Hvordan RessursAgent behandler og beskytter personoplysninger på vegne af din organisation. Læs den komplette aftale og tilhørende bilag på dit valgte sprog.
Offentliggjort aftaleVersion 1.0 · 14. oktober 2026
Alle sprogversioner henviser til aftaleversion 1.0. Engelsk er det styrende kontraktssprog og har forrang, hvis en oversættelse har en anden betydning. Læs den engelske version ↗
Dette er RessursAgent’s offentliggjorte standarddatabehandleraftale. Den bliver bindende for en kunde, når denne version indarbejdes i en serviceaftale eller på anden måde accepteres skriftligt, herunder elektronisk. Udgivelse alene ændrer ikke en eksisterende kundeaftale. Kunde- og servicedetaljer leveres af den accepterede ordre og de ordninger, der er angivet i Bilag D.
Disse vilkår dækker behandlingen af personoplysninger i RessursAgent. Bilagene definerer behandlingsomfang, sikkerhedsforanstaltninger, leverandører og kundespecifikke aftaler.
Databehandleren er RessursAgent AS, norsk organisationsnummer 935 854 067, Gydas vei 22, 0363 Oslo, Norge. Kontakt vedrørende databeskyttelse: privacy@ressursagent.no. Dataansvarlig er den kunde, der er identificeret i serviceaftalen. Bilag D kan identificere kunden og den aftalte service ved henvisning til den ordre; det kræver ikke en anden kopi af oplysninger, der allerede er tydeligt registreret der.
Denne aftale og dens bilag skal indgås skriftligt, herunder elektronisk, inden behandlingen på vegne af kunden begynder. Parterne kan indarbejde denne identificerede version i en accepteret serviceordre uden en separat håndskrevet underskrift. Det at besøge denne side alene udgør ikke accept. En separat indgået databehandleraftale med kunden forbliver i kraft, medmindre parterne aftaler at erstatte den. Hvis der er en konflikt med serviceaftalen, har denne databehandleraftale forrang for behandlingen af personoplysninger.
Denne DPA, inklusive dens bilag og eventuelle aftalte kundespecifikke instruktioner, udgør en del af RessursAgent Serviceaftale identificeret under Bilag D. Den aftalte abonnement/bestilling og gældende RessursAgent vilkår regulerer kommercielle forhold. Den accepterede version skal opbevares sammen med kundeaftalen.
Denne aftale regulerer behandling for at levere og understøtte RessursAgent: Min plan, projektplanlægning, ressourceplanlægning, strategisk planlægning og aftalte AI-, kommunikations- og forbindelsesfunktioner. Bilag A specificerer emnet, karakteren, formålene, varigheden, typer af personoplysninger og kategorier af registrerede personer. Aftalen gælder, så længe RessursAgent eller en underdatabehandler behandler personoplysninger på kundens vegne, inklusive perioden for tilbagelevering og sletning.
Kunden bestemmer formålene og de væsentlige midler. RessursAgent bestemmer praktiske tekniske arrangementer inden for disse instruktioner. Bruger-konti, adgangstilladelser og aktivitetslogfiler omfattes, når de behandles for at levere tjenesten på vegne af kunden. Data, der behandles af RessursAgent til egne særskilte formål, såsom fakturering og kundekontakt, skal beskrives særskilt i privatlivspolitikken. Data falder ikke uden for denne aftale blot fordi det er driftsdata.
Anvendelig databeskyttelseslov betyder Forordning (EU) 2016/679 (den Generelle Databeskyttelsesforordning eller GDPR), som gælder i EØS og indarbejdet i norsk lovgivning gennem den norske persondatalov af 15. juni 2018 nr. 38, sammen med gældende supplerende databeskyttelseslovgivning. Aftalen har til formål at specificere de behandlingsordninger, der kræves i henhold til GDPR artikel 28. Obligatoriske beskyttelser under gældende lov forbliver upåvirkede.
Personoplysninger, behandling, dataansvarlig, databehandler, brud på persondatasikkerheden og tilsynsmyndighed har den betydning, der fremgår af GDPR. En bruger er en person, som kunden har autoriseret til at få adgang til tjenesten. En underdatabehandler er en anden databehandler, som RessursAgent engagerer til at behandle personoplysninger på kundens vegne.
Kundedata betyder oplysninger, som indsendes til eller genereres i tjenesten efter kundens instrukser. Denne aftale regulerer personoplysningerne heri, herunder planlægningsoplysninger, kommunikation, dokumenter og analyseresultater. Om RessursAgent er databehandler eller dataansvarlig for en bestemt aktivitet, afhænger af dens faktiske formål og ansvar, som beskrevet i punkt 2.
Service betyder RessursAgent software-as-a-service-applikationen hos app.ressursagent.no og de funktioner, der er aftalt med kunden. Kundeoplysninger omfatter information indtastet eller importeret af autoriserede brugere og de resulterende planlægningsoptegnelser. Kunden beholder sine rettigheder til det indsendte indhold; denne DPA tillader kun behandling for at levere den aftalte service og opfylde lovlige instruktioner. Abonnementsvarighed, prisfastsættelse, supportforpligtelser og opsigelsesvarsel er specificeret i Serviceaftalen, ikke udledt fra en anden udbyders vilkår.
RessursAgent skal kun behandle personoplysninger i henhold til kundens dokumenterede instrukser, herunder instrukser vedrørende videregivelse og overførsler uden for EØS. Instrukser omfatter denne aftale, dens udfyldte bilag og anmodninger fra autoriserede brugere inden for den aftalte servicefunktionalitet, herunder API og MCP. Parterne skal dokumentere efterfølgende instrukser og ændringer i behandlingsomfanget skriftligt.
RessursAgent må ikke bruge personoplysninger behandlet under denne aftale til egne ikke-relaterede formål, reklame, salg af data eller tværkundeprofilering. Hvis RessursAgent fastlægger et separat formål og væsentlige behandlingsmidler, skal dets juridiske ansvar følge dets faktiske rolle under gældende lov; denne aftale giver ikke bemyndigelse til en sådan ændring af formål.
Hvor EU/EØS- eller norsk lov, der er bindende for RessursAgent, kræver behandling uden for kundens instruktioner, skal RessursAgent informere kunden om dette lovkrav før behandlingen, medmindre loven på vigtige offentlige interesser forhindrer dette. RessursAgent skal straks informere kunden, hvis en instruktion ser ud til at overtræde gældende databeskyttelseslovgivning, og skal suspendere den berørte instruktion, indtil en lovlig fremgangsmåde er fastlagt.
Kunden skal fastlægge og dokumentere et lovligt grundlag i henhold til GDPR artikel 6, give de oplysninger, der kræves af artiklerne 13 og 14, og overholde principperne i artikel 5. Kunden skal sikre, at personoplysninger er tilstrækkelige, relevante, begrænset til det, der er nødvendigt, nøjagtige og opbevaret i højst den periode, der er krævet til de angivne formål. Brugerrettigheder, opbevaringsinstruktioner og data, der deles gennem integrationer, skal afspejle disse formål.
Kunden skal vurdere privatlivsrisici og, hvor det kræves i henhold til artikel 35, udføre en konsekvensanalyse ved databeskyttelse, før den relevante behandling påbegyndes. Enhver påkrævet forudgående høring i henhold til artikel 36 skal være gennemført, før behandlingen påbegyndes. RessursAgent skal bistå under klausul 11. Kunden skal også tage hensyn til gældende regler om ansættelse og overvågning på arbejdspladsen.
Tjenesten understøtter fraværskategorier og datoer til ressourceplanlægning, såsom ferie eller sygdom. Kunden skal definere, hvilke kategorier hver autoriseret målgruppe skal kunne se, og dokumentere formål og retligt grundlag. Detaljerede medicinske årsager og diagnoser ligger uden for standardplanlægningsomfanget. Enhver adgangsbegrænsning baseret kun på kategori skal verificeres, før den kan anvendes. Besætningsmeddelelser kan gives gennem ansættelseskontrakter og relaterede oplysninger, men disse dokumenter erstatter ikke kundens vurderinger af retligt grundlag og nødvendighed.
En ferie-kategori indikerer i sig selv ikke helbredstilstand, men en sygdomskategori, der er knyttet til en person, afslører sundhedsoplysninger selv uden en diagnose eller detaljeret forklaring. For den behandling skal kunden identificere en gældende betingelse i henhold til artikel 9, stk. 2, samt et grundlag i henhold til artikel 6. Anerkendelse af ansættelseskontrakt etablerer i sig selv ikke gyldigt samtykke eller gør enhver videregivelse nødvendig. Når samtykke påberåbes, skal dets gyldighed vurderes separat, herunder valgfrie forhold i ansættelsesforholdet, specificitet, information og tilbagekaldelse uden skade; artikel 9, stk. 2, litra a kræver eksplicit samtykke. Når kategorien ikke lovligt kan deles med et bestemt publikum, vises i stedet en generisk status som ikke tilgængelig. Kunden skal dokumentere det gældende grundlag, nødvendighed, adgang og opbevaringsforanstaltninger.
Diagnoser, medicinske rapporter, unødvendige narrative detaljer, kriminelle lovbrud og nationale identitetsnumre er uden for den standard planlægningsramme, medmindre det særskilt aftales under de nødvendige lovlige betingelser og sikkerhedsforanstaltninger. HMS-kortnumre er erhvervsmæssige identifikatorer, ikke tilladelse til at indsamle nationale identitetsnumre. RessursAgent skal følge lovlige instruktioner om at begrænse, returnere eller slette data uden for den aftalte ramme; dets pligter fortsætter for data, der faktisk er modtaget.
RessursAgent skal sikre, at personer med adgang er underlagt kontraktmæssige eller lovbestemte fortrolighedsforpligtelser. Adgangen skal begrænses til, hvad der er nødvendigt for opgaven, og fjernes, når den ikke længere er nødvendig. Fortroligheden skal fortsætte efter ansættelsen og aftalens ophør. Kundedata må ikke videregives til andre kunder eller anvendes til ikke-relaterede formål for tredjepart.
Begge parter skal beskytte fortrolige oplysninger, der udveksles for at administrere denne aftale, herunder sikkerhedsdokumentation og ikke-offentlige kundeoplysninger. Videregivelse, der er nødvendig for at opfylde juridiske forpligtelser, hjælpe enkeltpersoner, indhente professionel rådgivning under fortrolighed eller samarbejde med en tilsynsmyndighed, forbliver tilladt.
RessursAgent skal implementere, opretholde og dokumentere tekniske og organisatoriske foranstaltninger, der er passende i forhold til risikoen under GDPR artikel 32, idet der tages hensyn til den nyeste teknologi, implementeringsomkostninger, behandlingsart, -omfang, -sammenhæng og -formål samt risikoen for de registrerede. Foranstaltningerne skal dække den løbende fortrolighed, integritet, tilgængelighed og modstandskraft i behandlingen, rettidig genoprettelse af adgang til data efter en hændelse samt regelmæssig test og evaluering af deres effektivitet.
Bilag B skal registrere de konkrete foranstaltninger, herunder adgangskontrol, kundeseparation, beskyttelse af data under overførsel og i hvile, backup og gendannelse, sikker udvikling og håndtering af hændelser. Kryptering og pseudonymisering skal vurderes og anvendes, hvor det er passende i forhold til risiciene. Personale må kun behandle data inden for deres autorisation og kundens instruktioner. Foranstaltninger skal være på plads, før den behandling, de vedrører, påbegyndes.
RessursAgent skal assistere kunden med databeskyttelse gennem design og som standard inden for de ydelser, som det leverer. Sikkerhedsforanstaltninger kan udvikles uden at reducere det aftalte beskyttelsesniveau eller overholdelsen af gældende lovgivning. Væsentlige ændringer skal dokumenteres og kommunikeres til kunden.
Hver part skal opretholde de behandlingsoptegnelser, der kræves i henhold til artikel 30, udpege en databeskyttelsesrådgiver, hvor artikel 37 kræver en, og samarbejde med de kompetente tilsynsmyndigheder. RessursAgent skal bevare understøttende sikkerhedsdokumentation, regelmæssigt vurdere effektiviteten af sine foranstaltninger og udbedre identificerede mangler. Offentliggørelse af denne aftale er ikke en certificering eller en uafhængig sikkerhedsrevision.
RessursAgent må ikke anvende en underdatabehandler uden kundens forudgående specifikke eller generelle skriftlige tilladelse. Ved indgåelse af denne aftale giver kunden tilladelse til de underdatabehandlere, der er anført i bilag C, for de funktioner, der er inkluderet i den aftalte service, og giver generel skriftlig tilladelse til senere tilføjelser eller udskiftninger underlagt denne paragraf. Opstilling af en valgfri service giver ikke ret til at anvende den eller autoriserer urelateret behandling.
RessursAgent skal underrette kunden direkte skriftligt om planlagte tilføjelser eller udskiftninger af underdatabehandlere i god tid, så kunden har mulighed for at fremsætte en meningsfuld indsigelse, før den berørte behandling påbegyndes. Underretningen skal identificere enheden, aktiviteten, relevante data, behandlingssteder og overførselsbeskyttelse. Enhver yderligere aftalt minimumsvarsel skal registreres i Bilag D. Parterne skal søge en lovlig løsning på begrundede databeskyttelsesindsigelser. Den omstridte behandling må ikke starte for den pågældende kunde, mens indsigelsen forbliver uløst; hvis ingen lovlig løsning er mulig, skal den berørte tjeneste suspenderes eller afsluttes med tilbagelevering og sletning i henhold til punkt 14.
Før en underdatabehandler modtager personoplysninger, skal RessursAgent vurdere dens tilstrækkelige garantier og indgå en bindende aftale, der i det væsentlige pålægger de samme databeskyttelsesforpligtelser som denne aftale for den delegerede behandling, herunder passende sikkerhed og bistand. RessursAgent forbliver fuldt ansvarlig over for kunden for underdatabehandlerens opfyldelse af disse forpligtelser i henhold til artikel 28, stk. 4.
RessursAgent skal holde det godkendte register ajour og give oplysninger, der er rimeligt nødvendige for at verificere underdatabehandlerordningerne. Relevante aftaler kan kun redigeres i det omfang, det er nødvendigt for at beskytte fortrolige oplysninger uden at forhindre kunden i at vurdere overholdelse. RessursAgent skal underrette kunden om underdatabehandlers manglende overholdelse, der påvirker behandlingen, og tage passende afhjælpende handling.
Udførelse af applikationsfunktioner, den primære applikationsdatabase samt administreret databasebackup og -gendannelse er konfigureret i Frankfurt, Tyskland. RessursAgent skal opretholde denne regionale begrænsning for den infrastruktur. Indholdslevering, driftslogfiler, supportadgang samt særskilt engagerede AI-, e-mail-, SMS- og andre tjenester har deres egne behandlingssteder. Bilag C identificerer disse tjenester; klausulerne 8 og 9 regulerer deres brug og eventuelle internationale overførsler.
Bilag C skal identificere de aftalte behandlings- og lagringssteder, understøtte adgang fra andre lande og relevant videre behandling. Placering af en database i EØS etablerer ikke i sig selv, at al behandling finder sted der. Ændringer af placeringer skal vurderes før implementering og er underlagt kundens dokumenterede instruktioner og klausul 8, når en underdatabehandler ændrer sig.
Bortset fra hvor den lovbestemte krav beskrevet i klausul 4 gælder, skal overførsler uden for EØS kun finde sted på kundens dokumenterede instruktioner. Hver sådan overførsel, herunder relevant fjernadgang og videre overførsler, skal opfylde GDPR Kapitel V. Før overførsel af data skal RessursAgent dokumentere modtageren, landet og den gældende mekanisme, såsom en beslutning om tilstrækkelighed inden for dens anvendelsesområde eller passende garantier under artikel 46.
Når standardkontraktsklausuler anvendes, skal RessursAgent vurdere deres effektive beskyttelse under de aktuelle overførselsforhold, dokumentere relevant lovgivning og praksis i modtagerlandet og implementere supplerende foranstaltninger, hvor det er nødvendigt. Overførsler må ikke påbegyndes eller skal suspenderes, hvis den krævede beskyttelse ikke kan sikres. Denne aftale er ikke i sig selv en overførselsmekanisme i henhold til Kapitel V.
Når den er aktiveret og konfigureret, bruger assistenten Anthropic’s kommercielle Claude API til at fortolke forespørgsler, forberede foreslåede handlinger, udarbejde svar og give sprogunderstøttelse. Opgavekonteksten kan omfatte udvalgte personer, udstyr, projekter, datoer, tildelinger og tilgængelig planlægningsinformation; brugerprofiloplysninger, gemte præferencer eller minder, nylige spørgsmål og relevant samtalehistorik kan også indgå. Vedhæftede filer behandles, når de indsendes. Den tilladte rækkevidde skal kontrolleres i forhold til den faktiske promptkonstruktion og brugerrettigheder, inklusive valgfrie felter. RessursAgent skal kun videregive, hvad der er nødvendigt for den autoriserede opgave.
RessursAgent bruger Anthropic under dets standard kommercielle betingelser, som inkluderer en databehandleraftale og forbyder træning på kundens indhold. Standard API-input og -output slettes normalt inden for 30 dage; tjenesteydelser kontrolleret af udbyderen, model-specifikke sikkerhedskrav, undersøgelse af brugspolitikker og juridiske forpligtelser kan have en anden opbevaringstid. Der er ikke inkluderet nogen skræddersyet nul-databevaringsordning. RessursAgent skal dokumentere den gældende model, værktøj, opbevarings- og overførselsordninger og begrænse data offentliggjort til den autoriserede opgave.
Som en kontraktmæssig begrænsning for denne tjeneste må RessursAgent ikke bruge, eller tillade sine underdatabehandlere at bruge, personoplysninger, der behandles under denne aftale, til at træne eller forbedre generelle modeller, oprette tværkundeprofiler eller udvikle ikke-relaterede produkter. Leverandøraftaler og indstillinger skal understøtte denne begrænsning, før den relevante behandling påbegyndes. Enhver behandling til sikkerheds- eller misbrugs-overvågning skal dokumenteres, begrænses til et lovligt formål og vurderes i forhold til leverandørens faktiske rolle.
AI-output er beslutningsstøtte og kan indeholde fejl. Kunden skal sørge for meningsfuld menneskelig gennemgang, med bemyndigelse til at afvise eller ændre forslaget, før der anvendes output til beslutninger om enkeltpersoner. Planlægningsændringer foreslået af RessursAgent-assistenten kræver brugergodkendelse og forbliver underlagt serviceens tilladelses- og valideringskontroller. Et enkelt klik på bekræftelse etablerer ikke meningsfuld gennemgang. Enhver beslutning, der udelukkende er automatiseret og har juridisk eller tilsvarende betydningsfulde effekter, kræver en separat vurdering af artikel 22, en anvendelig undtagelse og de nødvendige sikkerhedsforanstaltninger; det er ikke autoriseret af de standardbehandlingsinstruktioner.
Vedhæftede filer og samtalehistorik kan blive behandlet for at opfylde den autoriserede anmodning. Uddraget dokumenttekst eller uploadede filer kan blive sendt til AI-udbyderen afhængigt af filtypen. Ansøgningshistorik og filer, som udbyderen har, har separate opbevaringsordninger. For midlertidige Files API-upload anmoder applikationen om en udløbstid på højst én time, verificerer den returnerede udløbstid før brug og anmoder om sletning efter behandling. Disse applikationskontroller lover ikke øjeblikkelig fysisk sletning af hver udbyderkopi. RessursAgent skal følge op på mislykkede anmodninger om udløb/sletning, anvende lovlige sletningsinstruktioner på relevante kopier og dokumentere eventuel begrænset tilbageholdelse i henhold til klausul 14.
SMS bruger Strex/Target365. Produkt-email og autentifikations-email, herunder invitationer og gendannelse af adgangskode, bruger Resend. Disse tjenester behandler modtageroplysninger, relevant indhold, leveringshændelser og links. Det godkendte omfang, placeringer og opbevaring skal indberettes i Bilag C. Følsomme oplysninger om fravær og HMS-kortnumre må ikke inkluderes i meddelelser eller AI-prompt, medmindre det er særskilt vurderet og specifikt godkendt med passende leverandørbeskyttelse.
Kunde-forbundne systemer og eksterne AI-klienter, der bruger API eller MCP, skal vurderes ud fra, hvem der engagerer dem, deres faktiske rolle, de data, der tilgås, og de handlinger, der er autoriseret. De er ikke automatisk RessursAgent underdatabehandlere. Kunden skal sikre de påkrævede instruktioner, lovlige oplysninger og aftaler for de tjenester, den engagerer; RessursAgent forbliver ansvarlig for forpligtelser vedrørende sin egen service og underdatabehandlere.
Den valgfrie kortvisning bruger Google Maps. Adressegeokodning bruger Kartverkets Geonorge-tjeneste, inklusive projektadresser og ressourcearbejdsbasisadresser, hvor det er konfigureret. Kundeførte links kan videregive et telefonnummer til Gule Sider eller et HMS-kortnummer til Jobbkort, efter at brugeren har klikket. Disse videregivelser og eksterne identitetsudbydere registreres separat i Bilag C; deres roller og lovlige brug skal vurderes, frem for at behandle hver ekstern tjeneste som en underdatabehandler. Hverken denne aftale eller en tilslutningskatalog giver bemyndigelse til unødvendig videregivelse.
Kunden er ansvarlig for at svare på personer, der udøver rettigheder i henhold til GDPR Kapitel III. RessursAgent skal straks videresende anmodninger, den modtager, og må ikke svare på kundens vegne uden instruktioner, medmindre det kræves ved lov. Anmodninger til privacy@ressursagent.no skal identificere sagen, omfanget og den gældende frist uden at inkludere unødvendige personoplysninger.
Under hensyntagen til behandlingens karakter skal RessursAgent yde bistand gennem passende tekniske og organisatoriske foranstaltninger, i det omfang det er muligt, så kunden kan opfylde anmodninger om adgang, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse samt andre gældende rettigheder i Kapitel III. Parterne skal arrangere sikker udveksling og tilstrækkeligt hurtig bistand for at overholde lovbestemte frister; interne procedurer må ikke forlænge disse frister.
Under hensyntagen til arten af behandlingen og de oplysninger, der er til rådighed for den, skal RessursAgent bistå kunden med forpligtelser i henhold til artiklerne 32–36, herunder sikkerhed, vurdering og anmeldelse af brud, konsekvensanalyser og forudgående høring. Aftalte operationelle detaljer skal registreres i bilag B og D. Eventuelle gebyrer for bistand skal aftales på forhånd og må ikke forhindre lovpligtig bistand.
RessursAgent skal uden unødig forsinkelse underrette kundens udpegede kontaktperson for hændelser, efter at være blevet opmærksom på et brud på persondata, der påvirker behandlingen under denne aftale, som krævet i artikel 33(2). Det skal ikke vente på en fuldstændig undersøgelse eller sin egen vurdering af, om bruddet skal anmeldes til en myndighed. Når information er ufuldstændig, skal en indledende meddelelse efterfølges af opdateringer uden unødig forsinkelse.
I det omfang det er tilgængeligt, skal underretningen identificere bruddets karakter, berørte kategorier og omtrentlige antal personer og registreringer, sandsynlige konsekvenser, indeholdelses- og afhjælpningsforanstaltninger samt en kontaktperson for yderligere oplysninger. RessursAgent skal dokumentere fakta og reaktion, bevare relevant bevismateriale, tage proportionerede indeholdelses- og afhjælpningsforanstaltninger og bistå kunden.
Kunden skal vurdere og opfylde sine forpligtelser i henhold til Artikel 33 og 34. Hvor myndighedsunderretning er påkrævet, kræver Artikel 33, stk. 1, underretning uden unødig forsinkelse og, hvor det er muligt, inden for 72 timer efter, at kunden bliver opmærksom på det; forsinket underretning skal forklare årsagerne. Underretning er ikke påkrævet, hvor overtrædelsen sandsynligvis ikke vil medføre en risiko for enkeltpersoners rettigheder og friheder. Kommunikation til enkeltpersoner skal følge Artikel 34, herunder dens tærskel for høj risiko og gældende undtagelser. Disse regler giver ikke RessursAgent en 72-timers ventetid for at underrette kunden.
Kunden skal straks informere RessursAgent om kompromitterede konti eller andre hændelser, der påvirker servicen, og samarbejde om indskrænkning. Kontaktpersoner for hændelser, eskaleringskanaler og eventuelle strengere kontraktlige responstider skal udfyldes i Bilag D og må ikke udsætte en lovpligtig forpligtelse.
RessursAgent skal stille alle nødvendige oplysninger til rådighed for at demonstrere overholdelse af artikel 28 og denne aftale, besvare kundens forespørgsler tilstrækkeligt og tillade samt bidrage til revisioner, herunder inspektioner, foretaget af kunden eller en revisor, som kunden har udpeget. Relevante uafhængige rapporter kan understøtte denne vurdering, men må ikke automatisk erstatte en nødvendig revision eller inspektion.
Rutinemæssige revisioner bør normalt arrangeres med fire ugers varsel. Denne planlægningsforventning begrænser ikke revisioner, der er nødvendige hurtigt efter en hændelse, mistænkt overtrædelse eller et myndighedskrav. Parterne skal aftale proportionale ordninger, der beskytter andre kunders data og fortrolige oplysninger uden at forhindre effektiv verifikation. Omkostninger skal aftales på forhånd og må ikke gøre revisionsretten ineffektiv. Relevant dokumentation og fund skal tilgængeliggøres for den kompetente tilsynsmyndighed, hvor det kræves.
RessursAgent skal overholde princippet om begrænsning af opbevaring i GDPR artikel 5(1)(e) samt gældende norsk databeskyttelseslovgivning. Personoplysninger, der behandles på vegne af kunden, må kun opbevares så længe, det er nødvendigt til de aftalte formål og lovligt dokumenterede instruktioner, eller som krævet af gældende lovgivning. Kunden skal definere de relevante opbevaringsperioder eller objektive kriterier, og RessursAgent skal implementere de aftalte procedurer for gennemgang og sletning. Der findes ingen enkelt lovbestemt opbevaringsperiode, der gælder for alle data i tjenesten.
Under tjenesten skal RessursAgent gennemføre lovlige opbevarings- og sletningsinstruktioner inden for den aftalte ramme. Når de relevante behandlingsydelser ophører, skal kunden vælge, om personoplysningerne skal returneres eller slettes. RessursAgent vil udføre valget og slette de resterende kopier, medmindre EU/EØS- eller norsk lov kræver fortsat opbevaring. Data må ikke opbevares eller bruges til andre formål efter afslutning.
Returnering eller sletning skal gennemføres uden unødig forsinkelse og inden for 30 kalenderdage efter, at kundens instrukser og det nødvendige omfang er klarlagt. RessursAgent skal hurtigt søge eventuel nødvendig afklaring og må ikke bruge afklaringen til unødigt at forlænge opbevaringen. Returnering skal ske i et struktureret, almindeligt anvendt format og via en autentificeret eller krypteret leveringskanal. Eventuelle resterende aktive kopier skal slettes, når returneringen er fuldført, medmindre en lovlig instruktion eller opbevaringspligt kræver andet. Proceduren dækker aktive systemer, vedhæftede filer, relevante logfiler og underdatabehandlerkopier, underlagt de dokumenterede backup- og lovlige leverandørafvigelser nedenfor. Denne operationelle frist forlænger ikke de lovbestemte frister for individers rettigheder.
Backupkopier, der venter på sletning under en dokumenteret opbevaringscyklus, skal beskyttes og være utilgængelige for almindelig brug. RessursAgent’s styrede database-backups roterer over cirka syv dage. Leverandørspecifikke restkopier følger de gældende begrænsede opbevaringsordninger, som er angivet i bilag C. Ved returnering eller sletning skal RessursAgent registrere og informere kunden om den endelige udløbsdato eller gældende lovbestemte opbevaringskriterium for eventuelle resterende kopier. En udbyderpolitik tillader ikke i sig selv opbevaring i strid med gældende lov eller denne aftale. Udestående sletteinstruktioner skal anvendes igen, før normal adgang genoptages efter en gendannelse. RessursAgent skal indhente passende dokumentation for underleverandørs sletning og skriftligt bekræfte gennemførelse samt eventuel begrænset restopbevaring til kunden.
Hvor loven kræver fortsat opbevaring, skal RessursAgent, medmindre det er forbudt, informere kunden om det retlige grundlag, de berørte data og den nødvendige periode. Adgang og behandling skal begrænses til det lovkrav, og dataene skal forblive beskyttede indtil sletning.
Hver part er ansvarlig for sine forpligtelser i henhold til gældende databeskyttelseslovgivning og denne aftale. Ansvar mellem parterne følger gældende lov og eventuelle gyldige begrænsninger, som udtrykkeligt er aftalt i serviceaftalen. Ingen begrænsning skal erstatte obligatoriske forpligtelser eller skabe en ekstra grænse gennem denne aftale.
Intet i denne aftale begrænser registreredes ret til erstatning i henhold til GDPR artikel 82 eller tilsynsmyndighedernes beføjelser. Hvis en part har betalt erstatning for skade, som den anden part er ansvarlig for, skal tilbagebetaling mellem parterne følge ansvarsfordelingen i henhold til artikel 82, stk. 5, og gældende lov.
Ændringer, som kræves af loven, serviceudvikling eller behandlingsordninger, skal dokumenteres. Forslåede væsentlige ændringer skal normalt meddeles mindst 30 dage før deres planlagte ikrafttrædelsesdato og kræver skriftlig aftale, herunder elektronisk aftale. Offentliggørelse af et revideret dokument ændrer i sig selv ikke en indgået kundeaftale. Leverandørændringer følger klausul 8; obligatoriske lovkrav gælder, når det er lovpligtigt.
I tilfælde af manglende overholdelse skal parterne søge rettidig afhjælpning. Behandling, der ikke kan udføres lovligt, skal suspenderes eller afsluttes på en måde, der beskytter oplysningerne, med returnering og sletning i henhold til klausul 14. Obligatoriske lovkrav har forrang frem for modstridende instruktioner eller vilkår.
Denne aftale er underlagt norsk lov. Med forbehold for obligatoriske jurisdiktionsregler skal tvister mellem parterne, som udspringer af denne aftale, indbringes for Oslo Byret (Oslo tingrett). Dette begrænser ikke registreredes lovbestemte rettigheder, deres ret til at klage til en tilsynsmyndighed eller kompetente myndigheders beføjelser.
Engelsk er det styrende aftalesprog for denne aftale og alle bilag. Oversættelser gives for at gøre aftalen tilgængelig på webstedets sprog. Hvis en oversættelse adskiller sig i betydning, gælder den engelske version. Alle udfyldte bilag, skriftlige ændringer og den aftalte version skal opbevares på engelsk.
Dette bilag definerer standardbehandlingsomfanget. Den kundespecifikke ordre og Bilag D angiver de funktioner, der faktisk bruges, samt eventuelle yderligere lovlige instruktioner. Valgfrie funktioner og forbindelser giver ikke ret til ubegrænset videregivelse.
Følgende tekniske og organisatoriske foranstaltninger er en del af RessursAgent’s forpligtelser under klausul 7. Understøttende dokumentation, testregistre og sikkerhedsvurderinger opbevares separat og gøres tilgængelige under klausul 13. Ingen certificering, uafbrudt tilgængelighed eller numerisk gendannelsesgaranti er underforstået.
Følgende register identificerer RessursAgent’s underdatabehandlere og andre modtagere for standardtjenesten. Valgfrie tjenester gælder kun, når de er inkluderet i den aftalte tjeneste. RessursAgent skal holde registret og de underliggende modtager-, land-, opbevarings- og overførselsoptegnelser ajour, stille dem til rådighed under klausul 13 og følge klausul 8 ved ændringer i underdatabehandlere.
Frankfurt-begrænsningen gælder for den infrastruktur, der specificeres i klausul 9. Den gælder ikke for hver modtager, der er angivet nedenfor. Internationale overførsler og relevant fjernadgang kræver beskyttelsesforanstaltningerne i klausul 9. Leverandørlinks giver støtteinformation; ændringer på en leverandørs hjemmeside ændrer ikke automatisk kundens aftalte vilkår.
De kundespecifikke oplysninger nedenfor leveres af den accepterede serviceordre, kontoadministrationsjournal og eventuelle aftalte skriftlige instruktioner. De behøver ikke at blive gentaget i en separat underskrevet plan. Standardbestemmelserne i bilag A–C gælder, medmindre parterne skriftligt aftaler en lovlig ændring.
Offentliggjort aftale · Version 1.0 · 14. oktober 2026