunnlaget er EU-kommisjonens standard personvernbestemmelser (gjennomføringsbeslutning (EU) 2021/914), jf. personvernforordningen artikkel 46 nummer 2 bokstav c, og – der mottakeren er sertifisert – Kommisjonens beslutning om tilstrekkelig beskyttelsesnivå for EU–US Data Privacy Framework, jf. artikkel 45.

Databehandleren flytter AI-behandlingen til EU/EØS når modellutvalget der gjør det mulig, og varsler dette etter vedlegg B.2.

Hvis ikke den behandlingsansvarlige i Vilkårene eller etterfølgende gir en dokumentert instruks som gjelder overføring av personopplysninger til et tredjeland eller internasjonal organisasjon, kan ikke databehandleren, innen rammene av Vilkårene, gjennomføre slike overføringer.

C.7. Prosedyrer for den behandlingsansvarliges revisjoner, herunder inspeksjoner, av behandlingen av personopplysninger som er overlatt til databehandleren

Databehandleren gir på forespørsel, inntil én gang i året og ellers ved begrunnet mistanke om brudd på Vilkårene, en skriftlig redegjørelse for de tekniske og organisatoriske tiltakene, sammen med de revisjonsrapportene og sertifiseringene underdatabehandlerne stiller til rådighet.

Gir ikke redegjørelsen den behandlingsansvarlige tilstrekkelig grunnlag, kan den behandlingsansvarlige eller en revisor den behandlingsansvarlige har bemyndiget, og som er underlagt taushetsplikt, gjennomføre en revisjon med 30 dagers varsel og innenfor vanlig arbeidstid. Databehandleren har ingen egne datasentre, så revisjonen gjelder systemer, rutiner og dokumentasjon. Revisjonen gir ikke tilgang til andre kunders data.

Den behandlingsansvarliges eventuelle utgifter i forbindelse med revisjonen dekkes av den behandlingsansvarlige selv. Databehandleren skal likevel avsette de ressurser (hovedsakelig den tid) som er nødvendig for at den behandlingsansvarlige skal kunne gjennomføre sin revisjon, jf. vedlegg D.4.

C.8. Prosedyrer for revisjoner, herunder inspeksjoner, av behandlingen av personopplysninger som er overlatt til underdatabehandleren

Databehandleren gjennomgår årlig underdatabehandlernes revisjonsrapporter, sertifiseringer og vilkår, og oversender dokumentasjonen til den behandlingsansvarlige på forespørsel. Gir gjennomgangen grunn til det, følger databehandleren opp overfor underdatabehandleren og orienterer den behandlingsansvarlige.

Vedlegg D Partenes regulering av andre forhold

D.1. Inngåelse. Vilkårene inngås elektronisk. Med «underskrift» i Vilkårene punkt 14.1 menes at den behandlingsansvarlige godtar tjenestevilkårene, som Vilkårene er et vedlegg til. Databehandleren er bundet fra samme tidspunkt. En behandlingsansvarlig som trenger et signert eksemplar, får den samme teksten som PDF, signert av databehandleren, ved å skrive til hello@arkiflyt.app.

D.2. Forholdet til tjenestevilkårene. Ansvarsbegrensningen i tjenestevilkårene gjelder også partenes ansvar overfor hverandre etter Vilkårene. Den begrenser ikke de registrertes rettigheter eller det ansvaret partene har overfor de registrerte og tilsynsmyndighetene etter personvernforordningen.

D.3. Instrukser i strid med regelverket. Har databehandleren varslet etter Vilkårene punkt 4.2, kan databehandleren la være å følge instruksen til den behandlingsansvarlige har endret eller skriftlig bekreftet den. Databehandleren er ikke ansvarlig for at en slik instruks ikke blir fulgt i mellomtiden.

D.4. Vederlag for bistand. Bistand etter Vilkårene punkt 9 og 12 som går ut over det tjenesten selv gir mulighet til, og ut over én redegjørelse i året etter vedlegg C.7, kan databehandleren fakturere etter medgått tid til sine vanlige timesatser. Det gjelder ikke når behovet skyldes at databehandleren har brutt Vilkårene.

D.5. Kontaktpunkter. Kontaktpunkt hos den behandlingsansvarlige, jf. Vilkårene punkt 15, er de brukerne som til enhver tid er administratorer for organisasjonen i tjenesten. Kontaktpunkt hos databehandleren er hello@arkiflyt.app.

D.6. Endringer. Databehandleren kan oppdatere vedleggene når tjenesten eller sikkerhetstiltakene endres, så lenge beskyttelsen av personopplysningene ikke svekkes. Slike endringer varsles på e-post minst 30 dager før de trer i kraft, og dokumentet har versjonsnummer og dato. Endringer som svekker beskyttelsen, eller som endrer selve Vilkårene, krever at den behandlingsansvarlige godtar dem.

D.7. Punkt 7.6. Bestemmelsen om den behandlingsansvarlige som begunstiget tredjepart i underdatabehandleravtaler er valgfri i versjon 1.2 av standardavtalevilkårene og er ikke tatt inn. Databehandleren bruker standardiserte tjenester der vilkårene ikke kan forhandles.

D.8. Databehandlerens egen behandling. Databehandleren er selv behandlingsansvarlig for opplysningene den trenger for å administrere brukerkonti og kundeforholdet, sikre tjenesten, fakturere, og føre statistikk over hvordan tjenesten brukes. Den behandlingen er beskrevet i personvernerklæringen og omfattes ikke av Vilkårene.