Databehandleravtale

Denne databehandleravtalen, kalt Avtalen, gjelder mellom

• behandlingsansvarlig, kalt Kunden: virksomheten som er part i tilbudet, bestillingen eller avtalen med Leverandøren, kalt Hovedavtalen, også når bestillingen er gjort i Appen
• databehandler, kalt Leverandøren: Wonder Technologies AS, org.nr 929 267 834 MVA, Oreliveien 8, 0580 Oslo, Norge, hello@heyroes.com. Leverandøren leverer tjenestene under navnet Heyroes

Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28 og personopplysningsloven, og tilsvarende krav i UK GDPR og den sveitsiske personvernloven der de gjelder. Den gjelder fra Hovedavtalen inngås og så lenge Leverandøren behandler personopplysninger på Kundens vegne. Avtalen er en del av Hovedavtalen og kjøpsvilkårene og gjelder uten egen signatur. Ved motstrid om behandling av personopplysninger går Avtalen foran.

Formål

Leverandøren behandler personopplysninger på vegne av Kunden for å levere tjenestene i Hovedavtalen:

• nettsider og nettbutikker, med utvikling, hosting, drift, vedlikehold og sikkerhetskopier
• vekstpakker og tilleggstjenester i Appen, der heltene og teamet jobber med annonser, synlighet i søk, innhold, design, sosiale medier, henvendelser og rapporter
• support og rådgivning

Opplysningene brukes bare til dette og ikke til Leverandørens egne formål, bortsett fra anonymisert innsikt etter punkt 7.8.

Definisjoner

• Personopplysninger: enhver opplysning om en identifisert eller identifiserbar fysisk person
• Behandling: enhver bruk av personopplysninger, som innsamling, lagring, endring, overføring og sletting
• Tjenestene: tjenestene Kunden har bestilt etter Hovedavtalen, også Appen
• Appen: Leverandørens app, der KI-agenter, kalt heltene, jobber sammen med Leverandørens team og Kunden
• Underbehandler: en leverandør Leverandøren bruker, som behandler personopplysninger på Kundens vegne

Roller og instrukser

Kunden er behandlingsansvarlig og bestemmer formålet med behandlingen. Leverandøren er databehandler og behandler personopplysningene bare etter Kundens dokumenterte instrukser. Instruksene er Avtalen, Hovedavtalen, innstillingene Kunden velger i Appen og forslagene Kunden godkjenner der. Mener Leverandøren at en instruks er i strid med personvernreglene, sier Leverandøren fra med en gang.

Kunden er ansvarlig for

• at behandlingen har lovlig grunnlag, og at de registrerte får informasjon, for eksempel i en personvernerklæring på nettsiden og ved skjemaene
• at det innhentes samtykke til informasjonskapsler og sporing på nettsiden der loven krever det, også for Heyroes-tillegget og sporingsskriptet, se punkt 5
• at kontaktlister som lastes opp til annonser, er samlet inn lovlig, og at personene har fått informasjon og gitt samtykke der det kreves. Når Appen laster opp en liste til Google, bekreftes det overfor Google at samtykke er gitt, og Kunden står inne for at det stemmer
• at personer som vises i bilder og video Kunden laster opp, har samtykket til at materialet brukes i markedsføring
• at Kunden har godtatt vilkårene til Google, Meta og andre plattformer for kontoene sine
• hvem som får tilgang til Appen, og hva som deles med heltene

Opplysninger som sendes til Google, Meta og andre annonseplattformer, sendes til Kundens egne kontoer og behandles der etter Kundens avtaler med plattformene. Plattformene er ikke Leverandørens underbehandlere for den delen.

Registrerte og kategorier av personopplysninger

Behandlingen kan gjelde disse gruppene av registrerte:

• personer som tar kontakt med Kunden gjennom nettsiden, annonseskjemaer hos Google og Meta eller på andre måter
• besøkende på Kundens nettside
• Kundens kunder, når Kunden kobler til CRM eller nettbutikk
• personer som kommenterer på Kundens sider i sosiale medier
• personer i kontaktlister Kunden laster opp
• personer som vises i bilder og video Kunden laster opp
• brukere og ansatte hos Kunden
• andre personer som nevnes i innhold Kunden deler med heltene

Behandlingen kan omfatte disse opplysningene:

• Henvendelser: navn, firma, e-post, telefon, sted, nettside, meldingen og svarene i skjemaet
• Sporing: hvilken kampanje, annonse og side henvendelsen kom fra, klikk-ID-er fra Google og Meta, og IP-adresse og nettleserdata. IP-adresse og nettleserdata slettes når konverteringen er sendt til Meta
• Salg fra Kundens CRM: ordreverdi, status, datoer, postnummer, kundegruppe og e-post og telefon i hashet form, for å koble salg til henvendelser. Hashing er pseudonymisering, og opplysningene regnes fortsatt som personopplysninger
• Kontaktlister til annonser: e-post og telefon, som hashes før de sendes til Google og Meta. Selve filen lagres ikke
• Kommentarer i sosiale medier: navnet og ID-en til den som kommenterer på plattformen, teksten og lenken. Navn og ID sendes ikke til språkmodellene
• Bilder og merkevare: produktbilder, logoer og annet materiale Kunden laster opp, som kan vise personer, og bildene og videoene heltene lager av dem
• Statistikk: fra Google Analytics og Search Console hentes bare samlede tall og ingen opplysninger om enkeltpersoner
• Samtaler med heltene: det Kunden skriver, og filene Kunden laster opp
• Nettsider: database og filer på nettsider Leverandøren drifter, som kan inneholde brukere, ordrer og skjemasvar, og sikkerhetskopier av dem

Behandlingen består blant annet i å motta, lagre og sortere henvendelser, varsle Kunden på e-post, sende konverteringer til Kundens annonsekontoer, hente salgsdata fra Kundens CRM, laste opp målgrupper, hente og sortere kommentarer, lage innhold, bilder, video og annonser som Kunden godkjenner, drifte og ta sikkerhetskopi av nettsider og gi support.

Opplysninger som ikke skal behandles. Avtalen omfatter ikke særlige kategorier av personopplysninger (GDPR artikkel 9), opplysninger om straffedommer (artikkel 10), fødselsnummer eller opplysninger om barn. Kunden skal ikke be om slike opplysninger i skjemaer eller annonseskjemaer og ikke dele dem med heltene. Sporingsskriptet filtrerer bort felt som ligner fødselsnummer og kortnummer, men det er et sikkerhetsnett og fritar ikke Kunden for ansvaret.

Sporing på Kundens nettside

Heyroes-tillegget for WordPress og sporingsskriptet sender skjemaer fra Kundens nettside til Appen, slik at henvendelsene samles på ett sted og kan kobles til annonsene som ga dem. Skriptet sender alle feltene i skjemaet, men ikke passord, skjulte felt, filer, kortnummer og verdier som ligner fødselsnummer. Det sender også IP-adressen og nettleserdata til den som sender skjemaet.

Tillegget leser også Metas informasjonskapsler _fbp og _fbc når de finnes. Ingen av informasjonskapslene er nødvendige for at nettsiden skal virke. Kunden skal derfor ta dem med i cookiebanneret og personvernerklæringen på nettsiden, og innhente samtykke før de settes. Leverandøren hjelper gjerne med oppsettet.

Behandlingsgrunnlag

Kunden har ansvaret for at behandlingen er lovlig, for eksempel ved å innhente samtykke der det kreves. Leverandøren behandler opplysningene på grunnlag av Kundens instrukser.

Leverandørens plikter

7.1 Instrukser

Leverandøren behandler personopplysninger bare innenfor Avtalen og Kundens instrukser, med mindre loven krever noe annet. Krever loven det, sier Leverandøren fra til Kunden før behandlingen, med mindre loven forbyr det.

7.2 Taushetsplikt

Alle som har tilgang til personopplysningene hos Leverandøren og underbehandlerne, har taushetsplikt.

7.3 Sikkerhet

Leverandøren har tekniske og organisatoriske tiltak som passer risikoen, etter GDPR artikkel 32, blant annet

• kryptering når opplysningene sendes og lagres
• tilganger til Kundens tjenester, som Google Ads og Meta, lagres kryptert med AES-256-GCM
• hver kunde ser bare sine egne data, med radnivåsikkerhet i databasen, og tilgang styres etter rolle
• tilgang til Appen bare etter invitasjon, og tilgang som trekkes tilbake, gjelder med en gang
• innlogging og endringer logges
• private lagringsområder for filer, med lenker som utløper
• endringer i Kundens kontoer krever som standard Kundens godkjenning
• sikkerhetskopi av databasen hver dag

Tiltakene er beskrevet nærmere på siden om sikkerhet. Leverandøren gjennomgår dem jevnlig og gjør dem bedre.

7.4 Underbehandlere

Kunden godkjenner med Avtalen at Leverandøren bruker underbehandlerne i punkt 16. Leverandøren inngår skriftlig avtale med dem med de samme pliktene som i Avtalen, og svarer overfor Kunden for behandlingen deres. Før en ny underbehandler tas i bruk eller en byttes ut, varsler Leverandøren Kunden minst 30 dager i forveien, på e-post eller i Appen. Kunden kan protestere av saklige grunner. Finner partene ingen løsning, kan Kunden si opp den berørte tjenesten med virkning fra endringen.

7.5 Brudd på personopplysningssikkerheten

Leverandøren varsler Kunden uten ugrunnet opphold, og senest 48 timer etter å ha blitt kjent med et brudd som gjelder Kundens opplysninger. Varselet beskriver så langt det er kjent hva som har skjedd, hvilke opplysninger og personer som er berørt, mulige følger og hva som er gjort. Leverandøren hjelper Kunden med å varsle Datatilsynet og de berørte.

7.6 Bistand

Leverandøren hjelper Kunden med å svare på krav fra de registrerte, som innsyn, retting, sletting, begrensning og dataportabilitet, og med vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet. Krav fra registrerte som kommer til Leverandøren, sendes videre til Kunden. Bistand som går utover det vanlige, kan faktureres etter medgått tid, se kjøpsvilkårene punkt 6.6.

7.7 Kunstig intelligens

Heltene bruker språkmodeller fra Anthropic, og bilder, video og tale fra OpenAI, Higgsfield og ElevenLabs, se punkt 16. Modellene får bare opplysningene som trengs for oppgaven. Etter vilkårene for tjenestene Leverandøren bruker, brukes ikke Kundens data til å trene modellene. Heltene tar ingen avgjørelser som har rettslig virkning for de registrerte eller påvirker dem i betydelig grad på lignende måte.

Etter EUs KI-forordning er Leverandøren tilbyder av heltene og merker bilder, video og tale de lager, som KI-generert. Kunden bruker innholdet og er ansvarlig for å merke det Kunden publiserer der forordningen krever det, se kjøpsvilkårene punkt 21.10.

7.8 Anonymisert innsikt

Leverandøren kan bruke anonymiserte og sammenstilte opplysninger, som ikke kan knyttes til Kunden eller til enkeltpersoner, for å gjøre tjenestene og heltene bedre.

Revisjon og tilsyn

Leverandøren gir Kunden informasjonen som trengs for å vise at Avtalen følges. Kunden kan også gjennomføre revisjon en gang i året med 30 dagers varsel, selv eller med en uavhengig revisor med taushetsplikt. Revisjonen skal ikke forstyrre driften unødig, og Kunden dekker kostnadene med mindre revisjonen avdekker vesentlige brudd på Avtalen.

Sletting og tilbakelevering

• Kunden kan når som helst få ut personopplysningene fra Appen som JSON, og nettsider som en full kopi av WordPress med filer og database. Inntil Kunden kan gjøre det selv i Appen, leverer Leverandøren eksporten innen 10 virkedager etter at Kunden har bedt om den.
• Når Hovedavtalen er slutt, har Kunden 30 dager til å hente ut opplysningene. Senest 30 dager etter det sletter eller anonymiserer Leverandøren dem, også hos underbehandlerne, med mindre loven krever lengre lagring.
• Når personopplysninger slettes, slettes også kopiene i revisjonsloggen. Sikkerhets- og revisjonslogger lagres ellers i inntil to år for å dokumentere hva som er gjort, og slettes deretter.
• Sikkerhetskopier av databasen slettes etter sju dager. Sikkerhetskopier av nettsider er låst i 30 dager hos Google Cloud og slettes deretter.
• Kobler Kunden fra CRM, slettes salgsdataene, med mindre Kunden velger å beholde dem.
• Opplysninger som allerede er sendt til Kundens kontoer hos Google, Meta eller andre plattformer, følger Kundens avtaler med dem.
• Leverandøren bekrefter skriftlig at slettingen er gjort når Kunden ber om det.

Overføring til land utenfor EØS

Dataene lagres i hovedsak i EØS: databasen i Irland, feilovervåkingen i Frankfurt og sikkerhetskopier av nettsider i Finland. Appen kjører på servere i Stockholm. Nettsidene ligger hos Hostinger i Storbritannia, som EU har godkjent med tilstrekkelig beskyttelsesnivå.

Noen av underbehandlerne i punkt 16 er selskaper i USA, behandler data der eller har tilgang derfra til støtte og drift. Kunden godtar overføringene på vilkår av at de har gyldig grunnlag etter GDPR kapittel V. Grunnlaget for hver underbehandler står i punkt 16: EU-kommisjonens beslutning om EU-US Data Privacy Framework for sertifiserte selskaper, eller EUs standardkontrakter (SCC), modul 3, med tilleggstiltak etter en vurdering av overføringen. Kunden kan be om en kopi av standardkontraktene. Faller Data Privacy Framework bort, bytter Leverandøren til standardkontrakter eller til en underbehandler i EØS og varsler Kunden.

Ansvar og erstatning

Hver part er ansvarlig for brudd som skyldes egne handlinger eller forsømmelser. Leverandørens ansvar etter Avtalen er omfattet av begrensningene i kjøpsvilkårene punkt 16, og ansvar etter Avtalen og kjøpsvilkårene regnes sammen mot grensen der. Unntakene i kjøpsvilkårene punkt 16.6 gjelder også her. Hver part bærer selv overtredelsesgebyr som ilegges den. Begrensningene gjelder ikke de registrertes krav etter GDPR artikkel 82.

Varighet og oppsigelse

• Avtalen gjelder så lenge Leverandøren behandler personopplysninger på Kundens vegne etter Hovedavtalen.
• Når Avtalen er slutt, gjelder punkt 9 om sletting og tilbakelevering.
• Ved vesentlig brudd kan den andre parten heve Avtalen med umiddelbar virkning.

Konfidensialitet

Partene skal holde personopplysninger og annen konfidensiell informasjon hemmelig, også etter at Avtalen er slutt, se kjøpsvilkårene punkt 24.

Lovvalg og tvister

Avtalen følger norsk rett. Tvister løses som i kjøpsvilkårene punkt 20, ved Oslo tingrett for kunder i Norge, EU, EØS og Sveits, og ved voldgift i Oslo for andre kunder.

Endringer

Leverandøren kan endre Avtalen når tjenestene eller reglene endrer seg, med 30 dagers varsel på e-post eller i Appen. Er Kunden uenig, kan Kunden si opp den berørte tjenesten før endringen gjelder. Nye underbehandlere følger punkt 7.4. Denne versjonen gjelder fra 1. januar 2027.

Underbehandlere

Leverandøren bruker disse underbehandlerne når Leverandøren behandler personopplysninger for Kunden: