Databehandleravtale
Avtale etter GDPR artikkel 28 for tilfeller der Echonor behandler personopplysninger på kundens vegne. Avtalen gjelder når den er akseptert som del av et signert tilbud eller hovedavtale.
Parter
Behandlingsansvarlig: kunden som fremgår av tilbudet.
Databehandler: Echonor, e-post andreas@echonor.no. Juridisk selskapsnavn, organisasjonsnummer og adresse oppgis i signert avtale.
1. Roller og formål
Kunden er behandlingsansvarlig og Echonor er databehandler for behandlingen som beskrives i bilag 1. Echonor behandler bare personopplysninger etter dokumenterte instrukser fra kunden, med mindre behandling kreves ved lov.
2. Varighet
Avtalen gjelder så lenge Echonor behandler personopplysninger på kundens vegne. Ved avslutning skal opplysningene returneres eller slettes etter kundens valg innen 30 dager, med mindre lov krever videre oppbevaring.
3. Konfidensialitet
Echonor skal sikre at personer med tilgang er bundet av taushetsplikt og bare får tilgang når det er nødvendig for oppgaven.
4. Informasjonssikkerhet
Echonor skal gjennomføre egnede tekniske og organisatoriske tiltak etter GDPR artikkel 32, basert på risiko, behandlingens art og tilgjengelig teknologi. Avtalte tiltak beskrives i bilag 2.
5. Underdatabehandlere
Kunden gir generell skriftlig godkjenning til underdatabehandlere oppført i bilag 3. Echonor skal varsle minst 14 dager før nye eller erstattede underdatabehandlere tas i bruk, slik at kunden kan fremme saklig innsigelse. Echonor skal inngå tilsvarende personvernforpliktelser med underdatabehandlerne.
6. Overføring utenfor EØS
Overføring til tredjeland kan bare skje etter dokumentert instruks og med gyldig grunnlag etter GDPR kapittel V, for eksempel adekvansbeslutning eller EUs standard personvernbestemmelser med nødvendige tilleggstiltak. Overføringer som følger av bilag 3 er godkjent.
7. Bistand til kunden
Echonor skal, hensyntatt behandlingens art og tilgjengelig informasjon, bistå kunden med forespørsler fra registrerte, sikkerhet, vurdering av personvernkonsekvenser, forhåndsdrøftelser og dokumentasjon av etterlevelse. Eventuell særskilt godtgjørelse avtales på forhånd.
8. Brudd på personopplysningssikkerheten
Echonor skal varsle kunden uten ugrunnet opphold, og senest innen 48 timer, etter å ha blitt kjent med et brudd som berører kundens opplysninger. Varselet skal så langt mulig beskrive hendelsen, berørte opplysninger og registrerte, sannsynlige konsekvenser og gjennomførte eller planlagte tiltak.
9. Dokumentasjon og revisjon
Echonor skal gjøre nødvendig informasjon tilgjengelig for å vise at avtalen etterleves, og legge til rette for rimelige revisjoner én gang per kalenderår, eller oftere ved begrunnet mistanke om brudd. Revisjoner skal varsles minst 14 dager i forveien, gjennomføres uten unødig driftsforstyrrelse og ta hensyn til andre kunders konfidensialitet og sikkerhet.
Bilag 1 – Behandlingsinstruks
| Formål | Mottak, transkripsjon, oppsummering, booking og viderekobling av telefonsamtaler, samt kontinuerlig finpuss av kundens AI-agent. |
|---|---|
| Registrerte | Innringere, kundens ansatte og øvrige kontaktpersoner som inngår i samtaleflyten. |
| Opplysningstyper | Navn, telefonnummer, e-post, samtalemetadata, meldingsinnhold, transkripsjon, oppsummering, kalender- og bookingdata. Særlige kategorier behandles ikke med mindre det er særskilt avtalt skriftlig. |
| Behandling | Mottak, overføring, analyse, generering, lagring, integrasjon, eksport og sletting – avgrenset til avtalt samtaleflyt. |
| Lagringstid | Samtalemetadata og logger: 12 måneder. Transkripsjoner og oppsummeringer: 90 dager. Lydopptak: 30 dager, og bare hvis opptak er avtalt. Avvik kan avtales i tilbudet. |
Bilag 2 – Sikkerhetstiltak
- Tilgangsstyring etter minste privilegium og flerfaktorinnlogging på administrasjonskontoer.
- Kryptert transport (TLS) mellom klient, nettside og API-er.
- Logging av administrative handlinger og hendelseshåndtering ved sikkerhetsbrudd.
- Leverandøroppfølging og databehandleravtaler med underleverandører.
- Sletting og lagringsbegrensning etter bilag 1.
- Dataminimering: bare opplysninger som samtaleflyten og bookingen faktisk trenger.
Bilag 3 – Underdatabehandlere
| Leverandør | Tjeneste | Behandlingssted | Overføringsgrunnlag |
|---|---|---|---|
| Vercel Inc. | Nettsidehosting, API og lagring av portalkontoer/sesjoner | USA | EUs standard personvernbestemmelser (SCC) |
| Google Ireland Limited / Google LLC | Google Calendar og Google Meet, når kunden har aktivert det | EØS og/eller USA | Adekvansbeslutning og/eller SCC |
| Øvrige telefoni-, tale-, AI- og CRM-leverandører | Bare når de er oppført i kundens signerte tilbud | Som angitt i tilbudet | Som angitt i tilbudet |
Signatur
Avtalen blir bindende når den inngår i et signert tilbud eller hovedavtale. Kontakt andreas@echonor.no for et kundetilpasset eksemplar.