Databehandleraftale

1. Parter og indgåelse

Databehandleren er RessursAgent AS, norsk organisationsnummer 935 854 067, Gydas vei 22, 0363 Oslo, Norge. Kontakt vedrørende databeskyttelse: privacy@ressursagent.no. Dataansvarlig er den kunde, der er identificeret i serviceaftalen. Bilag D kan identificere kunden og den aftalte service ved henvisning til den ordre; det kræver ikke en anden kopi af oplysninger, der allerede er tydeligt registreret der.

Denne aftale og dens bilag skal indgås skriftligt, herunder elektronisk, inden behandlingen på vegne af kunden begynder. Parterne kan indarbejde denne identificerede version i en accepteret serviceordre uden en separat håndskrevet underskrift. Det at besøge denne side alene udgør ikke accept. En separat indgået databehandleraftale med kunden forbliver i kraft, medmindre parterne aftaler at erstatte den. Hvis der er en konflikt med serviceaftalen, har denne databehandleraftale forrang for behandlingen af personoplysninger.

Denne DPA, inklusive dens bilag og eventuelle aftalte kundespecifikke instruktioner, udgør en del af RessursAgent Serviceaftale identificeret under Bilag D. Den aftalte abonnement/bestilling og gældende RessursAgent vilkår regulerer kommercielle forhold. Den accepterede version skal opbevares sammen med kundeaftalen.

2. Omfang, formål og varighed

Denne aftale regulerer behandling for at levere og understøtte RessursAgent: Min plan, projektplanlægning, ressourceplanlægning, strategisk planlægning og aftalte AI-, kommunikations- og forbindelsesfunktioner. Bilag A specificerer emnet, karakteren, formålene, varigheden, typer af personoplysninger og kategorier af registrerede personer. Aftalen gælder, så længe RessursAgent eller en underdatabehandler behandler personoplysninger på kundens vegne, inklusive perioden for tilbagelevering og sletning.

Kunden bestemmer formålene og de væsentlige midler. RessursAgent bestemmer praktiske tekniske arrangementer inden for disse instruktioner. Bruger-konti, adgangstilladelser og aktivitetslogfiler omfattes, når de behandles for at levere tjenesten på vegne af kunden. Data, der behandles af RessursAgent til egne særskilte formål, såsom fakturering og kundekontakt, skal beskrives særskilt i privatlivspolitikken. Data falder ikke uden for denne aftale blot fordi det er driftsdata.

3. Definitioner og gældende databeskyttelseslov

Anvendelig databeskyttelseslov betyder Forordning (EU) 2016/679 (den Generelle Databeskyttelsesforordning eller GDPR), som gælder i EØS og indarbejdet i norsk lovgivning gennem den norske persondatalov af 15. juni 2018 nr. 38, sammen med gældende supplerende databeskyttelseslovgivning. Aftalen har til formål at specificere de behandlingsordninger, der kræves i henhold til GDPR artikel 28. Obligatoriske beskyttelser under gældende lov forbliver upåvirkede.

Personoplysninger, behandling, dataansvarlig, databehandler, brud på persondatasikkerheden og tilsynsmyndighed har den betydning, der fremgår af GDPR. En bruger er en person, som kunden har autoriseret til at få adgang til tjenesten. En underdatabehandler er en anden databehandler, som RessursAgent engagerer til at behandle personoplysninger på kundens vegne.

Kundedata betyder oplysninger, som indsendes til eller genereres i tjenesten efter kundens instrukser. Denne aftale regulerer personoplysningerne heri, herunder planlægningsoplysninger, kommunikation, dokumenter og analyseresultater. Om RessursAgent er databehandler eller dataansvarlig for en bestemt aktivitet, afhænger af dens faktiske formål og ansvar, som beskrevet i punkt 2.

Service betyder RessursAgent software-as-a-service-applikationen hos app.ressursagent.no og de funktioner, der er aftalt med kunden. Kundeoplysninger omfatter information indtastet eller importeret af autoriserede brugere og de resulterende planlægningsoptegnelser. Kunden beholder sine rettigheder til det indsendte indhold; denne DPA tillader kun behandling for at levere den aftalte service og opfylde lovlige instruktioner. Abonnementsvarighed, prisfastsættelse, supportforpligtelser og opsigelsesvarsel er specificeret i Serviceaftalen, ikke udledt fra en anden udbyders vilkår.

4. Dokumenterede instruktioner

RessursAgent skal kun behandle personoplysninger i henhold til kundens dokumenterede instrukser, herunder instrukser vedrørende videregivelse og overførsler uden for EØS. Instrukser omfatter denne aftale, dens udfyldte bilag og anmodninger fra autoriserede brugere inden for den aftalte servicefunktionalitet, herunder API og MCP. Parterne skal dokumentere efterfølgende instrukser og ændringer i behandlingsomfanget skriftligt.

RessursAgent må ikke bruge personoplysninger behandlet under denne aftale til egne ikke-relaterede formål, reklame, salg af data eller tværkundeprofilering. Hvis RessursAgent fastlægger et separat formål og væsentlige behandlingsmidler, skal dets juridiske ansvar følge dets faktiske rolle under gældende lov; denne aftale giver ikke bemyndigelse til en sådan ændring af formål.

Hvor EU/EØS- eller norsk lov, der er bindende for RessursAgent, kræver behandling uden for kundens instruktioner, skal RessursAgent informere kunden om dette lovkrav før behandlingen, medmindre loven på vigtige offentlige interesser forhindrer dette. RessursAgent skal straks informere kunden, hvis en instruktion ser ud til at overtræde gældende databeskyttelseslovgivning, og skal suspendere den berørte instruktion, indtil en lovlig fremgangsmåde er fastlagt.

5. Kundens ansvar og dataminimering

Kunden skal fastlægge og dokumentere et lovligt grundlag i henhold til GDPR artikel 6, give de oplysninger, der kræves af artiklerne 13 og 14, og overholde principperne i artikel 5. Kunden skal sikre, at personoplysninger er tilstrækkelige, relevante, begrænset til det, der er nødvendigt, nøjagtige og opbevaret i højst den periode, der er krævet til de angivne formål. Brugerrettigheder, opbevaringsinstruktioner og data, der deles gennem integrationer, skal afspejle disse formål.

Kunden skal vurdere privatlivsrisici og, hvor det kræves i henhold til artikel 35, udføre en konsekvensanalyse ved databeskyttelse, før den relevante behandling påbegyndes. Enhver påkrævet forudgående høring i henhold til artikel 36 skal være gennemført, før behandlingen påbegyndes. RessursAgent skal bistå under klausul 11. Kunden skal også tage hensyn til gældende regler om ansættelse og overvågning på arbejdspladsen.

Tjenesten understøtter fraværskategorier og datoer til ressourceplanlægning, såsom ferie eller sygdom. Kunden skal definere, hvilke kategorier hver autoriseret målgruppe skal kunne se, og dokumentere formål og retligt grundlag. Detaljerede medicinske årsager og diagnoser ligger uden for standardplanlægningsomfanget. Enhver adgangsbegrænsning baseret kun på kategori skal verificeres, før den kan anvendes. Besætningsmeddelelser kan gives gennem ansættelseskontrakter og relaterede oplysninger, men disse dokumenter erstatter ikke kundens vurderinger af retligt grundlag og nødvendighed.

En ferie-kategori indikerer i sig selv ikke helbredstilstand, men en sygdomskategori, der er knyttet til en person, afslører sundhedsoplysninger selv uden en diagnose eller detaljeret forklaring. For den behandling skal kunden identificere en gældende betingelse i henhold til artikel 9, stk. 2, samt et grundlag i henhold til artikel 6. Anerkendelse af ansættelseskontrakt etablerer i sig selv ikke gyldigt samtykke eller gør enhver videregivelse nødvendig. Når samtykke påberåbes, skal dets gyldighed vurderes separat, herunder valgfrie forhold i ansættelsesforholdet, specificitet, information og tilbagekaldelse uden skade; artikel 9, stk. 2, litra a kræver eksplicit samtykke. Når kategorien ikke lovligt kan deles med et bestemt publikum, vises i stedet en generisk status som ikke tilgængelig. Kunden skal dokumentere det gældende grundlag, nødvendighed, adgang og opbevaringsforanstaltninger.

Diagnoser, medicinske rapporter, unødvendige narrative detaljer, kriminelle lovbrud og nationale identitetsnumre er uden for den standard planlægningsramme, medmindre det særskilt aftales under de nødvendige lovlige betingelser og sikkerhedsforanstaltninger. HMS-kortnumre er erhvervsmæssige identifikatorer, ikke tilladelse til at indsamle nationale identitetsnumre. RessursAgent skal følge lovlige instruktioner om at begrænse, returnere eller slette data uden for den aftalte ramme; dets pligter fortsætter for data, der faktisk er modtaget.

6. Fortrolighed

RessursAgent skal sikre, at personer med adgang er underlagt kontraktmæssige eller lovbestemte fortrolighedsforpligtelser. Adgangen skal begrænses til, hvad der er nødvendigt for opgaven, og fjernes, når den ikke længere er nødvendig. Fortroligheden skal fortsætte efter ansættelsen og aftalens ophør. Kundedata må ikke videregives til andre kunder eller anvendes til ikke-relaterede formål for tredjepart.

Begge parter skal beskytte fortrolige oplysninger, der udveksles for at administrere denne aftale, herunder sikkerhedsdokumentation og ikke-offentlige kundeoplysninger. Videregivelse, der er nødvendig for at opfylde juridiske forpligtelser, hjælpe enkeltpersoner, indhente professionel rådgivning under fortrolighed eller samarbejde med en tilsynsmyndighed, forbliver tilladt.

7. Informationssikkerhed

RessursAgent skal implementere, opretholde og dokumentere tekniske og organisatoriske foranstaltninger, der er passende i forhold til risikoen under GDPR artikel 32, idet der tages hensyn til den nyeste teknologi, implementeringsomkostninger, behandlingsart, -omfang, -sammenhæng og -formål samt risikoen for de registrerede. Foranstaltningerne skal dække den løbende fortrolighed, integritet, tilgængelighed og modstandskraft i behandlingen, rettidig genoprettelse af adgang til data efter en hændelse samt regelmæssig test og evaluering af deres effektivitet.

Bilag B skal registrere de konkrete foranstaltninger, herunder adgangskontrol, kundeseparation, beskyttelse af data under overførsel og i hvile, backup og gendannelse, sikker udvikling og håndtering af hændelser. Kryptering og pseudonymisering skal vurderes og anvendes, hvor det er passende i forhold til risiciene. Personale må kun behandle data inden for deres autorisation og kundens instruktioner. Foranstaltninger skal være på plads, før den behandling, de vedrører, påbegyndes.

RessursAgent skal assistere kunden med databeskyttelse gennem design og som standard inden for de ydelser, som det leverer. Sikkerhedsforanstaltninger kan udvikles uden at reducere det aftalte beskyttelsesniveau eller overholdelsen af gældende lovgivning. Væsentlige ændringer skal dokumenteres og kommunikeres til kunden.

Hver part skal opretholde de behandlingsoptegnelser, der kræves i henhold til artikel 30, udpege en databeskyttelsesrådgiver, hvor artikel 37 kræver en, og samarbejde med de kompetente tilsynsmyndigheder. RessursAgent skal bevare understøttende sikkerhedsdokumentation, regelmæssigt vurdere effektiviteten af sine foranstaltninger og udbedre identificerede mangler. Offentliggørelse af denne aftale er ikke en certificering eller en uafhængig sikkerhedsrevision.

8. Underdatabehandlere

RessursAgent må ikke anvende en underdatabehandler uden kundens forudgående specifikke eller generelle skriftlige tilladelse. Ved indgåelse af denne aftale giver kunden tilladelse til de underdatabehandlere, der er anført i bilag C, for de funktioner, der er inkluderet i den aftalte service, og giver generel skriftlig tilladelse til senere tilføjelser eller udskiftninger underlagt denne paragraf. Opstilling af en valgfri service giver ikke ret til at anvende den eller autoriserer urelateret behandling.

RessursAgent skal underrette kunden direkte skriftligt om planlagte tilføjelser eller udskiftninger af underdatabehandlere i god tid, så kunden har mulighed for at fremsætte en meningsfuld indsigelse, før den berørte behandling påbegyndes. Underretningen skal identificere enheden, aktiviteten, relevante data, behandlingssteder og overførselsbeskyttelse. Enhver yderligere aftalt minimumsvarsel skal registreres i Bilag D. Parterne skal søge en lovlig løsning på begrundede databeskyttelsesindsigelser. Den omstridte behandling må ikke starte for den pågældende kunde, mens indsigelsen forbliver uløst; hvis ingen lovlig løsning er mulig, skal den berørte tjeneste suspenderes eller afsluttes med tilbagelevering og sletning i henhold til punkt 14.

Før en underdatabehandler modtager personoplysninger, skal RessursAgent vurdere dens tilstrækkelige garantier og indgå en bindende aftale, der i det væsentlige pålægger de samme databeskyttelsesforpligtelser som denne aftale for den delegerede behandling, herunder passende sikkerhed og bistand. RessursAgent forbliver fuldt ansvarlig over for kunden for underdatabehandlerens opfyldelse af disse forpligtelser i henhold til artikel 28, stk. 4.

RessursAgent skal holde det godkendte register ajour og give oplysninger, der er rimeligt nødvendige for at verificere underdatabehandlerordningerne. Relevante aftaler kan kun redigeres i det omfang, det er nødvendigt for at beskytte fortrolige oplysninger uden at forhindre kunden i at vurdere overholdelse. RessursAgent skal underrette kunden om underdatabehandlers manglende overholdelse, der påvirker behandlingen, og tage passende afhjælpende handling.

9. Behandlingssteder og overførsler uden for EEA

Udførelse af applikationsfunktioner, den primære applikationsdatabase samt administreret databasebackup og -gendannelse er konfigureret i Frankfurt, Tyskland. RessursAgent skal opretholde denne regionale begrænsning for den infrastruktur. Indholdslevering, driftslogfiler, supportadgang samt særskilt engagerede AI-, e-mail-, SMS- og andre tjenester har deres egne behandlingssteder. Bilag C identificerer disse tjenester; klausulerne 8 og 9 regulerer deres brug og eventuelle internationale overførsler.

Bilag C skal identificere de aftalte behandlings- og lagringssteder, understøtte adgang fra andre lande og relevant videre behandling. Placering af en database i EØS etablerer ikke i sig selv, at al behandling finder sted der. Ændringer af placeringer skal vurderes før implementering og er underlagt kundens dokumenterede instruktioner og klausul 8, når en underdatabehandler ændrer sig.

Bortset fra hvor den lovbestemte krav beskrevet i klausul 4 gælder, skal overførsler uden for EØS kun finde sted på kundens dokumenterede instruktioner. Hver sådan overførsel, herunder relevant fjernadgang og videre overførsler, skal opfylde GDPR Kapitel V. Før overførsel af data skal RessursAgent dokumentere modtageren, landet og den gældende mekanisme, såsom en beslutning om tilstrækkelighed inden for dens anvendelsesområde eller passende garantier under artikel 46.

Når standardkontraktsklausuler anvendes, skal RessursAgent vurdere deres effektive beskyttelse under de aktuelle overførselsforhold, dokumentere relevant lovgivning og praksis i modtagerlandet og implementere supplerende foranstaltninger, hvor det er nødvendigt. Overførsler må ikke påbegyndes eller skal suspenderes, hvis den krævede beskyttelse ikke kan sikres. Denne aftale er ikke i sig selv en overførselsmekanisme i henhold til Kapitel V.

10. AI, kommunikation og forbindelser

Når den er aktiveret og konfigureret, bruger assistenten Anthropic’s kommercielle Claude API til at fortolke forespørgsler, forberede foreslåede handlinger, udarbejde svar og give sprogunderstøttelse. Opgavekonteksten kan omfatte udvalgte personer, udstyr, projekter, datoer, tildelinger og tilgængelig planlægningsinformation; brugerprofiloplysninger, gemte præferencer eller minder, nylige spørgsmål og relevant samtalehistorik kan også indgå. Vedhæftede filer behandles, når de indsendes. Den tilladte rækkevidde skal kontrolleres i forhold til den faktiske promptkonstruktion og brugerrettigheder, inklusive valgfrie felter. RessursAgent skal kun videregive, hvad der er nødvendigt for den autoriserede opgave.

RessursAgent bruger Anthropic under dets standard kommercielle betingelser, som inkluderer en databehandleraftale og forbyder træning på kundens indhold. Standard API-input og -output slettes normalt inden for 30 dage; tjenesteydelser kontrolleret af udbyderen, model-specifikke sikkerhedskrav, undersøgelse af brugspolitikker og juridiske forpligtelser kan have en anden opbevaringstid. Der er ikke inkluderet nogen skræddersyet nul-databevaringsordning. RessursAgent skal dokumentere den gældende model, værktøj, opbevarings- og overførselsordninger og begrænse data offentliggjort til den autoriserede opgave.

Som en kontraktmæssig begrænsning for denne tjeneste må RessursAgent ikke bruge, eller tillade sine underdatabehandlere at bruge, personoplysninger, der behandles under denne aftale, til at træne eller forbedre generelle modeller, oprette tværkundeprofiler eller udvikle ikke-relaterede produkter. Leverandøraftaler og indstillinger skal understøtte denne begrænsning, før den relevante behandling påbegyndes. Enhver behandling til sikkerheds- eller misbrugs-overvågning skal dokumenteres, begrænses til et lovligt formål og vurderes i forhold til leverandørens faktiske rolle.

AI-output er beslutningsstøtte og kan indeholde fejl. Kunden skal sørge for meningsfuld menneskelig gennemgang, med bemyndigelse til at afvise eller ændre forslaget, før der anvendes output til beslutninger om enkeltpersoner. Planlægningsændringer foreslået af RessursAgent-assistenten kræver brugergodkendelse og forbliver underlagt serviceens tilladelses- og valideringskontroller. Et enkelt klik på bekræftelse etablerer ikke meningsfuld gennemgang. Enhver beslutning, der udelukkende er automatiseret og har juridisk eller tilsvarende betydningsfulde effekter, kræver en separat vurdering af artikel 22, en anvendelig undtagelse og de nødvendige sikkerhedsforanstaltninger; det er ikke autoriseret af de standardbehandlingsinstruktioner.

Vedhæftede filer og samtalehistorik kan blive behandlet for at opfylde den autoriserede anmodning. Uddraget dokumenttekst eller uploadede filer kan blive sendt til AI-udbyderen afhængigt af filtypen. Ansøgningshistorik og filer, som udbyderen har, har separate opbevaringsordninger. For midlertidige Files API-upload anmoder applikationen om en udløbstid på højst én time, verificerer den returnerede udløbstid før brug og anmoder om sletning efter behandling. Disse applikationskontroller lover ikke øjeblikkelig fysisk sletning af hver udbyderkopi. RessursAgent skal følge op på mislykkede anmodninger om udløb/sletning, anvende lovlige sletningsinstruktioner på relevante kopier og dokumentere eventuel begrænset tilbageholdelse i henhold til klausul 14.

SMS bruger Strex/Target365. Produkt-email og autentifikations-email, herunder invitationer og gendannelse af adgangskode, bruger Resend. Disse tjenester behandler modtageroplysninger, relevant indhold, leveringshændelser og links. Det godkendte omfang, placeringer og opbevaring skal indberettes i Bilag C. Følsomme oplysninger om fravær og HMS-kortnumre må ikke inkluderes i meddelelser eller AI-prompt, medmindre det er særskilt vurderet og specifikt godkendt med passende leverandørbeskyttelse.

Kunde-forbundne systemer og eksterne AI-klienter, der bruger API eller MCP, skal vurderes ud fra, hvem der engagerer dem, deres faktiske rolle, de data, der tilgås, og de handlinger, der er autoriseret. De er ikke automatisk RessursAgent underdatabehandlere. Kunden skal sikre de påkrævede instruktioner, lovlige oplysninger og aftaler for de tjenester, den engagerer; RessursAgent forbliver ansvarlig for forpligtelser vedrørende sin egen service og underdatabehandlere.

Den valgfrie kortvisning bruger Google Maps. Adressegeokodning bruger Kartverkets Geonorge-tjeneste, inklusive projektadresser og ressourcearbejdsbasisadresser, hvor det er konfigureret. Kundeførte links kan videregive et telefonnummer til Gule Sider eller et HMS-kortnummer til Jobbkort, efter at brugeren har klikket. Disse videregivelser og eksterne identitetsudbydere registreres separat i Bilag C; deres roller og lovlige brug skal vurderes, frem for at behandle hver ekstern tjeneste som en underdatabehandler. Hverken denne aftale eller en tilslutningskatalog giver bemyndigelse til unødvendig videregivelse.

11. Rettigheder og assistance

Kunden er ansvarlig for at svare på personer, der udøver rettigheder i henhold til GDPR Kapitel III. RessursAgent skal straks videresende anmodninger, den modtager, og må ikke svare på kundens vegne uden instruktioner, medmindre det kræves ved lov. Anmodninger til privacy@ressursagent.no skal identificere sagen, omfanget og den gældende frist uden at inkludere unødvendige personoplysninger.

Under hensyntagen til behandlingens karakter skal RessursAgent yde bistand gennem passende tekniske og organisatoriske foranstaltninger, i det omfang det er muligt, så kunden kan opfylde anmodninger om adgang, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse samt andre gældende rettigheder i Kapitel III. Parterne skal arrangere sikker udveksling og tilstrækkeligt hurtig bistand for at overholde lovbestemte frister; interne procedurer må ikke forlænge disse frister.

Under hensyntagen til arten af behandlingen og de oplysninger, der er til rådighed for den, skal RessursAgent bistå kunden med forpligtelser i henhold til artiklerne 32–36, herunder sikkerhed, vurdering og anmeldelse af brud, konsekvensanalyser og forudgående høring. Aftalte operationelle detaljer skal registreres i bilag B og D. Eventuelle gebyrer for bistand skal aftales på forhånd og må ikke forhindre lovpligtig bistand.

12. Brud på personoplysninger

RessursAgent skal uden unødig forsinkelse underrette kundens udpegede kontaktperson for hændelser, efter at være blevet opmærksom på et brud på persondata, der påvirker behandlingen under denne aftale, som krævet i artikel 33(2). Det skal ikke vente på en fuldstændig undersøgelse eller sin egen vurdering af, om bruddet skal anmeldes til en myndighed. Når information er ufuldstændig, skal en indledende meddelelse efterfølges af opdateringer uden unødig forsinkelse.

I det omfang det er tilgængeligt, skal underretningen identificere bruddets karakter, berørte kategorier og omtrentlige antal personer og registreringer, sandsynlige konsekvenser, indeholdelses- og afhjælpningsforanstaltninger samt en kontaktperson for yderligere oplysninger. RessursAgent skal dokumentere fakta og reaktion, bevare relevant bevismateriale, tage proportionerede indeholdelses- og afhjælpningsforanstaltninger og bistå kunden.

Kunden skal vurdere og opfylde sine forpligtelser i henhold til Artikel 33 og 34. Hvor myndighedsunderretning er påkrævet, kræver Artikel 33, stk. 1, underretning uden unødig forsinkelse og, hvor det er muligt, inden for 72 timer efter, at kunden bliver opmærksom på det; forsinket underretning skal forklare årsagerne. Underretning er ikke påkrævet, hvor overtrædelsen sandsynligvis ikke vil medføre en risiko for enkeltpersoners rettigheder og friheder. Kommunikation til enkeltpersoner skal følge Artikel 34, herunder dens tærskel for høj risiko og gældende undtagelser. Disse regler giver ikke RessursAgent en 72-timers ventetid for at underrette kunden.

Kunden skal straks informere RessursAgent om kompromitterede konti eller andre hændelser, der påvirker servicen, og samarbejde om indskrænkning. Kontaktpersoner for hændelser, eskaleringskanaler og eventuelle strengere kontraktlige responstider skal udfyldes i Bilag D og må ikke udsætte en lovpligtig forpligtelse.

13. Dokumentation og revision

RessursAgent skal stille alle nødvendige oplysninger til rådighed for at demonstrere overholdelse af artikel 28 og denne aftale, besvare kundens forespørgsler tilstrækkeligt og tillade samt bidrage til revisioner, herunder inspektioner, foretaget af kunden eller en revisor, som kunden har udpeget. Relevante uafhængige rapporter kan understøtte denne vurdering, men må ikke automatisk erstatte en nødvendig revision eller inspektion.

Rutinemæssige revisioner bør normalt arrangeres med fire ugers varsel. Denne planlægningsforventning begrænser ikke revisioner, der er nødvendige hurtigt efter en hændelse, mistænkt overtrædelse eller et myndighedskrav. Parterne skal aftale proportionale ordninger, der beskytter andre kunders data og fortrolige oplysninger uden at forhindre effektiv verifikation. Omkostninger skal aftales på forhånd og må ikke gøre revisionsretten ineffektiv. Relevant dokumentation og fund skal tilgængeliggøres for den kompetente tilsynsmyndighed, hvor det kræves.

14. Opbevaring, tilbagelevering og sletning

RessursAgent skal overholde princippet om begrænsning af opbevaring i GDPR artikel 5(1)(e) samt gældende norsk databeskyttelseslovgivning. Personoplysninger, der behandles på vegne af kunden, må kun opbevares så længe, det er nødvendigt til de aftalte formål og lovligt dokumenterede instruktioner, eller som krævet af gældende lovgivning. Kunden skal definere de relevante opbevaringsperioder eller objektive kriterier, og RessursAgent skal implementere de aftalte procedurer for gennemgang og sletning. Der findes ingen enkelt lovbestemt opbevaringsperiode, der gælder for alle data i tjenesten.

Under tjenesten skal RessursAgent gennemføre lovlige opbevarings- og sletningsinstruktioner inden for den aftalte ramme. Når de relevante behandlingsydelser ophører, skal kunden vælge, om personoplysningerne skal returneres eller slettes. RessursAgent vil udføre valget og slette de resterende kopier, medmindre EU/EØS- eller norsk lov kræver fortsat opbevaring. Data må ikke opbevares eller bruges til andre formål efter afslutning.

Returnering eller sletning skal gennemføres uden unødig forsinkelse og inden for 30 kalenderdage efter, at kundens instrukser og det nødvendige omfang er klarlagt. RessursAgent skal hurtigt søge eventuel nødvendig afklaring og må ikke bruge afklaringen til unødigt at forlænge opbevaringen. Returnering skal ske i et struktureret, almindeligt anvendt format og via en autentificeret eller krypteret leveringskanal. Eventuelle resterende aktive kopier skal slettes, når returneringen er fuldført, medmindre en lovlig instruktion eller opbevaringspligt kræver andet. Proceduren dækker aktive systemer, vedhæftede filer, relevante logfiler og underdatabehandlerkopier, underlagt de dokumenterede backup- og lovlige leverandørafvigelser nedenfor. Denne operationelle frist forlænger ikke de lovbestemte frister for individers rettigheder.

Backupkopier, der venter på sletning under en dokumenteret opbevaringscyklus, skal beskyttes og være utilgængelige for almindelig brug. RessursAgent’s styrede database-backups roterer over cirka syv dage. Leverandørspecifikke restkopier følger de gældende begrænsede opbevaringsordninger, som er angivet i bilag C. Ved returnering eller sletning skal RessursAgent registrere og informere kunden om den endelige udløbsdato eller gældende lovbestemte opbevaringskriterium for eventuelle resterende kopier. En udbyderpolitik tillader ikke i sig selv opbevaring i strid med gældende lov eller denne aftale. Udestående sletteinstruktioner skal anvendes igen, før normal adgang genoptages efter en gendannelse. RessursAgent skal indhente passende dokumentation for underleverandørs sletning og skriftligt bekræfte gennemførelse samt eventuel begrænset restopbevaring til kunden.

Hvor loven kræver fortsat opbevaring, skal RessursAgent, medmindre det er forbudt, informere kunden om det retlige grundlag, de berørte data og den nødvendige periode. Adgang og behandling skal begrænses til det lovkrav, og dataene skal forblive beskyttede indtil sletning.

15. Ansvar

Hver part er ansvarlig for sine forpligtelser i henhold til gældende databeskyttelseslovgivning og denne aftale. Ansvar mellem parterne følger gældende lov og eventuelle gyldige begrænsninger, som udtrykkeligt er aftalt i serviceaftalen. Ingen begrænsning skal erstatte obligatoriske forpligtelser eller skabe en ekstra grænse gennem denne aftale.

Intet i denne aftale begrænser registreredes ret til erstatning i henhold til GDPR artikel 82 eller tilsynsmyndighedernes beføjelser. Hvis en part har betalt erstatning for skade, som den anden part er ansvarlig for, skal tilbagebetaling mellem parterne følge ansvarsfordelingen i henhold til artikel 82, stk. 5, og gældende lov.

16. Ændringer og manglende overholdelse

Ændringer, som kræves af loven, serviceudvikling eller behandlingsordninger, skal dokumenteres. Forslåede væsentlige ændringer skal normalt meddeles mindst 30 dage før deres planlagte ikrafttrædelsesdato og kræver skriftlig aftale, herunder elektronisk aftale. Offentliggørelse af et revideret dokument ændrer i sig selv ikke en indgået kundeaftale. Leverandørændringer følger klausul 8; obligatoriske lovkrav gælder, når det er lovpligtigt.

I tilfælde af manglende overholdelse skal parterne søge rettidig afhjælpning. Behandling, der ikke kan udføres lovligt, skal suspenderes eller afsluttes på en måde, der beskytter oplysningerne, med returnering og sletning i henhold til klausul 14. Obligatoriske lovkrav har forrang frem for modstridende instruktioner eller vilkår.

17. Gældende ret, værneting og sprog

Denne aftale er underlagt norsk lov. Med forbehold for obligatoriske jurisdiktionsregler skal tvister mellem parterne, som udspringer af denne aftale, indbringes for Oslo Byret (Oslo tingrett). Dette begrænser ikke registreredes lovbestemte rettigheder, deres ret til at klage til en tilsynsmyndighed eller kompetente myndigheders beføjelser.

Engelsk er det styrende aftalesprog for denne aftale og alle bilag. Oversættelser gives for at gøre aftalen tilgængelig på webstedets sprog. Hvis en oversættelse adskiller sig i betydning, gælder den engelske version. Alle udfyldte bilag, skriftlige ændringer og den aftalte version skal opbevares på engelsk.

Bilag A · Behandlingsdetaljer

Dette bilag definerer standardbehandlingsomfanget. Den kundespecifikke ordre og Bilag D angiver de funktioner, der faktisk bruges, samt eventuelle yderligere lovlige instruktioner. Valgfrie funktioner og forbindelser giver ikke ret til ubegrænset videregivelse.

Formål

Sørg for forbundet planlægning for mandskab, udstyr, projekter og hele porteføljen, inklusive opgaver, tilgængelighed, kvalifikationer, aftalt økonomisk analyse, kommunikation og AI-assistance. Urelateret profilering eller overvågning af medarbejderes præstationer er ikke et yderligere formål, der er tilladt af denne aftale.

Registrerede personer

Eget mandskab, lejepersonale og underleverandørpersonale; administratorer og andre autoriserede brugere; og projekt-, leverandør- og kundekontakter. Oplysninger om udstyr er inkluderet, hvor det identificerer en person.

Karakter og varighed

Indsamling, import, opbevaring, visning, søgning, opdatering, tildeling, beregning, autoriseret videregivelse, eksport og sletning under den aftalte service, efterfulgt af begrænset tilbageføring og sletning. Eksterne opkald sker gennem autoriserede funktioner eller aftalt synkronisering.

Konto- og ressourceinformation

Navne, arbejdsrelaterede kontaktoplysninger, medarbejderreferencer, arbejdsgiver/tilknytning, afdeling, rolle, fagområde, kvalifikationer og udløbsdatoer, relevante dokumenter, kontoidentifikatorer og adgangstilladelser. Valgfri CV- og fritekstfelter skal begrænses til nødvendige oplysninger.

Planlægningsinformation

Min plan: individuelt arbejde, arbejdstider og ændringer. Projektplan: aktiviteter, teams, milepæle og afhængigheder. Ressourceplan: tilgængelighed, kapacitet, krav og opgaver på tværs af projekter. Strategisk plan: portefølje-kapacitet, egen/ekstern ressource-mix, bud, scenarier og aftalt omkostningsanalyse. Identificerbare samlede data forbliver personoplysninger.

Lokations- og økonomiinformation

Projekter/rapporteringssteder, arbejdsbaseadresse eller postnummer, afledte koordinater, anslåede rejseafstande og godkendte pris-/satser. Dette beskriver ikke kontinuerlig GPS-sporing af medarbejdere. Brug mindre præcis lokaliseringsinformation, hvor det er tilstrækkeligt.

Fravær og erhvervsmæssige identifikatorer

Nødvendige fraværskategorier og datoer samt godkendt HMS-kortnummer/status/udløb. En sygeskategori kan afsløre helbredsoplysninger og kræver både en artikel 9-betingelse og en artikel 6-basis. Diagnoser og detaljerede medicinske forklaringer ligger uden for standardområdet. Adgangsbegrænsninger og den juridiske basis skal verificeres, før man stoler på den tiltænkte delingsordning.

Kommunikationer, AI og operationelle optegnelser

Modtageroplysninger, besked-/leveringsregistre, link til deling af planer, prompts, valgt planlægningskontekst, relevant chat-historik, gemte præferencer, indsendte filer, svar og foreslåede ændringer; autentifikation, aktivitet, notifikation og nødvendige sikkerheds-/diagnosticeringsregistre. Disse registre er ikke automatisk anonyme eller uden for denne DPA.

Opbevaringskriterier

Behold hver kategori kun så længe det er nødvendigt for det dokumenterede formål og lovlige instruktioner. Gennemgå planlægnings-/personaleoplysninger, når et projekt eller engagement slutter, og kvalifikationer, når de er erstattet eller udløbet. Definér gennemgangs-/slutdatoer for enhver nødvendig historik. Samtaler, vedhæftede filer, beskeder, logfiler og cache kræver deres eget formål og sletningskriterier. Den færdige tidsplan skal inkludere leverandørkopier og juridiske tilbageholdelser begrænset til det nødvendige subset.

Slut på tjeneste

Kunden vælger tilbagelevering eller sletning under klausul 14. RessursAgent registrerer omfang, sikker leveringsmetode og den endelige udløbsdato for begrænsede backupkopier. Udførte sletteinstruktioner genanvendes efter en gendannelse. Ingen ubegrænset opbevaring er tilladt.

Bilag B · Sikkerhed og gendannelse

Følgende tekniske og organisatoriske foranstaltninger er en del af RessursAgent’s forpligtelser under klausul 7. Understøttende dokumentation, testregistre og sikkerhedsvurderinger opbevares separat og gøres tilgængelige under klausul 13. Ingen certificering, uafbrudt tilgængelighed eller numerisk gendannelsesgaranti er underforstået.

Adgang og fortrolighed

Organisationsmedlemskab, roller og ansvarstilladelser, API-scope og database-row-level-kontroller adskiller kundedata. RessursAgent skal begrænse adgang til autoriserede opgaver, gennemgå privilegeret adgang og fjerne adgang, når den ikke længere er nødvendig. Administrativ adgang skal bruge to-faktor-godkendelse, hvor det er understøttet. Adgangshavere skal overholde fortrolighedsforpligtelser. Kundeadministratorer tildeler og gennemgår deres egne brugeres tilladelser.

Beskyt data

Websitet og applikationen bruger HTTPS. Indkommende produktionsforbindelser til PostgreSQL kræver SSL/TLS; direkte databaseklienter skal verificere servercertifikatet og værtsnavnet. RessursAgent skal beskytte legitimationsoplysninger i adgangskontrollerede konfigurationer, begrænse adgangen til lagrede data og vurdere kryptering af lagring og nøglehåndtering inden for leverandørens sikkerhedsordninger. Hemmeligheder og unødvendige persondata må ikke inkluderes i diagnostiklogs.

Regional infrastruktur

Applikationsfunktioner, den primære database og administreret databasebackup og -gendannelse er konfigureret i Frankfurt, Tyskland. Separate leverandøreaktiviteter er beskrevet i bilag C og er fortsat underlagt punkt 9.

Backup og gendannelse

Databasen bruger dagligt administrerede fysiske backups med cirka syv dages opbevaret historik. Point-in-time gendannelse er ikke inkluderet i standardkonfigurationen. Databasebackups indeholder ikke separate filobjekter. Gendannelsesprocedurer skal dække applikationen, autentifikationskonfigurationen, separat gemte filer, hvor det er relevant, integrationer og genanvendelse af sletningsinstruktioner. RessursAgent skal regelmæssigt teste og evaluere gendannelsesforanstaltninger og gendanne tilgængelighed inden for en periode, der er passende i forhold til risikoen; et numerisk RTO eller RPO gælder kun, hvor det er udtrykkeligt aftalt.

Validering af gendannelse

Genopretning skal først bruge et isoleret miljø med begrænset adgang og kontrollerede udgående forbindelser. Dataintegritet, kundesegmentering og nødvendige applikationsfunktioner skal tjekkes, før normal adgang genoptages. Midlertidige genoprettelseskopier skal fjernes, når de ikke længere er nødvendige. Databasegenopretning blev testet i et separat projekt i Frankfurt den 13. oktober 2026; dette repræsenterer ikke en test af alle servicekomponenter eller en garanteret genoprettelsestid.

Sikker udvikling og ændringsstyring

Ændringer skal bruge kontrolleret kilde-håndtering, gennemgang og proportionelle tests før frigivelse. Testning skal dække adgangsgrænser og relevante databehandlingsveje. Syntetiske data bør foretrækkes til test; enhver nødvendig brug af kundedata skal forblive begrænset til det dokumenterede formål. Sikkerhedsfund skal vurderes og afhjælpes i henhold til deres risiko.

Logs og hændelseshåndtering

Sikkerheds- og aktivitetsregistre skal begrænses til deres angivne formål, beskyttes mod uautoriseret adgang eller ændring og være underlagt opbevaringskriterier. RessursAgent skal opretholde procedurer for vurdering, inddæmning, eskalering og genopretning af hændelser. Underretning til kunden følger klausul 12 uden unødig forsinkelse.

Datareturnering og sletning

Forespørgsler skal godkendes og have det rette omfang for den korrekte kunde, inklusiv relevante bilag, ansøgningsoptegnelser og leverandørkopier. Eksport skal bruge et struktureret, almindeligt anvendt format og en autentificeret eller krypteret leveringskanal. Sletteprocedurer skal beskytte uvedkommende kunder og delte identiteter, registrere begrænsede resterende kopier og give en skriftlig afslutningsrapport under klausul 14.

AI og forbindelser

Kun data, der er nødvendige for en autoriseret opgave, må sendes til AI eller tilsluttede tjenester. API/MCP-adgang skal afspejle kundens tilladelser og godkendt forbindelsesomfang. Midlertidige udløbs- og sletteanmodninger fra leverandørfiler skal kontrolleres, og fejl skal følges op på. Foreslåede ændringer fra assistenten kræver brugerens godkendelse og validering af ansøgningen. Detaljerede medicinske fortællinger ligger uden for standardplanlægningsomfanget.

Bilag C · Leverandører og lokationer

Følgende register identificerer RessursAgent’s underdatabehandlere og andre modtagere for standardtjenesten. Valgfrie tjenester gælder kun, når de er inkluderet i den aftalte tjeneste. RessursAgent skal holde registret og de underliggende modtager-, land-, opbevarings- og overførselsoptegnelser ajour, stille dem til rådighed under klausul 13 og følge klausul 8 ved ændringer i underdatabehandlere.

Frankfurt-begrænsningen gælder for den infrastruktur, der specificeres i klausul 9. Den gælder ikke for hver modtager, der er angivet nedenfor. Internationale overførsler og relevant fjernadgang kræver beskyttelsesforanstaltningerne i klausul 9. Leverandørlinks giver støtteinformation; ændringer på en leverandørs hjemmeside ændrer ikke automatisk kundens aftalte vilkår.

Supabase · database og autentificering

Supabase Pte. Ltd., Singapore, leverer applikationsdatabasen og autentificeringsplatformen. Den primære database og administrerede backups er i Frankfurt, Tyskland. Support, konto-administration og driftsservice kan involvere andre lande under Supabase’s DPA og underdatabehandler-register. Dens standard DPA inkluderer EU Standardkontraktbestemmelser for gældende overførsler. RessursAgent skal opretholde registrering af modtager/land og vurdering som krævet i klausul 9. Retention af database-backups er beskrevet i Bilag B; konto- og leverandørkopier forbliver underlagt klausul 14.

Vercel Inc. · hosting

Vercel Inc., USA, tilbyder hosting og applikationskørsel. Applikationsfunktioner er konfigureret i Frankfurt, Tyskland. Indholdslevering, driftslogfiler, support og videre behandling kan finde sted uden for Tyskland, inklusive i USA. Vercel's DPA giver kontraktmæssige overførselsbeskyttelser. RessursAgent skal føre relevante modtager-/lands- og opbevaringsregistre samt den vurdering, der kræves i klausul 9; der påstår ikke en Frankfurtspecifik placering eller fast sletningsperiode for hver Vercel-tjeneste.

Anthropic · AI-assistance

Anthropic Ireland, Limited yder Claude AI-assistance under de standard EØS-kommercielle vilkår og DPA. Det behandler autoriserede forespørgsler, kontekst, relevant historik, indsendte dokumenter og output; behandling er ikke begrænset til Frankfurt eller EØS. Dens DPA giver sikkerhedsforanstaltninger for international behandling, herunder gældende Standard Contractual Clauses. Standard API-input/output gemmes normalt i op til 30 dage. Files API opbevaring, modelspecifikke sikkerhedsforanstaltninger og juridiske eller misbrugsforebyggende undtagelser kan variere; for markerede brugspolitik-sager offentliggør Anthropic op til to år for input/output og syv år for klassifikationsscores. Den nuværende opbevaringspolitik er linket nedenfor. Generel træning af modellen på kundens indhold er forbudt. Ingen skræddersyet nul-opbevaringsaftale er inkluderet; klausulerne 9, 10 og 14 gælder.

Plus Five Five, Inc. (Resend) · e-mail

Plus Five Five, Inc. (Resend), USA, håndterer produkt- og autentificerings-e-mails, inklusive invitationer og gendannelse af adgangskoder. Data inkluderer modtageradresser, indhold/link og leveringsbegivenheder. Kundedata opbevares i USA, selv når e-mailen sendes fra en europæisk region. Dens DPA inkluderer EU Standard Kontraktbestemmelser, inklusive Modul Tre for underbehandling. Resend offentliggør 30 dages e-mail/log-opbevaring for sine standard Free-, Pro- og Scale-planer, syv dages backups og op til 90 dage for resterende kundedata efter afslutning af Resend-kontoen. Enhver Enterprise-variant skal registreres for den relevante konto. Disse leverandørperioder erstatter ikke RessursAgent’s frist for kundens instruktion: RessursAgent skal anmode om gældende sletning og oplyse begrænsede resterende kopier under klausul 14.

Strex Mobile Services AS · valgfri SMS

Strex Mobile Services AS, norsk organisationsnummer 927 347 830, leverer SMS levering under den underskrevne serviceaftale og Connect DPA v1.3. Det behandler modtagertelefonnumre, SMS-indhold og leveringsoptegnelser som RessursAgent’s underdatabehandler, når RessursAgent agerer for sine erhvervskunder. Strex sletter data efter 30 dage, som bekræftet til RessursAgent. Denne leverandørs opbevaringsperiode er adskilt fra tilbageleverings-/sletterfristen i klausul 14. Dens leverandørbilag opregner Microsoft Azure i Nederlandene og Irland; ONLINECITY.IO i Tyskland; INFOBIP med EU/EØS-opbevaring; og NRDB, Telenor Norge, Telia Norge, Lyse Tele og Target365 i Norge. Sinch Sverige er opført uden opbevaring, hvilket ikke udelukker behandling. Overførsler uden for EU/EØS kræver udtrykkeligt skriftligt samtykke under leverandørens DPA. Enhver lovpligtig opbevaring er stadig underlagt klausul 14.

Kort, adresseopslag og identitetsudbydere

Google Maps, valgfri Google-login og Kartverket/Geonorge adresseopslag har forskellige roller og oplysninger. Afhængigt af aktiviteten kan en modtager agere som en separat datakontrollant i stedet for en RessursAgent underleverandør. Registrer den aktiverede tjeneste, relevante data og gældende vilkår/placeringer. Et offentligt adresseopslag kan stadig involvere persondata.

Kundevalgte forbindelser

HR, løn, operationelle systemer og eksterne AI-klienter, der bruger API/MCP, skal vurderes ud fra, hvem der engagerer modtageren, dens rolle, tilladelser og faktiske dataflow. Integrationskataloget er ikke en autorisationsliste. Kunde-drevne eksterne links kræver den samme nødvendighed og gennemsigtighedsvurdering.

Inaktive tjenester

WorkOS er ikke aktiv og er udelukket fra den nuværende underdatabehandler-omfang. Enhver fremtidig aktivering kræver vurdering og kundemeddelelse/godkendelse i henhold til klausulerne 8 og 9.

Bilag D · Kundeforhold og godkendelse

De kundespecifikke oplysninger nedenfor leveres af den accepterede serviceordre, kontoadministrationsjournal og eventuelle aftalte skriftlige instruktioner. De behøver ikke at blive gentaget i en separat underskrevet plan. Standardbestemmelserne i bilag A–C gælder, medmindre parterne skriftligt aftaler en lovlig ændring.

Behandler og kontakt

RessursAgent AS · organisationsnr. 935 854 067 · Gydas vei 22, 0363 Oslo, Norge · privacy@ressursagent.no. Hændelse/privatlivsejer: Oskar Bragnes, CEO. Alternativ: Olav Bragnes, CPO.

Kunde og serviceordre

Kontrolløren er den juridiske enhed, der er identificeret i den accepterede serviceaftale/ordre. Dens registreringsoplysninger, serviceperiode og autoriserede repræsentant er dem, der er registreret i aftalen. Kunden skal sørge for, at dens administrative, privatlivs- og hændelseskontakter er opdaterede. Indtil der udpeges en separat hændelseskontakt, sendes meddelelser til den autoriserede kundekontakt, der er registreret for servicen.

Omfang og instruktioner

Omfanget omfatter abonnementet og funktionerne i den accepterede ordre, suppleret med autoriseret konfiguration og skriftlige instruktioner under klausul 4. Valgfri AI, SMS og kundetilslutninger gælder kun, når de er autoriserede. Kunden skal dokumentere sine opbevaringskriterier, tilladte fraværskategorier og målgrupper, artikel 6-basis og enhver artikel 9-betingelse. Detaljerede medicinske beretninger er undtaget fra standardserviceomfanget.

Opbevaring og tilbagelevering/sletning

Klausul 14 fastsætter den standardfrist på 30 kalenderdage efter, at instruktioner og nødvendigt omfang er afklaret, uden unødig forsinkelse. Kategoriespecifikke tidsplaner og lovlige undtagelser skal registreres i kundens instruktioner. RessursAgent skal registrere resterende begrænsede sikkerhedskopier og leverandørkopier, kommunikere deres endelige udløb eller lovlige opbevaringskriterium og bekræfte udførelsen skriftligt.

Gendannelse og hændelser

Foranstaltningerne i Bilag B og underretning uden unødig forsinkelse i henhold til klausul 12 gælder. En yderligere numerisk garanti for gendannelsestid eller datatab, fast SLA for hændelsesrespons eller længere varsel ved ændring af underdatabehandler gælder kun, hvis det udtrykkeligt er inkluderet i den accepterede serviceordre.

Autorisation af underdatabehandler

Godkendelse giver underdatabehandlere i bilag C tilladelse til den aftalte service og til den generelle godkendelsesprocedure i punkt 8. RessursAgent forbliver ansvarlig for at vedligeholde leverandøraftaler, overførselsvurderinger og sikkerhedsdokumentation. Valgfrie modtagere får ikke ubegrænset tilladelse til at behandle data.

Accept og ikrafttrædelsesdato

Version 1.0, offentliggjort den 14. oktober 2026, træder i kraft for en kunde på den dato, hvor den indarbejdes i en accepteret serviceaftale/-ordre eller accepteres separat skriftligt, inklusive elektronisk, af begge parters autoriserede repræsentanter. Ordre-/acceptoptegnelsen identificerer den aftalte version og dato. Gem den optegnelse og en kopi af den accepterede aftale. Eksisterende kundeaftaler erstattes ikke blot ved offentliggørelsen af denne version.

Dokumentversion

Version 1.0 · 14. oktober 2026

Offentliggjort standardaftale, der dækker behandlingsinstruktioner, sikkerhed, leverandører, opbevaring, hjælp og kundens accept. Den accepterede serviceordre angiver, hvilken version der gælder for hver kunde; senere offentliggørelser ændrer ikke automatisk denne aftale.