Databehandler­avtale

1. Hvem avtalen gjelder mellom

Avtalen gjelder mellom trafikkskolen, som er behandlingsansvarlig («dere»), og Index Development Melheim, org.nr 936 933 661, Cappelens gate 27, 3015 Drammen, som leverer Trinnfire og er databehandler («vi»).

Avtalen skal oppfylle kravene i personvernforordningen (GDPR) artikkel 28, og gjelder sammen med vilkårene. Står det noe annet om personopplysninger i vilkårene, gjelder denne avtalen.

Den gjelder fra dere tar i bruk en tjeneste som behandler personopplysninger, og så lenge vi behandler slike opplysninger for dere.

2. Hva vi behandler

Vi behandler bare det som trengs for å levere tjenestene dere har bestilt:

• Chatboten: det besøkende skriver i chatten, og navn, e-post eller telefonnummer hvis de skriver det selv. IP-adressen brukes til å begrense hvor mange meldinger som kan sendes per minutt.
• SMS-svareren: telefonnummeret til den som ringer, når anropet kom, SMS-en som sendes, og svarene som kommer tilbake og sendes videre til dere.
• Nettsiden: det besøkende sender i kontaktskjemaet, som navn, telefon eller e-post og meldingen, hvis nettsiden har skjema. For å vise siden behandler Cloudflare også tekniske opplysninger, som IP-adresse.
• Skolens egne opplysninger: priser, kurs, åpningstider og tekster, og navn og kontaktinformasjon til ansatte hvis dere vil ha det med.
• Hvem det gjelder: elever, også elever under 18 år, foreldre og andre som besøker nettsiden, skriver i chatten eller ringer skolen, og de ansatte hos dere.

Bestilling og betaling skjer i TABS eller bookingsystemet dere har valgt. Det er ikke en del av denne avtalen, og opplysningene der behandles etter avtalen dere har med den leverandøren.

Løsningene er ikke laget for helseopplysninger eller andre særlige kategorier av personopplysninger, og heller ikke for personnummer. Dere skal ikke sette dem opp til å be om slike opplysninger. Skriver noen det likevel, behandles det etter denne avtalen.

3. Formål og instrukser

Vi behandler opplysningene bare for å levere tjenestene dere har bestilt, og etter deres dokumenterte instrukser: denne avtalen, tilbudet og det dere ber om skriftlig. Vi bruker dem ikke til noe annet. Mener vi at en instruks er i strid med personvernreglene, sier vi fra.

4. Taushetsplikt og tilgang

Bare de som trenger det for å levere tjenesten, får tilgang til opplysningene. Alle som jobber for oss, har skriftlig taushetsplikt, og den gjelder også etter at samarbeidet er slutt.

5. Sikkerhet

Vi har tiltak som passer til risikoen, slik GDPR artikkel 32 krever:

• Trafikken går kryptert (HTTPS).
• Tilgang til systemene krever innlogging, og bare de som trenger det, har tilgang.
• API-nøklene ligger bare på serveren, aldri i nettsiden.
• Chatboten har grenser for hvor mange meldinger som kan sendes per minutt og per døgn, så den ikke kan misbrukes.
• Vi lagrer ikke mer enn tjenesten trenger. Chatboten bruker ingen informasjonskapsler eller sporing.

6. Underleverandører

Dere gir oss en generell tillatelse til å bruke disse underleverandørene. Avtalene vi har med dem, gir opplysningene minst samme vern som denne avtalen.

• Cloudflare: hosting og servere for nettsidene og chatboten, og lagring av tellere som stopper misbruk.
• Anthropic: språkmodellen Claude, som lager svarene i chatboten. Anthropic bruker ikke meldingene til å trene modellene sine. USA.
• Resend: sender e-post fra løsningene, for eksempel meldinger fra kontaktskjemaet på nettsiden. USA.
• 46elks: sender SMS-en og tar imot svarene for SMS-svareren. Sverige.
• Vonage: tar imot ubesvarte anrop som sendes videre, så SMS-svareren vet hvem som ringte. USA.

Bytter vi eller legger til en underleverandør, varsler vi dere minst 30 dager før. Dere kan da protestere, og har rett til å si opp tjenesten.

7. Overføring ut av EØS

Anthropic, Resend og Vonage behandler opplysninger i USA. Cloudflare er et amerikansk selskap, og trafikken kan gå gjennom servere utenfor EØS. Overføringen bygger på EUs standardkontraktsbestemmelser eller et annet gyldig grunnlag etter GDPR kapittel V.

8. Lagringstid

• Chatboten: Vi lagrer ikke samtalene. Samtalen ligger bare i nettleseren til den som skriver, til fanen lukkes. Vi logger hvor mange meldinger som sendes og hvor lange de er, men ikke hva som står i dem.
• SMS-svareren: SMS-er og svar sendes videre til dere, og vi lagrer dem ikke lenger enn det som trengs for å levere dem.
• Kontaktskjemaet: Meldingene sendes som e-post til dere, og vi lagrer dem ikke selv etter at de er levert.
• Underleverandørene: Anthropic, Resend, 46elks og Vonage kan beholde meldingene en begrenset tid etter sine egne vilkår. Cloudflare fører tekniske logger over forespørsler og feil, og sletter dem etter sine egne frister.
• Skolens egne opplysninger: så lenge avtalen varer.
• Annen lagringstid kan avtales skriftlig i tilbudet.

9. Hjelp og avvik

• Vi hjelper dere å svare når noen ber om innsyn, retting eller sletting.
• Oppdager vi et brudd på personopplysningssikkerheten, varsler vi dere uten ugrunnet opphold, og senest innen 48 timer, med det vi vet om hva som har skjedd.
• Vi hjelper dere med vurderinger og dokumentasjon dere trenger etter GDPR artikkel 32 til 36.

10. Kontroll

Vi gir dere opplysningene som trengs for å vise at avtalen følges. Dere kan be om en gjennomgang med rimelig varsel, og dekker egne kostnader ved den.

11. Når avtalen slutter

Når tjenesten avsluttes, sletter vi opplysningene vi har behandlet for dere innen 30 dager, eller gir dem tilbake hvis dere ber om det før det. Opplysninger vi må beholde etter loven, som regnskapsmateriale, beholder vi bare så lenge loven krever.

12. Lovvalg og kontakt

Avtalen er underlagt norsk rett, med samme verneting som i vilkårene. Spørsmål om avtalen sendes til [email protected].