Databehandler­avtale

Når en kunde benytter Kundevakt på sin egen nettside, behandler Kundevakt personopplysninger om kundens sluttbrukere på vegne av kunden. Denne avtalen regulerer den behandlingen og oppfyller kravene i GDPR art. 28.

1. Partene

Behandlingsansvarlig (kunden): den juridiske enheten som har inngått tjenesteavtale med Kundevakt og som plasserer Kundevakt-widgeten på sin nettside.

Databehandler: Tom Sindre Haugen, som driver tjenesten Kundevakt. Kontakt: tom@kundevakt.no.

2. Behandlingens formål og varighet

Databehandler behandler personopplysninger med formål å levere chat-bot-tjeneste på kundens nettside, herunder å motta og besvare meldinger fra sluttbrukere, fange opp leads, og levere disse tilbake til kunden.

Avtalen varer så lenge tjenesteavtalen mellom partene består. Ved opphør slettes eller anonymiseres alle personopplysninger innen 90 dager, med mindre annet kreves av norsk lov.

3. Behandlingens art og kategorier

Kategorier av sluttbrukere (registrerte)

• Besøkende på kundens nettside som starter en samtale med widgeten
• Personer som oppgir kontaktinfo via samtalen for å bli kontaktet (leads)

Kategorier av personopplysninger

• Innhold i chat-meldinger (fritekst)
• Tekniske data: tidsstempel, bot-ID, truncert User-Agent (maks 300 tegn), IP-adresse (kun for rate-limit, ikke lagret langtid)
• Lead-data hvis frivillig oppgitt: navn, telefon, e-post, adresse, bestillings-/forespørsels-info

Spesielle kategorier av personopplysninger (sensitive data) etter GDPR art. 9 skal ikke behandles via Kundevakt. Kunden har ansvar for å konfigurere boten slik at den ikke aktivt etterspør slik informasjon.

4. Databehandlerens forpliktelser

1. Behandle personopplysninger kun etter dokumenterte instruks fra behandlingsansvarlig.
2. Sikre at personell med tilgang er underlagt taushetsplikt.
3. Iverksette egnede tekniske og organisatoriske sikkerhetstiltak (jf. art. 32) — herunder TLS-kryptering, tilgangskontroll, og logging.
4. Bistå behandlingsansvarlig med å oppfylle plikter etter art. 32–36 og henvendelser fra registrerte etter art. 12–22.
5. Slette eller tilbakelevere personopplysninger ved avtalens opphør.
6. Stille all nødvendig informasjon til disposisjon for å vise overholdelse av art. 28.
7. Varsle behandlingsansvarlig uten ugrunnet opphold ved avvik (databrudd).

5. Underleverandører (sub-processors)

Kunden gir generell tillatelse til bruk av følgende underleverandører:

Databehandler skal varsle behandlingsansvarlig minst 30 dager før eventuelle endringer i listen over underleverandører, slik at behandlingsansvarlig har anledning til å protestere.

6. Overføring til tredjeland

All persistert data lagres i EØS (Helsinki, Finland). Overføring til USA skjer kun til Anthropic (chat-meldinger ved API-kall) og Let's Encrypt (kun domenenavn). Overføring skjer på grunnlag av EU Standard Contractual Clauses (SCC).

7. Sikkerhetstiltak

• TLS 1.2+ kryptering på all kommunikasjon
• SSH-nøkkelbasert tilgang til server (ingen passord)
• Rate-limit per IP (30/time, 200/dag) for å forhindre misbruk
• Konstant-tid sammenligning av admin-tokens (forhindrer timing-angrep)
• Ingen lagring av betalings- eller bankdata
• Daglig backup av database
• Begrenset administratortilgang (kun behandlingsansvarlig hos databehandler)

8. Avvik (databrudd)

Ved oppdaget eller mistanke om databrudd skal databehandler varsle behandlingsansvarlig per e-post innen 24 timer. Varselet skal inneholde, så langt det er kjent: art av avvik, kategori og omtrentlig antall berørte registrerte, sannsynlige konsekvenser, og tiltak iverksatt for å begrense skade.

9. Revisjon

Behandlingsansvarlig kan kreve dokumentasjon på etterlevelse av denne avtalen. Inspeksjon på stedet kan gjennomføres etter rimelig forhåndsvarsel og dekkes av behandlingsansvarlig.

10. Lovvalg og verneting

Avtalen reguleres av norsk rett. Eventuelle tvister skal søkes løst i minnelighet. Hvis dette ikke lykkes, er Oslo tingrett verneting.