Isikuandmete töötlemise leping

1. Osapooled ja sõlmimine

Volitatud töötleja on RessursAgent AS, Norra registrinumber 935 854 067, Gydas vei 22, 0363 Oslo, Norra. Andmekaitsekontakt: privacy@ressursagent.no. Vastutav töötleja on teenuslepingus nimetatud klient. Lisas D võib kliendi ja kokkulepitud teenuse määratleda viitega sellele tellimusele; seal juba selgelt esitatud teavet ei ole vaja korrata.

Käesolev leping ja selle lisad sõlmitakse kirjalikult, sealhulgas elektrooniliselt, enne jaotust kliendi nimel alustamist. Pooled võivad selle tuvastatud versiooni integreerida aktsepteeritud teenuse tellimusse ilma eraldi käsitsi allkirjata. Sellele lehele külastamine üksi ei tähenda aktsepteerimist. Eraldi sõlmitud kliendiandmete töötlemise leping jääb jõusse, välja arvatud juhul, kui pooled otsustavad selle asendada. Kui tekib konflikt teenuslepinguga, on andmete töötlemise lepingu sätted isikuandmete töötlemisel määravad.

See DPA, sealhulgas selle lisad ja kõik kokkulepitud kliendispetsiifilised juhised, on osa RessursAgent teenuslepingust, mis on määratletud lisas D. Kokkulepitud tellimus/ tellimus ja kehtivad RessursAgent tingimused reguleerivad ärilisi küsimusi. Aktsepteeritud versioon tuleb säilitada koos kliendilepinguga.

2. Ulatus, eesmärk ja kestus

See leping reguleerib andmetöötlust RessursAgent pakkumiseks ja toetamiseks: Minu plaan, projekti planeerimine, ressursi planeerimine, strateegiline planeerimine ning kokkulepitud AI-, kommunikatsiooni- ja ühenduse funktsioonid. Lisa A täpsustab teema, olemuse, eesmärgid, kestuse, isikuandmete tüübid ja andmesubjektide kategooriad. Leping kehtib seni, kuni RessursAgent või alltöötlusprotsessor töötleb isikuandmeid kliendi nimel, sealhulgas tagastamise ja kustutamise perioodi.

Kliendi määrab eesmärgid ja olulised vahendid. RessursAgent määrab nende juhiste raames praktilised tehnilised korraldused. Kasutajakontod, juurdepääsuõigused ja tegevuslogid on kaetud, kui neid töödeldakse teenuse osutamise eesmärgil kliendi nimel. Andmed, mida RessursAgent töötleb oma eraldiseisvate eesmärkide jaoks, nagu arveldamine ja kliendisuhete kontaktid, tuleb eraelulise teabe teatamises kirjeldada eraldi. Andmed ei jää selle kokkuleppe piiridest välja ainult sellepärast, et need on operatiivandmed.

3. Mõisted ja kohaldatav andmekaitseõigus

Rakendatav andmekaitse seadus tähendab määrust (EL) 2016/679 (üldine andmekaitsemäärus ehk GDPR), nagu see kehtib EEA-s ja on Norra õigusesse üle võetud Norra isikuandmete seaduse 15. juuni 2018 nr 38 alusel, koos kõigi kohaldatavate täiendavate andmekaitse õigusaktidega. Lepingu eesmärk on täpsustada töötlemise korraldusi, mida nõuab GDPRi artikkel 28. Kohustuslikud kaitsemeetmed, mis tulenevad kohaldatavast seadusest, jäävad muutmata.

Isikuandmetel, töötlemisel, vastutaval töötlejal, volitatud töötlejal, isikuandmetega seotud rikkumisel ja järelevalveasutusel on GDPR-is sätestatud tähendus. Kasutaja on füüsiline isik, kellele klient on andnud õiguse teenust kasutada. Alamvolitatud töötleja on teine volitatud töötleja, kelle RessursAgent kaasab isikuandmete töötlemiseks kliendi nimel.

Kliendiandmed on teenusesse esitatud või teenuses kliendi juhiste alusel loodud teave. Käesolev leping reguleerib selles sisalduvaid isikuandmeid, sealhulgas planeerimisandmeid, suhtlust, dokumente ja analüüsitulemusi. See, kas RessursAgent tegutseb konkreetse tegevuse puhul volitatud töötleja või vastutava töötlejana, sõltub tegevuse tegelikust eesmärgist ja vastutusest vastavalt punktile 2.

Teenuse all mõeldakse RessursAgent tarkvara-teenusena rakendust app.ressursagent.no ja kliendiga kokkulepitud funktsioone. Kliendiandmed hõlmavad teavet, mida volitatud kasutajad sisestavad või impordivad, ning sellest tulenevaid planeerimisandmeid. Klient säilitab õigused oma esitatud sisu üle; see isikuandmete töötlemise leping (DPA) lubab töötlemist ainult kokkulepitud teenuse osutamiseks ja seaduslike juhiste täitmiseks. Tellimuse kestus, hinnakujundus, tugikohustused ja lõpetamise etteteatamine on määratletud teenuslepingus, neid ei tuleta teise teenusepakkuja tingimustest.

4. Dokumenteeritud juhised

RessursAgent töötleb isikuandmeid ainult kliendi dokumenteeritud juhiste alusel, sealhulgas juhiste alusel andmete avaldamiseks ja edastamiseks väljaspool EEA-d. Juhised hõlmavad lepingut ennast, selle täidetud lisaid ja volitatud kasutajate taotlusi kokkulepitud teenusefunktsionaalsuse ulatuses, sealhulgas API ja MCP. Osapooled dokumenteerivad järgnevad juhised ja töötlemisala muutused kirjalikult.

RessursAgent ei kasuta käesoleva lepingu alusel töödeldud isikuandmeid oma mitteseotud eesmärkidel, reklaamiks, andmete müügiks ega mitme kliendi profiliteerimiseks. Kui RessursAgent tuvastab eraldi eesmärgi ja olulised töötlemise vahendid, järgivad selle õigusalased kohustused kehtiva seaduse kohast tegelikku rolli; käesolev leping ei anna õigust sellisele eesmärgi muutmisele.

Kui ELi/EMTA või Norra seadus, mis on RessursAgent-i suhtes kohustuslik, nõuab töötlemist kliendi juhistest erinevalt, teavitab RessursAgent klienti sellest õiguslikust nõudest enne töötlemist, välja arvatud juhul, kui seadus keelab selle olulistel üldise huvi põhjustel. RessursAgent teavitab klienti kohe, kui juhis näib rikkuvat kohaldatavat andmekaitse seadust, ja peatab mõjutatud juhise kuni õiguspärase lähenemisviisi kehtestamiseni.

5. Kliendi kohustused ja andmete minimeerimine

Kliendil on kohustus kindlaks määrata ja dokumenteerida õiguspärane alus GDPR artikli 6 kohaselt, esitada artiklites 13 ja 14 nõutud teave ning järgida artiklis 5 sätestatud põhimõtteid. Kliendil tuleb tagada, et isikuandmed oleksid piisavad, asjakohased, vajalikul määral piiritletud, täpsed ja säilitatakse ainult nii kaua, kui on vajalik deklaratsioonis toodud eesmärkide saavutamiseks. Kasutajate õigused, säilitamise juhised ja integratsioonide kaudu avalikustatud andmed peegeldavad neid eesmärke.

Kliendil tuleb hinnata privaatsusriske ja, kui artikli 35 kohaselt on vaja, läbi viia andmekaitteenõuete hindamine enne asjakohase töötlemise alustamist. Igasugune artikli 36 kohaselt nõutav eelnev konsulteerimine tuleb lõpetada enne töötlemist. RessursAgent abistab vastavalt punktile 11. Kliendil tuleb samuti arvesse võtta kehtivaid töötamise ja töökohajale jälgimise reegleid.

Teenistus toetab puudumise kategooriaid ja kuupäevi ressursside planeerimiseks, näiteks puhkus või haigus. Klient määrab, milliseid kategooriaid iga volitatud sihtrühm peab nägema, ning dokumenteerib eesmärgi ja õigusliku aluse. Üksikasjalikud meditsiinilised põhjendused ja diagnoosid jäävad tavaplaneerimise ulatusest välja. Iga kategooriatega seotud juurdepääsupiirang tuleb enne selle usaldamist kinnitada. Meeskonna teateid võib esitada töösuhete lepingute ja seotud teabe kaudu, kuid need dokumendid ei asenda kliendi õigusliku aluse ja vajadusehindamist.

Puhkuse kategooria ei näita iseenesest terviseseisundit, kuid inimesega seotud haiguskategooria avaldab terviseinfot isegi ilma diagnoosi või põhjaliku selgituseta. Selle töötlemise jaoks peab klient kindlaks määrama kohaldatava artikli 9 lõike 2 tingimuse, samuti artikli 6 aluse. Töölepingu kinnitamine ei taga iseenesest kehtivat nõusolekut ega tee iga avalikustamist vajalikuks. Kui tuginedakse nõusolekule, tuleb selle kehtivust hinnata eraldi, sealhulgas tööalases suhtes valikuvabadust, spetsiifilisust, teavitust ja tagajärgedeta tagasivõttu; artikli 9 lõike 2 punkt a nõuab selgesõnalist nõusolekut. Kui kategooriat ei ole seaduslikult lubatud konkreetse publiku ees jagada, kuvage selle asemel üldine kättesaamatu staatus. Klient dokumenteerib kohaldatava aluse, vajaduse, juurdepääsu ja säilitamisega seotud kaitsemeetmed.

Diagnoosid, meditsiinilised aruanded, tarbetud narratiivsed üksikasjad, kriminaalkuritegevuse andmed ja isikukoodid jäävad tavaplaani ulatusest välja, kui nendeks pole eraldi kokku lepitud vajalike seaduslike tingimuste ja kaitsetega. HMS-kaardi numbrid on ametialased identifikaatorid, mitte luba koguda isikukoode. RessursAgent peab järgima seaduslikke juhiseid, et piirata, tagastada või kustutada andmeid, mis jäävad kokkulepitud ulatusest välja; selle kohustused kehtivad ka tegelikult saadud andmete puhul.

6. Konfidentsiaalsus

RessursAgent tagab, et isikud, kellel on juurdepääs, alluvad lepingulistele või seadusest tulenevatele konfidentsiaalsuskohustustele. Juurdepääs piirdub sellega, mis on ülesande täitmiseks vajalik, ja eemaldatakse, kui seda enam ei vajata. Konfidentsiaalsus kehtib ka pärast töösuhte ja lepingu lõppemist. Kliendiandmeid ei tohi avalikustada teistele klientidele ega kasutada mitteseotud kolmandate osapoolte eesmärkidel.

Mõlemad pooled kaitsevad konfidentsiaalset teavet, mida vahetatakse selle lepingu täitmiseks, sealhulgas turvalisuse dokumentatsiooni ja mitteavalikku kliendiinfot. Avalikustamine, mis on vajalik seaduslike kohustuste täitmiseks, isikute abistamiseks, professionaalse nõu saamiseks konfidentsiaalsuse tingimustes või järelevalveasutusega koostöö tegemiseks, on lubatud.

7. Teabe turvalisus

RessursAgent rakendab, haldab ja dokumenteerib tehnilisi ja organisatsioonilisi meetmeid, mis on GDPR artikli 32 alusel riski jaoks sobivad, võttes arvesse tehnika arengutaset, rakenduskulusid, töötlemise olemust, ulatust, konteksti ja eesmärke, ning isikutele avalduvat riski. Meetmed peavad hõlmama töötlemise pidevat konfidentsiaalsust, terviklikkust, kättesaadavust ja vastupidavust, andmetele juurdepääsu õigeaegset taastamist pärast intsidenti ning nende tõhususe regulaarset testimist ja hindamist.

Lisa B peab kajastama konkreetseid meetmeid, sealhulgas juurdepääsukontrolli, kliendi eraldamist, andmete kaitset liikluses ja puhkeolekus, andmete varundamist ja taastamist, turvalist arendust ja intsidentide käsitlemist. Krüpteerimist ja pseudonüümimist tuleb hinnata ja rakendada, kui see riskide suhtes asjakohane on. Töötajad peavad töötlema andmeid ainult oma volituste ja kliendi juhiste kohaselt. Meetmed peavad olema rakendatud enne andmetöötlust, millega need on seotud.

RessursAgent aitab klienti andmekaitse kujundamise ja vaikeseadistuste alusel teenuste pakkumisel. Turvameetmeid võib arendada ilma kokkulepitud kaitsetaset või kohaldatava seaduse järgimist vähendamata. Olulised muudatused tuleb dokumenteerida ja kliendile edastada.

Iga osapool peab säilitama töötlemisandmete registrid, nagu nõutud artiklis 30, nimetama andmekaitseametniku, kui artiklis 37 seda nõutakse, ning tegema koostööd pädevate järelevalveasutustega. RessursAgent peab säilitama toetavad turbe dokumendid, hindama regulaarselt oma meetmete tõhusust ja parandama tuvastatud puudujääke. Selle lepingu avaldamine ei ole sertifitseerimine ega sõltumatu turbeaudit.

8. Alamvolitatud töötlejad

RessursAgent ei tohi kaasata alamvolitatud töötlejat ilma kliendi eelneva konkreetse või üldise kirjaliku loata. Selle lepingu sõlmimisega annab klient C lisas olevatele alamvolitatud töötlejatele loa kokkulepitud teenuses sisalduvate funktsioonide jaoks ning annab üldkirjaliku loa hilisemate lisade või asenduste jaoks, mis kuuluvad sellesse sättesse. Valikulise teenuse loetlemine ei võimalda selle kasutamist ega luba seotud töötlemist, mis ei puuduta teenust.

RessursAgent teavitab klienti otseselt kirjalikult kavandatavatest alltöötluse lisamistest või asendustest piisavalt varakult, et võimaldada mõtestatud vastuväite esitamine enne mõjutatud andmetöötluse algust. Teates tuvastatakse üksus, tegevus, asjakohased andmed, töötlemise asukohad ja edastamise turvameetmed. Kõik täiendavad kokkulepitud minimaalne etteteatamisperiood salvestatakse lisas D. Osapooled otsivad seaduslikku lahendust põhjendatud andmekaitse vastuväidetele. Vaidlusalust töötlemist ei alustata selle kliendi jaoks, kuni vastuväide on lahendamata; kui seaduslik lahendus pole võimalik, peatatakse või lõpetatakse mõjutatud teenus koos tagastuse ja kustutamisega vastavalt punktile 14.

Enne kui alamvolitatud töötleja saab isikuandmeid, hindab RessursAgent selle piisavaid garantiisid ja sõlmib siduva lepinguga, mis kehtestab sisuliselt samad andmekaitse kohustused kui käesolev leping volitatud töötlemise kohta, sealhulgas asjakohase turvalisuse ja abi. RessursAgent jääb täielikult vastutavaks kliendi ees alamvolitatud töötleja nende kohustuste täitmise eest artikli 28 lõike 4 alusel.

RessursAgent hoiab heakskiidetud registrit ajakohasena ja annab teavet, mis on mõistlikult vajalik alamvolitatud töötleja korralduste kontrollimiseks. Asjakohased lepingud võivad olla vajadusel redigeeritud ainult selleks, et kaitsta konfidentsiaalset teavet, ilma et see takistaks kliendil vastavust hindamast. RessursAgent teatab kliendile alamvolitatud töötleja mitte-järgimisest, mis mõjutab töötlemist, ja võtab vajalikud parandusmeetmed.

9. Töötlemise asukohad ja ülekanded väljaspool EEA-d

Rakenduse funktsioonide täitmine, peamine rakenduse andmebaas ning hallatud andmebaasi varundamine ja taastamine on konfigureeritud Frankfurdis, Saksamaal. RessursAgent peab selle infrastruktuuri osas säilitama selle piirkondliku piiranguga. Sisu edastamine, tegevuslogid, tugiteenuste juurdepääs ja eraldi kaasatud AI, e-post, SMS ja muud teenused omavad oma töötlemise asukohti. Lisa C näitab neid teenuseid; punktid 8 ja 9 reguleerivad nende kasutamist ja kõiki rahvusvahelisi ülekandeid.

Lisa C peaks määrama kokku lepitud töötlemise ja salvestamise kohad, toetama ligipääsu teistest riikidest ning asjakohast edasist töötlemist. Andmebaasi asukoht EEA-s ei tõenda iseenesest, et kogu töötlemine toimub seal. Asukohtade muutmist tuleb hinnata enne rakendamist ning need alluvad kliendi dokumenteeritud juhistele ja klauslile 8, kui alamteenuse pakkuja muutub.

Välja arvatud juhul, kui kohaldub klauslis 4 kirjeldatud õiguslik nõue, toimuvad siirdeid väljaspool EEA-d ainult kliendi dokumenteeritud juhiste alusel. Iga selline siire, sealhulgas asjakohane kaugjuurdepääs ja edasised siirded, peab vastama GDPR peatükile V. Enne andmete edastamist dokumenteerib RessursAgent vastuvõtja, riigi ja kohaldatava mehhanismi, näiteks otsuse piisava taseme kohta selle ulatuses või asjakohased kaitsemeetmed artikli 46 alusel.

Kui kasutatakse standardseid lepingulisi klausleid, hindab RessursAgent nende tõhusat kaitset ülekande tingimustes, dokumenteerib asjakohase saajariigi seaduse ja tava ning rakendab vajadusel täiendavaid meetmeid. Ülekanded ei tohi alata või need tuleb peatada, kui nõutavat kaitset ei saa tagada. Käesolev leping ei ole iseenesest V peatüki ülekandemehhanism.

10. Tehisintellekt, kommunikatsioon ja ühendused

Kui lubatud ja konfigureeritud, kasutab assistent Anthropic-i ärikliendi Claude API-d päringute tõlgendamiseks, ettepanekute koostamiseks, vastuste koostamiseks ja keeletoe andmiseks. Ülesande kontekst võib hõlmata valitud inimesi, seadmeid, projekte, kuupäevi, ülesandeid ja saadaolevat planeerimisteavet; kasutajaprofiili üksikasjad, salvestatud eelistused või mälestused, viimased küsimused ja asjakohane vestluse ajalugu võivad samuti olla kaasatud. Lisasid töödeldakse nende esitamisel. Lubatud ulatust tuleb kontrollida tegeliku prompti ehituse ja kasutaja õigustega, sealhulgas valikulised väljad. RessursAgent avaldab ainult selle, mis on volitatud ülesande täitmiseks vajalik.

RessursAgent kasutab Anthropic oma standardsete ärieeskirjade alusel, mis sisaldavad andmetöötluse lisatingimusi ja keelavad kliendi sisu koolitamisel kasutamise. Standardseid API sisendeid ja väljundeid kustutatakse tavaliselt 30 päeva jooksul; pakkuja hallatavad failiteenused, mudelipõhised turvanõuded, kasutuspoliitika uurimised ja seaduslikud kohustused võivad omada erinevat säilitusaega. Kohandatud nullandmesäilituse korraldust ei sisaldata. RessursAgent dokumenteerib kohaldatava mudeli, tööriista, säilituse ja edastamise korraldused ning piirab avaldatud andmeid volitatud ülesande jaoks.

Selle teenuse lepingu piiranguna ei tohi RessursAgent kasutada ega lubada oma alltöötlusteenuse osutajatel kasutada selle lepingu alusel töödelda isikuandmeid üldotstarbeliste mudelite koolitamiseks või täiustamiseks, rist-klientide profiilide loomiseks ega seotud toodete arendamiseks. Teenusepakkuja lepingud ja seaded peavad seda piirangut toetama enne vastava töötlemise algust. Kõik turva- või kuritarvitamise jälgimise töötlemised peavad olema dokumenteeritud, piiratud seadusliku eesmärgiga ning hinnatud pakkuja tegeliku rolli seisukohalt.

Tehisintellekti väljund on otsuste toetamiseks mõeldud ning võib sisaldada vigu. Kliendil tuleb tagada tähenduslik inimlik ülevaatus, millel on volitus oleviku ettepaneku tagasi lükata või muuta, enne kui väljundile toetutakse otsuste tegemisel üksikisikute suhtes. RessursAgent assistendi pakutud planeerimismuutused vajavad kasutaja kinnitust ja jäävad teenuse loa ja valideerimise kontrollide alla. Ainult kinnitusklõps ei tähenda tähenduslikku ülevaatust. Igasugune otsus, mis on mõeldud täielikult automatiseerituks ja millel on seaduslikud või sarnased olulised tagajärjed, vajab eraldi hinnangut artikli 22, kohaldatava erandi ja nõutavate turvameetmete osas; seda standardprotsessijuhised ei luba.

Kinnitused ja vestluse ajalugu võidakse töödelda volitatud taotluse täitmiseks. Väljavõetud dokumenditekstid või üleslaaditud failid võidakse saata AI-teenuse pakkujale sõltuvalt failitüübist. Rakenduse ajalugu ja pakkuja hallatavad failid on eraldi säilituskordadega. Ajutiste Files API üleslaadimiste puhul taotleb rakendus kehtivusaja mitte üle ühe tunni, kontrollib tagastatud kehtivusaega enne kasutamist ja taotleb kustutamist pärast töötlemist. Need rakenduse kontrollid ei taga iga pakkuja koopia kohest füüsilist kustutamist. RessursAgent järgib ebaõnnestunud kehtivusaaja/kustutamise taotluste järelmeetmeid, rakendab seaduslikke kustutamisjuhiseid asjakohastele koopiatele ja dokumenteerib mis tahes piiratud jääksäilituse vastavalt klauslile 14.

SMS kasutab Strex/Target365. Toote e-kiri ja autentimise e-kiri, sealhulgas kutseid ja parooli taastamist käsitlevad e-kirjad, kasutavad Resend. Need teenused töötlevad saaja andmeid, asjakohast sisu, kohaletoimetamise sündmusi ja linke. Kinnitatud ulatus, asukohad ja säilitamine kajastatakse Lisa C-s. Sõnumeid või tehisintellekti päringuid ei tohi sisaldada tundlikke puudumise üksikasju ega HMS-kaardi numbreid, välja arvatud juhul, kui need on eraldi hinnatud ja konkreetse volitusega, sobiva tarnijakaitsega lubatud.

Kliendiga seotud süsteeme ja välist AI-kliendi, kes kasutavad API-d või MCP-d, tuleb hinnata selle põhjal, kes neid kasutab, nende tegelik roll, ligi pääsetud andmed ja volitatud tegevused. Need ei ole automaatselt RessursAgent alamvolitatud töötlejad. Klient tagab vajalike juhiste, õiguspärase avalikustamise ja teenustelepingute olemasolu; RessursAgent jääb vastutavaks oma teenuse ja alamvolitatud töötlejatega seotud kohustuste eest.

Valikuline kaardivaade kasutab Google Mapsi. Aadressi geokodeerimine kasutab Kartverketi Geonorge teenust, sealhulgas projekti aadresse ja ressursi töökohapõhiseid aadresse, kui need on konfigureeritud. Kliendi suunatud lingid võivad pärast kasutaja klõpsu avaldada telefoninumbri Gule Siderile või HMS-kaardi numbri Jobbkortile. Need avalikustamised ja välised identiteedipakkujad on eraldi registreeritud lisas C; nende rollid ja seaduslik kasutamine tuleb hinnata, selle asemel et käsitleda iga välist teenust alamvolitatud töötlejana. Ei see leping ega ühenduste kataloog luba tarbetut avalikustamist.

11. Õigused ja abi

Kliendil on kohustus vastata üksikisikutele, kes kasutavad GDPR-i III peatüki alusel oma õigusi. RessursAgent edastab viivitamatult saabunud päringud ja ei vasta kliendi nimel ilma juhisteta, välja arvatud juhul, kui seadus seda nõuab. Päringud privacy@ressursagent.no-ile peaksid tuvastama juhtumi, ulatuse ja kohaldatava tähtaja, ilma et kaasataks tarbetuid isikuandmeid.

Arvestades töötlemise olemust, aitab RessursAgent asjakohaste tehniliste ja organisatoorsete meetmete kaudu, nii palju kui võimalik, et klient saaks täita juurdepääsu, parandamise, kustutamise, piiramise, andmete ülekantavuse ja vastuväite ning teiste kohaldatavate III peatüki õiguste taotlusi. Pooled korraldavad turvalise andmevahetuse ja piisavalt kiire abi, et täita seadusest tulenevaid tähtaegu; siseprotseduurid ei tohiks neid tähtaegu pikendada.

Arvestades töötlemise olemust ja talle kättesaadavat teavet, abistab RessursAgent klienti punktide 32–36 kohustuste täitmisel, sealhulgas turvalisuse, rikkumiste hindamise ja teavitamise, mõjuhindamiste ning eelneva konsultatsiooni puhul. Kokku lepitud operatiivsed üksikasjad registreeritakse lisades B ja D. Kõik abitasud tuleb eelnevalt kokku leppida ning need ei tohi takistada seadusega nõutavat abi.

12. Isikuandmete rikkumised

RessursAgent teavitab kliendi määratud juhtumi kontaktisikut ilma vältimatute viivitusteta pärast isikuandmete rikkumisest teadasaamist, mis mõjutab käesoleva lepingu alusel toimuvat töötlemist, nagu on nõutud artikli 33 lõike 2 kohaselt. See ei oota täielikku juurdlust ega oma hinnangut selle kohta, kas rikkumist tuleb teatada asutusele. Kui teave on puudulik, järgneb esialgse teavituse järel uuendamine ilma vältimatute viivitusteta.

Kohaliku teabe olemasolu korral peab teavituses olema määratletud rikkumise iseloom, mõjutatud kategooriad ja ligikaudne isikute ja andmebaaside hulk, tõenäolised tagajärjed, leevendus- ja parandustehnikad ning kontakt täiendava teabe saamiseks. RessursAgent dokumenteerib faktilised andmed ja reageerimise, säilitab asjakohased tõendid, võtab proportsionaalsed leevendus- ja leevendustoimingud ning abistab klienti.

Kliendid peavad hindama ja täitma oma kohustusi artiklite 33 ja 34 alusel. Kui on vajalik teavitamine asutusele, nõuab artikli 33 lõike 1 teavitamist ilma mõttetute viivitusteta ja, kui võimalik, 72 tunni jooksul alates hetkest, kui klient sai teavitamisest teadlikuks; hilinenud teavitamisel tuleb põhjendada viivitust. Teavitamine ei ole vajalik, kui rikkumine ei ole tõenäoliselt ohtlik üksikisikute õigustele ja vabadustele. Üksikisikutele suunatud kommunikatsioon peab järgima artiklit 34, sealhulgas selle kõrgema riskitaseme künnist ja rakendatavaid erandeid. Need reeglid ei anna RessursAgentile 72-tunnist ooteaega kliendi teavitamiseks.

Kliendil on kohustus viivitamatult teavitada RessursAgent-i kompromiteeritud kontodest või muudest teenust mõjutavatest juhtumitest ning teha koostööd nende piiramisel. Juhtumite kontaktid, eskalatsioonikanalid ja kõik rangemad lepingulised reageerimistähtajad tuleb täita lisa D-s ning need ei lükka edasi seadusest tulenevat kohustust.

13. Dokumentatsioon ja audit

RessursAgent peab esitama kogu teabe, mis on vajalik vastavuse tõendamiseks artikli 28 ja selle lepingu nõuetele, vastama klientide päringutele asjakohaselt ning võimaldama ja osalema auditites, sealhulgas kontrollides, mida teostab klient või tema määratud audiitor. Asjakohased sõltumatud aruanded võivad toetada selle hindamist, kuid ei asenda automaatselt vajalikku auditit või kontrolli.

Rutiinseid audite tuleks tavaliselt korraldada nelja nädala etteteatamisega. See ajakavaootus ei piira auditeid, mis on vajalikud kiiresti pärast intsidendi, kahtlustatud mittenõuetele vastavuse või asutuse nõudmist. Osapooled lepivad kokku proportsioonilistes korraldustes, mis kaitsevad teiste klientide andmeid ja konfidentsiaalset teavet, ilma et see takistaks tõhusat kontrolli. Tasud lepiti kokku eelnevalt ja need ei tohi muuta auditi õigust ebaefektiivseks. Asjakohased dokumendid ja leiud on vajadusel kättesaadavad pädevale järelevalveasutusele.

14. Säilitamine, tagastamine ja kustutamine

RessursAgent peab järgima GDPR artikli 5 lõike 1 punktis e sätestatud säilitamise piirangu põhimõtet ning kohaldatavat Norra andmekaitseseadust. Isikuandmeid, mida töödeldakse kliendi nimel, säilitatakse ainult nii kaua, kui on vaja kokku lepitud eesmärkide ja seaduslike dokumenteeritud juhiste täitmiseks või kui kohaldatav seadus seda nõuab. Klient määrab asjakohased säilitustähtajad või objektiivsed kriteeriumid ning RessursAgent viib läbi kokkulepitud ülevaatamise ja kustutamise protseduurid. Teenusele ei kohaldu üks kindel seadusest tulenev säilitustähtaeg kõigi andmete puhul.

Teenuse osutamise ajal rakendab RessursAgent seaduslikke säilitamise ja kustutamise juhiseid kokkulepitud ulatuses. Kui asjaomased töötlemisteenused lõppevad, valib klient isikuandmete tagastamise või kustutamise. RessursAgent teostab selle valiku ja kustutab ülejäänud koopiad, välja arvatud juhul, kui ELi/EEA või Norra seadus nõuab jätkuvat säilitamist. Andmeid ei tohi pärast lepingut säilitada ega kasutada muudel eesmärkidel.

Tagastamine või kustutamine tuleb lõpetada viivitamatult ja hiljemalt 30 kalendripäeva jooksul pärast kliendi juhiste ja vajaliku ulatuse selgitamist. RessursAgent peab otsima vajalikke selgitusi viivitamatult ja ei tohi kasutada selgitusi selleks, et säilitamist tarbetult pikendada. Tagastamine toimub struktureeritud, tavapärases vormis ning autentitud või krüpteeritud edastuskanalit kasutades. Allesjäänud aktiivsed koopiad kustutatakse pärast tagastamise lõppemist, välja arvatud juhul, kui seaduslik juhis või säilitamiskohustus nõuab teisiti. Protseduur katab aktiivsed süsteemid, manused, asjakohased logid ja alltöötluse koopiad, arvestades allpool dokumenteeritud varundus- ja seaduslikke teenusepakkuja erandeid. See operatiivne tähtaeg ei pikenda isikute õiguste seadusjärgseid tähtaegu.

Varukoopiad, mis ootavad kustutamist dokumenteeritud säilitustsükli järgi, tuleb kaitsta ja teha tavalise kasutuse jaoks kättesaamatuks. RessursAgent haldatud andmebaasi varukoopiad vahetuvad umbes seitsme päeva jooksul. Tarnijaspetsiifilised jääkkoopiad järgivad lisas C määratud kohaldatavaid piiratud säilituskorda. Tagastamisel või kustutamisel peab RessursAgent registreerima ja teavitama klienti ülejäänud koopiate lõpptähtajast või kohaldatavast seaduslikust säilituskriteeriumist. Teenusepakkuja poliitika ise ei luba säilitamist, mis on vastuolus kehtiva seaduse või selle lepinguga. Allesjäänud kustutusjuhised tuleb uuesti rakendada enne tavapärase juurdepääsu taastumist pärast taastamist. RessursAgent peab hankima sobivad tõendid alamvolitatud töötleja kustutamise kohta ning kirjalikult kinnitama kliendile, et kustutamine on lõpetatud ja kõik piiratud jääksäilitused on korraldatud.

Kui seadus nõuab andmete säilitamist, teavitab RessursAgent klienti juriidilisest alusest, mõjutatud andmetest ja nõutavast perioodist, kui see ei ole keelatud. Andmetele ligipääs ja töötlemine on piiratud ainult selle seadusliku nõudega ning andmed jäävad kaitstuks kuni kustutamiseni.

15. Vastutus

Mõlemad osapooled vastutavad oma kohustuste eest kehtiva andmekaitse seaduse ja selle lepingu raames. Osapoolte vaheline vastutus järgib kehtivat seadust ja kõiki kehtivaid piiranguid, mida on teenuse lepingus selgelt kokku lepitud. Ükski piirang ei tühista kohustuslikke kohustusi ega loo selle lepingu kaudu täiendavat piirmäära.

Miski selles lepingus ei piira andmesubjektide õigusi hüvitisele GDPR-i artikli 82 alusel ega järelevalveasutuste volitusi. Kui üks pool on tasunud teisele poolele kahju eest hüvitist, mille eest teine pool vastutab, toimub hüvitise taastekkimine poolte vahel vastavalt artikli 82 lõike 5 ja kohaldatava õiguse jaotusele.

16. Muudatused ja mittetäitmine

Seadusest, teenuse arendusest või töötlemiskorraldustest tulenevad muudatused tuleb dokumenteerida. Olulisi ettepanekuid muudetud tingimustest teavitatakse tavaliselt vähemalt 30 päeva enne nende kavandatud jõustumiskuupäeva ja need vajavad kirjalikku nõusolekut, sealhulgas elektroonilist nõusolekut. Muudetud dokumendi avaldamine ei muuda iseenesest juba sõlmitud kliendilepingut. Tarnija muudatused järgnevad punktile 8; kohustuslikud seadusest tulenevad nõuded kehtivad siis, kui seadus seda nõuab.

Mittetäitmise korral peavad pooled otsima õigeaegset parandust. Töötlemine, mida ei saa seaduslikult läbi viia, tuleb peatada või lõpetada viisil, mis kaitseb andmeid, tagastamise ja kustutamisega vastavalt klauslile 14. Kohustuslikud seaduslikud kohustused omavad eelist vastuoluliste juhiste või tingimuste ees.

17. Kohaldatav õigus, koht ja keel

Käesolevat lepingut reguleerib Norra seadus. Kohustuslike jurisdiktsioonireeglite alusel tuleb lepingu tõttu tekkivad vaidlused esitada Oslon ringkonnakohtule (Oslo tingrett). See ei piira andmesubjektide seadusjärgseid õigusabivahendeid, nende õigust kaebuse esitamiseks järelevalveasutusele ega pädevate asutuste volitusi.

Selle lepingu ja kõigi lisade määrav lepingukeel on inglise keel. Tõlked teevad lepingu kättesaadavaks veebisaidi keeltes. Tähenduserinevuste korral on ülimuslik ingliskeelne versioon. Täidetud lisad, kirjalikud muudatused ja kokkulepitud versioon säilitatakse inglise keeles.

Lisa A · Töötlemise üksikasjad

See lisa määratleb standardse töötlemise ulatuse. Kliendipõhine tellimus ja lisa D näitavad tegelikult kasutatavaid funktsioone ja muid seaduslikke juhiseid. Valikulised funktsioonid ja ühendused ei anna õigust piiramatu teabe avalikustamiseks.

Eesmärk

Tagada ühendatud planeerimine meeskonna, seadmete, projektide ja kogu portfelli jaoks, sealhulgas ülesanded, kättesaadavus, kvalifikatsioonid, kokkulepitud finantsanalüüs, suhtlus ja tehisintellektiga abistamine. Seotud puudutamata profiilide loomine või töötajate töösoorituse jälgimine ei ole selle lepingu kohaselt lubatud täiendav eesmärk.

Andmesubjektid

Oma meeskond, palkatud personal ja alltöövõtja personal; administraatorid ja teised volitatud kasutajad; ning projekti, tarnija ja kliendi kontaktid. Seadmete info on kaasatud, kui see tuvastab füüsilise isiku.

Iseloom ja kestus

Kogumine, importimine, salvestamine, kuvamine, otsing, uuendamine, jaotamine, arvutamine, volitatud avalikustamine, eksport ja kustutamine kokkulepitud teenuse kestel, millele järgneb piiratud tagastamine ja kustutamine. Väliskõned toimuvad volitatud funktsioonide või kokkulepitud sünkroniseerimise kaudu.

Konto ja ressursi info

Nimed, töökontaktandmed, töötajate soovitused, tööandja/kuuluvus, osakond, roll, amet, kvalifikatsioonid ja kehtivusajad, asjakohased dokumendid, konto identifikaatorid ja ligipääsuõigused. Valikulised CV ja vabateksti väljad peavad piirduma ainult vajaliku infoga.

Planeerimise info

Minu plaan: individuaalne töö, tööajad ja muudatused. Projektiplaan: tegevused, meeskonnad, verstapostid ja sõltuvused. Ressursiplaan: saadavus, maht, nõudmised ja ülesanded projektide lõikes. Strateegiline plaan: portfelli maht, oma/väliste ressursside segu, pakkumised, stsenaariumid ja kokkulepitud kuluanalüüs. Eristatud kokkuvõtted jäävad isikuandmeteks.

Asukoht ja majanduslik info

Projekti/aruanne asukohad, tööbaasi aadress või postiindeks, tuletatud koordinaadid, reisikauguse hinnangud ja volitatud kulude/hinna info. See ei tähenda töötaja jätkuvat GPS-jälgimist. Kasuta vähem täpseid asukoha andmeid, kui see piisab.

Eemaldumine ja tööalased identifikaatorid

Vajalikud puudumisliigid ja kuupäevad, ning volitatud HMS-kaardi number/seisund/aegumistähtaeg. Haiguseliik võib paljastada terviseinfo ja vajab artikli 9 tingimust ning artikli 6 alust. Diagnoosid ja detailne meditsiiniline selgitus kuuluvad standardse ulatuse välistesse. Juurdepääsu piirangud ja juriidiline alus tuleb enne kavandatud jagamisarranžeeringule tuginemist kontrollida.

Side, tehisintellekt ja operatsiooniregistrid

Saaja andmed, sõnumi/tarne kirjed, plaanide jagamise lingid, juhised, valitud planeerimise kontekst, asjakohane vestluse ajalugu, salvestatud eelistused, esitatud failid, vastused ja pakutud muudatused; autentimine, tegevus, teatamine ja vajalikud turva-/diagnostikakirjed. Need kirjed ei ole automaatselt anonüümsed ega DPA-st väljaspool.

Säilitamise kriteeriumid

Hoia iga kategooriat ainult seni, kuni see on vajalik dokumenteeritud eesmärgi ja seaduslike juhiste jaoks. Vaata läbi planeerimis-/personaliteave, kui projekt või ülesanne lõppeb, ja kvalifikatsioonid, kui need asendatakse või aeguvad. Määra läbi vaadata/lõppkuupäevad mis tahes vajaliku ajaloo puhul. Vestlused, manused, sõnumid, logid ja vahemälud vajavad oma eesmärki ja kustutamise kriteeriume. Lõpetatud ajakava peab sisaldama tarnija koopiaid ja õigusalaseid hoiuviiteid, mis piirduvad vajaliku alamhulgaga.

Teenuse lõpp

Kliendid valivad tagastuse või kustutamise 14. klausli alusel. RessursAgent salvestab piiratud varukoopiate ulatuse, turvalise edastamismeetodi ja lõpliku aegumise. Pärast taastamist rakendatakse uuesti kõik puuduvad kustutamise juhised. Mitte mingit lõpmatut säilitamist ei ole lubatud.

Lisa B · Turvalisus ja taastamine

Järgmised tehnilised ja organisatoorsed meetmed kuuluvad RessursAgent kohustuste hulka 7. klausli alusel. Toetavad dokumendid, testimise kirjed ja turvahinnangud hoitakse eraldi ja neid tehakse kättesaadavaks 13. klausli kohaselt. Ühtki sertifitseerimist, katkestamatut kättesaadavust ega arvulist taastamiskohustust ei ole implitsiitset.

Juurdepääs ja konfidentsiaalsus

Organisatsiooni liikmelisus, rolli- ja vastutuse õigused, API ulatus ja andmebaasi rea-tasandi kontrollid eraldavad kliendiandmeid. RessursAgent piirab juurdepääsu ainult volitatud ülesannetega, vaatab üle õigused ja eemaldab juurdepääsu, kui seda enam ei vajata. Administratiivne juurdepääs kasutab, kus võimalik, mitmefaktorilist autentimist. Juurdepääsuhõivajad peavad järgima konfidentsiaalsuskohustusi. Kliendiadministraatorid määravad ja vaatavad üle oma kasutajate õigused.

Andmete kaitse

Veebileht ja rakendus kasutavad HTTPS-i. Toodangus PostgreSQL-iga tulevad ühendused nõuavad SSL/TLS-i; otsesed andmebaasi kliendid peavad kontrollima serveri sertifikaati ja hostinime. RessursAgent peaks kaitsma pääsukoodi juurdepääsu-kontrollitud konfiguratsioonis, piirama juurdepääsu salvestatud andmetele ning hindama salvestuse krüpteerimist ja võtmete käsitlemist tarnija turvameetmete raames. Salajased andmed ja tarbetud isikuandmed ei tohi diagnostikalogidesse lisanduda.

Regionaalne infrastruktuur

Rakenduse funktsioonid, põhianalüüsipank ja hallatud andmebaasi varukoopia ja taastamine on seadistatud Frankfurtis, Saksamaal. Eraldi tarnija tegevused on kirjeldatud lisas C ja jäävad punkt 9 alla.

Varundamine ja taastamine

Andmebaas kasutab igapäevaselt hallatavaid füüsilisi varukoopiaid, säilitades ajaloo umbes seitse päeva. Standardkonfiguratsioonis ei sisaldu ajapunkti taastamine. Andmebaasi varukoopiad ei sisalda eraldi failiobjekte. Taastamisprotseduurid peaksid hõlmama rakendust, autentimiskonfiguratsiooni, eraldi salvestatud faile, kui see on asjakohane, integratsioone ja kustutamisjuhiste uuesti rakendamist. RessursAgent peab regulaarselt testima ja hindama taastamismeetmeid ning taastama kättesaadavuse riskile vastava aja jooksul; arvuline RTO või RPO kehtib ainult siis, kui see on selgesõnaliselt kokku lepitud.

Taastamise kontroll

Taastumine toimub esmalt isoleeritud keskkonnas, millele on piiratud juurdepääs ja kontrollitud väljuvad ühendused. Enne tavapärast juurdepääsu kontrollitakse andmete terviklikkust, klientide eraldamist ja vajalike rakenduste funktsioone. Ajutised taastamise koopiad eemaldatakse, kui neid enam ei vajata. Andmebaasi taastamist testiti eraldi Frankfurdi projektis 13. oktoobril 2026; see ei tähenda iga teenuse komponendi testimist ega tagatud taastamisaega.

Turvaline arendus ja muudatuste haldus

Muudatused tehakse kontrollitud lähtekoodi halduse, ülevaatuse ja proportsionaalsete testide abil enne väljalaset. Testimine hõlmab juurdepääsupiire ja asjakohaseid andmetöötluse radu. Eelistatud on sünteetilised andmed testimiseks; kliendiandmete vajalik kasutamine on piiratud documented eesmärgiga. Turvariskid hinnatakse ja kõrvaldatakse vastavalt nende riskile.

Logid ja intsidentide käsitlemine

Turva- ja tegevuslogid piirduvad oma ettenähtud eesmärkidega, on kaitstud volitamata juurdepääsu või muutmise eest ja alluvad säilitamiskriteeriumidele. RessursAgent säilitab intsidentide hindamise, piiramise, eskaleerimise ja taastamise protseduurid. Kliendi teavitamine toimub punktis 12 ilma tarbetu viivituseta.

Andmete tagastamine ja kustutamine

Päringud tuleb volitada ja piirata õige kliendi jaoks, sealhulgas asjakohased manusfailid, taotluse kirjed ja tarnija koopiad. Eksportides tuleb kasutada struktureeritud, tavapärast vormingut ning autentitud või krüpteeritud edastuskanalit. Kustutamisprotseduurid peavad kaitsma mitteasjassepuutuvaid kliente ja jagatud identiteete, registreerima piiratud jääkkoopiad ning esitama kirjapandud lõpetamise kande vastavalt punktile 14.

Tehisintellekt ja ühendused

Ainult tööülesande jaoks vajalikud andmed tohib saata tehisintellektile või ühendatud teenustele. API/MCP juurdepääs peab kajastama kliendi õigusi ja heaks kiidetud ühenduse ulatust. Ajutiste pakkuja failide aegumiste ja kustutamissoovide puhul tuleb kontrollida ja jälgida ebaõnnestumisi. Pakutud abimehe muudatused vajavad kasutaja kinnitust ja rakenduse valideerimist. Üksikasjalikud meditsiinilised kirjeldused jäävad standardse planeerimise ulatusest välja.

Lisa C · Tarnijad ja asukohad

Järgmine register näitab RessursAgent alamvolitatud töötlejaid ja teisi saajaid standardteenuse jaoks. Valikulised teenused kehtivad ainult siis, kui need on lepingu kohaselt kaasatud. RessursAgent peab hoidma registrit ning toetavaid saaja, riigi, säilituse ja edastamise andmeid ajakohasena, esitama need punktis 13 ning järgima punktis 8 antud juhiseid alamvolitatud töötlejate muudatuste puhul.

Frankfurdi piirang kehtib infrastruktuurile, mis on määratletud punktis 9. See ei kehti kõigi allpool loetletud saajate puhul. Rahvusvahelised ülekanded ja asjakohane kaugjuurdepääs nõuavad punktis 9 sätestatud kaitsemeetmeid. Tarnija lingid annavad täiendavat teavet; muudatused tarnija veebilehel ei muuda automaatselt kliendi kokkulepitud tingimusi.

Supabase · andmebaas ja autentimine

Supabase Pte. Ltd., Singapur, pakub rakenduse andmebaasi ja autentimise platvormi. Peamine andmebaas ja hallatud varukoopiad asuvad Frankfurtis, Saksamaal. Tugi, konto haldus ja operatiivteenused võivad hõlmata ka teisi riike vastavalt Supabase DPA-le ja alltöötlusregistrile. Selle standardne DPA sisaldab ELi standardlepinguklausleid kohaldatavaks andmeedastuseks. RessursAgent peab hoidma saaja/riigi andmebaasi ja hindamist, nagu nõutud klauslis 9. Andmebaasi varundamise säilitamine on kirjeldatud Lisa B-s; konto- ja tarnijakoopiad jäävad alla klausli 14.

Vercel Inc. · majutus

Vercel Inc., USA, pakub hostimist ja rakenduste täitmist. Rakenduse funktsioonid on seadistatud Frankfurdis, Saksamaal. Sisu edastamine, tööoperatsioonide logid, tugi ja edasine töötlemine võivad toimuda väljaspool Saksamaad, sealhulgas USA-s. Vercel DPA tagab lepingulised ülekandekaitsed. RessursAgent peab pidama asjakohaseid saaja/riigi ja säilituse kirjeid ning hindamist, nagu nõutud punktis 9; igale Vercel teenusele ei ole määratud ainult Frankfurdi asukohta ega kindlat kustutamisperioodi.

Anthropic · AI abiline

Anthropic Ireland, Limited pakub Claude AI abi standardsete EEA äriliste tingimuste ja DPA alusel. See töötleb autoriseeritud päringuid, konteksti, asjakohast ajalugu, esitatud dokumente ja väljundeid; töötlemine ei piirdu Frankfurdi ega EEA-ga. Selle DPA pakub kaitset rahvusvahelise töötlemise jaoks, sealhulgas kehtivate standardlepingute klauslitega. Tavalised API sisendid/väljundid säilitatakse tavaliselt kuni 30 päeva. Files API salvestus, mudelispetsiifilised turvameetmed ja juriidilised või väärkasutuse vältimise erandid võivad erineda; märgistatud kasutuspoliitika juhtumite puhul avaldab Anthropic sisendid/väljundid kuni kaks aastat ja klassifitseerimisskoorid seitse aastat. Praegune säilituspoliitika on allpool lingitud. Üldotstarbelise mudeli treenimine kliendi sisu baasil on keelatud. Erilist nullsäilitamist ei ole ette nähtud; kehtivad klauslid 9, 10 ja 14.

Plus Five Five, Inc. (Resend) · e-post

Plus Five Five, Inc. (Resend), USA, tegeleb tootega ja autentimise e-kirjadega, sealhulgas kutsete ja parooli taastamisega. Andmed hõlmavad saaja aadresse, sisu/lingid ja kohaletoimetamise sündmusi. Kliendiandmed salvestatakse USA-s, isegi kui e-kiri saadetakse Euroopa piirkonnast. Nende andmetöötlusleping sisaldab EL-i standardlepinguklausleid, sealhulgas moodulit kolm alamteeninduse jaoks. Resend avaldab 30 päeva pikkuse e-posti/logi säilitamise oma tavapäraste Free, Pro ja Scale plaanide puhul, seitsmepäevased varukoopiad ja kuni 90 päeva saabunud kliendiandmete puhul pärast Resend konto lõpetamist. Kõik Enterprise'i variandid tuleb registreerida kehtiva konto jaoks. Need tarnija ajavahemikud ei asenda RessursAgent kliendi juhiste tähtaega: RessursAgent peab taotlema kehtivat kustutamist ja avaldama piiratud järelejäänud koopiad vastavalt klauslile 14.

Strex Mobile Services AS · valikuline SMS

Strex Mobile Services AS, Norra organisatsiooni number 927 347 830, pakub SMS-i kohaletoimetamist vastavalt allkirjastatud teenuslepingule ja Connect DPA v1.3-le. See töötleb saaja telefoninumbreid, SMS-i sisu ja kohaletoimetamise andmeid RessursAgent alamvolitatud töötlejana, kui RessursAgent tegutseb oma ärikliendi nimel. Strex kustutab andmed 30 päeva pärast, nagu on kinnitatud RessursAgentile. Selle teenusepakkuja säilitusaeg on eraldiseisev tagastamise/kustutamise tähtaegast punktis 14. Teenusepakkuja lisas on nimekirjas: Microsoft Azure Hollandis ja Iirimaal; ONLINECITY.IO Saksamaal; INFOBIP koos EL/EEA salvestusega; ja NRDB, Telenor Norge, Telia Norge, Lyse Tele ja Target365 Norras. Sinch Rootsi on nimekirjas ilma salvestuseta, mis ei välista töötlemist. Andmeedastus väljaspool EL/EEA-d nõuab teenusepakkuja DPA alusel selgesõnalist kirjalikku nõusolekut. Kõik seadusega nõutud säilitamised jäävad alla klausli 14.

Kaardid, aadressiotsingud ja identiteediteenuse pakkujad

Google Maps, vabatahtlik Google’i sisselogimine ja Kartverket/Geonorge aadressiotsingul on erinevad rollid ja avalikustamised. Sõltuvalt tegevusest võib saaja tegutseda eraldi töötlejana, mitte RessursAgent alltöövõtjana. Märkige lubatud teenus, asjakohased andmed ja kehtivad tingimused/asukohad. Avalik aadressiotsing võib siiski hõlmata isikuandmeid.

Kliendi valitud ühendused

HR, palga-, operatiivsed süsteemid ja välised tehisintellekti kliendid, kes kasutavad API/MCP, tuleb hinnata vastavalt sellele, kes saadikut kaasab, tema rollile, õigustele ja tegelikule andmevoole. Integratsiooni kataloog ei ole volituste nimekiri. Kliendi juhitud välised lingid vajavad sama vajaduse ja läbipaistvuse hindamist.

Mitteaktiivsed teenused

WorkOS ei ole aktiivne ja on praegusest alltöötlusosapoole ulatusest välja jäetud. Mis tahes tulevikus aktiveerimine nõuab hindamist ja kliendi teavitamist/lubamist vastavalt punktidele 8 ja 9.

Lisa D · Kliendi korraldused ja aktsepteerimine

Allpool toodud kliendispetsiifiline teave on esitatud aktsepteeritud teenusekorra, konto haldusandmete ja kõigi kokku lepitud kirjalike juhistega. Seda ei ole vaja eraldi allkirjastatud ajakavas korrata. Lisa A–C standardtingimused kehtivad, välja arvatud juhul, kui pooled lepivad kirjalikult kokku seadusliku muudatuses.

Volitatud töötleja ja kontakt

RessursAgent AS · organisatsiooni nr 935 854 067 · Gydas vei 22, 0363 Oslo, Norra · privacy@ressursagent.no. Juhtum/andmekaitse omanik: Oskar Bragnes, tegevjuht. Asendus: Olav Bragnes, CPO.

Klient ja teenusekord

Kontrollija on juriidiline isik, kes on määratletud vastuvõetud teenuselepingu/tellimuse põhjal. Selle registreerimisandmed, teenuseperiood ja volitatud esindaja on need, mis on kirjas selles lepingus. Klient peab hoidma oma haldus-, privaatsus- ja õnnetuste kontaktid ajakohasena. Kuni eraldi õnnetuste kontakt on määratud, saadetakse teated teenuse jaoks registreeritud volitatud kliendikontaktile.

Ulatus ja juhised

Ulatus hõlmab tellimust ja funktsioone vastuvõetud tellimuses, mida täiendavad volitatud konfiguratsioon ja kirjalikud juhised 4. lõikes. Valikulised AI-, SMS- ja kliendühendused kehtivad ainult siis, kui need on volitatud. Klient dokumenteerib oma säilituskriteeriumid, lubatud puudumiskategooriad ja sihtrühmad, artikli 6 aluse ja kõik artikli 9 tingimused. Üksikasjalikud meditsiinilised kirjeldused on standardse teenuse ulatusest välja jäetud.

Andmete säilitamine ja tagastamine/kustutamine

Punkt 14 sätestab standardse tähtaja 30 kalendripäeva pärast juhiste ja vajaliku ulatuse selgitamist, ilma tarbetu viivituseta. Kategooriapõhised ajakavad ja seaduslikud erandid tuleb märkida kliendi juhistes. RessursAgent peab registreerima allesjäänud piiratud varukoopiad ja tarnija koopiad, teavitama nende lõpptähtajast või seaduslikust säilitamiskriteeriumist ning kinnitama lõpetamise kirjalikult.

Taastamine ja intsidendid

Käesoleva lisas B nimetatud meetmed ja viivitamata teavitamine vastavalt punktile 12 kehtivad. Täiendav numbriline taastamisaeg või andmekao garantii, fikseeritud intsidentidele reageerimise SLA või pikem teavitusaeg alltöövõtja vahetamisel kehtib ainult juhul, kui see on selgesõnaliselt lisatud aktsepteeritud teenusekorraldusesse.

Alltöövõtja volitamine

Nõustumine annab lisas C nimetatud alamtöötlajatele loa kokkulepitud teenuse jaoks ja üldise loa menetluse punktis 8. RessursAgent jääb vastutavaks tarnija lepingute, ülekandminehinnangute ja turvasertifikaatide haldamise eest. Valikulised vastuvõtjad ei saa andmete töötlemiseks piiramatut luba.

Nõustumine ja jõustumise kuupäev

Versioon 1.0, avaldatud 14. oktoobril 2026, jõustub kliendi jaoks kuupäeval, mil see on lisatud aktsepteeritud teenuslepingusse/tellimusse või eraldi kirjalikult, sealhulgas elektrooniliselt, mõlema osapoole volitatud esindajate poolt. Tellimuse/nõustumise register näitab lepitud versiooni ja kuupäeva. Säilitage see register ja koopia aktsepteeritud lepingust. Olevaid kliendilepinguid ei asendata ainult selle versiooni avaldamisega.

Dokumendi versioon

Versioon 1.0 · 14. oktoober 2026

Avaldatud standardiseeritud leping, mis hõlmab töötlemise juhiseid, turvalisust, tarnijaid, säilitamist, abi ja kliendi aktsepteerimist. Aktsepteeritud teenuse tellimus näitab, milline versioon kehtib iga kliendi kohta; hilisem avaldamine ei muuda seda lepingut automaatselt.