Databehandleravtale

1. Parter og bakgrunn

1. Behandlingsansvarlig er virksomheten som har opprettet et selskap i Prosjektblikk og godtatt vilkårene for bruk («kunden»). Kundens navn og organisasjonsnummer fremgår av kundekontoen og eventuelt av fakturainformasjonen.
2. Databehandler er [EIER: SELSKAPSNAVN AS, org.nr. …, forretningsadresse] («leverandøren»), som leverer tjenesten Prosjektblikk.
3. Kunden bruker tjenesten til prosjektoppfølging i byggeprosjekter. Personopplysninger som kunden og kundens brukere registrerer i tjenesten, behandles av leverandøren på vegne av kunden. Denne avtalen regulerer den behandlingen.
4. Avtalen inngås elektronisk i tjenesten og gjelder uten egen signatur. Første gang en eier eller administrator i kundens selskap logger inn, må vedkommende krysse av for «Jeg godtar databehandleravtalen på vegne av» kunden (med navn og organisasjonsnummer) «og bekrefter at jeg har fullmakt» og velge «Godta og fortsett». Andre brukere i selskapet kommer ikke inn før avtalen er godtatt. Leverandøren lagrer i en logg som ikke kan endres: hvem som godtok, tidspunkt, avtaleversjon, kundens navn og organisasjonsnummer slik de var da, en nøkkelbasert kryptografisk tallverdi (HMAC-SHA256 med en hemmelig nøkkel som bare leverandøren har) av IP-adressen og nettleserens navn. Loggen er leverandørens dokumentasjon på avtaleinngåelsen og beholdes også etter at kundens selskap er slettet (navn og organisasjonsnummer slik de var ved aksept). [JURIST: bekreft lagringstid for aksept-loggen etter opphør] Når avtalen endres i en ny versjon, må den godtas på nytt før tjenesten kan brukes videre. Kunden kan når som helst laste ned avtalen som PDF med en side som viser akseptet («Mine avtaler» i kontomenyen, og «Avtaler» på administrasjonssiden), og kan be om en signert versjon. Det samme gjelder kunder som var registrert før avtalen ble publisert: de godtar den ved neste innlogging. [JURIST: bekreft at elektronisk aksept med denne loggføringen er tilstrekkelig avtaleinngåelse etter art. 28 nr. 9]

2. Definisjoner

Begreper som «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler», «den registrerte», «brudd på personopplysningssikkerheten» og «tilsynsmyndighet» har samme betydning som i GDPR artikkel 4. I tillegg gjelder:

Kundedata

Alle data som kunden og kundens brukere legger inn i eller laster opp til tjenesten, inkludert prosjektinformasjon, bilder, vedlegg, signaturer, mannskapslister og rapporter, samt endringshistorikk som tjenesten lager om disse dataene.

Bruker

En person kunden har gitt tilgang med en selskapsrolle (eier, administrator, medlem eller leser).

Gjest

En ekstern person som kunden har gitt tilgang til utvalgte prosjekter, for eksempel en byggherre eller rådgiver.

Underdatabehandler

En annen databehandler som leverandøren bruker til å behandle personopplysninger på vegne av kunden.

GDPR

Forordning (EU) 2016/679, slik den gjelder i Norge gjennom personopplysningsloven.

3. Formål, omfang og varighet

1. Leverandøren behandler personopplysninger bare for å levere tjenesten til kunden: lagring, synkronisering mellom enheter, visning, deling innenfor kundens selskap og med kundens gjester, varsler, rapporter, eksport, sikkerhetskopi og gjenoppretting, feilretting og sikkerhet.
2. Behandlingens art og formål, kategoriene av registrerte og personopplysninger og lagringstidene er beskrevet i vedlegg 1.
3. Avtalen gjelder så lenge leverandøren behandler kundedata, også i perioden etter opphør frem til dataene er slettet etter punkt 13.
4. Avtalen omfatter ikke opplysninger som leverandøren behandler som selvstendig behandlingsansvarlig, slik som brukerkonto for innlogging, kundeforhold, fakturering og betaling, forespørsler om demo og kampanjestatistikk. Slik behandling er beskrevet i personvernerklæringen. [JURIST: bekreft rollefordelingen for brukeridentitet: leverandøren er behandlingsansvarlig for kontoen, mens de samme opplysningene i kundens medlemslister, prosjektdata og endringslogg behandles på vegne av kunden]
5. Leverandøren bruker ikke kundedata til egne formål, herunder markedsføring, profilering, salg til tredjepart eller trening av maskinlæringsmodeller. Leverandøren kan bruke aggregerte tall uten personopplysninger (for eksempel antall prosjekter, lagringsvolum og siste aktivitet per selskap) til drift, kapasitetsplanlegging og fakturering. [EIER: bekreft at kundedata aldri brukes til AI/modelltrening eller analyse utover dette]

4. Den behandlingsansvarliges plikter

1. Kunden er ansvarlig for at behandlingen har behandlingsgrunnlag, at de registrerte får informasjon etter GDPR artikkel 13 og 14, og at bare nødvendige opplysninger registreres.
2. Kunden skal ikke registrere særlige kategorier av personopplysninger (GDPR artikkel 9) eller opplysninger om straffedommer (artikkel 10) med mindre det er nødvendig og kunden har vurdert grunnlaget. Registreringer om uønskede hendelser, personskader og HMS kan inneholde helseopplysninger; kunden bør beskrive hendelser uten mer informasjon om enkeltpersoner enn nødvendig. [JURIST: vurder om tjenesten skal reservere seg mot art. 9-opplysninger, eller om RUH/HMS-funksjonene krever særskilte tiltak eller en DPIA hos kunden]
3. Kunden styrer hvem som har tilgang, tildeler roller, fjerner brukere og gjester som ikke lenger skal ha tilgang, og velger innstillinger som påvirker behandlingen, for eksempel lagringstid for mannskapslister og om bilder skal lagre posisjon.
4. Kunden er ansvarlig for data som ligger lagret lokalt på kundens enheter (bruk uten nett), og for at slike enheter er sikret med skjermlås og oppdatert programvare.

5. Instruks

1. Leverandøren skal bare behandle personopplysninger etter dokumentert instruks fra kunden. Denne avtalen, vilkårene for bruk og kundens egen konfigurasjon og bruk av funksjonene i tjenesten utgjør kundens instruks.
2. Leverandøren kan behandle personopplysninger uten instruks bare når det kreves etter EØS-rett eller norsk rett. Leverandøren skal da varsle kunden før behandlingen, med mindre loven forbyr slik varsling av hensyn til viktige allmenne interesser.
3. Leverandøren skal straks varsle kunden dersom leverandøren mener en instruks er i strid med GDPR eller annen personvernlovgivning.
4. Leverandørens personell har ikke tilgang til innholdet i kundedata i ordinær drift. Teknisk tilgang til databasen og fillageret brukes bare når det er nødvendig for feilretting, sikkerhet, gjenoppretting fra sikkerhetskopi, eller når kunden ber om det, og bare av personer som er autorisert av leverandøren.
5. Leverandørens plattformadministratorer (oppført i en egen tabell i databasen, med tofaktor-innlogging når den er satt opp) kan gjennom plattformsiden lese kundens registreringer, uten å kunne endre dem, når kunden ber om hjelp, ved feilretting og ved sikkerhetshendelser. Hver visning logges med hvem, når, hvilken samling og hvilken side av listen, og loggen vises for kundens eier og administratorer i selskapets revisjonslogg. Mannskapslister (personopplysninger om arbeidere) vises bare når administratoren har skrevet en begrunnelse, som logges. Det finnes ingen funksjon for å logge inn som en kunde. Administrative inngrep i kundens konto – endring av navn, plan eller prøveperiode, legge til, endre eller fjerne brukere, overføre eierskap, suspendere (skrivebeskytte), slette og gjenopprette selskapet, eksport av selskapets data, og kontotiltak som utestengning, bekreftelse av e-post, tilbakestilling av tofaktor og sletting av bruker – logges på samme måte med hvem som utførte dem. Et selskap leverandøren sletter, kan gjenopprettes i 30 dager før det slettes for godt. [EIER: hvem har slik tilgang i dag (navn/rolle), og hvordan logges bruken av Supabase-konsollet og service-nøkkelen?]

6. Taushetsplikt

1. Leverandøren skal sørge for at personer som har tilgang til kundedata, har forpliktet seg til konfidensialitet eller er underlagt lovbestemt taushetsplikt. Plikten gjelder også etter at arbeids- eller oppdragsforholdet er avsluttet. [EIER: sørg for skriftlige taushetserklæringer for ansatte, innleide og utviklere som får tilgang]
2. Tilgang gis bare i den utstrekning det er nødvendig for oppgavene etter avtalen.

7. Informasjonssikkerhet

1. Leverandøren skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som passer til risikoen, jf. GDPR artikkel 32. Tiltakene skal ta hensyn til den nyeste teknologien, kostnadene, behandlingens art, omfang, formål og sammenheng, og risikoen for de registrertes rettigheter og friheter.
2. Tiltakene som gjelder ved inngåelse, er beskrevet i vedlegg 2. Leverandøren kan endre tiltakene, men ikke slik at det samlede sikkerhetsnivået blir lavere.
3. Leverandøren skal jevnlig teste, analysere og vurdere om tiltakene virker, blant annet med månedlig automatisk gjenopprettingstest av sikkerhetskopier og gjennomgang av sikkerhetsrådene fra databaseleverandøren.

8. Underdatabehandlere

1. Kunden gir med dette leverandøren en generell skriftlig tillatelse til å bruke underdatabehandlere. Underdatabehandlerne som er i bruk ved inngåelse, er oppført i vedlegg 3 og regnes som godkjent.
2. Leverandøren skal varsle kunden minst [EIER: 30] dager før en ny underdatabehandler tas i bruk eller en eksisterende byttes ut. Varselet sendes på e-post til selskapets eier, og listen i vedlegg 3 oppdateres samtidig.
3. Kunden kan protestere skriftlig mot endringen innen varslingsfristen, med begrunnelse. Partene skal da forsøke å finne en løsning. Finnes ingen løsning, kan kunden si opp avtalen med virkning fra endringen trer i kraft, og få tilbake forskuddsbetalt vederlag for perioden etter oppsigelsen. [JURIST: vurder vilkår for protest og refusjon, og om leverandøren kan bruke en ny underdatabehandler uten varsel i en nødsituasjon (sikkerhet/drift)]
4. Leverandøren skal inngå skriftlig avtale med hver underdatabehandler som pålegger den de samme personvernforpliktelsene som følger av denne avtalen, særlig om tilstrekkelige sikkerhetstiltak. Leverandøren er overfor kunden fullt ansvarlig for at underdatabehandlerne oppfyller sine forpliktelser.
5. Leverandørens bruk av standardvilkårene til store skyleverandører, som ikke kan forhandles, regnes som skriftlig avtale etter punkt 8.4, forutsatt at vilkårene oppfyller kravene i GDPR artikkel 28 nr. 4. [JURIST: kontroller hver leverandørs DPA mot art. 28 nr. 3 og 4]

9. Overføring til land utenfor EØS

1. Kundedata lagres i EØS. Database, innlogging og filer ligger hos Supabase i AWS-regionen eu-north-1 (Stockholm, Sverige), og serverfunksjonene kjører hos Vercel i regionen arn1 (Stockholm).
2. Noen underdatabehandlere er selskaper i USA eller har støtte- og driftspersonell utenfor EØS, og kan dermed få tilgang til personopplysninger fra land utenfor EØS (overføring). Leverandøren skal bare overføre eller tillate overføring når et av grunnlagene i GDPR kapittel V er oppfylt, i første rekke:
   • at mottakeren er sertifisert under EU–US Data Privacy Framework (EUs beslutning om tilstrekkelig beskyttelsesnivå av 10. juli 2023), eller
   • EUs standardkontraktsbestemmelser (beslutning (EU) 2021/914), modul 3 (databehandler til underdatabehandler), med en vurdering av overføringen og eventuelle supplerende tiltak.
3. Gjeldende grunnlag for hver underdatabehandler står i vedlegg 3. [JURIST: kontroller DPF-sertifisering og SCC-modul for Supabase, Vercel, GitHub og Google, og om det trengs en overføringsvurdering (TIA) for hver av dem]

10. Bistand til den behandlingsansvarlige

1. De registrertes rettigheter. Leverandøren skal, så langt det er mulig, bistå kunden med egnede tekniske og organisatoriske tiltak slik at kunden kan oppfylle de registrertes rettigheter etter GDPR kapittel III (innsyn, retting, sletting, begrensning, dataportabilitet og protest). Tjenesten har innebygde funksjoner for dette: kundens brukere kan rette og slette registreringer, og kunden kan eksportere data (se punkt 13).
2. Mottar leverandøren en henvendelse direkte fra en registrert om kundedata, skal leverandøren uten ugrunnet opphold videresende den til kunden og ikke svare på den selv, med mindre kunden har bedt om det.
3. Konsekvensvurdering og forhåndsdrøfting. Leverandøren skal bistå kunden med informasjon som kunden trenger for å gjennomføre en vurdering av personvernkonsekvenser (DPIA) etter artikkel 35 og en eventuell forhåndsdrøfting med Datatilsynet etter artikkel 36.
4. Sikkerhet. Leverandøren skal bistå kunden med å oppfylle pliktene i artikkel 32 til 34, se punkt 7 og 11.
5. Bistand som går utover det tjenesten tilbyr som standard, og som ikke skyldes leverandørens brudd på avtalen, kan faktureres etter medgått tid. [EIER: timepris eller «uten kostnad»]

11. Brudd på personopplysningssikkerheten

1. Leverandøren skal varsle kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som gjelder kundedata. Målet er å varsle innen 24 timer, og senest innen 48 timer. [JURIST: bekreft 24/48 timer som avtalt frist, slik at kunden selv rekker 72-timersfristen overfor Datatilsynet]
2. Varselet sendes på e-post til selskapets eier og administratorer og skal, så langt det er kjent, beskrive:
   • hva som har skjedd og når, og hvilke kategorier og omtrentlig antall registrerte og registreringer som er berørt,
   • sannsynlige konsekvenser,
   • tiltak som er satt i verk eller foreslås for å håndtere bruddet og begrense skadevirkningene,
   • kontaktpunkt hos leverandøren.
   Opplysninger som ikke er kjent ved første varsel, gis fortløpende.
3. Det er kunden som behandlingsansvarlig som vurderer og eventuelt melder bruddet til Datatilsynet og informerer de registrerte. Leverandøren skal ikke informere de registrerte eller offentligheten om bruddet uten kundens samtykke, med mindre loven krever det.
4. Leverandøren skal dokumentere alle brudd, også de som ikke varsles, med fakta, virkninger og tiltak.
5. Kontaktpunkt for personvern og sikkerhet hos leverandøren: [EIER: navn/funksjon, e-post for personvern og sikkerhetshendelser, telefon]

12. Dokumentasjon og revisjon

1. Leverandøren skal gjøre tilgjengelig all informasjon som er nødvendig for å vise at pliktene i GDPR artikkel 28 og denne avtalen er oppfylt, herunder protokoll over behandlingsaktiviteter etter artikkel 30 nr. 2. [EIER: opprett og vedlikehold protokoll som databehandler]
2. Kunden, eller en uavhengig revisor som er underlagt taushetsplikt og ikke er leverandørens konkurrent, kan gjennomføre revisjon og inspeksjon. Revisjonen varsles skriftlig minst 30 dager i forveien, gjennomføres i normal arbeidstid, og kan kreves høyst én gang per 12 måneder, med mindre det foreligger et brudd på personopplysningssikkerheten eller pålegg fra tilsynsmyndighet.
3. Revisjon hos underdatabehandlere skjer normalt ved at leverandøren fremlegger underdatabehandlerens gjeldende revisjonsrapporter og sertifiseringer (for eksempel SOC 2 type II eller ISO/IEC 27001).
4. Kunden dekker egne kostnader til revisjonen, og leverandørens dokumenterte kostnader dersom revisjonen krever mer enn [EIER: f.eks. 8] timers innsats. Avdekker revisjonen vesentlige brudd på avtalen, dekker leverandøren egne kostnader. [JURIST: vurder kostnadsfordelingen]

13. Tilbakelevering og sletting ved opphør

1. Kunden kan når som helst, også i oppsigelsestiden, eksportere kundedata selv:
   • Prosjektarkiv per prosjekt: samlet PDF med innholdsfortegnelse, dokumentflyt og vedleggsregister, eller ZIP-fil med PDF-en, alle vedlegg og bilder i original, data som CSV og JSON, endringslogg og kontrollsummer (SHA-256).
   • Selskapseksport fra administrasjonssiden: alle selskapets registreringer som én JSON-fil, og for eier «Eksporter alle firmadata (ZIP)»: alle registreringer (JSON og CSV), brukere, invitasjoner, endringslogg og alle lagrede filer og bilder, med kontrollsummer (SHA-256).
   • Rapporter og lister som PDF, Excel og Word.
2. Etter at avtalen er opphørt, har kunden [EIER: 30] dager til å eksportere data. Leverandøren kan på forespørsel bistå med eksport i maskinlesbart format.
3. Når eksportfristen er ute, sletter leverandøren kundedata i produksjonsmiljøet innen [EIER: 30] dager. Kopier i sikkerhetskopier slettes ved at de roteres ut: databaseleverandørens daglige sikkerhetskopier etter 7 dager (punkt-i-tid-gjenoppretting etter 7 dager dersom det er slått på), leverandørens egne krypterte sikkerhetskopier etter 30 dager, og kopier i ekstern lagring etter [EIER: 90] dager. [EIER: bekreft Supabase-plan og levetid for sikkerhetskopier, og at sletting av et selskap også sletter endringshistorikk, revisjonslogg og alle filer i fillageret]
4. Leverandøren skal på forespørsel bekrefte skriftlig at slettingen er gjennomført.
5. Leverandøren kan beholde kundedata ut over dette bare når EØS-rett eller norsk rett krever det, og skal da sikre fortsatt konfidensialitet og ikke behandle dataene til andre formål.

14. Ansvar

1. Partenes ansvar for erstatning til registrerte og for overtredelsesgebyr følger av GDPR artikkel 82 og 83.
2. Mellom partene gjelder ansvarsbegrensningen i vilkårene for bruk punkt 9, så langt den ikke strider mot ufravikelig lov. [JURIST: avklar om ansvarsbegrensningen skal gjelde fullt ut for brudd på denne avtalen, eller om det skal være et eget (høyere) tak for personvernbrudd]

15. Varighet, endringer og oppsigelse

1. Avtalen gjelder så lenge kunden har konto i tjenesten og ellers så lenge leverandøren behandler kundedata. Avtalen kan ikke sies opp separat mens vilkårene for bruk gjelder.
2. Leverandøren kan endre avtalen med minst [EIER: 30] dagers skriftlig varsel til selskapets eier. Endringer som er nødvendige for å oppfylle lov, eller pålegg fra tilsynsmyndighet, kan gjøres med kortere varsel. Kan kunden ikke akseptere en vesentlig endring, kan kunden si opp kundeforholdet før endringen trer i kraft.
3. Bryter leverandøren avtalen vesentlig, og bruddet ikke rettes innen rimelig tid etter skriftlig varsel, kan kunden heve avtalen og vilkårene for bruk med umiddelbar virkning.
4. Bestemmelsene om taushetsplikt, sletting og ansvar gjelder også etter opphør.

16. Forholdet til andre avtaler

1. Avtalen er vedlegg A til vilkårene for bruk. Ved motstrid mellom avtalen og vilkårene, eller mellom avtalen og andre avtaler mellom partene, går denne avtalen foran når det gjelder behandling av personopplysninger.
2. Dersom partene inngår EUs standardkontraktsbestemmelser, går disse foran denne avtalen.

17. Lovvalg og verneting

1. Avtalen reguleres av norsk rett.
2. Tvister søkes løst ved forhandlinger. Fører ikke forhandlinger frem, avgjøres tvisten av de ordinære domstolene med [JURIST/EIER: verneting, f.eks. Vesterålen tingrett – må samsvare med vilkårene punkt 10] som verneting.