Kuidas RessursAgent töötleb ja kaitseb teie organisatsiooni nimel isikuandmeid. Lugege kogu lepingut ja selle lisasid teie valitud keeles.
Avaldatud lepingVersioon 1.0 · 14. oktoober 2026
Kõik keeleversioonid viitavad lepingu versioonile 1.0. Inglise keel on juhtiv lepinguline keel ja kehtib juhul, kui tõlge erineb tähenduselt. Loe ingliskeelset versiooni ↗
See on RessursAgent avaldatud standardne andmetöötlusleping. See muutub kliendi jaoks siduvaks, kui see versioon on lisatud teenuslepingusse või muul viisil kirjalikult, sealhulgas elektrooniliselt, aktsepteeritud. Avaldamine üksi ei muuda olemasolevat kliendilepingut. Kliendi ja teenuse andmed esitatakse aktsepteeritud tellimuse ning lisa D korralduste alusel.
Need tingimused hõlmavad isikuandmete töötlemist RessursAgent-s. Lisaartiklid määratlevad töötlemise ulatuse, turvameetmed, tarnijad ja kliendispetsiifilised korraldused.
Volitatud töötleja on RessursAgent AS, Norra registrinumber 935 854 067, Gydas vei 22, 0363 Oslo, Norra. Andmekaitsekontakt: privacy@ressursagent.no. Vastutav töötleja on teenuslepingus nimetatud klient. Lisas D võib kliendi ja kokkulepitud teenuse määratleda viitega sellele tellimusele; seal juba selgelt esitatud teavet ei ole vaja korrata.
Käesolev leping ja selle lisad sõlmitakse kirjalikult, sealhulgas elektrooniliselt, enne jaotust kliendi nimel alustamist. Pooled võivad selle tuvastatud versiooni integreerida aktsepteeritud teenuse tellimusse ilma eraldi käsitsi allkirjata. Sellele lehele külastamine üksi ei tähenda aktsepteerimist. Eraldi sõlmitud kliendiandmete töötlemise leping jääb jõusse, välja arvatud juhul, kui pooled otsustavad selle asendada. Kui tekib konflikt teenuslepinguga, on andmete töötlemise lepingu sätted isikuandmete töötlemisel määravad.
See DPA, sealhulgas selle lisad ja kõik kokkulepitud kliendispetsiifilised juhised, on osa RessursAgent teenuslepingust, mis on määratletud lisas D. Kokkulepitud tellimus/ tellimus ja kehtivad RessursAgent tingimused reguleerivad ärilisi küsimusi. Aktsepteeritud versioon tuleb säilitada koos kliendilepinguga.
See leping reguleerib andmetöötlust RessursAgent pakkumiseks ja toetamiseks: Minu plaan, projekti planeerimine, ressursi planeerimine, strateegiline planeerimine ning kokkulepitud AI-, kommunikatsiooni- ja ühenduse funktsioonid. Lisa A täpsustab teema, olemuse, eesmärgid, kestuse, isikuandmete tüübid ja andmesubjektide kategooriad. Leping kehtib seni, kuni RessursAgent või alltöötlusprotsessor töötleb isikuandmeid kliendi nimel, sealhulgas tagastamise ja kustutamise perioodi.
Kliendi määrab eesmärgid ja olulised vahendid. RessursAgent määrab nende juhiste raames praktilised tehnilised korraldused. Kasutajakontod, juurdepääsuõigused ja tegevuslogid on kaetud, kui neid töödeldakse teenuse osutamise eesmärgil kliendi nimel. Andmed, mida RessursAgent töötleb oma eraldiseisvate eesmärkide jaoks, nagu arveldamine ja kliendisuhete kontaktid, tuleb eraelulise teabe teatamises kirjeldada eraldi. Andmed ei jää selle kokkuleppe piiridest välja ainult sellepärast, et need on operatiivandmed.
Rakendatav andmekaitse seadus tähendab määrust (EL) 2016/679 (üldine andmekaitsemäärus ehk GDPR), nagu see kehtib EEA-s ja on Norra õigusesse üle võetud Norra isikuandmete seaduse 15. juuni 2018 nr 38 alusel, koos kõigi kohaldatavate täiendavate andmekaitse õigusaktidega. Lepingu eesmärk on täpsustada töötlemise korraldusi, mida nõuab GDPRi artikkel 28. Kohustuslikud kaitsemeetmed, mis tulenevad kohaldatavast seadusest, jäävad muutmata.
Isikuandmetel, töötlemisel, vastutaval töötlejal, volitatud töötlejal, isikuandmetega seotud rikkumisel ja järelevalveasutusel on GDPR-is sätestatud tähendus. Kasutaja on füüsiline isik, kellele klient on andnud õiguse teenust kasutada. Alamvolitatud töötleja on teine volitatud töötleja, kelle RessursAgent kaasab isikuandmete töötlemiseks kliendi nimel.
Kliendiandmed on teenusesse esitatud või teenuses kliendi juhiste alusel loodud teave. Käesolev leping reguleerib selles sisalduvaid isikuandmeid, sealhulgas planeerimisandmeid, suhtlust, dokumente ja analüüsitulemusi. See, kas RessursAgent tegutseb konkreetse tegevuse puhul volitatud töötleja või vastutava töötlejana, sõltub tegevuse tegelikust eesmärgist ja vastutusest vastavalt punktile 2.
Teenuse all mõeldakse RessursAgent tarkvara-teenusena rakendust app.ressursagent.no ja kliendiga kokkulepitud funktsioone. Kliendiandmed hõlmavad teavet, mida volitatud kasutajad sisestavad või impordivad, ning sellest tulenevaid planeerimisandmeid. Klient säilitab õigused oma esitatud sisu üle; see isikuandmete töötlemise leping (DPA) lubab töötlemist ainult kokkulepitud teenuse osutamiseks ja seaduslike juhiste täitmiseks. Tellimuse kestus, hinnakujundus, tugikohustused ja lõpetamise etteteatamine on määratletud teenuslepingus, neid ei tuleta teise teenusepakkuja tingimustest.
RessursAgent töötleb isikuandmeid ainult kliendi dokumenteeritud juhiste alusel, sealhulgas juhiste alusel andmete avaldamiseks ja edastamiseks väljaspool EEA-d. Juhised hõlmavad lepingut ennast, selle täidetud lisaid ja volitatud kasutajate taotlusi kokkulepitud teenusefunktsionaalsuse ulatuses, sealhulgas API ja MCP. Osapooled dokumenteerivad järgnevad juhised ja töötlemisala muutused kirjalikult.
RessursAgent ei kasuta käesoleva lepingu alusel töödeldud isikuandmeid oma mitteseotud eesmärkidel, reklaamiks, andmete müügiks ega mitme kliendi profiliteerimiseks. Kui RessursAgent tuvastab eraldi eesmärgi ja olulised töötlemise vahendid, järgivad selle õigusalased kohustused kehtiva seaduse kohast tegelikku rolli; käesolev leping ei anna õigust sellisele eesmärgi muutmisele.
Kui ELi/EMTA või Norra seadus, mis on RessursAgent-i suhtes kohustuslik, nõuab töötlemist kliendi juhistest erinevalt, teavitab RessursAgent klienti sellest õiguslikust nõudest enne töötlemist, välja arvatud juhul, kui seadus keelab selle olulistel üldise huvi põhjustel. RessursAgent teavitab klienti kohe, kui juhis näib rikkuvat kohaldatavat andmekaitse seadust, ja peatab mõjutatud juhise kuni õiguspärase lähenemisviisi kehtestamiseni.
Kliendil on kohustus kindlaks määrata ja dokumenteerida õiguspärane alus GDPR artikli 6 kohaselt, esitada artiklites 13 ja 14 nõutud teave ning järgida artiklis 5 sätestatud põhimõtteid. Kliendil tuleb tagada, et isikuandmed oleksid piisavad, asjakohased, vajalikul määral piiritletud, täpsed ja säilitatakse ainult nii kaua, kui on vajalik deklaratsioonis toodud eesmärkide saavutamiseks. Kasutajate õigused, säilitamise juhised ja integratsioonide kaudu avalikustatud andmed peegeldavad neid eesmärke.
Kliendil tuleb hinnata privaatsusriske ja, kui artikli 35 kohaselt on vaja, läbi viia andmekaitteenõuete hindamine enne asjakohase töötlemise alustamist. Igasugune artikli 36 kohaselt nõutav eelnev konsulteerimine tuleb lõpetada enne töötlemist. RessursAgent abistab vastavalt punktile 11. Kliendil tuleb samuti arvesse võtta kehtivaid töötamise ja töökohajale jälgimise reegleid.
Teenistus toetab puudumise kategooriaid ja kuupäevi ressursside planeerimiseks, näiteks puhkus või haigus. Klient määrab, milliseid kategooriaid iga volitatud sihtrühm peab nägema, ning dokumenteerib eesmärgi ja õigusliku aluse. Üksikasjalikud meditsiinilised põhjendused ja diagnoosid jäävad tavaplaneerimise ulatusest välja. Iga kategooriatega seotud juurdepääsupiirang tuleb enne selle usaldamist kinnitada. Meeskonna teateid võib esitada töösuhete lepingute ja seotud teabe kaudu, kuid need dokumendid ei asenda kliendi õigusliku aluse ja vajadusehindamist.
Puhkuse kategooria ei näita iseenesest terviseseisundit, kuid inimesega seotud haiguskategooria avaldab terviseinfot isegi ilma diagnoosi või põhjaliku selgituseta. Selle töötlemise jaoks peab klient kindlaks määrama kohaldatava artikli 9 lõike 2 tingimuse, samuti artikli 6 aluse. Töölepingu kinnitamine ei taga iseenesest kehtivat nõusolekut ega tee iga avalikustamist vajalikuks. Kui tuginedakse nõusolekule, tuleb selle kehtivust hinnata eraldi, sealhulgas tööalases suhtes valikuvabadust, spetsiifilisust, teavitust ja tagajärgedeta tagasivõttu; artikli 9 lõike 2 punkt a nõuab selgesõnalist nõusolekut. Kui kategooriat ei ole seaduslikult lubatud konkreetse publiku ees jagada, kuvage selle asemel üldine kättesaamatu staatus. Klient dokumenteerib kohaldatava aluse, vajaduse, juurdepääsu ja säilitamisega seotud kaitsemeetmed.
Diagnoosid, meditsiinilised aruanded, tarbetud narratiivsed üksikasjad, kriminaalkuritegevuse andmed ja isikukoodid jäävad tavaplaani ulatusest välja, kui nendeks pole eraldi kokku lepitud vajalike seaduslike tingimuste ja kaitsetega. HMS-kaardi numbrid on ametialased identifikaatorid, mitte luba koguda isikukoode. RessursAgent peab järgima seaduslikke juhiseid, et piirata, tagastada või kustutada andmeid, mis jäävad kokkulepitud ulatusest välja; selle kohustused kehtivad ka tegelikult saadud andmete puhul.
RessursAgent tagab, et isikud, kellel on juurdepääs, alluvad lepingulistele või seadusest tulenevatele konfidentsiaalsuskohustustele. Juurdepääs piirdub sellega, mis on ülesande täitmiseks vajalik, ja eemaldatakse, kui seda enam ei vajata. Konfidentsiaalsus kehtib ka pärast töösuhte ja lepingu lõppemist. Kliendiandmeid ei tohi avalikustada teistele klientidele ega kasutada mitteseotud kolmandate osapoolte eesmärkidel.
Mõlemad pooled kaitsevad konfidentsiaalset teavet, mida vahetatakse selle lepingu täitmiseks, sealhulgas turvalisuse dokumentatsiooni ja mitteavalikku kliendiinfot. Avalikustamine, mis on vajalik seaduslike kohustuste täitmiseks, isikute abistamiseks, professionaalse nõu saamiseks konfidentsiaalsuse tingimustes või järelevalveasutusega koostöö tegemiseks, on lubatud.
RessursAgent rakendab, haldab ja dokumenteerib tehnilisi ja organisatsioonilisi meetmeid, mis on GDPR artikli 32 alusel riski jaoks sobivad, võttes arvesse tehnika arengutaset, rakenduskulusid, töötlemise olemust, ulatust, konteksti ja eesmärke, ning isikutele avalduvat riski. Meetmed peavad hõlmama töötlemise pidevat konfidentsiaalsust, terviklikkust, kättesaadavust ja vastupidavust, andmetele juurdepääsu õigeaegset taastamist pärast intsidenti ning nende tõhususe regulaarset testimist ja hindamist.
Lisa B peab kajastama konkreetseid meetmeid, sealhulgas juurdepääsukontrolli, kliendi eraldamist, andmete kaitset liikluses ja puhkeolekus, andmete varundamist ja taastamist, turvalist arendust ja intsidentide käsitlemist. Krüpteerimist ja pseudonüümimist tuleb hinnata ja rakendada, kui see riskide suhtes asjakohane on. Töötajad peavad töötlema andmeid ainult oma volituste ja kliendi juhiste kohaselt. Meetmed peavad olema rakendatud enne andmetöötlust, millega need on seotud.
RessursAgent aitab klienti andmekaitse kujundamise ja vaikeseadistuste alusel teenuste pakkumisel. Turvameetmeid võib arendada ilma kokkulepitud kaitsetaset või kohaldatava seaduse järgimist vähendamata. Olulised muudatused tuleb dokumenteerida ja kliendile edastada.
Iga osapool peab säilitama töötlemisandmete registrid, nagu nõutud artiklis 30, nimetama andmekaitseametniku, kui artiklis 37 seda nõutakse, ning tegema koostööd pädevate järelevalveasutustega. RessursAgent peab säilitama toetavad turbe dokumendid, hindama regulaarselt oma meetmete tõhusust ja parandama tuvastatud puudujääke. Selle lepingu avaldamine ei ole sertifitseerimine ega sõltumatu turbeaudit.
RessursAgent ei tohi kaasata alamvolitatud töötlejat ilma kliendi eelneva konkreetse või üldise kirjaliku loata. Selle lepingu sõlmimisega annab klient C lisas olevatele alamvolitatud töötlejatele loa kokkulepitud teenuses sisalduvate funktsioonide jaoks ning annab üldkirjaliku loa hilisemate lisade või asenduste jaoks, mis kuuluvad sellesse sättesse. Valikulise teenuse loetlemine ei võimalda selle kasutamist ega luba seotud töötlemist, mis ei puuduta teenust.
RessursAgent teavitab klienti otseselt kirjalikult kavandatavatest alltöötluse lisamistest või asendustest piisavalt varakult, et võimaldada mõtestatud vastuväite esitamine enne mõjutatud andmetöötluse algust. Teates tuvastatakse üksus, tegevus, asjakohased andmed, töötlemise asukohad ja edastamise turvameetmed. Kõik täiendavad kokkulepitud minimaalne etteteatamisperiood salvestatakse lisas D. Osapooled otsivad seaduslikku lahendust põhjendatud andmekaitse vastuväidetele. Vaidlusalust töötlemist ei alustata selle kliendi jaoks, kuni vastuväide on lahendamata; kui seaduslik lahendus pole võimalik, peatatakse või lõpetatakse mõjutatud teenus koos tagastuse ja kustutamisega vastavalt punktile 14.
Enne kui alamvolitatud töötleja saab isikuandmeid, hindab RessursAgent selle piisavaid garantiisid ja sõlmib siduva lepinguga, mis kehtestab sisuliselt samad andmekaitse kohustused kui käesolev leping volitatud töötlemise kohta, sealhulgas asjakohase turvalisuse ja abi. RessursAgent jääb täielikult vastutavaks kliendi ees alamvolitatud töötleja nende kohustuste täitmise eest artikli 28 lõike 4 alusel.
RessursAgent hoiab heakskiidetud registrit ajakohasena ja annab teavet, mis on mõistlikult vajalik alamvolitatud töötleja korralduste kontrollimiseks. Asjakohased lepingud võivad olla vajadusel redigeeritud ainult selleks, et kaitsta konfidentsiaalset teavet, ilma et see takistaks kliendil vastavust hindamast. RessursAgent teatab kliendile alamvolitatud töötleja mitte-järgimisest, mis mõjutab töötlemist, ja võtab vajalikud parandusmeetmed.
Rakenduse funktsioonide täitmine, peamine rakenduse andmebaas ning hallatud andmebaasi varundamine ja taastamine on konfigureeritud Frankfurdis, Saksamaal. RessursAgent peab selle infrastruktuuri osas säilitama selle piirkondliku piiranguga. Sisu edastamine, tegevuslogid, tugiteenuste juurdepääs ja eraldi kaasatud AI, e-post, SMS ja muud teenused omavad oma töötlemise asukohti. Lisa C näitab neid teenuseid; punktid 8 ja 9 reguleerivad nende kasutamist ja kõiki rahvusvahelisi ülekandeid.
Lisa C peaks määrama kokku lepitud töötlemise ja salvestamise kohad, toetama ligipääsu teistest riikidest ning asjakohast edasist töötlemist. Andmebaasi asukoht EEA-s ei tõenda iseenesest, et kogu töötlemine toimub seal. Asukohtade muutmist tuleb hinnata enne rakendamist ning need alluvad kliendi dokumenteeritud juhistele ja klauslile 8, kui alamteenuse pakkuja muutub.
Välja arvatud juhul, kui kohaldub klauslis 4 kirjeldatud õiguslik nõue, toimuvad siirdeid väljaspool EEA-d ainult kliendi dokumenteeritud juhiste alusel. Iga selline siire, sealhulgas asjakohane kaugjuurdepääs ja edasised siirded, peab vastama GDPR peatükile V. Enne andmete edastamist dokumenteerib RessursAgent vastuvõtja, riigi ja kohaldatava mehhanismi, näiteks otsuse piisava taseme kohta selle ulatuses või asjakohased kaitsemeetmed artikli 46 alusel.
Kui kasutatakse standardseid lepingulisi klausleid, hindab RessursAgent nende tõhusat kaitset ülekande tingimustes, dokumenteerib asjakohase saajariigi seaduse ja tava ning rakendab vajadusel täiendavaid meetmeid. Ülekanded ei tohi alata või need tuleb peatada, kui nõutavat kaitset ei saa tagada. Käesolev leping ei ole iseenesest V peatüki ülekandemehhanism.
Kui lubatud ja konfigureeritud, kasutab assistent Anthropic-i ärikliendi Claude API-d päringute tõlgendamiseks, ettepanekute koostamiseks, vastuste koostamiseks ja keeletoe andmiseks. Ülesande kontekst võib hõlmata valitud inimesi, seadmeid, projekte, kuupäevi, ülesandeid ja saadaolevat planeerimisteavet; kasutajaprofiili üksikasjad, salvestatud eelistused või mälestused, viimased küsimused ja asjakohane vestluse ajalugu võivad samuti olla kaasatud. Lisasid töödeldakse nende esitamisel. Lubatud ulatust tuleb kontrollida tegeliku prompti ehituse ja kasutaja õigustega, sealhulgas valikulised väljad. RessursAgent avaldab ainult selle, mis on volitatud ülesande täitmiseks vajalik.
RessursAgent kasutab Anthropic oma standardsete ärieeskirjade alusel, mis sisaldavad andmetöötluse lisatingimusi ja keelavad kliendi sisu koolitamisel kasutamise. Standardseid API sisendeid ja väljundeid kustutatakse tavaliselt 30 päeva jooksul; pakkuja hallatavad failiteenused, mudelipõhised turvanõuded, kasutuspoliitika uurimised ja seaduslikud kohustused võivad omada erinevat säilitusaega. Kohandatud nullandmesäilituse korraldust ei sisaldata. RessursAgent dokumenteerib kohaldatava mudeli, tööriista, säilituse ja edastamise korraldused ning piirab avaldatud andmeid volitatud ülesande jaoks.
Selle teenuse lepingu piiranguna ei tohi RessursAgent kasutada ega lubada oma alltöötlusteenuse osutajatel kasutada selle lepingu alusel töödelda isikuandmeid üldotstarbeliste mudelite koolitamiseks või täiustamiseks, rist-klientide profiilide loomiseks ega seotud toodete arendamiseks. Teenusepakkuja lepingud ja seaded peavad seda piirangut toetama enne vastava töötlemise algust. Kõik turva- või kuritarvitamise jälgimise töötlemised peavad olema dokumenteeritud, piiratud seadusliku eesmärgiga ning hinnatud pakkuja tegeliku rolli seisukohalt.
Tehisintellekti väljund on otsuste toetamiseks mõeldud ning võib sisaldada vigu. Kliendil tuleb tagada tähenduslik inimlik ülevaatus, millel on volitus oleviku ettepaneku tagasi lükata või muuta, enne kui väljundile toetutakse otsuste tegemisel üksikisikute suhtes. RessursAgent assistendi pakutud planeerimismuutused vajavad kasutaja kinnitust ja jäävad teenuse loa ja valideerimise kontrollide alla. Ainult kinnitusklõps ei tähenda tähenduslikku ülevaatust. Igasugune otsus, mis on mõeldud täielikult automatiseerituks ja millel on seaduslikud või sarnased olulised tagajärjed, vajab eraldi hinnangut artikli 22, kohaldatava erandi ja nõutavate turvameetmete osas; seda standardprotsessijuhised ei luba.
Kinnitused ja vestluse ajalugu võidakse töödelda volitatud taotluse täitmiseks. Väljavõetud dokumenditekstid või üleslaaditud failid võidakse saata AI-teenuse pakkujale sõltuvalt failitüübist. Rakenduse ajalugu ja pakkuja hallatavad failid on eraldi säilituskordadega. Ajutiste Files API üleslaadimiste puhul taotleb rakendus kehtivusaja mitte üle ühe tunni, kontrollib tagastatud kehtivusaega enne kasutamist ja taotleb kustutamist pärast töötlemist. Need rakenduse kontrollid ei taga iga pakkuja koopia kohest füüsilist kustutamist. RessursAgent järgib ebaõnnestunud kehtivusaaja/kustutamise taotluste järelmeetmeid, rakendab seaduslikke kustutamisjuhiseid asjakohastele koopiatele ja dokumenteerib mis tahes piiratud jääksäilituse vastavalt klauslile 14.
SMS kasutab Strex/Target365. Toote e-kiri ja autentimise e-kiri, sealhulgas kutseid ja parooli taastamist käsitlevad e-kirjad, kasutavad Resend. Need teenused töötlevad saaja andmeid, asjakohast sisu, kohaletoimetamise sündmusi ja linke. Kinnitatud ulatus, asukohad ja säilitamine kajastatakse Lisa C-s. Sõnumeid või tehisintellekti päringuid ei tohi sisaldada tundlikke puudumise üksikasju ega HMS-kaardi numbreid, välja arvatud juhul, kui need on eraldi hinnatud ja konkreetse volitusega, sobiva tarnijakaitsega lubatud.
Kliendiga seotud süsteeme ja välist AI-kliendi, kes kasutavad API-d või MCP-d, tuleb hinnata selle põhjal, kes neid kasutab, nende tegelik roll, ligi pääsetud andmed ja volitatud tegevused. Need ei ole automaatselt RessursAgent alamvolitatud töötlejad. Klient tagab vajalike juhiste, õiguspärase avalikustamise ja teenustelepingute olemasolu; RessursAgent jääb vastutavaks oma teenuse ja alamvolitatud töötlejatega seotud kohustuste eest.
Valikuline kaardivaade kasutab Google Mapsi. Aadressi geokodeerimine kasutab Kartverketi Geonorge teenust, sealhulgas projekti aadresse ja ressursi töökohapõhiseid aadresse, kui need on konfigureeritud. Kliendi suunatud lingid võivad pärast kasutaja klõpsu avaldada telefoninumbri Gule Siderile või HMS-kaardi numbri Jobbkortile. Need avalikustamised ja välised identiteedipakkujad on eraldi registreeritud lisas C; nende rollid ja seaduslik kasutamine tuleb hinnata, selle asemel et käsitleda iga välist teenust alamvolitatud töötlejana. Ei see leping ega ühenduste kataloog luba tarbetut avalikustamist.
Kliendil on kohustus vastata üksikisikutele, kes kasutavad GDPR-i III peatüki alusel oma õigusi. RessursAgent edastab viivitamatult saabunud päringud ja ei vasta kliendi nimel ilma juhisteta, välja arvatud juhul, kui seadus seda nõuab. Päringud privacy@ressursagent.no-ile peaksid tuvastama juhtumi, ulatuse ja kohaldatava tähtaja, ilma et kaasataks tarbetuid isikuandmeid.
Arvestades töötlemise olemust, aitab RessursAgent asjakohaste tehniliste ja organisatoorsete meetmete kaudu, nii palju kui võimalik, et klient saaks täita juurdepääsu, parandamise, kustutamise, piiramise, andmete ülekantavuse ja vastuväite ning teiste kohaldatavate III peatüki õiguste taotlusi. Pooled korraldavad turvalise andmevahetuse ja piisavalt kiire abi, et täita seadusest tulenevaid tähtaegu; siseprotseduurid ei tohiks neid tähtaegu pikendada.
Arvestades töötlemise olemust ja talle kättesaadavat teavet, abistab RessursAgent klienti punktide 32–36 kohustuste täitmisel, sealhulgas turvalisuse, rikkumiste hindamise ja teavitamise, mõjuhindamiste ning eelneva konsultatsiooni puhul. Kokku lepitud operatiivsed üksikasjad registreeritakse lisades B ja D. Kõik abitasud tuleb eelnevalt kokku leppida ning need ei tohi takistada seadusega nõutavat abi.
RessursAgent teavitab kliendi määratud juhtumi kontaktisikut ilma vältimatute viivitusteta pärast isikuandmete rikkumisest teadasaamist, mis mõjutab käesoleva lepingu alusel toimuvat töötlemist, nagu on nõutud artikli 33 lõike 2 kohaselt. See ei oota täielikku juurdlust ega oma hinnangut selle kohta, kas rikkumist tuleb teatada asutusele. Kui teave on puudulik, järgneb esialgse teavituse järel uuendamine ilma vältimatute viivitusteta.
Kohaliku teabe olemasolu korral peab teavituses olema määratletud rikkumise iseloom, mõjutatud kategooriad ja ligikaudne isikute ja andmebaaside hulk, tõenäolised tagajärjed, leevendus- ja parandustehnikad ning kontakt täiendava teabe saamiseks. RessursAgent dokumenteerib faktilised andmed ja reageerimise, säilitab asjakohased tõendid, võtab proportsionaalsed leevendus- ja leevendustoimingud ning abistab klienti.
Kliendid peavad hindama ja täitma oma kohustusi artiklite 33 ja 34 alusel. Kui on vajalik teavitamine asutusele, nõuab artikli 33 lõike 1 teavitamist ilma mõttetute viivitusteta ja, kui võimalik, 72 tunni jooksul alates hetkest, kui klient sai teavitamisest teadlikuks; hilinenud teavitamisel tuleb põhjendada viivitust. Teavitamine ei ole vajalik, kui rikkumine ei ole tõenäoliselt ohtlik üksikisikute õigustele ja vabadustele. Üksikisikutele suunatud kommunikatsioon peab järgima artiklit 34, sealhulgas selle kõrgema riskitaseme künnist ja rakendatavaid erandeid. Need reeglid ei anna RessursAgentile 72-tunnist ooteaega kliendi teavitamiseks.
Kliendil on kohustus viivitamatult teavitada RessursAgent-i kompromiteeritud kontodest või muudest teenust mõjutavatest juhtumitest ning teha koostööd nende piiramisel. Juhtumite kontaktid, eskalatsioonikanalid ja kõik rangemad lepingulised reageerimistähtajad tuleb täita lisa D-s ning need ei lükka edasi seadusest tulenevat kohustust.
RessursAgent peab esitama kogu teabe, mis on vajalik vastavuse tõendamiseks artikli 28 ja selle lepingu nõuetele, vastama klientide päringutele asjakohaselt ning võimaldama ja osalema auditites, sealhulgas kontrollides, mida teostab klient või tema määratud audiitor. Asjakohased sõltumatud aruanded võivad toetada selle hindamist, kuid ei asenda automaatselt vajalikku auditit või kontrolli.
Rutiinseid audite tuleks tavaliselt korraldada nelja nädala etteteatamisega. See ajakavaootus ei piira auditeid, mis on vajalikud kiiresti pärast intsidendi, kahtlustatud mittenõuetele vastavuse või asutuse nõudmist. Osapooled lepivad kokku proportsioonilistes korraldustes, mis kaitsevad teiste klientide andmeid ja konfidentsiaalset teavet, ilma et see takistaks tõhusat kontrolli. Tasud lepiti kokku eelnevalt ja need ei tohi muuta auditi õigust ebaefektiivseks. Asjakohased dokumendid ja leiud on vajadusel kättesaadavad pädevale järelevalveasutusele.
RessursAgent peab järgima GDPR artikli 5 lõike 1 punktis e sätestatud säilitamise piirangu põhimõtet ning kohaldatavat Norra andmekaitseseadust. Isikuandmeid, mida töödeldakse kliendi nimel, säilitatakse ainult nii kaua, kui on vaja kokku lepitud eesmärkide ja seaduslike dokumenteeritud juhiste täitmiseks või kui kohaldatav seadus seda nõuab. Klient määrab asjakohased säilitustähtajad või objektiivsed kriteeriumid ning RessursAgent viib läbi kokkulepitud ülevaatamise ja kustutamise protseduurid. Teenusele ei kohaldu üks kindel seadusest tulenev säilitustähtaeg kõigi andmete puhul.
Teenuse osutamise ajal rakendab RessursAgent seaduslikke säilitamise ja kustutamise juhiseid kokkulepitud ulatuses. Kui asjaomased töötlemisteenused lõppevad, valib klient isikuandmete tagastamise või kustutamise. RessursAgent teostab selle valiku ja kustutab ülejäänud koopiad, välja arvatud juhul, kui ELi/EEA või Norra seadus nõuab jätkuvat säilitamist. Andmeid ei tohi pärast lepingut säilitada ega kasutada muudel eesmärkidel.
Tagastamine või kustutamine tuleb lõpetada viivitamatult ja hiljemalt 30 kalendripäeva jooksul pärast kliendi juhiste ja vajaliku ulatuse selgitamist. RessursAgent peab otsima vajalikke selgitusi viivitamatult ja ei tohi kasutada selgitusi selleks, et säilitamist tarbetult pikendada. Tagastamine toimub struktureeritud, tavapärases vormis ning autentitud või krüpteeritud edastuskanalit kasutades. Allesjäänud aktiivsed koopiad kustutatakse pärast tagastamise lõppemist, välja arvatud juhul, kui seaduslik juhis või säilitamiskohustus nõuab teisiti. Protseduur katab aktiivsed süsteemid, manused, asjakohased logid ja alltöötluse koopiad, arvestades allpool dokumenteeritud varundus- ja seaduslikke teenusepakkuja erandeid. See operatiivne tähtaeg ei pikenda isikute õiguste seadusjärgseid tähtaegu.
Varukoopiad, mis ootavad kustutamist dokumenteeritud säilitustsükli järgi, tuleb kaitsta ja teha tavalise kasutuse jaoks kättesaamatuks. RessursAgent haldatud andmebaasi varukoopiad vahetuvad umbes seitsme päeva jooksul. Tarnijaspetsiifilised jääkkoopiad järgivad lisas C määratud kohaldatavaid piiratud säilituskorda. Tagastamisel või kustutamisel peab RessursAgent registreerima ja teavitama klienti ülejäänud koopiate lõpptähtajast või kohaldatavast seaduslikust säilituskriteeriumist. Teenusepakkuja poliitika ise ei luba säilitamist, mis on vastuolus kehtiva seaduse või selle lepinguga. Allesjäänud kustutusjuhised tuleb uuesti rakendada enne tavapärase juurdepääsu taastumist pärast taastamist. RessursAgent peab hankima sobivad tõendid alamvolitatud töötleja kustutamise kohta ning kirjalikult kinnitama kliendile, et kustutamine on lõpetatud ja kõik piiratud jääksäilitused on korraldatud.
Kui seadus nõuab andmete säilitamist, teavitab RessursAgent klienti juriidilisest alusest, mõjutatud andmetest ja nõutavast perioodist, kui see ei ole keelatud. Andmetele ligipääs ja töötlemine on piiratud ainult selle seadusliku nõudega ning andmed jäävad kaitstuks kuni kustutamiseni.
Mõlemad osapooled vastutavad oma kohustuste eest kehtiva andmekaitse seaduse ja selle lepingu raames. Osapoolte vaheline vastutus järgib kehtivat seadust ja kõiki kehtivaid piiranguid, mida on teenuse lepingus selgelt kokku lepitud. Ükski piirang ei tühista kohustuslikke kohustusi ega loo selle lepingu kaudu täiendavat piirmäära.
Miski selles lepingus ei piira andmesubjektide õigusi hüvitisele GDPR-i artikli 82 alusel ega järelevalveasutuste volitusi. Kui üks pool on tasunud teisele poolele kahju eest hüvitist, mille eest teine pool vastutab, toimub hüvitise taastekkimine poolte vahel vastavalt artikli 82 lõike 5 ja kohaldatava õiguse jaotusele.
Seadusest, teenuse arendusest või töötlemiskorraldustest tulenevad muudatused tuleb dokumenteerida. Olulisi ettepanekuid muudetud tingimustest teavitatakse tavaliselt vähemalt 30 päeva enne nende kavandatud jõustumiskuupäeva ja need vajavad kirjalikku nõusolekut, sealhulgas elektroonilist nõusolekut. Muudetud dokumendi avaldamine ei muuda iseenesest juba sõlmitud kliendilepingut. Tarnija muudatused järgnevad punktile 8; kohustuslikud seadusest tulenevad nõuded kehtivad siis, kui seadus seda nõuab.
Mittetäitmise korral peavad pooled otsima õigeaegset parandust. Töötlemine, mida ei saa seaduslikult läbi viia, tuleb peatada või lõpetada viisil, mis kaitseb andmeid, tagastamise ja kustutamisega vastavalt klauslile 14. Kohustuslikud seaduslikud kohustused omavad eelist vastuoluliste juhiste või tingimuste ees.
Käesolevat lepingut reguleerib Norra seadus. Kohustuslike jurisdiktsioonireeglite alusel tuleb lepingu tõttu tekkivad vaidlused esitada Oslon ringkonnakohtule (Oslo tingrett). See ei piira andmesubjektide seadusjärgseid õigusabivahendeid, nende õigust kaebuse esitamiseks järelevalveasutusele ega pädevate asutuste volitusi.
Selle lepingu ja kõigi lisade määrav lepingukeel on inglise keel. Tõlked teevad lepingu kättesaadavaks veebisaidi keeltes. Tähenduserinevuste korral on ülimuslik ingliskeelne versioon. Täidetud lisad, kirjalikud muudatused ja kokkulepitud versioon säilitatakse inglise keeles.
See lisa määratleb standardse töötlemise ulatuse. Kliendipõhine tellimus ja lisa D näitavad tegelikult kasutatavaid funktsioone ja muid seaduslikke juhiseid. Valikulised funktsioonid ja ühendused ei anna õigust piiramatu teabe avalikustamiseks.
Järgmised tehnilised ja organisatoorsed meetmed kuuluvad RessursAgent kohustuste hulka 7. klausli alusel. Toetavad dokumendid, testimise kirjed ja turvahinnangud hoitakse eraldi ja neid tehakse kättesaadavaks 13. klausli kohaselt. Ühtki sertifitseerimist, katkestamatut kättesaadavust ega arvulist taastamiskohustust ei ole implitsiitset.
Järgmine register näitab RessursAgent alamvolitatud töötlejaid ja teisi saajaid standardteenuse jaoks. Valikulised teenused kehtivad ainult siis, kui need on lepingu kohaselt kaasatud. RessursAgent peab hoidma registrit ning toetavaid saaja, riigi, säilituse ja edastamise andmeid ajakohasena, esitama need punktis 13 ning järgima punktis 8 antud juhiseid alamvolitatud töötlejate muudatuste puhul.
Frankfurdi piirang kehtib infrastruktuurile, mis on määratletud punktis 9. See ei kehti kõigi allpool loetletud saajate puhul. Rahvusvahelised ülekanded ja asjakohane kaugjuurdepääs nõuavad punktis 9 sätestatud kaitsemeetmeid. Tarnija lingid annavad täiendavat teavet; muudatused tarnija veebilehel ei muuda automaatselt kliendi kokkulepitud tingimusi.
Allpool toodud kliendispetsiifiline teave on esitatud aktsepteeritud teenusekorra, konto haldusandmete ja kõigi kokku lepitud kirjalike juhistega. Seda ei ole vaja eraldi allkirjastatud ajakavas korrata. Lisa A–C standardtingimused kehtivad, välja arvatud juhul, kui pooled lepivad kirjalikult kokku seadusliku muudatuses.
Avaldatud leping · Versioon 1.0 · 14. oktoober 2026