Databehandleravtale

1. Gjenstand, art og formål

Vi behandler personopplysninger bare for å levere Tjenesten til Kunden: håndtering av kontoer og plasser, gjennomføring av opplæring i KI-kompetanse, vurdering av tester og kunnskapssjekker, utstedelse og verifisering av sertifikater, utsending av e-post, føring av opplæringsdokumentasjon og revisjonsspor samt levering av rapporter og eksporter. Behandlingen består av innsamling, lagring, organisering, bruk, overføring til underleverandørene som er oppført nedenfor, sletting og andre handlinger som er nødvendige for disse formålene.

2. Varighet

Denne DPA-en gjelder så lenge vi behandler personopplysninger for Kunden: i abonnementsperioden og den påfølgende perioden frem til sletting som er beskrevet i punkt 11.

3. Registrerte og kategorier av opplysninger

• Registrerte: Kundens ansatte som er tildelt en plass, og Kundens administratorer.
• Identifikasjons- og kontaktopplysninger: navn, e-post, avdeling, stillingsrolle og foretrukket språk.
• Kontoopplysninger: passordhash (Argon2id), opplysninger om totrinnsbekreftelse hvis den brukes, innloggingstidspunkter og IP-adresser.
• Opplæringsopplysninger: tildelte kurs, fremdrift og tid brukt i leksjoner, svar i tester og kunnskapssjekker, resultater og forsøk, sertifikater, bekreftelser av Kundens KI-retningslinjer.
• Registreringer som Kunden legger inn: oversikten over KI-verktøy og andre opplysninger som administratorene legger inn.
• Revisjonslogg over viktige handlinger med tidspunkt og hvem som utførte dem.

Tjenesten er ikke utformet for særlige kategorier av personopplysninger (art. 9 GDPR), og Kunden skal ikke legge inn slike.

4. Kundens instrukser

Vi behandler opplysningene bare etter Kundens dokumenterte instrukser. Denne DPA-en, bruksvilkårene og innstillingene og handlingene til Kundens administratorer i Tjenesten utgjør Kundens fullstendige instrukser. Vi informerer Kunden hvis vi mener at en instruks er i strid med personvernregelverket, og vi kan behandle opplysninger på annen måte bare der EU-retten eller nasjonal rett krever det; i så fall informerer vi Kunden på forhånd, med mindre loven forbyr det.

5. Konfidensialitet

Bare personer som trenger tilgang for å drifte eller støtte Tjenesten, har tilgang til opplysningene, og de har taushetsplikt.

6. Sikkerhetstiltak

• Tjenesten og alle opplysninger kjører på en server i et datasenter i Tyskland (EU).
• Krypterte forbindelser (HTTPS); passord lagres bare som Argon2id-hasher; signerte øktkapsler som bare er tilgjengelige via HTTP.
• Streng adskillelse av kunder: hver forespørsel kontrolleres mot den innloggede brukeren og vedkommendes virksomhet.
• Totrinnsbekreftelse for administratorer, obligatorisk for våre egne brukerstøttekontoer og tilgjengelig for alle Kundens administratorer.
• Begrensning av antall forsøk ved innlogging, tilbakestilling av passord og verifisering av sertifikater.
• Lagrede hemmeligheter, som påloggingsopplysninger for e-postavsender og nøkler for totrinnsbekreftelse, er kryptert (AES-256-GCM).
• Testsvar vurderes på serveren; riktige svar når aldri nettleseren.
• Revisjonslogg over viktige handlinger og en logg over sikkerhetshendelser som lagres i 30 dager.
• Sikkerhetskopier som lagres i opptil 30 dager, og en dokumentert prosedyre for sikkerhetshendelser.

7. Tilgang for brukerstøtte

Autorisert brukerstøttepersonale i MadHoney kan logge inn på Kundens administratorkonto for å konfigurere kontoen eller løse et problem på Kundens anmodning, eller når det er nødvendig for å beskytte Tjenesten. Slik tilgang er begrenset til administrasjonspanelet (aldri leksjoner, tester eller sertifikater på vegne av ansatte), er tidsbegrenset og registreres i Kundens revisjonslogg.

8. Underleverandører

• Hostinger International Ltd. (Kypros) - leie av den virtuelle private serveren som Tjenesten kjører på; datasenter i Tyskland (EU).
• ZONER a.s. (Tsjekkia) - SMTP-server for levering av e-post (invitasjoner, påminnelser, varsler); datasentre i Brno.

Kunden gir generell godkjenning til bruk av underleverandører. Vi pålegger hver av dem personvernforpliktelser som tilsvarer denne DPA-en. Vi informerer Kundens administratorer per e-post minst 30 dager før en underleverandør legges til eller byttes ut; Kunden kan protestere av saklige grunner og, hvis vi ikke kan løse protesten, si opp abonnementet før endringen trer i kraft.

Paddle.com Market Ltd behandler betalings- og faktureringsopplysninger som selvstendig behandlingsansvarlig (Merchant of Record) og mottar ingen opplysninger om Kundens ansatte.

9. Bistand til Kunden

Administratorer kan se, rette, eksportere og slette opplysninger om sine ansatte direkte i Tjenesten. Under hensyn til behandlingens art bistår vi også Kunden med å besvare henvendelser fra de registrerte og med å oppfylle forpliktelsene etter artikkel 32-36 i GDPR (sikkerhet, melding om brudd, vurdering av personvernkonsekvenser og forhåndsdrøftinger). Henvendelser fra ansatte som når oss, videresendes til Kunden.

10. Brudd på personopplysningssikkerheten

Vi varsler Kundens administratorer om et brudd på personopplysningssikkerheten uten ugrunnet opphold og senest 48 timer etter at vi ble kjent med det, med informasjonen som er tilgjengelig etter artikkel 33 nr. 3 i GDPR, og supplerer den etter hvert som flere fakta blir kjent. Vi treffer tiltak for å begrense bruddet og redusere følgene.

11. Sletting og tilbakelevering av opplysninger

I abonnementsperioden kan Kunden når som helst eksportere rapporter, opplæringsdokumentasjon og revisjonsspor. Etter at abonnementet er avsluttet, kan administratorene fortsatt logge inn i 90 dager, bare for å eksportere opplysninger; deretter slettes virksomheten og alle opplysningene automatisk, med mindre Kunden ber om tidligere sletting. Kopier i sikkerhetskopier overskrives innen 30 dager. Opplysninger vi må oppbevare etter loven (f.eks. fakturaer), omfattes ikke av dette punktet.

12. Revisjoner

Vi stiller til Kundens rådighet den informasjonen som er nødvendig for å påvise etterlevelse av denne DPA-en, og legger til rette for revisjoner, inkludert inspeksjoner, utført av Kunden eller en revisor med taushetsplikt. Revisjoner gjennomføres etter rimelig skriftlig forhåndsvarsel, i arbeidstiden, høyst én gang i året (unntatt etter et brudd på personopplysningssikkerheten) og for Kundens regning, uten å forstyrre Tjenesten eller gi tilgang til andre kunders opplysninger.

13. Kundens forpliktelser

Kunden er ansvarlig for å ha et rettslig grunnlag for behandlingen, for å informere sine ansatte og for at opplysningene og instruksene Kunden gir oss, er lovlige.

14. Ansvar og lovvalg

Ansvar etter denne DPA-en følger bruksvilkårene, med mindre GDPR fastsetter noe annet. Denne DPA-en reguleres av tsjekkisk rett; tvister som følger av den, avgjøres av de kompetente domstolene i Tsjekkia med stedlig kompetanse etter vårt forretningskontor. Kontakt i personvernspørsmål: sales@guard-ai.eu.