Denne databehandleravtalen er en del av avtalen mellom kunden (behandlingsansvarlig, heretter «Kunden») og OSIA AS, org.nr. 938 691 061 (databehandler, heretter «OSIA AS»). Den oppfyller kravene i personvernforordningen (GDPR) artikkel 28 og er skrevet etter mønster av EU-kommisjonens standard avtaleklausuler mellom behandlingsansvarlige og databehandlere (gjennomføringsbeslutning (EU) 2021/915).

Formål og omfang

Databehandleravtalen gjelder all behandling av personopplysninger som OSIA AS gjør på vegne av Kunden når OSIA AS leverer tjenestene i avtalen. Hva som behandles, hvorfor og hvordan, står i «Beskrivelse av behandlingen» under.

Kundens ansvar

Kunden er behandlingsansvarlig og har ansvar for at behandlingen har et rettslig grunnlag, for å informere de registrerte, og for at opplysningene som legges inn i løsningen, er lovlig innsamlet. Kunden legger ikke inn særlige kategorier av personopplysninger, som helseopplysninger, eller fødselsnumre uten at det er avtalt skriftlig på forhånd. Forslagene fra AI-systemet er beslutningsstøtte: Kunden tar selv avgjørelsene, og løsningen brukes ikke til automatiserte avgjørelser om enkeltpersoner etter personvernforordningen artikkel 22.

Plikter for OSIA AS

• OSIA AS behandler personopplysningene bare etter Kundens dokumenterte instrukser. Avtalen og Kundens skriftlige beskjeder (e-post holder) er instruksene. Mener OSIA AS at en instruks bryter personvernregelverket, sier OSIA AS fra med en gang.
• OSIA AS bruker opplysningene bare til formålene i denne avtalen, og aldri til egne formål, for eksempel til å trene AI-modeller.
• Alle som behandler opplysningene for OSIA AS, har taushetsplikt.
• OSIA AS gjennomfører sikkerhetstiltakene i «Sikkerhetstiltak» under og holder dem oppdatert.
• OSIA AS hjelper Kunden med å svare på henvendelser fra de registrerte om innsyn, retting, sletting og andre rettigheter, med vurderinger av personvernkonsekvenser og med forhåndsdrøftinger med Datatilsynet. Hjelp i rimelig omfang er inkludert i prisen for tjenesten.
• Får OSIA AS en henvendelse direkte fra en registrert, sendes den videre til Kunden uten opphold, og OSIA AS svarer ikke selv uten Kundens instruks.

Dokumentasjon og kontroll

OSIA AS gir Kunden den informasjonen som trengs for å vise at denne avtalen og personvernregelverket følges. Kunden kan kontrollere dette selv eller med en uavhengig revisor som har taushetsplikt, høyst én gang i året med 30 dagers varsel. Kunden kan kontrollere oftere hvis det er grunn til å tro at avtalen er brutt, eller hvis Datatilsynet krever det. Hver part dekker egne kostnader. OSIA AS kan i stedet legge fram dokumentasjon eller revisjonsrapporter fra underdatabehandlerne når det svarer på det samme.

Underdatabehandlere

Kunden gir generell godkjenning til at OSIA AS bruker underdatabehandlerne i lista «Godkjente underdatabehandlere» under. OSIA AS varsler Kunden skriftlig minst 30 dager før en underdatabehandler legges til eller byttes ut. Kunden kan protestere med saklig grunn innen fristen. Finner partene ikke en løsning, kan Kunden si opp den delen av tjenesten som berøres, uten kostnad og uten oppsigelsestid.

Hver underdatabehandler behandler opplysningene etter sin egen databehandleravtale, som gir personvernplikter i samsvar med personvernforordningen artikkel 28. Lenker til vilkårene står i lista. Underdatabehandlernes egne underleverandører står i deres oppdaterte lister. OSIA AS svarer overfor Kunden for underdatabehandlerne bare så langt personvernforordningen artikkel 28 nr. 4 krever, og innenfor ansvarsbegrensningen i avtalen.

Overføring til land utenfor EØS

Personopplysninger overføres bare til land utenfor EØS når det er lovlig grunnlag for det etter personvernforordningen kapittel V. Det kan være et vedtak om at landet har et tilstrekkelig beskyttelsesnivå, som EU-US Data Privacy Framework for sertifiserte selskaper i USA, eller EU-kommisjonens standard personvernbestemmelser (SCC). Grunnlaget for hver underdatabehandler står i lista under.

Brudd på personopplysningssikkerheten

OSIA AS varsler Kunden uten ugrunnet opphold, og senest 48 timer etter å ha blitt kjent med et brudd på personopplysningssikkerheten. Varselet sier så langt det er kjent hva som har skjedd, hvilke opplysninger og omtrent hvor mange registrerte det gjelder, sannsynlige konsekvenser og hva som er gjort for å begrense skaden. OSIA AS hjelper Kunden med å melde bruddet til Datatilsynet innen 72 timer og med å varsle de registrerte når det trengs.

Varighet, sletting og tilbakelevering

Databehandleravtalen gjelder så lenge OSIA AS behandler personopplysninger for Kunden. Når avtalen slutter, får Kunden en eksport av sine data i vanlige filformater innen 30 dager. OSIA AS sletter så alle kopier, også sikkerhetskopier og kopier hos underdatabehandlerne, senest 60 dager etter at avtalen er slutt, og bekrefter slettingen skriftlig. Dette gjelder ikke opplysninger som loven krever at OSIA AS tar vare på.

Forholdet til avtalen

Sier databehandleravtalen og avtalen noe ulikt om personvern, gjelder databehandleravtalen. Ansvarsbegrensningen i avtalen gjelder også her, men begrenser ikke de registrertes rettigheter etter personvernforordningen artikkel 82. Endringer i denne databehandleravtalen varsles som beskrevet under «Versjoner og endringer» nederst. Hvordan OSIA AS behandler personopplysninger som behandlingsansvarlig, står i personvernerklæringen.

Beskrivelse av behandlingen

• Formål: drift og videreutvikling av bedriftshjernen, AI-agentene og dashbordet, innhenting og vurdering av offentlig informasjon om selskaper og markeder Kunden er interessert i, for eksempel i kunderadaren, drift av hjemmesiden, de andre tjenestene i Kundens avtale, og brukerstøtte.
• Hva som gjøres med opplysningene: lagring, strukturering, søk, sammenstilling og analyse med språkmodeller, innhenting av offentlig tilgjengelig informasjon, overføring til underdatabehandlerne i lista, og sletting.
• Registrerte: Kundens ansatte, styremedlemmer og brukere av løsningen, kontaktpersoner og nøkkelpersoner hos Kundens kunder, leverandører og samarbeidspartnere og i selskaper Kunden følger med på, og personer som tar kontakt med Kunden eller besøker hjemmesiden.
• Personopplysninger: navn, stilling, arbeidsgiver og kontaktinformasjon, innhold i dokumenter, e-poster, møtenotater og møteopptak Kunden legger inn, offentlig tilgjengelig informasjon om selskaper og nøkkelpersoner, brukernavn og innloggings- og bruksdata for Kundens brukere, og tekniske data fra besøk på hjemmesiden, som IP-adresse.
• Særlige kategorier av personopplysninger: ingen (se «Kundens ansvar»).
• Varighet: så lenge avtalen gjelder, og fram til slettingen er gjennomført.
• Kontaktpersoner for personvern: den Kunden oppgir i avtalen for Kunden, og Tommy Berge (post@osia.no) for OSIA AS.

Sikkerhetstiltak

• Kryptering av data under overføring (TLS) og ved lagring.
• Personlige brukerkontoer med tofaktorautentisering for alle hos OSIA AS som har tilgang til Kundens data, og ikke mer tilgang enn oppgaven krever.
• Kundens data holdes adskilt fra andre kunders data med egne tilgangsregler.
• Logging av tilgang til og endringer i Kundens data.
• Daglige sikkerhetskopier og en plan for gjenoppretting.
• Sikkerhetsoppdateringer installeres fortløpende.
• Taushetserklæring og opplæring i personvern for alle som behandler opplysningene.
• AI-leverandører brukes bare på vilkår om at Kundens data ikke brukes til å trene modellene deres.
• En rutine for å oppdage, håndtere og varsle avvik.

Godkjente underdatabehandlere

Lista viser alle tjenester som kan behandle Kundens personopplysninger. Hvilke som faktisk brukes, avhenger av funksjonene Kunden tar i bruk.

• Anthropic Ireland, Limited (Irland), med Anthropic, PBC (USA): språkmodellene Claude. Inndata og svar kan behandles i flere regioner og lagres i USA i inntil 30 dager før de slettes. Innhold som flagges for brudd på leverandørens bruksregler, kan lagres lenger etter leverandørens vilkår. Brukes ikke til å trene modeller. Overføringsgrunnlag: EU-kommisjonens standard personvernbestemmelser (SCC). Vilkår: https://www.anthropic.com/legal/commercial-terms og https://www.anthropic.com/legal/data-processing-addendum. Anthropics egne underleverandører: https://trust.anthropic.com/subprocessors.
• Google Cloud EMEA Limited (Irland): Vertex AI, som lager søkeindeksen i bedriftshjernen. Behandles i EU. Brukes ikke til å trene modeller. Vilkår: https://cloud.google.com/terms/data-processing-addendum.
• Valyu.Network Ltd (Storbritannia): nettsøk for AI-innhenteren. Behandles i Storbritannia og EU. Overføringsgrunnlag: EUs vedtak om at Storbritannia har tilstrekkelig beskyttelsesnivå. Vilkår: https://www.valyu.ai/valyu-platform-service-agreement.
• Jina AI GmbH (Tyskland), del av Elastic: lesing av offentlige nettsider for AI-innhenteren. Vilkår: https://jina.ai/legal/.
• Runpod, Inc. (USA): transkribering av lydopptak fra møter, når Kunden bruker møteopptak. Kan behandles utenfor EØS. Overføringsgrunnlag: standard personvernbestemmelser (SCC). Vilkår: https://www.runpod.io/legal/data-processing-agreement.
• Eleven Labs Inc. (USA): tale til tekst og stemmefunksjoner, når Kunden bruker dem. Lagres i USA. Overføringsgrunnlag: EU-US Data Privacy Framework og standard personvernbestemmelser (SCC). Vilkår: https://elevenlabs.io/dpa.
• Simli AS (Norge): video-avatar, når Kunden bruker den. Simli bruker egne underleverandører, også utenfor EØS. Overføringsgrunnlag: standard personvernbestemmelser (SCC). Vilkår: https://www.simli.com/legal/data-processing-agreement.
• Hetzner Online GmbH (Tyskland): servere for plattformen og hjemmesidene. Data lagres i Tyskland. Databehandleravtale inngås i Hetzners kundepanel. Personvern: https://www.hetzner.com/legal/privacy-policy/.
• Frostbyte Group AS (Norge), driftsplattformen Snoat: publisering og drift av plattformen og hjemmesidene, på servere i EU. Databehandleravtale inngås direkte med OSIA AS.
• Supabase Pte. Ltd. (Singapore): database og lagring for plattformen. Kundens data lagres i en datasenterregion i EU. Overføringsgrunnlag for tilgang fra land utenfor EØS: standard personvernbestemmelser (SCC). Vilkår: https://supabase.com/legal/dpa.
• Cloudflare, Inc. (USA): DNS, nettverk, sikkerhet og levering av hjemmesiden og plattformen. Overføringsgrunnlag: EU-US Data Privacy Framework og standard personvernbestemmelser (SCC). Vilkår: https://www.cloudflare.com/cloudflare-customer-dpa/.
• GitHub, Inc. (USA): kildekode og oppsett for løsningen og hjemmesiden. Lagres i USA. Overføringsgrunnlag: EU-US Data Privacy Framework og standard personvernbestemmelser (SCC). Vilkår: https://github.com/customer-terms/github-data-protection-agreement.
• C-Soft Oy (Finland), domeneregistraren NordName: registrering av domener, med kontaktopplysningene til domeneinnehaveren. Data lagres i Finland og sendes videre til registeret for domenet. Vilkår: https://www.nordname.com/files/dpa.pdf.
• Loopia AB (Sverige): domener og DNS. Vilkår: https://www.loopia.no/avtalevilkar/.
• Plus Five Five, Inc. (USA), e-posttjenesten Resend: utsending av e-post fra plattformen. Lagres i USA. Overføringsgrunnlag: standard personvernbestemmelser (SCC). Vilkår: https://resend.com/legal/dpa.
• LiveKit Incorporated (USA): videomøter i plattformen, når Kunden bruker dem. Overføringsgrunnlag: EU-US Data Privacy Framework og standard personvernbestemmelser (SCC). Vilkår: https://livekit.com/legal/data-processing-addendum.
• Apple og Google: push-varsler i OSIA-appen, som kan inneholde korte tekster. Overføringsgrunnlag: standard personvernbestemmelser (SCC), og for Google også EU-US Data Privacy Framework. Vilkår: Apple Developer Program License Agreement og https://firebase.google.com/terms/data-processing-terms.

Versjoner og endringer

Datoen øverst viser hvilken versjon dette er. Kunder med avtale får varsel på e-post minst 30 dager før en endring trer i kraft. Endringer som bare er til fordel for kunden, eller som loven krever, kan gjelde straks. Til en endring er varslet og har trådt i kraft, gjelder versjonen som gjaldt da avtalen ble signert.

Tidligere versjoner får du ved å skrive til post@osia.no.

Kontakt

OSIA AS, org.nr. 938 691 061, Stensberggata 29, 0170 Oslo. Spørsmål om databehandleravtalen: post@osia.no.