Denne siden viser AI-Flows standard databehandleravtale (DPA). For konkrete oppdrag inngås en signert og datert versjon som vedlegg til Statement of Work (SOW); ved uoverensstemmelse mellom denne nettsiden og en signert avtale, går den signerte avtalen foran.
1. Bakgrunn og status
Denne avtalen inngås mellom Kunden («behandlingsansvarlig») og AI-Flow (foretaksnavn: AI-Flow Nowak, org.nr. 937 399 359) («databehandler»), og regulerer AI-Flows behandling av personopplysninger på vegne av Kunden i forbindelse med avtalte tjenester. Avtalen oppfyller kravene i personvernforordningen (RODO) art. 28 nr. 3, og er basert på strukturen i Kommisjonens gjennomføringsbeslutning (EU) 2021/915 om standard kontraktsvilkår mellom behandlingsansvarlige og databehandlere, som er innlemmet i EØS-avtalen (EØS-komitébeslutning nr. 336/2022).
Offentlige oppdragsgivere: Der Kunden anskaffer via Statens standardavtaler (SSA), går SSA-bilagsverkets egen databehandleravtale foran denne avtalen i spørsmål som klart og utvetydig er knyttet til personvernregelverket.
2. Behandlingens art, formål og varighet
Databehandlingens art og formål følger av den enkelte SOW, og omfatter typisk: drift av kundeservice-chatboter, telefonhjelpelinjer, leadgenerering eller kandidatdatabaser bygget for Kunden. Behandlingen varer så lenge det underliggende oppdraget løper, med mindre annet er avtalt.
Kategorier registrerte og persondatakategorier defineres konkret i SOW for det enkelte oppdrag, og kan for eksempel omfatte Kundens ansatte, kunder eller jobbsøkere, med kontaktopplysninger og innhold fra samtaler/henvendelser som behandles av den aktuelle løsningen.
3. Databehandlerens forpliktelser
AI-Flow skal:
- kun behandle personopplysninger etter dokumenterte instrukser fra Kunden, herunder om overføring til tredjeland, og varsle Kunden dersom en instruks etter AI-Flows vurdering er i strid med personvernregelverket;
- sikre at personer med tilgang til opplysningene er underlagt taushetsplikt, enten avtalt eller lovfestet;
- gjennomføre egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå tilpasset risikoen, jf. art. 32 (se punkt 6);
- bistå Kunden med å svare på anmodninger fra registrerte om å utøve sine rettigheter (innsyn, retting, sletting mv.);
- bistå Kunden med å oppfylle plikter etter art. 32–36, herunder ved vurdering av personvernkonsekvenser (DPIA) der dette er relevant for oppdraget;
- varsle Kunden uten ugrunnet opphold etter å ha blitt oppmerksom på et brudd på personopplysningssikkerheten, med informasjon som er tilstrekkelig for at Kunden kan oppfylle sin egen varslingsplikt overfor Datatilsynet og eventuelt berørte;
- etter Kundens valg, ved oppdragets slutt, slette eller returnere alle personopplysninger og slette eksisterende kopier, med mindre lagring kreves etter lov, og på forespørsel dokumentere at sletting er gjennomført;
- gjøre tilgjengelig for Kunden all informasjon som er nødvendig for å dokumentere overholdelse av denne avtalen, og muliggjøre og bidra til revisjoner, herunder inspeksjoner, gjennomført av Kunden eller en revisor Kunden har utpekt, mot rimelig varsel.
4. Underleverandører (underdatabehandlere)
Kunden gir AI-Flow en generell skriftlig fullmakt til å engasjere underleverandører. AI-Flow skal informere Kunden om enhver planlagt endring (tillegg eller erstatning) i god tid før endringen trer i kraft, slik at Kunden har mulighet til å motsette seg endringen. AI-Flow skal pålegge enhver underleverandør de samme databeskyttelsesforpliktelsene som følger av denne avtalen.
Gjeldende underleverandører
| Underleverandør | Tjeneste | Lokasjon |
|---|---|---|
| Cloudflare, Inc. | Hosting og teknisk drift (Cloudflare Pages) | EU/EØS-regioner der teknisk mulig; amerikansk selskap — se punkt 5 |
Matomo kjører på AI-Flows egen infrastruktur (self-hosted) og regnes ikke som underleverandører — de er verktøy AI-Flow selv drifter og har direkte kontroll over. Dersom AI-Flow tar i bruk tredjeparts KI-tjenester (for eksempel Anthropic) i leveransen av en konkret løsning, spesifiseres dette i SOW for det aktuelle oppdraget, med egen vurdering av overføringsgrunnlag.
Denne listen oppdateres løpende og datostemples ved endring.
5. Overføring til tredjeland
Der behandlingen involverer overføring av personopplysninger til land utenfor EØS, skjer dette med grunnlag i EUs standardkontraktsklausuler (Kommisjonens gjennomføringsbeslutning (EU) 2021/914) og/eller EU-US Data Privacy Framework der mottakeren er sertifisert. AI-Flow følger Datatilsynets veiledning om overføring til USA og vil varsle Kunden dersom overføringsgrunnlaget endrer seg vesentlig.
6. Sikkerhetstiltak
AI-Flow gjennomfører følgende tiltak, tilpasset risikoen ved den aktuelle behandlingen:
- kryptert overføring (HTTPS/TLS) for all trafikk til og fra tjenestene;
- tilgangsstyring — kun personer med behov for tilgang for å levere tjenesten har tilgang til Kundens data;
- IP-anonymisering, deaktiverte informasjonskapsler og begrenset lagringstid i egendriftet analyseinfrastruktur;
- jevnlig sikkerhetskopiering av driftskritiske systemer;
- loggbegrensning — driftslogger slettes etter en fastsatt periode, normalt 90 dager.
Konkrete tiltak for det enkelte oppdrag kan spesifiseres nærmere i SOW.
7. Ansvar
Partenes erstatningsansvar under denne avtalen reguleres av ansvarsbestemmelsen i de generelle salgs- og leveringsbetingelsene, med mindre annet er uttrykkelig avtalt for det aktuelle oppdraget. Ingenting i denne avtalen begrenser noen av partenes ansvar overfor registrerte eller tilsynsmyndigheter etter personvernregelverket.
8. Ikrafttredelse og varighet
For det enkelte oppdrag gjelder denne avtalen fra oppstart av behandlingen og inntil personopplysningene er slettet eller returnert i tråd med punkt 3, eller til den erstattes av en signert avtale med samme eller strengere innhold.
9. Kontakt og signering
For å få tilsendt en signeringsklar versjon av denne avtalen tilpasset et konkret oppdrag, kontakt:
AI-Flow · Toni Nowak · org.nr. 937 399 359 MVA (Enhetsregisteret) [email protected] · +47 458 66 499