Databehandleravtale

Denne avtalen er inngått mellom kunden (behandlingsansvarlig) og Hjertelig AS, organisasjonsnummer 935 837 138 (databehandler). Den er en del av bruksvilkårene, og gjelder så lenge kunden bruker funksjoner der vi behandler personopplysninger på kundens vegne.

Trenger virksomheten din en signert utgave — det gjør de fleste offentlige innkjøpere — skriv til hei@sub-zero.no, så sender vi denne teksten som signerbart dokument.

Skillet er viktig nok til å stå først, fordi det avgjør hva avtalen dekker.

• Appen og nettleserutgaven — Video, lyd og transkripsjon behandles bare på deres egne maskiner og i deres egne nettlesere. Vi mottar dem ikke, kan ikke hente dem, og er ikke databehandler for dem.
• Oversettelse — Oversetter dere undertekster (Pro), sendes teksten gjennom vår oversettelsestjeneste til DeepL og tilbake. Teksten kan inneholde personopplysninger om dem som snakker eller blir omtalt. For denne behandlingen er vi databehandler, og hele avtalen gjelder.
• Brukerstøtte — Sender dere oss filer eller tekst for å få hjelp, behandler vi dem på deres vegne, og bare for å løse saken.
• Kjøp og lisens — Betaling, lisensnøkkel og ordrebekreftelse behandler vi som selvstendig behandlingsansvarlig. Det er beskrevet i personvernerklæringen, og hører ikke inn under denne avtalen.

Vi behandler personopplysninger på deres vegne bare for å oversette tekst dere ber om å få oversatt, og for å hjelpe dere når dere ber om det.

Vi bruker ikke opplysningene til egne formål, ikke til å trene modeller, og ikke til analyse eller markedsføring.

Vi behandler personopplysninger bare etter dokumenterte instrukser fra dere. Bruksvilkårene, denne avtalen og valgene dere gjør i appen er instruksen. Mener vi at en instruks bryter personvernregelverket, sier vi fra før vi utfører den.

De hos oss som kan komme i berøring med opplysningene, er underlagt taushetsplikt og får bare den tilgangen arbeidsoppgaven krever. Vi ser ikke på tekst eller filer dere har sendt oss, uten at dere har bedt om hjelp med noe konkret.

Dere gir generelt samtykke til at vi bruker underdatabehandlere. Lista står i vedlegg B. Hver av dem er bundet av vilkår som gir minst samme vern som denne avtalen, og vi svarer for arbeidet deres som for vårt eget.

Skal en ny legges til eller en byttes ut, varsler vi minst 30 dager i forveien. Har dere saklig grunn til å motsette dere endringen, kan dere si opp tjenesten uten kostnad for gjenstående periode.

DeepL SE, som oversetter, ligger i Tyskland. Oversettelsestjenesten vår driftes av Vercel Inc. i USA, og teksten passerer deres servere på veien. Den overføringen skjer på grunnlag av EUs standardavtaler (SCC), supplert med tiltakene i vedlegg C.

Skal ingenting ut av maskinen, lar dere være å bruke oversettelse. Da forlater verken video, lyd eller tekst maskinen deres.

Vi gjennomfører egnede tekniske og organisatoriske tiltak etter artikkel 32. Tiltakene er beskrevet i vedlegg C, og oppdateres i takt med risikoen.

• Får vi en henvendelse fra en registrert som gjelder deres opplysninger, svarer vi ikke selv. Vi sender den videre til dere uten ugrunnet opphold, og hjelper dere med å svare.
• Vi bistår med innsyn, retting, sletting, begrensning og dataportabilitet så langt tjenesten gjør det mulig.
• Vi bistår med personvernkonsekvensvurderinger og forhåndsdrøftinger etter artiklene 35 og 36, med den informasjonen vi har.

Oppdager vi et brudd på personopplysningssikkerheten som gjelder deres opplysninger, varsler vi dere uten ugrunnet opphold og senest innen 24 timer etter at vi ble kjent med det. Varselet beskriver hva som skjedde, hvilke opplysninger og hvor mange registrerte som er berørt, sannsynlige følger og hva vi gjør med det — slik at dere rekker fristen deres overfor Datatilsynet.

Vi gir dere den informasjonen som trengs for å vise at pliktene i artikkel 28 er oppfylt. Dere kan gjennomføre revisjon, selv eller ved en uavhengig revisor, med rimelig varsel og høyst én gang i året — og i tillegg ved mistanke om brudd. Revisor kan pålegges taushetsplikt. Kostnaden bærer dere, med mindre revisjonen avdekker vesentlige avvik.

Oversettelsestekst lagres ikke hos oss etter at oversettelsen er levert, så det er normalt ingenting av den å slette når avtalen opphører. Filer og tekst dere har sendt oss i en henvendelse, sletter vi innen 30 dager etter at avtalen opphører, med mindre dere ber om å få dem utlevert først, eller lov krever at noe oppbevares. På forespørsel bekrefter vi slettingen skriftlig.

Ansvarsbegrensningen i bruksvilkårene gjelder også her, men den begrenser ikke ansvar en databehandler har direkte etter personvernforordningen artikkel 82. Norsk rett gjelder.

Kategorier av registrerte: personer som snakker, blir sitert eller blir omtalt i undertekstene dere oversetter — møtedeltakere, innledere, intervjuobjekter, publikum; og personer som er omtalt i filer eller tekst dere sender oss i en henvendelse.

Typer personopplysninger: navn og det som blir sagt, slik det står i undertekstteksten; e-postadresse og annet som står i en henvendelse.

Særlige kategorier (art. 9): teksten kan inneholde opplysninger om helse, politisk syn, fagforeningsmedlemskap eller religion — et kommunestyremøte gjør ofte det. Behandlingsansvarlig må ha eget grunnlag for dette etter artikkel 9.

Varighet: oversettelsestekst bare mens forespørselen pågår; henvendelser så lenge saken pågår, og innenfor fristen i punkt 12.

Stripe og Resend, som håndterer betaling og e-post om kjøpet, er ikke underdatabehandlere etter denne avtalen. Der behandler vi opplysninger som selvstendig behandlingsansvarlig — se personvernerklæringen.