Databehandleravtale

Denne databehandleravtalen («DPA-en») inngås mellom kunden som bruker Blixtflow («Behandlingsansvarlig» eller «Kunden»), og Blixtgo Agency AB, svensk organisasjonsnummer 559069-9038 («Databehandleren» eller «vi»).

DPA-en utgjør en del av avtalen om Blixtflow i henhold til våre tjenestevilkår («Hovedavtalen»). Den inngås når Kunden godtar den i Blixtflow, og gjelder så lenge vi behandler personopplysninger på Kundens vegne. Ved motstrid har DPA-en forrang foran Hovedavtalen i spørsmål om personopplysninger.

Begreper som «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler», «registrert» og «brudd på personopplysningssikkerheten» har den betydningen som følger av forordning (EU) 2016/679 («GDPR»). «Personvernlovgivningen» betyr GDPR, den svenske loven (2018:218) med utfyllende bestemmelser til GDPR og annen gjeldende lovgivning om vern av personopplysninger. «Underdatabehandler» betyr en annen databehandler som vi benytter til behandlingen.

Vi behandler personopplysninger på Kundens vegne for å levere Blixtflow i henhold til Hovedavtalen: mottak, lagring, visning, sending og organisering av Kundens kommunikasjon og tilhørende data, samt for support, sikkerhet og feilsøking. Kategoriene av registrerte, personopplysninger og varigheten fremgår av Vedlegg 1.

Kunden er ansvarlig for at behandlingen av personopplysninger i Blixtflow er lovlig, at det foreligger et behandlingsgrunnlag, at de registrerte får informasjon i henhold til artikkel 13 og 14 i GDPR, og at Kundens instrukser er i samsvar med personvernlovgivningen. Kunden er ansvarlig for innstillingene som gjøres i Blixtflow, for eksempel hvilke kanaler som er tilkoblet, hvilke Brukere som har tilgang, opptak av samtaler og lagringstider.

Vi skal

• kun behandle personopplysningene etter Kundens dokumenterte instrukser. Hovedavtalen, denne DPA-en og Kundens innstillinger og valg i Blixtflow utgjør Kundens fullstendige instrukser,
• umiddelbart informere Kunden dersom vi mener at en instruks er i strid med personvernlovgivningen,
• ikke behandle personopplysningene for egne formål, og ikke bruke dem til å trene generelle AI-modeller,
• dersom loven krever at vi behandler opplysningene på annen måte, informere Kunden før behandlingen, med mindre loven forbyr dette.

Vi sørger for at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til konfidensialitet eller er underlagt lovbestemt taushetsplikt. Tilgangen er begrenset til personer som trenger den for å utføre oppgavene sine. Supporttilgang til Kundens arbeidsområde skjer kun via en logget supportmodus.

Vi gjennomfører de tekniske og organisatoriske tiltakene som kreves etter artikkel 32 i GDPR, for å sikre et sikkerhetsnivå som er tilpasset risikoen. Tiltakene er beskrevet i Vedlegg 2. Vi kan oppdatere tiltakene, forutsatt at beskyttelsesnivået ikke senkes.

Kunden gir en generell forhåndsgodkjenning til at vi benytter underdatabehandlere. Gjeldende underdatabehandlere er oppført på siden Underdatabehandlere, som utgjør Vedlegg 3.

• Vi informerer Kunden minst 30 dager før en ny underdatabehandler tas i bruk eller en eksisterende erstattes, via e-post eller i Blixtflow.
• Kunden kan innen denne fristen protestere mot endringen på rimelig grunnlag. Dersom partene ikke blir enige, kan Kunden si opp Hovedavtalen med virkning fra datoen for endringen, med refusjon av forhåndsbetalte avgifter for perioden deretter.
• Vi inngår skriftlige avtaler med hver underdatabehandler som pålegger plikter tilsvarende dem i denne DPA-en, og vi forblir ansvarlige overfor Kunden for underdatabehandlerens oppfyllelse.

Personopplysninger kan bare overføres til et land utenfor EU/EØS dersom overføringen oppfyller kravene i kapittel V i GDPR, for eksempel gjennom en beslutning om tilstrekkelig beskyttelsesnivå (som EU-US Data Privacy Framework) eller EU-kommisjonens standard personvernbestemmelser, supplert med ytterligere garantier der det er nødvendig. Hvor underdatabehandlerne behandler personopplysninger, og hvilken garanti som gjelder, fremgår av Vedlegg 3.

Tatt i betraktning behandlingens art bistår vi Kunden

• gjennom egnede funksjoner i Blixtflow, som innsynsrapporter, sletting av en persons data og automatisk lagringstid, når registrerte utøver rettighetene sine,
• ved umiddelbart å videresende henvendelser fra registrerte som vi mottar direkte, uten å besvare dem selv,
• med informasjon som er nødvendig for vurderinger av personvernkonsekvenser og forhåndsdrøftinger i henhold til artikkel 35 og 36 i GDPR, og
• for øvrig med å oppfylle pliktene etter artikkel 32–36 i GDPR.

Bistand utover det Blixtflow normalt tilbyr, og som ikke skyldes vår egen feil, kan etter avtale faktureres etter vår gjeldende timepris.

Vi varsler Kunden uten ugrunnet opphold, og senest innen 48 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører Kundens personopplysninger. Varselet skal, i den grad det er tilgjengelig, inneholde

• en beskrivelse av bruddets art, kategoriene og omtrentlig antall berørte registrerte og registreringer,
• de sannsynlige konsekvensene,
• tiltakene som er truffet eller foreslått for å håndtere bruddet og begrense virkningene, og
• en kontaktperson.

Informasjon som ikke er tilgjengelig umiddelbart, gis fortløpende. Kunden beslutter melding til tilsynsmyndigheten og underretning av de registrerte.

Vi gjør all informasjon som er nødvendig for å påvise etterlevelse av artikkel 28 i GDPR, tilgjengelig for Kunden. Kunden, eller en uavhengig revisor utpekt av Kunden og underlagt taushetsplikt, kan gjennomføre en revisjon høyst én gang i året, og i tillegg etter et brudd på personopplysningssikkerheten eller på anmodning fra en tilsynsmyndighet. Revisjoner skal varsles minst 30 dager i forveien, finne sted i vanlig arbeidstid og ikke forstyrre driften eller andre kunders sikkerhet. Kunden dekker selv sine kostnader ved revisjonen.

Ansvar overfor registrerte og overtredelsesgebyrer fordeles i henhold til artikkel 82 og 83 i GDPR. Mellom partene gjelder ansvarsbegrensningen i Hovedavtalen, unntatt der vi har behandlet personopplysninger i strid med Kundens instrukser eller med kravene personvernlovgivningen stiller til databehandlere.

DPA-en gjelder så lenge vi behandler personopplysninger på Kundens vegne. Når Hovedavtalen har opphørt, kan Kunden eksportere dataene sine i 30 dager. Deretter sletter vi personopplysningene, inkludert kopier, med mindre loven krever lagring. Sikkerhetskopier slettes innenfor sin normale rotasjonssyklus og forblir i mellomtiden beskyttet etter denne DPA-en. På forespørsel bekrefter vi slettingen skriftlig.

DPA-en er underlagt svensk rett. Tvister løses som angitt i Hovedavtalen. DPA-en finnes på svensk og engelsk; ved uoverensstemmelser har den svenske versjonen forrang.

Tilgang og identitet

• Passord lagres med Argon2id. Innloggingstokener er tilfeldige (256 bit) og lagres kun som hashverdier.
• Totrinnsbekreftelse med engangskoder og gjenopprettingskoder; Kunden kan kreve dette for alle Brukere.
• Beskyttelse mot automatiserte angrep: begrenset antall innloggingsforsøk, økende forsinkelser og sperring av kontoen etter gjentatte mislykkede forsøk.
• Utlogging etter inaktivitet, «logg ut overalt» og tilbakekalling av økter ved bytte av passord.
• Rollebasert tilgang (eier, administrator, teamleder, medlem, kun prosjekter) og private kanaler.

Isolering og kryptering

• Hver kundes data er logisk isolert fra andre kunders data.
• All overføring er kryptert (HTTPS/TLS). Nøkler og vedlegg er kryptert.
• Mobilappen lagrer innloggingen i enhetens sikre nøkkellager og krypterer lokalt hurtigbufrede data (AES-256-GCM); alt slettes ved utlogging.

Personvern i funksjonene

• Personnumre, kortnumre og IBAN-numre maskeres før tekst sendes til AI-behandling.
• E-post vises isolert; eksterne bilder og sporingspiksler blokkeres som standard.
• Avspilling av samtaleopptak logges.
• Verktøy for innsynsrapporter, sletting av en persons data og automatisk lagringstid.

Organisasjon

• Tilgang etter prinsippet om minste privilegium; supporttilgang kun via en logget supportmodus.
• Taushetserklæringer for ansatte og konsulenter.
• Rutiner for sikkerhetskopiering, gjenoppretting og håndtering av brudd på personopplysningssikkerheten.
• Avtaler med alle underdatabehandlere i henhold til artikkel 28 i GDPR.

Den gjeldende listen over underdatabehandlere, med tjeneste, plassering og garanti, finnes på siden Underdatabehandlere. Listen utgjør en del av denne DPA-en.