Databehandleravtale (DPA)

1Omfang og formål

Denne avtalen regulerer Databehandleren sin behandling av personopplysninger på vegne av Kunden. Formålet er å levere AI-baserte tjenester som spesifisert i hovedavtalen.

Behandlingen varer så lenge hovedavtalen løper, med de sletteplikter som følger av punkt 12. Behandlingens art er innsamling, lagring, strukturering, analyse med språkmodeller, visning for Kundens ansatte og — der Kunden har konfigurert det — overføring til systemer og mottakere Kunden selv bestemmer.

Hvilken informasjon samler vi inn

Som en del av samtalen behandles og lagres følgende informasjon:

• Nåværende nettleseradresse for chat-samtalen (kan deaktiveres)
• Personinformasjon sluttbrukeren velger å oppgi i samtalen (navn, telefonnummer og/eller e-postadresse m.m.)
• Filer og vedlegg sluttbrukeren velger å laste opp i samtalen (inkludert vedlegg til e-post)
• Personinformasjon fra integrasjoner koblet mot Kundens konto i KonversAI (ordrehistorikk, retur- og fraktinformasjon m.m.)
• Når sluttbrukeren gir eksplisitt samtykke til sporing av markedsføringsinformasjon: overføring av markedsføringsattribuering til tredjeparter konfigurert av Kunden. Se punkt 8.
• Kontaktopplysninger for Kundens egne ansatte som bruker operatørgrensesnittet (navn, e-postadresse, rolle)

Sluttbrukerens IP-adresse behandles for sikkerhet, feilsøking og begrensning av misbruk, og forekommer i tekniske logger hos Databehandler og Databehandlers underleverandører. IP-adressen lagres ikke som en del av samtalehistorikken.

Tjenesten er ikke innrettet for særlige kategorier av personopplysninger (GDPR art. 9) eller personopplysninger om straffedommer (art. 10). Se punkt 11 om Kundens ansvar for dette.

De registrerte er sluttbrukere som tar kontakt med Kunden via KonversAI — typisk Kundens kunder, besøkende på Kundens nettsted eller andre henvendere — samt Kundens egne ansatte som bruker tjenesten.

Hvor lenge lagres informasjonen

• Historikk i chat-vinduet hos sluttbrukeren kan benyttes til å gi Kunden informasjon om hvilke samtaler som kommer fra samme nettleserøkt.
  • Som utgangspunkt lagres ingen informasjon utover den aktuelle nettleserøkten (sesjons-lagring)
  • Dersom sluttbrukeren gir eksplisitt samtykke til lagring av funksjonelle cookies, lagres chat-historikk inntil 12 måneder i den aktuelle nettleseren (lokal lagring i nettleseren)
• Samtalehistorikk lagres i Kundens konto inntil den slettes av Kunden, eller innen 30 dager etter at kundeforholdet opphører. Kunden kan velge å konfigurere jevnlig sletting av sine samtaler, eksempelvis slik at samtaler eldre enn 30 dager slettes.
• Klikk-ID-er fra annonser og pseudonymiserte (hashede) kontaktopplysninger for markedsføringsattribuering slettes innen 30 dager. Se punkt 8.
• Leveranselogger for utgående integrasjoner Kunden har konfigurert lagres inntil 180 dager.
• Tekniske logger og sikkerhetslogger lagres inntil 90 dager.

2Instruks og behandling

• Databehandler skal kun behandle opplysninger i tråd med Kundens dokumenterte instrukser. Denne avtalen, hovedavtalen og Kundens konfigurasjon av tjenesten utgjør Kundens instruks.
• Behandlingen inkluderer innsamling, analyse og lagring for å levere og forbedre tjenesten.
• AI-spesifikt: Databehandler kan bruke anonymiserte og aggregerte data for statistikk og forbedring av algoritmer. Personopplysninger eller annen kundedata vil ikke bli benyttet for å trene AI-modeller. Det samme gjelder for Databehandlers underleverandører.
• Databehandler skal varsle Kunden dersom en instruks etter Databehandlers vurdering er i strid med personvernregelverket, jf. GDPR art. 28 nr. 3 siste ledd.
• Tjenesten utformer og kan sende svar automatisk. Dette utgjør ikke automatiserte avgjørelser med rettsvirkning eller tilsvarende vesentlig betydning for den registrerte (GDPR art. 22). Kunden er ansvarlig for å konfigurere tjenesten slik at dette fortsatt er tilfellet, og for nødvendig menneskelig oppfølging.
• Sluttbrukeren informeres om at de samhandler med en AI-assistent, jf. forordning (EU) 2024/1689 (AI-forordningen) art. 50.

3Taushetsplikt og tilgang

• Databehandler skal sikre at personer som har tilgang til personopplysningene har forpliktet seg til taushetsplikt, jf. GDPR art. 28 nr. 3 bokstav b.
• Tilgang gis etter rolle og etter prinsippet om minste nødvendige tilgang, og er begrenset til det som er nødvendig for drift, support og feilsøking.
• Databehandler har et administrasjonsgrensesnitt som kan gi tilgang til data på tvers av kunder. Tilgangen er rollestyrt og forbeholdt navngitt personell underlagt taushetsplikt, benyttes utelukkende til drift og support av tjenesten, og logges.

4Sikkerhet

• Databehandler skal implementere tekniske og organisatoriske tiltak for å sikre konfidensialitet, integritet og tilgjengelighet (GDPR art. 32).
• Dette inkluderer kryptering av data under overføring og lagring, tilgangsstyring, logging og rutiner for å oppdage og håndtere sikkerhetsbrudd.
• Ved brudd på personopplysningssikkerheten skal Kunden varsles uten unødig opphold og senest innen 24 timer etter at Databehandler ble kjent med bruddet.
• Varselet skal så langt det er mulig beskrive bruddets art, hvilke kategorier og omtrentlig antall registrerte og opplysninger som er berørt, sannsynlige konsekvenser, iverksatte og foreslåtte tiltak, samt kontaktpunkt for mer informasjon.
• Databehandler skal bistå Kunden med Kundens egen melding til Datatilsynet innen 72 timer og eventuell varsling av de registrerte.
• Databehandler varsler kun Kunden, ikke tilsynsmyndighet eller registrerte, med mindre Kunden ber om det eller Databehandler er rettslig forpliktet.

5Bistand til Kunden

• Databehandler skal bistå Kunden med å oppfylle de registrertes rettigheter (GDPR art. 12–23), herunder innsyn, retting, sletting, begrensning og dataportabilitet. Tjenesten har funksjonalitet for å finne, eksportere og slette en samtale; bistand utover dette ytes etter medgått tid.
• Henvender en sluttbruker seg direkte til Databehandler om sine rettigheter, skal Databehandler ikke besvare henvendelsen på egen hånd, men uten unødig opphold videresende den til Kunden.
• Databehandler skal bistå Kunden med personvernkonsekvensvurdering (DPIA) og eventuell forhåndsdrøfting med tilsynsmyndighet, jf. GDPR art. 35 og 36, og stille nødvendig dokumentasjon til rådighet.

6Underdatabehandlere

• Kunden gir Databehandler generell skriftlig godkjenning til å benytte underdatabehandlere, jf. GDPR art. 28 nr. 2.
• En oppdatert liste over underdatabehandlere er tilgjengelig for Kunden på konvers.ai/dpa.
• Nye eller endrede underdatabehandlere varsles til Kundens administratorer per e-post minst 30 dager før de tas i bruk. Kunden har rett til å protestere dersom det foreligger saklig grunn knyttet til personvern. Kommer partene ikke til enighet, kan Kunden si opp den berørte delen av tjenesten uten kostnad, med virkning fra det tidspunkt underdatabehandleren tas i bruk.
• Databehandler skal pålegge enhver underdatabehandler de samme forpliktelsene som følger av denne avtalen, og er fullt ut ansvarlig overfor Kunden for underdatabehandlerens oppfyllelse av dem, jf. GDPR art. 28 nr. 4.

Databehandler benytter følgende underleverandører:

• Microsoft Azure — skytjenester og AI-teknologi. Datasentre i Norge og Europa. Amerikansk leverandør dekket av EUs standardkontrakter.
• Lettermint.co — e-posttjeneste. Datasentre i Europa, europeisk selskap.
• Twilio — SMS og telefoni. Datasentre i Europa.
• Sentry — systemovervåkning. Datasentre i Europa.
• PostHog — markedsføringsdata for den kommersielle nettsiden konvers.ai. Benyttes ikke for levering av tjenesten KonversAI og ikke for behandling av data på vegne av Kunden.

Tredjeparter Kunden selv kobler til sin konto — for eksempel egne fagsystemer, meldingskanaler eller mottakere av markedsføringsattribuering — er ikke Databehandlers underdatabehandlere. Kunden er ansvarlig for eget behandlingsgrunnlag og eventuelle avtaler med disse.

7Lagring i sluttbrukerens nettleser

• KonversAI-widgeten lagrer identifikatorer i sluttbrukerens nettleser for å knytte sammen en samtale. Uten et samtykkesignal lagres dette kun for den aktuelle nettleserøkten (sesjons-lagring), som videreføring av den henvendelsen sluttbrukeren selv har startet.
• Lagring på tvers av besøk skjer først når det foreligger et gyldig samtykke. Widgeten leser samtykke fra vanlige samtykkeløsninger (CMP) og respekterer senere tilbaketrekking.
• Kunden er behandlingsansvarlig for lagring i sluttbrukerens terminalutstyr på Kundens nettsted, og ansvarlig for å innhente samtykke etter ekomloven. Vedlegg B beskriver hva som lagres, og kan benyttes i Kundens egen cookie-erklæring.

8Markedsføringsattribuering

• Har Kunden konfigurert markedsføringsattribuering, og sluttbrukeren har gitt eksplisitt samtykke til markedsføring, kan klikk-ID-er fra annonser og pseudonymiserte (hashede) kontaktopplysninger overføres til de mottakerne Kunden selv har konfigurert.
• E-postadresser og telefonnumre overføres kun som SHA-256-hash. Hashede verdier er pseudonymiserte, ikke anonymiserte, og regnes fortsatt som personopplysninger.
• Mottakerne — typisk annonseplattformer — opptrer som selvstendige behandlingsansvarlige for sin egen bruk av opplysningene. Denne avtalen regulerer ikke deres behandling. Kunden er ansvarlig for behandlingsgrunnlag og for informasjon til de registrerte om denne overføringen.
• Uten samtykke til markedsføring registreres hendelsen uten klikk-ID-er og uten kontaktopplysninger.
• Klikk-ID-er og hashede kontaktopplysninger slettes innen 30 dager.

9Overføring til tredjeland

• Behandling skal skje innenfor EU/EØS og primært Norge.
• Dersom data overføres til land utenfor EU/EØS, skal Databehandler sikre gyldig overføringsgrunnlag (f.eks. EUs standardkontrakter).
• Enkelte underdatabehandlere har morselskap utenfor EU/EØS. Support- og driftstilgang fra tredjeland kan forekomme hos disse, og er i så fall dekket av EUs standardkontrakter med supplerende tiltak. Databehandler gjør sin overføringsvurdering tilgjengelig for Kunden på forespørsel.

10Revisjon

• Kunden har rett til å få bekreftet at Databehandler overholder sine forpliktelser, jf. GDPR art. 28 nr. 3 bokstav h.
• Dette skjer primært ved innsyn i sikkerhetsrapporter, sertifiseringer og besvarelse av Kundens sikkerhetsspørreskjema.
• Er dette ikke tilstrekkelig, kan Kunden gjennomføre revisjon eller inspeksjon, selv eller ved en uavhengig revisor Kunden utpeker. Revisjon kan gjennomføres inntil én gang per år, varsles minst 30 dager i forveien, skal ikke unødig forstyrre Databehandlers drift, og forutsetter taushetserklæring. Kunden dekker egne og Databehandlers kostnader ved slik revisjon, med mindre revisjonen avdekker vesentlige avvik.
• Ved mistanke om sikkerhetsbrudd eller etter pålegg fra tilsynsmyndighet kan revisjon gjennomføres uten hensyn til begrensningene over.

11Kundens plikter som behandlingsansvarlig

• Kunden er ansvarlig for å ha behandlingsgrunnlag for opplysningene som behandles i KonversAI.
• Kunden skal informere sine sluttbrukere i egen personvernerklæring om at KonversAI benyttes, hvilke opplysninger som behandles, og at KonversAI AS er Kundens databehandler. Kunden skal også føre KonversAI AS opp i sin egen protokoll over behandlingsaktiviteter (GDPR art. 30).
• Er Kunden selv databehandler for en annen behandlingsansvarlig — for eksempel et byrå som drifter løsningen for sin egen kunde — er KonversAI AS underdatabehandler i det forholdet. Kunden er da ansvarlig for å innhente nødvendig godkjenning fra sin behandlingsansvarlige og for å videreføre forpliktelsene i denne avtalen.
• Kunden skal innhente samtykke for lagring i sluttbrukerens nettleser og for markedsføringsattribuering, og formidle samtykkesignalet til widgeten. Se punkt 7 og 8 og teknisk dokumentasjon for innbygging.
• Kunden skal ikke konfigurere eller benytte tjenesten til å samle inn særlige kategorier av personopplysninger (GDPR art. 9) eller opplysninger om straffedommer (art. 10) uten forutgående skriftlig avtale med Databehandler.

12Sletting ved opphør

• Ved oppsigelse skal Databehandler etter Kundens valg slette eller tilbakelevere alle personopplysninger, jf. GDPR art. 28 nr. 3 bokstav g. Gir ikke Kunden beskjed, slettes opplysningene.
• Sletting skjer innen rimelig tid (standard 30 dager), med mindre lovverket krever videre lagring. Sikkerhetskopier slettes etter ordinær rulleringssyklus, og er i mellomtiden omfattet av de samme sikkerhetstiltakene.
• Kunden kan be om eksport av data før sletting.
• Databehandler bekrefter skriftlig når sletting er gjennomført, dersom Kunden ber om det.

13Varighet, endringer og øvrige bestemmelser

• Avtalen gjelder så lenge Databehandler behandler personopplysninger på vegne av Kunden.
• Databehandler kan oppdatere denne avtalen. Kundens administratorer varsles per e-post ved endringer. Vesentlige endringer varsles minst 30 dager før de trer i kraft, og Kunden kan i den perioden si opp hovedavtalen uten kostnad dersom Kunden ikke godtar endringen.
• Ved motstrid går denne avtalen foran hovedavtalen i spørsmål om behandling av personopplysninger.
• Ansvarsbegrensningen i hovedavtalen gjelder også for denne avtalen. Begrensningen gjelder ikke for overtredelsesgebyr ilagt Kunden som følge av Databehandlers brudd på denne avtalen, eller for krav fra registrerte etter GDPR art. 82 som skyldes Databehandler.
• Avtalen er underlagt norsk rett med samme verneting som hovedavtalen.

Vedlegg B: Lagring i sluttbrukerens nettleser

Widgeten lagrer verdiene under i sluttbrukerens nettleser. Dette er ikke informasjonskapsler (cookies), men lagring i nettleserens sessionStorage og localStorage. Reglene om lagring i terminalutstyr gjelder likevel på samme måte. <nøkkel> er Kundens widget-nøkkel.

Widgeten leser i tillegg informasjonskapselen __oppref dersom den finnes på Kundens nettsted. Den settes av annonseplattformens egen sporingskode, ikke av KonversAI, og leses kun når det foreligger markedsføringssamtykke.

Trekker sluttbrukeren samtykket tilbake, fjernes verdiene som er lagret på tvers av besøk, og samtalen fortsetter på sesjons-lagring ut den aktuelle nettleserøkten.