Databehandleravtale
Sist oppdatert 21. september 2026
Denne databehandleravtalen er et vedlegg til vilkårene for bruk og gjelder når Protencon behandler personopplysninger på vegne av organisasjonen deres. Den oppfyller kravene i personvernforordningen artikkel 28. Ved motstrid mellom denne avtalen og vilkårene, går denne avtalen foran for spørsmål om behandling av personopplysninger.
Partene og rollene
Organisasjonen deres er behandlingsansvarlig for personopplysningene i dokumentene, svarene, meldingene og notatene dere legger inn i plattformen. Protencon er databehandler for dette innholdet. For opplysninger om brukerne deres — navn, jobb-e-post, innlogginger og bruk av plattformen — er Protencon selv behandlingsansvarlig, og den behandlingen er beskrevet i personvernerklæringen, ikke her.
Formål, varighet og art
Vi behandler opplysningene for å levere plattformen: lagre og vise dokumentasjonen deres, sende den til kundene dere velger, sende varsler, og drifte, sikre og feilsøke tjenesten. Behandlingen varer så lenge organisasjonen har en konto hos oss, og opphører når avtaleforholdet avsluttes.
Hvilke opplysninger og hvem de gjelder
Typiske opplysninger er navn, stilling, kontaktopplysninger, signaturer og opplysninger som fremgår av sertifikater, erklæringer og annen dokumentasjon dere laster opp. De registrerte er normalt ansatte, kontaktpersoner, ledelse og eiere hos dere og hos underleverandørene deres. Dere bør ikke laste opp særlige kategorier av personopplysninger, som helseopplysninger eller fagforeningsmedlemskap, med mindre det er nødvendig for compliance-arbeidet, og dere er i så fall ansvarlige for behandlingsgrunnlaget.
Vår instruks
Vi behandler opplysningene bare etter instruks fra dere. Vilkårene, denne avtalen og bruken deres av funksjonene i plattformen utgjør instruksen. Vi bruker ikke innholdet deres til egne formål, selger det ikke og trener ikke AI-modeller på det. Mener vi at en instruks bryter personvernregelverket, sier vi fra. Er vi pålagt ved lov å behandle opplysningene på annen måte, varsler vi dere først, med mindre loven forbyr det.
Taushetsplikt
De hos oss som har tilgang til opplysningene, er få, har tilgangen fordi arbeidet krever det, og er bundet av taushetsplikt.
Sikkerhet
Vi gjennomfører egnede tekniske og organisatoriske tiltak etter artikkel 32: kryptert overføring, kryptert lagring hos driftsleverandøren vår, innlogging uten passord med engangslenker, tilgangsstyring slik at en organisasjon bare ser sine egne data, logging av tilgang, sikkerhetskopier og rutiner for gjenoppretting. Tiltakene kan endres over tid, men beskyttelsesnivået skal ikke svekkes.
Underleverandører
Dere gir oss generell godkjenning til å bruke underleverandører. De vi bruker i dag er listet i personvernerklæringen, med hva hver av dem gjør. Alle er bundet av avtaler med samme forpliktelser som her. Bytter vi eller legger til en underleverandør som behandler innholdet deres, varsler vi i plattformen eller på e-post før endringen trer i kraft, og dere kan protestere; blir vi ikke enige, kan dere si opp avtalen for den delen av tjenesten det gjelder.
Henvendelser fra registrerte
Får vi en henvendelse fra en registrert om innholdet deres, svarer vi ikke på deres vegne, men viser til dere og sier fra uten ugrunnet opphold. Vi bistår dere med å oppfylle rettighetene til innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse, så langt plattformens funksjoner og vår rolle rekker.
Avvik og bistand
Oppdager vi et brudd på personopplysningssikkerheten som gjelder innholdet deres, varsler vi dere uten ugrunnet opphold og med den informasjonen vi har, slik at dere kan melde fra til tilsynsmyndigheten innenfor fristen. Vi bistår dere også med personvernkonsekvensvurderinger og forhåndsdrøftinger etter artikkel 35 og 36, i den grad det er relevant for behandlingen vi gjør for dere.
Overføring utenfor EØS
Vi behandler opplysninger i EU/EØS der vi kan. Overfører en underleverandør opplysninger utenfor EØS, skjer det på EUs standard personvernbestemmelser eller et annet gyldig overføringsgrunnlag, med de tilleggstiltakene som er nødvendige.
Dokumentasjon og revisjon
Vi gir dere den informasjonen som er nødvendig for å vise at pliktene i artikkel 28 er oppfylt. Dere kan be om en revisjon, selv eller ved en uavhengig revisor som er bundet av taushetsplikt. Revisjon avtales på forhånd, skjer i arbeidstiden, og skal ikke forstyrre driften unødig. Vi kan kreve dekket rimelige kostnader ved revisjon ut over én gang i året, med mindre et avvik gir grunn til hyppigere kontroll.
Sletting og tilbakelevering
Når avtaleforholdet avsluttes, kan dere eksportere dokumentene deres. Etter det sletter vi innholdet deres, også fra sikkerhetskopier etter de slettefristene som gjelder for dem, med mindre lov krever at vi beholder noe lenger. Sier dere fra, leverer vi innholdet tilbake i et vanlig maskinlesbart format før sletting.
Kontakt
Spørsmål om denne avtalen, eller en signert versjon av den, kan dere be om på supplier@protencon.ai.