Hur RessursAgent behandlar och skyddar personuppgifter för din organisations räkning. Läs hela avtalet och dess bilagor på det språk du valt.
Publicerat avtalVersion 1.0 · 14 oktober 2026
Alla språkversioner hänvisar till avtalsversion 1.0. Engelska är det styrande kontraktsspråket och gäller om en översättning skiljer sig i betydelse. Läs den engelska versionen ↗
Detta är RessursAgents publicerade standardavtal för databehandling. Det blir bindande för en kund när denna version införlivas i ett tjänsteavtal eller på annat sätt godkänns skriftligen, även elektroniskt. Endast publicering ändrar inte ett befintligt kundavtal. Kund- och tjänstedetaljer tillhandahålls genom den accepterade beställningen och arrangemangen i bilaga D.
Dessa villkor omfattar behandlingen av personuppgifter i RessursAgent. Bilagorna definierar behandlingsomfång, säkerhetsåtgärder, leverantörer och kundspecifika arrangemang.
Personuppgiftsbiträdet är RessursAgent AS, norskt organisationsnummer 935 854 067, Gydas vei 22, 0363 Oslo, Norge. Dataskyddskontakt: privacy@ressursagent.no. Den personuppgiftsansvarige är kunden som anges i tjänsteavtalet. Bilaga D kan identifiera kunden och överenskommen tjänst med hänvisning till den beställningen; det krävs ingen andra kopia av information som redan tydligt har registrerats där.
Detta avtal och dess bilagor ska ingås skriftligen, inklusive elektroniskt, innan behandling å kundens vägnar påbörjas. Parterna kan införliva denna identifierade version i en accepterad serviceorder utan separat handskriven signatur. Att besöka denna sida ensam utgör inte ett godkännande. Ett separat ingånget kundpersonuppgiftsbiträdesavtal förblir giltigt såvida inte parterna kommer överens om att ersätta det. Om det finns en konflikt med serviceavtalet, äger detta personuppgiftsbiträdesavtal företräde för behandlingen av personuppgifter.
Detta DPA, inklusive dess bilagor och eventuella överenskomna kundspecifika instruktioner, utgör en del av RessursAgent Serviceavtalet som identifieras under Bilaga D. Den överenskomna prenumerationen/beställningen och tillämpliga RessursAgent-villkor styr kommersiella frågor. Den accepterade versionen ska förvaras tillsammans med kundavtalet.
Detta avtal reglerar behandling för att tillhandahålla och stödja RessursAgent: Min plan, projektplanering, resursplanering, strategisk planering och överenskomna AI-, kommunikations- och anslutningsfunktioner. Bilaga A specificerar ämnesområde, karaktär, syften, varaktighet, typer av personuppgifter och kategorier av registrerade. Avtalet gäller så länge RessursAgent eller en underbiträde behandlar personuppgifter på kundens vägnar, inklusive perioden för återlämnande och radering.
Kunden bestämmer ändamålen och de väsentliga medlen. RessursAgent bestämmer praktiska tekniska arrangemang inom dessa instruktioner. Användarkonton, åtkomsträttigheter och aktivitetsloggar omfattas när de behandlas för att leverera tjänsten på kundens uppdrag. Data som behandlas av RessursAgent för sina egna särskilda ändamål, såsom fakturering och kundrelationskontakter, måste beskrivas separat i integritetspolicyn. Data faller inte utanför detta avtal bara för att det är operativ data.
Tillämpbar dataskyddslag betyder förordning (EU) 2016/679 (den allmänna dataskyddsförordningen eller GDPR), i den mån den är tillämplig inom EES och införlivad i norsk lag genom den norska personuppgiftslagen av den 15 juni 2018 nr. 38, tillsammans med tillämplig kompletterande dataskyddslagstiftning. Avtalet är avsett att specificera de behandlingsarrangemang som krävs enligt artikel 28 i GDPR. Obligatoriskt skydd enligt tillämplig lag förblir opåverkat.
Personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, personuppgiftsincident och tillsynsmyndighet har den betydelse som anges i GDPR. En användare är en person som kunden har gett behörighet att använda tjänsten. Ett underbiträde är ett annat personuppgiftsbiträde som RessursAgent anlitar för att behandla personuppgifter för kundens räkning.
Kunddata avser information som lämnas till eller skapas i tjänsten enligt kundens instruktioner. Detta avtal reglerar personuppgifterna i denna information, inklusive planeringsuppgifter, kommunikation, dokument och analysresultat. Om RessursAgent är personuppgiftsbiträde eller personuppgiftsansvarig för en viss aktivitet beror på dess faktiska ändamål och ansvar, enligt punkt 2.
Tjänst avser RessursAgent programvara-som-en-tjänst-applikationen på app.ressursagent.no och de funktioner som överenskommits med kunden. Kunddata inkluderar information som anges eller importeras av auktoriserade användare och de resulterande planeringsposterna. Kunden behåller sina rättigheter i sitt inlämnade innehåll; denna DPA tillåter endast behandling för att tillhandahålla den överenskomna tjänsten och uppfylla lagliga instruktioner. Prenumerationsperiod, pris, supportåtaganden och uppsägningsmeddelande specificeras i tjänsteavtalet, inte härledd från en annan leverantörs villkor.
RessursAgent ska behandla personuppgifter endast enligt kundens dokumenterade instruktioner, inklusive instruktioner avseende utlämnande och överföringar utanför EES. Instruktioner omfattar detta avtal, dess ifyllda bilagor och begäran från auktoriserade användare inom den avtalade tjänstefunktionaliteten, inklusive API och MCP. Parterna ska dokumentera efterföljande instruktioner och ändringar av behandlingsomfånget skriftligen.
RessursAgent ska inte använda personuppgifter som behandlas enligt detta avtal för sina egna orelaterade syften, reklam, försäljning av data eller kors-kundprofilering. Om RessursAgent fastställer ett separat syfte och nödvändiga medel för behandlingen, ska dess juridiska ansvar följa dess faktiska roll enligt tillämplig lag; detta avtal ger inte behörighet till sådan ändring av syftet.
När EU/EES-lag eller norsk lag som är bindande för RessursAgent kräver behandling utanför kundens instruktioner, ska RessursAgent informera kunden om detta lagkrav innan behandlingen sker, såvida lagen inte förbjuder detta av viktiga skäl av allmänt intresse. RessursAgent ska omedelbart informera kunden om en instruktion verkar strida mot gällande dataskyddslagstiftning och ska avbryta den berörda instruktionen tills ett lagligt tillvägagångssätt fastställts.
Kunden ska fastställa och dokumentera en laglig grund enligt GDPR artikel 6, tillhandahålla informationen som krävs enligt artiklarna 13 och 14, samt följa principerna i artikel 5. Kunden ska säkerställa att personuppgifter är adekvata, relevanta, begränsade till vad som är nödvändigt, korrekta och inte lagras längre än vad som krävs för de angivna ändamålen. Användarbehörigheter, lagringsinstruktioner och data som delges via integrationer ska återspegla dessa ändamål.
Kunden ska bedöma integritetsrisker och, där det krävs enligt artikel 35, genomföra en konsekvensbedömning av dataskydd innan den relevanta behandlingen påbörjas. Eventuell erforderlig förhandskonsultation enligt artikel 36 ska slutföras innan behandlingen. RessursAgent ska bistå enligt klausul 11. Kunden ska även beakta tillämpliga regler för anställning och arbetsplatsövervakning.
Tjänsten stöder frånvarokategorier och datum för resursplanering, såsom semester eller sjukdom. Kunden ska definiera vilka kategorier varje auktoriserad målgrupp behöver se och dokumentera syfte och rättslig grund. Detaljerade medicinska skäl och diagnoser ligger utanför standardplaneringsområdet. Eventuell åtkomstbegränsning baserad enbart på kategori måste verifieras innan den används. Personalmeddelanden kan tillhandahållas via anställningsavtal och relaterad information, men dessa dokument ersätter inte kundens bedömning av rättslig grund och nödvändighet.
En semestertyp indikerar inte i sig själv hälsotillstånd, men en sjukdomskategori kopplad till en person avslöjar hälsouppgifter även utan diagnos eller detaljerad förklaring. För sådan behandling ska kunden ange en tillämplig Artikel 9(2)-förutsättning samt en Artikel 6-basis. Erkännande av anställningsavtal fastställer inte i sig giltigt samtycke eller gör varje utlämnande nödvändigt. När samtycke åberopas måste dess giltighet bedömas separat, inklusive frihet att välja i anställningsförhållandet, specificitet, information och möjlighet att återkalla utan nackdel; Artikel 9(2)(a) kräver uttryckligt samtycke. När kategorin inte lagligen kan delas med en viss målgrupp, visa istället en generell otillgänglig status. Kunden ska dokumentera tillämplig grund, nödvändighet, åtkomst och säkerhetsåtgärder för lagring.
Diagnoser, medicinska rapporter, onödiga berättande detaljer, uppgifter om brottsliga handlingar och personnummer ligger utanför den standardiserade planeringsramen om det inte särskilt avtalats med nödvändiga lagliga villkor och skyddsåtgärder. HMS-kortsnummer är yrkesidentifierare, inte tillstånd att samla in personnummer. RessursAgent ska följa lagliga instruktioner för att begränsa, returnera eller radera data som ligger utanför det avtalade området; dess uppgifter fortsätter för data som faktiskt mottagits.
RessursAgent ska säkerställa att personer med åtkomst omfattas av avtalsenliga eller lagstadgade sekretessplikter. Åtkomst ska begränsas till vad som är nödvändigt för uppgiften och tas bort när den inte längre behövs. Sekretessen ska fortsätta efter anställningens och avtalets slut. Kunddata får inte avslöjas för andra kunder eller användas för ändamål som inte rör tredje part.
Båda parter ska skydda konfidentiell information som utbyts för att administrera detta avtal, inklusive säkerhetsdokumentation och icke-offentlig kundinformation. Utlämnande som är nödvändigt för att uppfylla juridiska skyldigheter, hjälpa individer, erhålla professionell rådgivning under sekretess eller samarbeta med tillsynsmyndighet är fortfarande tillåtet.
RessursAgent ska genomföra, upprätthålla och dokumentera tekniska och organisatoriska åtgärder som är lämpliga med hänsyn till risken enligt GDPR artikel 32, med beaktande av den tekniska utvecklingen, kostnader för implementering, karaktär, omfattning, sammanhang och syften med behandlingen samt risker för individer. Åtgärderna ska omfatta löpande konfidentialitet, integritet, tillgänglighet och resiliens i behandlingen, snabb återställning av åtkomst till data efter en incident samt regelbunden testning och utvärdering av deras effektivitet.
Bilaga B ska dokumentera de konkreta åtgärderna, inklusive åtkomstkontroller, kundseparering, skydd av data under överföring och i vila, säkerhetskopiering och återställning, säker utveckling och hantering av incidenter. Kryptering och pseudonymisering ska bedömas och tillämpas där det är lämpligt med hänsyn till riskerna. Personal ska endast behandla data inom ramen för sin auktorisation och kundens instruktioner. Åtgärder ska vara på plats innan den behandling de avser påbörjas.
RessursAgent ska bistå kunden med dataskydd genom design och som standard inom de tjänster som tillhandahålls. Säkerhetsåtgärder kan utvecklas utan att minska den överenskomna skyddsnivån eller efterlevnaden av gällande lag. Väsentliga förändringar ska dokumenteras och kommuniceras till kunden.
Varje part ska upprätthålla de behandlingsregister som krävs enligt artikel 30, utse ett dataskyddsombud när artikel 37 kräver det, och samarbeta med behöriga tillsynsmyndigheter. RessursAgent ska behålla stödjande säkerhetsdokumentation, regelbundet bedöma effektiviteten i sina åtgärder och åtgärda identifierade brister. Offentliggörandet av detta avtal är inte en certifiering eller en oberoende säkerhetsrevision.
RessursAgent ska inte anlita en underbiträde utan kundens föregående specifika eller allmänna skriftliga godkännande. Genom att ingå detta avtal godkänner kunden underbiträdena i bilaga C för de funktioner som ingår i den avtalade tjänsten och ger ett allmänt skriftligt godkännande för senare tillägg eller ersättningar enligt denna klausul. Att lista en valfri tjänst innebär inte att den aktiveras eller godkänner orelaterad behandling.
RessursAgent ska meddela kunden direkt skriftligen om avsedd tillägg eller ersättning av underbiträde i god tid för att möjliggöra ett meningsfullt invändningsförfarande innan den berörda behandlingen påbörjas. Meddelandet ska identifiera enheten, aktiviteten, relevanta uppgifter, behandlingsplatser och överföringsskyddsåtgärder. Eventuell ytterligare överenskommen minsta meddelandetid ska dokumenteras i Bilaga D. Parterna ska söka en laglig lösning på vederbörligen grundade dataskyddsinvändningar. Den omtvistade behandlingen får inte påbörjas för den kunden medan invändningen är olöst; om ingen laglig lösning är möjlig ska den berörda tjänsten avbrytas eller avslutas med återlämning och radering enligt klausul 14.
Innan en underbiträde tar emot personuppgifter ska RessursAgent bedöma dess tillräckliga garantier och ingå ett bindande avtal som i huvudsak ålägger samma dataskyddsförpliktelser som detta avtal för den delegerade behandlingen, inklusive lämplig säkerhet och assistans. RessursAgent ska förbli fullt ansvarig gentemot kunden för underbiträdets fullgörande av dessa förpliktelser enligt artikel 28(4).
RessursAgent ska hålla det godkända registret uppdaterat och tillhandahålla information som rimligen behövs för att verifiera arrangemangen för underbiträden. Relevanta avtal får redigeras endast i den utsträckning som behövs för att skydda konfidentiell information utan att hindra kunden från att bedöma efterlevnad. RessursAgent ska underrätta kunden om underbiträdets icke-efterlevnad som påverkar behandlingen och vidta lämpliga åtgärder för rättelse.
Utförande av applikationsfunktioner, den primära applikationsdatabasen samt hanterad databasbackup och återställning är konfigurerade i Frankfurt, Tyskland. RessursAgent ska upprätthålla denna regionala begränsning för den infrastrukturen. Innehållsleverans, operativa loggar, supportåtkomst samt separat engagerad AI, e-post, SMS och andra tjänster har sina egna bearbetningsplatser. Bilaga C identifierar dessa tjänster; klausulerna 8 och 9 reglerar deras användning och eventuella internationella överföringar.
Bilaga C ska identifiera de överenskomna bearbetnings- och lagringsplatserna, stödja åtkomst från andra länder och relevant vidarebearbetning. Att placera en databas inom EES etablerar inte i sig att all bearbetning sker där. Ändringar av platser ska utvärderas innan de genomförs och är föremål för kundens dokumenterade instruktioner och klausul 8 när en underbiträde ändras.
Förutom där den rättsliga skyldighet som beskrivs i klausul 4 gäller, ska överföringar utanför EES endast ske på kundens dokumenterade instruktioner. Varje sådan överföring, inklusive relevant fjärråtkomst och vidareöverföringar, måste uppfylla GDPR kapitel V. Innan data överförs ska RessursAgent dokumentera mottagaren, landet och tillämplig mekanism, såsom ett adekvat beslut inom dess tillämpningsområde eller lämpliga skyddsåtgärder enligt artikel 46.
När standardavtalsklausuler används ska RessursAgent bedöma deras effektiva skydd i förhållande till överföringens omständigheter, dokumentera relevant lagstiftning och praxis i mottagarlandet och genomföra kompletterande åtgärder där det är nödvändigt. Överföringar får inte påbörjas, eller ska avbrytas, om det erforderliga skyddet inte kan garanteras. Detta avtal är inte i sig ett överföringsmekanism enligt kapitel V.
När den är aktiverad och konfigurerad använder assistenten Anthropic:s kommersiella Claude API för att tolka förfrågningar, förbereda föreslagna åtgärder, komponera svar och tillhandahålla språkstöd. Uppgiftskontext kan omfatta utvalda personer, utrustning, projekt, datum, uppgifter och tillgänglig planeringsinformation; användarprofiluppgifter, sparade preferenser eller minnen, nyligen ställda frågor och relevant konversationshistorik kan också inkluderas. Bilagor bearbetas när de lämnas in. Den tillåtna omfattningen måste kontrolleras mot faktisk promptkonstruktion och användarbehörigheter, inklusive valfria fält. RessursAgent ska endast avslöja det som är nödvändigt för den auktoriserade uppgiften.
RessursAgent använder Anthropic under sina standardvillkor för kommersiellt bruk, vilka inkluderar ett tillägg för databehandling och förbjuder träning på kundinnehåll. Standard-API-inmatningar och -utmatningar raderas normalt inom 30 dagar; filtjänster som kontrolleras av leverantören, modell-specifika säkerhetskrav, undersökningar av användningspolicy och juridiska skyldigheter kan ha annan lagringstid. Ingen specialanpassad noll-data-lagringsöverenskommelse ingår. RessursAgent ska dokumentera den tillämpliga modellen, verktyget, lagrings- och överföringsarrangemang och begränsa de data som lämnas ut till den auktoriserade uppgiften.
Som en kontraktsmässig begränsning för denna tjänst får RessursAgent inte använda, eller tillåta sina underbiträden att använda, personuppgifter som behandlas enligt detta avtal för att träna eller förbättra generella modeller, skapa profiler över flera kunder eller utveckla orelaterade produkter. Leverantörsavtal och inställningar ska stödja denna begränsning innan den relevanta behandlingen påbörjas. All säkerhets- eller missbruksövervakningsbehandling ska dokumenteras, begränsas till ett lagligt syfte och bedömas utifrån leverantörens faktiska roll.
AI-output är beslutsstöd och kan innehålla fel. Kunden ska tillhandahålla betydande mänsklig granskning, med befogenhet att avvisa eller ändra förslaget, innan man litar på output för beslut som rör individer. Planeringsförändringar föreslagna av RessursAgent-assistenten kräver användarens godkännande och förblir föremål för tjänstens tillstånds- och valideringskontroller. Ett bekräftelseklick ensam etablerar inte en betydande granskning. Varje avsedd helt automatiserad beslut som ger juridiska eller liknande betydande effekter kräver en separat bedömning av artikel 22, ett tillämpligt undantag och de nödvändiga skyddsåtgärderna; det är inte auktoriserat av de standardiserade bearbetningsinstruktionerna.
Bifogade filer och konversationshistorik kan behandlas för att uppfylla den auktoriserade begäran. Utdrag från dokumenttext eller uppladdade filer kan skickas till AI-leverantören beroende på filtyp. Applikationshistorik och filer som hålls av leverantören har separata lagringsordningar. För tillfälliga Files API-uppladdningar begär applikationen en utgångstid på högst en timme, validerar den återlämnade utgångstiden innan användning och begär radering efter bearbetning. Dessa applikationskontroller lovar inte omedelbar fysisk radering av varje kopia hos leverantören. RessursAgent ska följa upp misslyckade förfrågningar om utgång/ radering, tillämpa lagliga raderingsinstruktioner på relevanta kopior och dokumentera eventuell begränsad kvarvarande lagring enligt klausul 14.
SMS använder Strex/Target365. Produktmejl och autentiseringsmejl, inklusive inbjudningar och återställning av lösenord, använder Resend. Dessa tjänster bearbetar mottagarinformation, relevant innehåll, leveranshändelser och länkar. Den godkända omfattningen, platserna och lagringstiden ska dokumenteras i bilaga C. Känslig frånvaroinformation och HMS-kortnummer ska inte inkluderas i meddelanden eller AI-promptar om det inte har bedömts separat och uttryckligen godkänts med lämpligt leverantörsskydd.
Kundanslutna system och externa AI-klienter som använder API eller MCP ska bedömas utifrån vem som engagerar dem, deras faktiska roll, den data som nås och de åtgärder som är auktoriserade. De är inte automatiskt RessursAgent underbiträde. Kunden ska säkerställa de nödvändiga instruktionerna, lagliga utlämnandet och avtal för de tjänster den engagerar; RessursAgent förblir ansvarig för skyldigheter som rör dess egen tjänst och underbiträde.
Den valfria kartvyn använder Google Maps. Adressgeokodning använder Kartverkets Geonorge-tjänst, inklusive projektadresser och resursarbetsbasadresser där det är konfigurerat. Kundstyrda länkar kan avslöja ett telefonnummer till Gule Sider eller ett HMS-kortnummer till Jobbkort efter att användaren klickar. Dessa avslöjanden och externa identitetsleverantörer registreras separat i Bilaga C; deras roller och lagliga användning måste bedömas i stället för att behandla varje extern tjänst som en underbiträde. Varken detta avtal eller en anslutningskatalog ger tillstånd för onödiga avslöjanden.
Kunden är ansvarig för att svara på personer som utövar rättigheter enligt GDPR Kapitel III. RessursAgent ska omedelbart vidarebefordra förfrågningar den tar emot och ska inte svara å kundens vägnar utan instruktioner om det inte krävs enligt lag. Förfrågningar till privacy@ressursagent.no bör identifiera ärendet, omfattningen och gällande tidsfrist utan att inkludera onödiga personuppgifter.
Med hänsyn till behandlingens natur ska RessursAgent bistå genom lämpliga tekniska och organisatoriska åtgärder, så långt det är möjligt, så att kunden kan uppfylla förfrågningar om åtkomst, rättelse, radering, begränsning, dataportabilitet och invändning, samt andra tillämpliga rättigheter enligt Kapitel III. Parterna ska ordna säker utväxling och tillräckligt snabb assistans för att uppfylla lagstadgade tidsfrister; interna rutiner får inte förlänga dessa tidsfrister.
Med hänsyn till hanteringens natur och tillgänglig information ska RessursAgent bistå kunden med skyldigheter enligt artiklarna 32–36, inklusive säkerhet, bedömning och underrättelse av överträdelser, konsekvensbedömningar och föregående samråd. Överenskomna operativa detaljer ska anges i bilagorna B och D. Eventuella assistansavgifter måste avtalas i förväg och får inte förhindra juridiskt krävande bistånd.
RessursAgent ska utan onödigt dröjsmål meddela kundens utsedda incidentkontakt efter att ha blivit medveten om ett personuppgiftsbrott som påverkar behandlingen enligt detta avtal, i enlighet med artikel 33.2. Det ska inte vänta på en fullständig utredning eller sin egen bedömning av om brottet måste rapporteras till en myndighet. Om informationen är ofullständig ska ett första meddelande följas av uppdateringar utan onödigt dröjsmål.
I den mån det är möjligt ska meddelandet ange brottets natur, berörda kategorier och ungefärligt antal individer och register, sannolika konsekvenser, åtgärder för innehållande och rättelse, samt en kontaktperson för ytterligare information. RessursAgent ska dokumentera fakta och svar, bevara relevant bevismaterial, vidta proportionerliga åtgärder för innehållande och mildring samt assistera kunden.
Kunden ska bedöma och uppfylla sina skyldigheter enligt artiklarna 33 och 34. När myndighetsanmälan krävs, föreskriver artikel 33(1) anmälan utan obefogat dröjsmål och, om möjligt, inom 72 timmar efter att kunden blivit medveten om händelsen; fördröjd anmälan måste förklara skälen. Anmälan krävs inte om överträdelsen sannolikt inte leder till en risk för individers rättigheter och friheter. Kommunikation till individer ska följa artikel 34, inklusive dess högrisktröskel och tillämpliga undantag. Dessa regler ger inte RessursAgent en 72-timmars väntetid för att underrätta kunden.
Kunden ska omedelbart informera RessursAgent om komprometterade konton eller andra incidenter som påverkar tjänsten och samarbeta vid begränsning. Kontaktpersoner för incidenter, eskaleringskanaler och eventuella strängare kontraktsmässiga svarsmål ska kompletteras i Bilaga D och får inte skjuta upp en lagstadgad skyldighet.
RessursAgent ska tillhandahålla all information som är nödvändig för att visa efterlevnad av artikel 28 och detta avtal, svara adekvat på kundens förfrågningar och tillåta samt bidra till revisioner, inklusive inspektioner, av kunden eller en revisor som kunden utser. Relevanta oberoende rapporter kan stödja denna bedömning men ska inte automatiskt ersätta en nödvändig revision eller inspektion.
Rutinaudit bör normalt ordnas med fyra veckors varsel. Denna schemaläggningsförväntan begränsar inte revisioner som behövs akut efter en incident, misstänkt icke-efterlevnad eller ett myndighetskrav. Parterna ska komma överens om proportionerliga arrangemang som skyddar andra kunders data och konfidentiell information utan att hindra effektiv verifiering. Avgifter ska avtalas i förväg och får inte göra revisionsrätten ineffektiv. Relevant dokumentation och resultat ska vara tillgängliga för behörig tillsynsmyndighet där det krävs.
RessursAgent ska följa principen om lagringsbegränsning enligt GDPR artikel 5(1)(e) och tillämplig norsk dataskyddslag. Personuppgifter som behandlas på kundens vägnar ska endast sparas så länge som är nödvändigt för de överenskomna ändamålen och lagligt dokumenterade instruktioner, eller enligt vad som krävs av tillämplig lag. Kunden ska definiera de relevanta lagringsperioderna eller objektiva kriterierna, och RessursAgent ska genomföra de överenskomna gransknings- och raderingsprocedurerna. Det finns ingen enda lagstadgad lagringsperiod som gäller för alla uppgifter i tjänsten.
Under tjänsten ska RessursAgent genomföra lagliga instruktioner för bevarande och radering inom den överenskomna omfattningen. När de relevanta behandlingstjänsterna avslutas ska kunden välja om personuppgifterna ska returneras eller raderas. RessursAgent ska utföra det valet och radera återstående kopior, såvida inte EU/EES eller norsk lag kräver fortsatt lagring. Uppgifter ska inte sparas eller användas för orelaterade ändamål efter avslut.
Återlämning eller radering ska genomföras utan onödigt dröjsmål och inom 30 kalenderdagar efter att kundens instruktioner och nödvändigt omfattning har klargjorts. RessursAgent ska omgående söka eventuella nödvändiga klargöranden och ska inte använda klargöranden för att onödigt förlänga lagringen. Återlämning ska ske med ett strukturerat, allmänt använt format och en autentiserad eller krypterad leveranskanal. Återstående aktiva kopior ska raderas när återlämningen är slutförd om inte en laglig instruktion eller bevaringsplikt kräver något annat. Proceduren omfattar aktiva system, bilagor, relevanta loggar och kopior hos underbiträden, med förbehåll för dokumenterade backup- och lagliga leverantörsundantag nedan. Denna operativa tidsfrist förlänger inte de lagstadgade tidsfristerna för individers rättigheter.
Säkerhetskopior som väntar på radering enligt en dokumenterad lagringscykel ska skyddas och vara otillgängliga för vanlig användning. RessursAgents hanterade databassäkerhetskopior roterar över ungefär sju dagar. Leverantörsspecifika återstående kopior följer de tillämpliga begränsade lagringsarrangemangen som anges i Bilaga C. Vid återlämning eller radering ska RessursAgent registrera och informera kunden om det slutliga utgångsdatumet eller tillämpliga rättsliga lagringskriterier för eventuella återstående kopior. En leverantörspolicy tillåter i sig inte lagring som strider mot tillämplig lag eller detta avtal. Utestående raderingsinstruktioner ska tillämpas igen innan normal åtkomst återupptas efter en återställning. RessursAgent ska erhålla lämpligt bevis på underrättelse om underbiträdets radering och bekräfta slutförandet samt eventuell begränsad kvarvarande lagring till kunden skriftligen.
När lagen kräver fortsatt lagring ska RessursAgent, om det inte är förbjudet, informera kunden om den rättsliga grunden, de berörda uppgifterna och den erforderliga perioden. Tillgång och behandling ska begränsas till detta lagkrav och uppgifterna ska förbli skyddade tills de raderas.
Varje part är ansvarig för sina skyldigheter enligt tillämplig dataskyddslagstiftning och detta avtal. Ansvar mellan parterna följer tillämplig lag och eventuella giltiga begränsningar som uttryckligen avtalats i tjänsteavtalet. Ingen begränsning ska frånta obligatoriska skyldigheter eller skapa ett ytterligare tak genom detta avtal.
Inget i detta avtal begränsar registrerades rätt till ersättning enligt GDPR artikel 82 eller tillsynsmyndigheternas befogenheter. När en part har betalat ersättning för skada som den andra parten är ansvarig för, ska återkrav mellan parterna följa ansvarsfördelningen enligt artikel 82(5) och tillämplig lag.
Ändringar som krävs enligt lag, tjänsteutveckling eller behandlingsarrangemang ska dokumenteras. Föreslagna väsentliga ändringar ska normalt meddelas minst 30 dagar före det avsedda ikraftträdandedatumet och kräver skriftligt godkännande, inklusive elektroniskt godkännande. Publicering av ett reviderat dokument ändrar inte i sig ett redan slutet kundavtal. Leverantörens ändringar följer klausul 8; obligatoriska lagstadgade skyldigheter gäller när de krävs enligt lag.
Vid bristande efterlevnad ska parterna söka tidsenlig åtgärd. Behandling som inte kan utföras lagligt ska avbrytas eller avslutas på ett sätt som skyddar uppgifterna, med återlämning och radering enligt klausul 14. Obligatoriska rättsliga skyldigheter har företräde framför motstridiga instruktioner eller villkor.
Detta avtal regleras av norsk lag. Med förbehåll för tvingande jurisdiktionsregler ska tvister mellan parterna som uppstår på grund av detta avtal hänskjutas till Oslo tingsrätt. Detta begränsar inte de registrerades lagstadgade rättsmedel, deras rätt att klaga till en tillsynsmyndighet eller behöriga myndigheters befogenheter.
Engelska är det styrande avtalsspråket för detta avtal och samtliga bilagor. Översättningar tillhandahålls för att göra avtalet tillgängligt på webbplatsens språk. Vid skillnader i betydelse har den engelska versionen företräde. Ifyllda bilagor, skriftliga ändringar och den överenskomna versionen ska bevaras på engelska.
Denna bilaga definierar den standardiserade behandlingsomfånget. Kundspecifika beställningar och Bilaga D identifierar de funktioner som faktiskt används och eventuella ytterligare lagliga instruktioner. Valfria funktioner och anslutningar ger inte tillstånd till obegränsad utlämning.
Följande tekniska och organisatoriska åtgärder utgör en del av RessursAgents skyldigheter enligt klausul 7. Stödjande dokumentation, testregister och säkerhetsbedömningar upprätthålls separat och görs tillgängliga enligt klausul 13. Ingen certifiering, kontinuerlig tillgänglighet eller numerisk återställningsgaranti antyds.
Följande register identifierar RessursAgents underbiträden och andra mottagare för standardtjänsten. Valfria tjänster gäller endast om de ingår i den avtalade tjänsten. RessursAgent ska hålla registret och de stödjande uppgifterna om mottagare, land, lagringstid och överföring uppdaterade, tillhandahålla dem enligt klausul 13 och följa klausul 8 vid ändringar av underbiträden.
Frankfurt-begränsningen gäller för den infrastruktur som anges i klausul 9. Den gäller inte för varje mottagare som listas nedan. Internationella överföringar och relevant fjärråtkomst kräver skyddsåtgärder enligt klausul 9. Leverantörslänkar ger stödjande information; ändringar på en leverantörs webbplats ändrar inte automatiskt kundens avtalade villkor.
Nedanstående kundspecifika information tillhandahålls av den accepterade serviceordern, kontoadministrationsposten och eventuella överenskomna skriftliga instruktioner. Den behöver inte upprepas i ett separat undertecknat schema. De standardbestämmelser som finns i bilagorna A–C gäller om inte parterna skriftligen kommer överens om en laglig ändring.
Publicerat avtal · Version 1.0 · 14 oktober 2026