Hvordan RessursAgent behandler og beskytter personopplysninger på vegne av organisasjonen din. Les hele avtalen og tilhørende vedlegg på ditt valgte språk.
Publisert avtaleVersjon 1.0 · 14. oktober 2026
Alle språkversjonene gjelder avtaleversjon 1.0. Engelsk er avtalens styrende språk og har forrang ved forskjeller i betydning. Les den engelske versjonen ↗
Dette er RessursAgents publiserte standardavtale om behandling av personopplysninger. Den blir bindende for kunden når denne versjonen tas inn i en tjenesteavtale eller på annen måte aksepteres skriftlig, også elektronisk. Publisering alene endrer ikke en eksisterende kundeavtale. Kundeopplysninger og tjenesteomfang følger den aksepterte bestillingen og ordningene i vedlegg D.
Disse vilkårene dekker behandlingen av personopplysninger i RessursAgent. Vedleggene definerer behandlingsomfang, sikkerhetstiltak, leverandører og kundespesifikke avtaler.
Databehandleren er RessursAgent AS, norsk organisasjonsnummer 935 854 067, Gydas vei 22, 0363 Oslo, Norge. Personvernkontakt: privacy@ressursagent.no. Behandlingsansvarlig er kunden som er identifisert i tjenesteavtalen. Vedlegg D kan identifisere kunden og den avtalte tjenesten ved å vise til bestillingen. Opplysninger som allerede er tydelig angitt der, trenger ikke gjentas.
Denne avtalen og dens vedlegg skal inngås skriftlig, inkludert elektronisk, før behandling på vegne av kunden starter. Partene kan innlemme denne identifiserte versjonen i en akseptert tjenesteordre uten en separat håndskrevet signatur. Det å bare besøke denne siden utgjør ikke en aksept. En separat inngått databehandleravtale for kunden forblir gyldig med mindre partene avtaler å erstatte den. Hvis det oppstår en konflikt med tjenesteavtalen, har denne databehandleravtalen forrang ved behandling av personopplysninger.
Denne DPA-en, inkludert dens vedlegg og eventuelle avtalte kundespesifikke instrukser, utgjør en del av RessursAgent-tjenesteavtalen identifisert under Vedlegg D. Den avtalte abonnements-/bestillingen og gjeldende RessursAgent-vilkår regulerer kommersielle forhold. Den aksepterte versjonen skal oppbevares sammen med kundeavtalen.
Denne avtalen regulerer behandling for å levere og støtte RessursAgent: Min plan, prosjektplanlegging, ressursplanlegging, strategisk planlegging og avtalte AI-, kommunikasjons- og tilkoblingsfunksjoner. Vedlegg A spesifiserer emnet, naturen, formålene, varigheten, typer personopplysninger og kategorier av registrerte. Avtalen gjelder så lenge RessursAgent eller en underdatabehandler behandler personopplysninger på kundens vegne, inkludert tilbakelevering og sletteperiode.
Kunden bestemmer formålene og de essensielle midlene. RessursAgent bestemmer praktiske tekniske ordninger innenfor disse instruksjonene. Brukerkontoer, tilgangstillatelser og aktivitetslogger dekkes når de behandles for å levere tjenesten på vegne av kunden. Data som behandles av RessursAgent for egne særskilte formål, slik som fakturering og kundekontaktsrelasjoner, må beskrives separat i personvernerklæringen. Data faller ikke utenfor denne avtalen bare fordi det er driftsdata.
Gjeldende personvernlovgivning betyr forordning (EU) 2016/679 (personvernforordningen, GDPR), slik den gjelder i EØS og er gjennomført i norsk rett ved personopplysningsloven av 15. juni 2018 nr. 38, samt gjeldende supplerende personvernlovgivning. Avtalen skal presisere behandlingsordningene som kreves etter GDPR artikkel 28. Ufravikelig vern etter gjeldende lovgivning berøres ikke.
Personopplysninger, behandling, behandlingsansvarlig, databehandler, brudd på personopplysningssikkerheten og tilsynsmyndighet har betydningen som følger av GDPR. En bruker er en person kunden har autorisert til å få tilgang til tjenesten. En underdatabehandler er en annen databehandler RessursAgent engasjerer for å behandle personopplysninger på kundens vegne.
Kundedata betyr informasjon som sendes inn til eller genereres i tjenesten etter kundens instruksjoner. Denne avtalen regulerer personopplysningene i denne informasjonen, inkludert planleggingsopplysninger, kommunikasjon, dokumenter og analyseresultater. Om RessursAgent er databehandler eller behandlingsansvarlig for en bestemt aktivitet, avhenger av aktivitetens faktiske formål og ansvarsforhold, som beskrevet i punkt 2.
Tjeneste betyr RessursAgent programvare-som-en-tjeneste-applikasjon hos app.ressursagent.no og de funksjonene som er avtalt med kunden. Kundedata inkluderer informasjon som er lagt inn eller importert av autoriserte brukere og de resulterende planleggingsregistrene. Kunden beholder sine rettigheter til sitt innsendte innhold; denne DPA tillater behandling kun for å levere den avtalte tjenesten og oppfylle lovlige instruksjoner. Abonnementsvarighet, priser, støtteforpliktelser og oppsigelsesvarsel er spesifisert i Tjenesteavtalen, og kan ikke utledes fra en annen tilbyders vilkår.
RessursAgent skal kun behandle personopplysninger etter kundens dokumenterte instruksjoner, inkludert instruksjoner om utlevering og overføring utenfor EØS. Instruksjoner omfatter denne avtalen, dens utfylte vedlegg og forespørsler fra autoriserte brukere innenfor den avtalte tjenestefunksjonaliteten, inkludert API og MCP. Partene skal dokumentere etterfølgende instrukser og endringer i behandlingsomfang skriftlig.
RessursAgent skal ikke bruke personopplysninger behandlet under denne avtalen til egne ikke-relaterte formål, reklame, salg av data eller tverrkundeprofilering. Hvis RessursAgent bestemmer et eget formål og nødvendige behandlingsmidler, skal dets juridiske ansvar følge dens faktiske rolle under gjeldende lov; denne avtalen gir ikke myndighet til en slik endring av formål.
Når EU/EØS-lovgivning eller norsk lov som er bindende for RessursAgent krever behandling utenfor kundens instruksjoner, skal RessursAgent informere kunden om dette lovpålagte kravet før behandlingen, med mindre loven forbyr dette av viktige grunner knyttet til allmenn interesse. RessursAgent skal umiddelbart informere kunden dersom en instruksjon synes å bryte gjeldende personvernlovgivning, og skal suspendere den berørte instruksjonen inntil en lovlig fremgangsmåte er etablert.
Kunden skal fastsette og dokumentere et lovlig grunnlag i henhold til GDPR artikkel 6, gi informasjonen som kreves av artiklene 13 og 14, og overholde prinsippene i artikkel 5. Kunden skal sikre at personopplysninger er tilstrekkelige, relevante, begrenset til det som er nødvendig, nøyaktige og ikke oppbevares lenger enn nødvendig for de angitte formålene. Brukertillatelser, instruksjoner for oppbevaring og data som deles gjennom integrasjoner, skal gjenspeile disse formålene.
Kunden skal vurdere personvernrisikoer og, der det kreves av artikkel 35, utføre en vurdering av personvernkonsekvenser før relevant behandling begynner. Eventuell nødvendig forhåndskonsultasjon i henhold til artikkel 36 skal være fullført før behandling. RessursAgent skal bistå i henhold til punkt 11. Kunden skal også vurdere gjeldende regler for ansettelse og overvåking på arbeidsplassen.
Tjenesten støtter fraværskategorier og datoer for ressursplanlegging, som ferie eller sykdom. Kunden skal definere hvilke kategorier hver autorisert målgruppe trenger å se og dokumentere formålet og det rettslige grunnlaget. Detaljerte medisinske årsaker og diagnoser er utenfor standard planleggingsomfang. Eventuelle tilgangsbegrensninger kun basert på kategori må verifiseres før de brukes. Informasjon til mannskap kan gis gjennom arbeidskontrakter og relatert informasjon, men disse dokumentene erstatter ikke kundens vurderinger av rettslig grunnlag og nødvendighet.
En feriekategori indikerer ikke i seg selv helsestatus, men en sykekategori knyttet til en person avslører helseinformasjon selv uten diagnose eller detaljert forklaring. For den behandlingen skal kunden identifisere en gjeldende Artikkel 9(2)-betingelse samt et Artikkel 6-rettslig grunnlag. Anerkjennelse av arbeidskontrakt etablerer ikke i seg selv gyldig samtykke eller gjør at enhver utlevering er nødvendig. Når samtykke påberopes, må gyldigheten vurderes separat, inkludert valgfrihet i arbeidsforholdet, spesifisitet, informasjon og tilbakekall uten skade; Artikkel 9(2)(a) krever eksplisitt samtykke. Når kategorien ikke lovlig kan deles med en bestemt målgruppe, vis en generisk utilgjengelig-status i stedet. Kunden skal dokumentere det gjeldende grunnlaget, nødvendighet, tilgang og lagringssikkerhet.
Diagnoser, medisinske rapporter, unødvendige narrative detaljer, opplysninger om straffbare forhold og nasjonale identitetsnumre er utenfor standard planleggingsområde med mindre det avtales separat under nødvendige lovlige betingelser og sikkerhetstiltak. HMS-kortnumre er yrkesidentifikatorer, ikke tillatelse til å samle inn nasjonale identitetsnumre. RessursAgent skal følge lovlige instruksjoner for å begrense, returnere eller slette data utenfor det avtalte området; dens plikter fortsetter for data som faktisk mottas.
RessursAgent skal sikre at personer med tilgang er underlagt konfidensialitetsforpliktelser etter kontrakt eller lov. Tilgang skal begrenses til det som er nødvendig for oppgaven og fjernes når den ikke lenger trengs. Konfidensialitet skal fortsette etter ansettelse og etter at avtalen er avsluttet. Kundedata skal ikke deles med andre kunder eller brukes til uvedkommende tredjepartsformål.
Begge parter skal beskytte konfidensiell informasjon som utveksles for å administrere denne avtalen, inkludert sikkerhetsdokumentasjon og ikke-offentlig kundeinformasjon. Utlevering som er nødvendig for å oppfylle juridiske plikter, bistå enkeltpersoner, innhente profesjonell rådgivning under taushetsplikt eller samarbeide med en tilsynsmyndighet, er fortsatt tillatt.
RessursAgent skal implementere, opprettholde og dokumentere tekniske og organisatoriske tiltak som er passende i forhold til risikoen under GDPR artikkel 32, med hensyn til den teknologiske utviklingen, implementeringskostnader, arten, omfanget, konteksten og formålet med behandlingen, samt risikoer for enkeltpersoner. Tiltakene skal dekke kontinuerlig konfidensialitet, integritet, tilgjengelighet og motstandsdyktighet i behandlingen, tidsriktig gjenoppretting av tilgang til data etter en hendelse, og regelmessig testing og evaluering av deres effektivitet.
Vedlegg B skal registrere de konkrete tiltakene, inkludert tilgangskontroller, kundeseparasjon, beskyttelse av data under overføring og lagring, sikkerhetskopiering og gjenoppretting, sikker utvikling og hendelseshåndtering. Kryptering og pseudonymisering skal vurderes og anvendes der det er hensiktsmessig i forhold til risikoene. Personell skal kun behandle data innenfor sin autorisasjon og i henhold til kundens instruksjoner. Tiltakene skal være på plass før behandlingen de gjelder for begynner.
RessursAgent skal bistå kunden med innebygd personvern og personvern som standardinnstilling innenfor de tjenestene det leverer. Sikkerhetstiltak kan utvikles uten å redusere det avtalte nivået av beskyttelse eller overholdelse av gjeldende lov. Vesentlige endringer skal dokumenteres og kommuniseres til kunden.
Hver part skal opprettholde behandlingsprotokollene som kreves i henhold til artikkel 30, utpeke en personvernombud der artikkel 37 krever det, og samarbeide med kompetente tilsynsmyndigheter. RessursAgent skal beholde støttedokumentasjon for sikkerhet, regelmessig vurdere effektiviteten av tiltakene sine og utbedre identifiserte mangler. Publisering av denne avtalen er ikke en sertifisering eller en uavhengig sikkerhetsrevisjon.
RessursAgent skal ikke engasjere en underdatabehandler uten kundens forhåndsgodkjenning, enten spesifikk eller generell, skriftlig. Ved å inngå denne avtalen gir kunden godkjenning for underdatabehandlerne i Vedlegg C for de funksjonene som er inkludert i den avtalte tjenesten, og gir generell skriftlig godkjenning for senere tillegg eller erstatninger underlagt denne punkten. Å liste en valgfri tjeneste gir ikke tilgang til den eller autoriserer urelatert behandling.
RessursAgent skal varsle kunden direkte skriftlig om planlagte tillegg eller erstatninger av underdatabehandlere i god tid for å gi mulighet for en meningsfull innsigelse før den berørte behandlingen begynner. Varslingen skal identifisere enheten, aktiviteten, relevante data, behandlingssteder og overføringssikringer. Enhver ytterligere avtalt minimumsvarslingsperiode skal registreres i Vedlegg D. Partene skal søke en lovlig løsning på dokumenterte personverninnsigelser. Den omstridte behandlingen skal ikke starte for den kunden mens innsigelsen fortsatt er uløst; hvis ingen lovlig løsning er mulig, skal den berørte tjenesten suspenderes eller avsluttes med tilbakelevering og sletting i henhold til punkt 14.
Før en underdatabehandler mottar personopplysninger, skal RessursAgent vurdere dens tilstrekkelige garantier og inngå en bindende avtale som i hovedsak pålegger de samme forpliktelsene om databeskyttelse som denne avtalen for den delegerte behandlingen, inkludert passende sikkerhet og bistand. RessursAgent skal forbli fullt ansvarlig overfor kunden for underdatabehandlerens oppfyllelse av disse forpliktelsene i henhold til artikkel 28(4).
RessursAgent skal holde det godkjente registeret oppdatert og gi informasjon som er rimelig nødvendig for å verifisere underdatabehandlerordningene. Relevante avtaler kan forkortes kun etter behov for å beskytte konfidensiell informasjon uten å hindre kunden i å vurdere overholdelse. RessursAgent skal varsle kunden om underdatabehandlers manglende overholdelse som påvirker behandlingen og iverksette passende korrigerende tiltak.
Utførelse av applikasjonsfunksjoner, den primære applikasjonsdatabasen, og administrert databasebackup og gjenoppretting er konfigurert i Frankfurt, Tyskland. RessursAgent skal opprettholde denne regionale begrensningen for denne infrastrukturen. Innholdlevering, driftslogger, støtteoppkobling og separat engasjert AI, e-post, SMS og andre tjenester har sine egne behandlingssteder. Vedlegg C identifiserer disse tjenestene; punkter 8 og 9 regulerer bruk av dem og eventuelle internasjonale overføringer.
Vedlegg C skal identifisere de avtalte behandlings- og lagringsstedene, støtte tilgang fra andre land, og relevant viderebehandling. Å plassere en database i EØS etablerer ikke i seg selv at all behandling foregår der. Endringer av lokasjoner skal vurderes før implementering og er underlagt kundens dokumenterte instruksjoner og punkt 8 der en underdatabehandler endres.
Unntatt der den juridiske forpliktelsen beskrevet i punkt 4 gjelder, skal overføringer utenfor EØS kun finne sted på kundens dokumenterte instruksjoner. Hver slik overføring, inkludert relevant fjernadgang og videreoverføringer, må oppfylle GDPR kapittel V. Før data overføres, skal RessursAgent dokumentere mottaker, land og gjeldende mekanisme, slik som en adekvat beslutning innenfor dens omfang eller passende garantier i henhold til artikkel 46.
Når standard kontraktspunkter brukes, skal RessursAgent vurdere deres effektive beskyttelse i overføringssituasjonen, dokumentere relevant lovgivning og praksis i mottakerlandet, og iverksette supplerende tiltak der det er nødvendig. Overføringer skal ikke starte, eller skal settes på pause, dersom den nødvendige beskyttelsen ikke kan sikres. Denne avtalen er i seg selv ikke en overføringsmekanisme under kapittel V.
Når aktivert og konfigurert, bruker assistenten Anthropic sin kommersielle Claude API for å tolke forespørsler, forberede foreslåtte handlinger, komponere svar og gi språklig støtte. Oppgavekontekst kan inkludere utvalgte personer, utstyr, prosjekter, datoer, oppgaver og tilgjengelig planleggingsinformasjon; brukerprofildetaljer, lagrede preferanser eller minner, nylige spørsmål og relevant samtalehistorikk kan også inkluderes. Vedlegg behandles når de sendes inn. Det tillatte omfanget må kontrolleres mot faktisk promptkonstruksjon og brukerrettigheter, inkludert valgfrie felt. RessursAgent skal kun avsløre det som er nødvendig for den autoriserte oppgaven.
RessursAgent bruker Anthropic under sine standard kommersielle vilkår, som inkluderer et tillegg for databehandling og forbyr trening på kundens innhold. Standard API-inndata og -utdata slettes vanligvis innen 30 dager; filtjenester kontrollert av leverandøren, modellspesifikke sikkerhetskrav, undersøkelser av bruksregler og juridiske forpliktelser kan ha annen lagringstid. Ingen skreddersydd ordning for null datalagring er inkludert. RessursAgent skal dokumentere gjeldende modell, verktøy, lagrings- og overføringsordninger og begrense data som avsløres til den autoriserte oppgaven.
Som en kontraktsmessig begrensning for denne tjenesten, skal ikke RessursAgent bruke, eller tillate at dets underdatabehandlere bruker, personopplysninger behandlet under denne avtalen for å trene eller forbedre generelle modeller, lage tverrkundeprofiler eller utvikle ikke-relaterte produkter. Leverandøravtaler og innstillinger skal støtte denne begrensningen før relevant behandling begynner. Enhver behandling for sikkerhet eller overvåking av misbruk skal dokumenteres, begrenses til et lovlig formål og vurderes i forhold til leverandørens faktiske rolle.
AI-output er beslutningsstøtte og kan inneholde feil. Kunden skal sørge for meningsfull menneskelig gjennomgang, med myndighet til å avvise eller endre forslaget, før man stoler på output for beslutninger om enkeltpersoner. Planleggingsendringer foreslått av RessursAgent-assistenten krever godkjenning fra brukeren og forblir underlagt tjenestens tillatelses- og valideringskontroller. Et enkelt bekreftelsesklikk etablerer ikke meningsfull gjennomgang. Enhver beslutning som er ment å være fullt automatisert og som gir juridiske eller tilsvarende betydningsfulle effekter, krever en separat vurdering av artikkel 22, en gjeldende unntaksbestemmelse og de nødvendige sikkerhetstiltakene; det er ikke autorisert av standard prosesseringsinstruksjoner.
Vedlegg og samtalehistorikk kan behandles for å oppfylle den autoriserte forespørselen. Utdraget dokumenttekst eller opplastede filer kan sendes til AI-leverandøren avhengig av filtype. Søknadshistorikk og filer som holdes av leverandøren har separate oppbevaringsordninger. For midlertidige Files API-opplastinger, ber applikasjonen om en utløpstid på maksimalt én time, validerer den returnerte utløpstiden før bruk og ber om sletting etter behandling. Disse applikasjonskontrollene lover ikke umiddelbar fysisk sletting av hver kopi hos leverandøren. RessursAgent skal følge opp mislykkede forespørsler om utløp/sletting, anvende lovlige sletteinstruksjoner på relevante kopier og dokumentere eventuell begrenset gjenværende oppbevaring under punkt 14.
SMS bruker Strex/Target365. Produkt-e-post og autentiserings-e-post, inkludert invitasjoner og gjenoppretting av passord, bruker Resend. Disse tjenestene bearbeider mottakeropplysninger, relevant innhold, leveringshendelser og lenker. Den godkjente omfanget, stedene og oppbevaringen skal registreres i Vedlegg C. Sensitive fraværsopplysninger og HMS-kortnummer skal ikke inkluderes i meldinger eller AI-prompt med mindre det er vurdert separat og spesifikt autorisert med egnet leverandørbeskyttelse.
Kundesystemer og eksterne AI-klienter som bruker API eller MCP skal vurderes ut fra hvem som engasjerer dem, deres faktiske rolle, dataene de får tilgang til og handlingene de er autorisert til. De er ikke automatisk RessursAgent underdatabehandlerer. Kunden skal sikre nødvendige instrukser, lovlig utlevering og avtaler for tjenester de engasjerer; RessursAgent forblir ansvarlig for forpliktelser knyttet til sin egen tjeneste og underdatabehandlerer.
Den valgfrie kartvisningen bruker Google Maps. Adressegeokoding bruker Kartverkets Geonorge-tjeneste, inkludert prosjektadresser og ressursarbeidsbaseadresser der det er konfigurert. Kundestyrte lenker kan avsløre et telefonnummer til Gule Sider eller et HMS-kortnummer til Jobbkort etter at brukeren klikker. Disse avsløringene og eksterne identitetsleverandører blir registrert separat i Vedlegg C; deres roller og lovlige bruk må vurderes i stedet for å behandle hver ekstern tjeneste som en databehandler. Hverken denne avtalen eller en tilkoblingskatalog gir tillatelse til unødvendig utlevering.
Kunden er ansvarlig for å svare på enkeltpersoner som utøver rettigheter i henhold til GDPR Kapittel III. RessursAgent skal umiddelbart videresende forespørsler den mottar og skal ikke svare på vegne av kunden uten instruksjoner med mindre det er juridisk påkrevd. Forespørsler til privacy@ressursagent.no skal identifisere sak, omfang og gjeldende frist uten å inkludere unødvendige personopplysninger.
Med hensyn til behandlingsart, skal RessursAgent bistå gjennom passende tekniske og organisatoriske tiltak, så langt det er mulig, slik at kunden kan oppfylle forespørsler om tilgang, retting, sletting, begrensning, dataportabilitet og innsigelse, samt andre gjeldende rettigheter i Kapittel III. Partene skal sørge for sikker utveksling og tilstrekkelig rask bistand for å møte lovpålagte frister; interne prosedyrer skal ikke forlenge disse fristene.
Med hensyn til behandlingsens art og informasjonen som er tilgjengelig for den, skal RessursAgent bistå kunden med forpliktelser under artiklene 32–36, inkludert sikkerhet, vurdering av brudd og varsling, konsekvensanalyser og forhåndskonsultasjon. Avtalte operasjonelle detaljer skal registreres i bilag B og D. Eventuelle gebyrer for bistand må avtales på forhånd og skal ikke hindre lovpålagt bistand.
RessursAgent skal uten unødig opphold varsle kundens angitte kontaktperson for hendelser etter å ha blitt oppmerksom på et brudd på personopplysningssikkerheten som påvirker behandlingen under denne avtalen, som krevd av artikkel 33(2). Den skal ikke vente på full undersøkelse eller sin egen vurdering av om bruddet må rapporteres til en myndighet. Dersom informasjonen er ufullstendig, skal et foreløpig varsel følges opp med oppdateringer uten unødig opphold.
I den grad det er tilgjengelig, skal varslingen identifisere bruddets art, berørte kategorier og omtrentlig antall personer og poster, sannsynlige konsekvenser, tiltak for avgrensning og utbedring, samt en kontaktperson for ytterligere informasjon. RessursAgent skal dokumentere fakta og respons, bevare relevant bevismateriale, iverksette proporsjonale tiltak for avgrensning og redusere skade, samt bistå kunden.
Kunden skal vurdere og oppfylle sine forpliktelser i henhold til artiklene 33 og 34. Når myndighetsmelding kreves, krever artikkel 33(1) melding uten unødig opphold og, der det er mulig, innen 72 timer etter at kunden blir oppmerksom; forsinket melding må forklare årsakene. Melding er ikke påkrevd der overtredelsen sannsynligvis ikke vil medføre risiko for enkeltpersoners rettigheter og friheter. Kommunikasjon til enkeltpersoner skal følge artikkel 34, inkludert dens terskel for høy risiko og gjeldende unntak. Disse reglene gir ikke RessursAgent en 72-timers ventetid for å varsle kunden.
Kunden skal umiddelbart informere RessursAgent om kompromitterte kontoer eller andre hendelser som påvirker tjenesten, og samarbeide om innskrenkning. Hendelseskontakter, eskaleringskanaler og eventuelle strengere kontraktsmessige responstider skal fylles ut i Vedlegg D og skal ikke utsette en lovpålagt forpliktelse.
RessursAgent skal gjøre tilgjengelig all informasjon som er nødvendig for å demonstrere overholdelse av artikkel 28 og denne avtalen, svare tilstrekkelig på kundens henvendelser, og tillate og bidra til revisjoner, inkludert inspeksjoner, utført av kunden eller en revisor den bemyndiger. Relevante uavhengige rapporter kan støtte denne vurderingen, men skal ikke automatisk erstatte en nødvendig revisjon eller inspeksjon.
Rutinemessige revisjoner bør normalt planlegges med fire ukers varsel. Denne planleggingsforventningen begrenser ikke revisjoner som er nødvendig på hastende basis etter en hendelse, mistenkt manglende overholdelse eller krav fra en myndighet. Partene skal avtale proporsjonale ordninger som beskytter andre kunders data og konfidensiell informasjon uten å hindre effektiv verifisering. Kostnader skal avtales på forhånd og skal ikke gjøre revisjonsretten ineffektiv. Relevant dokumentasjon og funn skal være tilgjengelige for den kompetente tilsynsmyndigheten der det kreves.
RessursAgent skal overholde prinsippet om lagringsbegrensning i GDPR artikkel 5(1)(e) og gjeldende norsk personvernlovgivning. Personopplysninger som behandles på vegne av kunden, skal kun beholdes så lenge det er nødvendig for de avtalte formålene og lovlige dokumenterte instruksjoner, eller som krevd av gjeldende lov. Kunden skal definere relevante lagringsperioder eller objektive kriterier, og RessursAgent skal implementere de avtalte gjennomgangs- og slettingsprosedyrene. Det finnes ingen enkelt lovbestemt lagringsperiode som gjelder for alle data i tjenesten.
Under tjenesten skal RessursAgent implementere lovlige instruksjoner om oppbevaring og sletting innenfor avtalt omfang. Når de relevante behandlingstjenestene avsluttes, skal kunden velge enten tilbakelevering eller sletting av personopplysningene. RessursAgent skal utføre dette valget og slette gjenværende kopier, med mindre EU/EØS-lovgivning eller norsk lov krever fortsatt lagring. Data skal ikke oppbevares eller brukes til uvedkommende formål etter avslutning.
Retur eller sletting skal fullføres uten unødig forsinkelse og innen 30 kalenderdager etter at kundens instruksjoner og nødvendig omfang er avklart. RessursAgent skal søke nødvendig avklaring umiddelbart og skal ikke bruke avklaringen til å unødvendig forlenge lagringen. Retur skal bruke et strukturert, vanlig brukt format og en autentisert eller kryptert leveringskanal. Gjenværende aktive kopier skal slettes når retur er fullført, med mindre en lovlig instruks krever noe annet eller plikt til oppbevaring gjelder. Prosedyren dekker aktive systemer, vedlegg, relevante logger og underdatabehandlerkopier, med forbehold om dokumenterte sikkerhetskopier og lovlige leverandøroverskridelser nevnt nedenfor. Denne operative fristen forlenger ikke lovbestemte frister for enkeltpersoners rettigheter.
Sikkerhetskopier som venter på sletting under en dokumentert oppbevaringssyklus skal beskyttes og være utilgjengelige for vanlig bruk. RessursAgent’s administrerte database-sikkerhetskopier roteres over omtrent syv dager. Leverandørspesifikke gjenværende kopier følger de gjeldende begrensede oppbevaringsordningene som er angitt i Vedlegg C. Ved retur eller sletting skal RessursAgent registrere og informere kunden om den endelige utløpsdatoen eller gjeldende juridiske oppbevaringskriterium for eventuelle gjenværende kopier. En leverandørpolicy tillater ikke i seg selv oppbevaring i strid med gjeldende lov eller denne avtalen. Utestående slettingsinstruksjoner skal brukes på nytt før normal tilgang gjenopptas etter en gjenoppretting. RessursAgent skal innhente passende bevis for undertilbyders sletting og skriftlig bekrefte fullføring og eventuelle begrensede gjenværende oppbevaringer til kunden.
Når loven krever fortsatt lagring, skal RessursAgent, med mindre det er forbudt, informere kunden om det rettslige grunnlaget, berørte data og nødvendig periode. Tilgang og behandling skal begrenses til det lovkravet, og dataene skal forbli beskyttet til sletting.
Hver part er ansvarlig for sine forpliktelser under gjeldende personvernlovgivning og denne avtalen. Ansvar mellom partene følger gjeldende lov og eventuelle gyldige begrensninger som uttrykkelig er avtalt i tjenesteavtalen. Ingen begrensning skal erstatte obligatoriske forpliktelser eller skape en tilleggstak gjennom denne avtalen.
Ingenting i denne avtalen begrenser registrertes rettigheter til erstatning i henhold til GDPR artikkel 82 eller tilsynsmyndigheters myndighet. Der en part har betalt erstatning for skade som den andre parten er ansvarlig for, skal gjensidig regresjon mellom partene følge ansvarsfordelingen i henhold til artikkel 82(5) og gjeldende rett.
Endringer som kreves av lov, tjenesteutvikling eller behandlingsordninger skal dokumenteres. Foreslåtte vesentlige endringer skal normalt varsles minst 30 dager før den tiltenkte ikrafttredelsesdatoen og krever skriftlig avtale, inkludert elektronisk avtale. Publisering av et revidert dokument endrer ikke i seg selv en inngått kundekontrakt. Leverandørendringer følger punkt 8; obligatoriske lovpålagte forpliktelser gjelder når det er lovpålagt.
Ved manglende overholdelse skal partene søke tidsriktig utbedring. Behandling som ikke kan gjennomføres lovlig skal suspenderes eller avsluttes på en måte som beskytter dataene, med retur og sletting under punkt 14. Obligatoriske juridiske forpliktelser har forrang foran motstridende instruksjoner eller vilkår.
Denne avtalen reguleres av norsk lov. Med forbehold om obligatoriske jurisdiksjonsregler skal tvister mellom partene som oppstår fra denne avtalen bringes inn for Oslo tingrett. Dette begrenser ikke de registrertes lovbestemte rettsmidler, deres rett til å klage til tilsynsmyndighet eller myndighetenes fullmakter.
Engelsk er det styrende avtalespråket for denne avtalen og alle vedlegg. Oversettelsene gjør avtalen tilgjengelig på nettstedets språk. Ved forskjeller i betydning har den engelske versjonen forrang. Utfylte vedlegg, skriftlige endringer og den avtalte versjonen skal oppbevares på engelsk.
Dette vedlegget definerer standard omfang av behandling. Den kunde-spesifikke bestillingen og Vedlegg D identifiserer de funksjonene som faktisk brukes og eventuelle ytterligere lovlige instrukser. Valgfrie funksjoner og tilkoblinger gir ikke autorisasjon til ubegrenset utlevering.
Følgende tekniske og organisatoriske tiltak utgjør en del av RessursAgents forpliktelser under punkt 7. Støttedokumentasjon, testprotokoller og sikkerhetsvurderinger oppbevares separat og gjøres tilgjengelig under punkt 13. Ingen sertifisering, kontinuerlig tilgjengelighet eller numerisk gjenopprettingsgaranti er underforstått.
Følgende register identifiserer RessursAgent sine underdatabehandlere og andre mottakere for standardtjenesten. Tilleggsytelser gjelder kun når de er inkludert i den avtalte tjenesten. RessursAgent skal holde registeret og de støttende mottaker-, land-, lagrings- og overføringsopplysningene oppdatert, gjøre dem tilgjengelige i henhold til punkt 13, og følge punkt 8 for endringer av underdatabehandlere.
Frankfurt-begrensningen gjelder for infrastrukturen spesifisert i punkt 9. Den gjelder ikke for hver mottaker som er oppført nedenfor. Internasjonale overføringer og relevant fjernadgang krever de sikkerhetstiltakene som står i punkt 9. Leverandørlinker gir støttende informasjon; endringer på en leverandørs nettsted endrer ikke automatisk kundens avtalte vilkår.
Kundespesifikk informasjon nedenfor leveres av den aksepterte tjenesteordren, kontoadministrasjonsregisteret og eventuelle avtalte skriftlige instrukser. Den trenger ikke å gjentas i en egen signert tidsplan. Standardbestemmelsene i Vedlegg A–C gjelder med mindre partene skriftlig avtaler en lovlig variasjon.
Publisert avtale · Versjon 1.0 · 14. oktober 2026