Databehandleravtale

1. Parter og formål

Avtalen gjelder mellom kunden som bruker NivoTek (behandlingsansvarlig) og NivoTek (databehandler). Den oppfyller kravene i personvernforordningen (GDPR) artikkel 28 og er en del av vilkårene. Avtalen gjelder så lenge NivoTek behandler personopplysninger på vegne av kunden.

2. Behandlingen

• Formål: å levere AI-chatboten og tilhørende funksjoner (svar til besøkende, samtalelogg, henvendelser, leads, statistikk og integrasjoner).
• Registrerte: besøkende og kunder hos kunden, og kundens egne brukere.
• Opplysninger: innholdet i samtaler, anonym besøks-ID, navn, e-post, telefon, melding og vedlegg som den registrerte selv oppgir i skjemaer, samtykke til markedsføring med tidspunkt, og, bare når kunden har installert NivoTek-appen i Shopify, ordrestatus som hentes ved oppslag uten å lagres.
• Særlige kategorier: skal ikke behandles. Med personvernsperren på stoppes meldinger med personnummer, kontonummer, kortnummer eller opplysninger om egen helse før de sendes til AI-modellen, og samtalen slettes.
• Sted: database og filer i Frankfurt (EU). AI-svar lages som standard av modeller som kjøres i EU uten datalagring. Søkeindeks og modeller kunden selv velger utenfor EU-valget kan behandles utenfor EØS under standardkontrakter, se personvernerklæringen.
• Varighet: så lenge kundeforholdet varer, og deretter til opplysningene er slettet etter punkt 9.

3. Kundens instrukser

NivoTek behandler personopplysningene bare etter kundens dokumenterte instrukser. Disse vilkårene, kundens oppsett av chatboten og valg i plattformen er kundens instrukser. NivoTek varsler kunden dersom en instruks etter vår vurdering er i strid med personvernreglene.

4. Taushetsplikt

Personer som har tilgang til personopplysningene hos NivoTek, har taushetsplikt. Tilgang gis bare til personer som trenger det for å levere eller feilsøke tjenesten.

5. Sikkerhet

NivoTek har tekniske og organisatoriske tiltak etter artikkel 32, blant annet:

• kryptert overføring (HTTPS) og kryptering av tilgangsnøkler (AES-256-GCM)
• rollestyrt tilgang og isolasjon mellom kunders data i databasen
• signerte besøks-ID-er og begrensning av antall meldinger for å hindre misbruk
• sikkerhetskopier hos databaseleverandøren, i EU
• tilgangslogg over hvilke brukere som har åpnet hvilke samtaler
• ingen bruk av kundens data til å trene AI-modeller, og tydelig merking i chatten av at besøkende snakker med en AI (KI-forordningen artikkel 50)

6. Underleverandører

Kunden gir generell forhåndsgodkjenning til at NivoTek bruker underleverandørene som er oppført i personvernerklæringen. NivoTek pålegger underleverandørene de samme pliktene som i denne avtalen. Nye eller endrede underleverandører varsles minst 30 dager i forveien, og kunden kan protestere ved å si opp avtalen før endringen gjelder. Overføring utenfor EØS skjer bare med gyldig overføringsgrunnlag.

7. Bistand til kunden

NivoTek bistår kunden, så langt det er rimelig, med å svare på henvendelser fra registrerte om innsyn, retting og sletting, og med plikter etter artikkel 32–36, som sikkerhet, avviksmelding og konsekvensvurderinger. Mye av dette kan kunden gjøre selv i plattformen, for eksempel å eksportere og slette samtaler. Bistand utover dette kan faktureres etter medgått tid.

8. Brudd på sikkerheten

NivoTek varsler kunden uten ugrunnet opphold, og senest innen 48 timer etter at vi ble kjent med et brudd på personopplysningssikkerheten som rammer kundens data. Varselet beskriver hva som har skjedd, hvilke data og registrerte som er berørt, og hvilke tiltak som er satt i verk. Det er kunden som behandlingsansvarlig som melder til Datatilsynet og de registrerte når det kreves.

9. Sletting ved avslutning

Når avtalen avsluttes, sletter NivoTek kundens personopplysninger innen 90 dager, med mindre kunden innen samme frist ber om å få dem utlevert, for eksempel som eksport av samtaler. Opplysninger i sikkerhetskopier slettes når kopiene roteres ut.

10. Dokumentasjon og revisjon

NivoTek gjør tilgjengelig informasjon som er nødvendig for å vise at avtalen overholdes, og tillater revisjon gjennomført av kunden eller en uavhengig revisor kunden velger. Revisjon varsles minst 30 dager i forveien og gjennomføres på kundens bekostning, normalt ved skriftlig dokumentasjon.

11. Ansvar

Hver part er ansvarlig for egne plikter etter personvernreglene. For øvrig gjelder ansvarsbegrensningen i vilkårene, så langt ufravikelig lov tillater det.

12. Kontakt

Spørsmål om databehandling sendes til erik@nivotek.com.