Personuppgiftsbiträdesavtal

1. Parter och ingående

Personuppgiftsbiträdet är RessursAgent AS, norskt organisationsnummer 935 854 067, Gydas vei 22, 0363 Oslo, Norge. Dataskyddskontakt: privacy@ressursagent.no. Den personuppgiftsansvarige är kunden som anges i tjänsteavtalet. Bilaga D kan identifiera kunden och överenskommen tjänst med hänvisning till den beställningen; det krävs ingen andra kopia av information som redan tydligt har registrerats där.

Detta avtal och dess bilagor ska ingås skriftligen, inklusive elektroniskt, innan behandling å kundens vägnar påbörjas. Parterna kan införliva denna identifierade version i en accepterad serviceorder utan separat handskriven signatur. Att besöka denna sida ensam utgör inte ett godkännande. Ett separat ingånget kundpersonuppgiftsbiträdesavtal förblir giltigt såvida inte parterna kommer överens om att ersätta det. Om det finns en konflikt med serviceavtalet, äger detta personuppgiftsbiträdesavtal företräde för behandlingen av personuppgifter.

Detta DPA, inklusive dess bilagor och eventuella överenskomna kundspecifika instruktioner, utgör en del av RessursAgent Serviceavtalet som identifieras under Bilaga D. Den överenskomna prenumerationen/beställningen och tillämpliga RessursAgent-villkor styr kommersiella frågor. Den accepterade versionen ska förvaras tillsammans med kundavtalet.

2. Omfattning, syfte och varaktighet

Detta avtal reglerar behandling för att tillhandahålla och stödja RessursAgent: Min plan, projektplanering, resursplanering, strategisk planering och överenskomna AI-, kommunikations- och anslutningsfunktioner. Bilaga A specificerar ämnesområde, karaktär, syften, varaktighet, typer av personuppgifter och kategorier av registrerade. Avtalet gäller så länge RessursAgent eller en underbiträde behandlar personuppgifter på kundens vägnar, inklusive perioden för återlämnande och radering.

Kunden bestämmer ändamålen och de väsentliga medlen. RessursAgent bestämmer praktiska tekniska arrangemang inom dessa instruktioner. Användarkonton, åtkomsträttigheter och aktivitetsloggar omfattas när de behandlas för att leverera tjänsten på kundens uppdrag. Data som behandlas av RessursAgent för sina egna särskilda ändamål, såsom fakturering och kundrelationskontakter, måste beskrivas separat i integritetspolicyn. Data faller inte utanför detta avtal bara för att det är operativ data.

3. Definitioner och tillämplig dataskyddslag

Tillämpbar dataskyddslag betyder förordning (EU) 2016/679 (den allmänna dataskyddsförordningen eller GDPR), i den mån den är tillämplig inom EES och införlivad i norsk lag genom den norska personuppgiftslagen av den 15 juni 2018 nr. 38, tillsammans med tillämplig kompletterande dataskyddslagstiftning. Avtalet är avsett att specificera de behandlingsarrangemang som krävs enligt artikel 28 i GDPR. Obligatoriskt skydd enligt tillämplig lag förblir opåverkat.

Personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, personuppgiftsincident och tillsynsmyndighet har den betydelse som anges i GDPR. En användare är en person som kunden har gett behörighet att använda tjänsten. Ett underbiträde är ett annat personuppgiftsbiträde som RessursAgent anlitar för att behandla personuppgifter för kundens räkning.

Kunddata avser information som lämnas till eller skapas i tjänsten enligt kundens instruktioner. Detta avtal reglerar personuppgifterna i denna information, inklusive planeringsuppgifter, kommunikation, dokument och analysresultat. Om RessursAgent är personuppgiftsbiträde eller personuppgiftsansvarig för en viss aktivitet beror på dess faktiska ändamål och ansvar, enligt punkt 2.

Tjänst avser RessursAgent programvara-som-en-tjänst-applikationen på app.ressursagent.no och de funktioner som överenskommits med kunden. Kunddata inkluderar information som anges eller importeras av auktoriserade användare och de resulterande planeringsposterna. Kunden behåller sina rättigheter i sitt inlämnade innehåll; denna DPA tillåter endast behandling för att tillhandahålla den överenskomna tjänsten och uppfylla lagliga instruktioner. Prenumerationsperiod, pris, supportåtaganden och uppsägningsmeddelande specificeras i tjänsteavtalet, inte härledd från en annan leverantörs villkor.

4. Dokumenterade instruktioner

RessursAgent ska behandla personuppgifter endast enligt kundens dokumenterade instruktioner, inklusive instruktioner avseende utlämnande och överföringar utanför EES. Instruktioner omfattar detta avtal, dess ifyllda bilagor och begäran från auktoriserade användare inom den avtalade tjänstefunktionaliteten, inklusive API och MCP. Parterna ska dokumentera efterföljande instruktioner och ändringar av behandlingsomfånget skriftligen.

RessursAgent ska inte använda personuppgifter som behandlas enligt detta avtal för sina egna orelaterade syften, reklam, försäljning av data eller kors-kundprofilering. Om RessursAgent fastställer ett separat syfte och nödvändiga medel för behandlingen, ska dess juridiska ansvar följa dess faktiska roll enligt tillämplig lag; detta avtal ger inte behörighet till sådan ändring av syftet.

När EU/EES-lag eller norsk lag som är bindande för RessursAgent kräver behandling utanför kundens instruktioner, ska RessursAgent informera kunden om detta lagkrav innan behandlingen sker, såvida lagen inte förbjuder detta av viktiga skäl av allmänt intresse. RessursAgent ska omedelbart informera kunden om en instruktion verkar strida mot gällande dataskyddslagstiftning och ska avbryta den berörda instruktionen tills ett lagligt tillvägagångssätt fastställts.

5. Kundens ansvar och dataminimering

Kunden ska fastställa och dokumentera en laglig grund enligt GDPR artikel 6, tillhandahålla informationen som krävs enligt artiklarna 13 och 14, samt följa principerna i artikel 5. Kunden ska säkerställa att personuppgifter är adekvata, relevanta, begränsade till vad som är nödvändigt, korrekta och inte lagras längre än vad som krävs för de angivna ändamålen. Användarbehörigheter, lagringsinstruktioner och data som delges via integrationer ska återspegla dessa ändamål.

Kunden ska bedöma integritetsrisker och, där det krävs enligt artikel 35, genomföra en konsekvensbedömning av dataskydd innan den relevanta behandlingen påbörjas. Eventuell erforderlig förhandskonsultation enligt artikel 36 ska slutföras innan behandlingen. RessursAgent ska bistå enligt klausul 11. Kunden ska även beakta tillämpliga regler för anställning och arbetsplatsövervakning.

Tjänsten stöder frånvarokategorier och datum för resursplanering, såsom semester eller sjukdom. Kunden ska definiera vilka kategorier varje auktoriserad målgrupp behöver se och dokumentera syfte och rättslig grund. Detaljerade medicinska skäl och diagnoser ligger utanför standardplaneringsområdet. Eventuell åtkomstbegränsning baserad enbart på kategori måste verifieras innan den används. Personalmeddelanden kan tillhandahållas via anställningsavtal och relaterad information, men dessa dokument ersätter inte kundens bedömning av rättslig grund och nödvändighet.

En semestertyp indikerar inte i sig själv hälsotillstånd, men en sjukdomskategori kopplad till en person avslöjar hälsouppgifter även utan diagnos eller detaljerad förklaring. För sådan behandling ska kunden ange en tillämplig Artikel 9(2)-förutsättning samt en Artikel 6-basis. Erkännande av anställningsavtal fastställer inte i sig giltigt samtycke eller gör varje utlämnande nödvändigt. När samtycke åberopas måste dess giltighet bedömas separat, inklusive frihet att välja i anställningsförhållandet, specificitet, information och möjlighet att återkalla utan nackdel; Artikel 9(2)(a) kräver uttryckligt samtycke. När kategorin inte lagligen kan delas med en viss målgrupp, visa istället en generell otillgänglig status. Kunden ska dokumentera tillämplig grund, nödvändighet, åtkomst och säkerhetsåtgärder för lagring.

Diagnoser, medicinska rapporter, onödiga berättande detaljer, uppgifter om brottsliga handlingar och personnummer ligger utanför den standardiserade planeringsramen om det inte särskilt avtalats med nödvändiga lagliga villkor och skyddsåtgärder. HMS-kortsnummer är yrkesidentifierare, inte tillstånd att samla in personnummer. RessursAgent ska följa lagliga instruktioner för att begränsa, returnera eller radera data som ligger utanför det avtalade området; dess uppgifter fortsätter för data som faktiskt mottagits.

6. Sekretess

RessursAgent ska säkerställa att personer med åtkomst omfattas av avtalsenliga eller lagstadgade sekretessplikter. Åtkomst ska begränsas till vad som är nödvändigt för uppgiften och tas bort när den inte längre behövs. Sekretessen ska fortsätta efter anställningens och avtalets slut. Kunddata får inte avslöjas för andra kunder eller användas för ändamål som inte rör tredje part.

Båda parter ska skydda konfidentiell information som utbyts för att administrera detta avtal, inklusive säkerhetsdokumentation och icke-offentlig kundinformation. Utlämnande som är nödvändigt för att uppfylla juridiska skyldigheter, hjälpa individer, erhålla professionell rådgivning under sekretess eller samarbeta med tillsynsmyndighet är fortfarande tillåtet.

7. Informationssäkerhet

RessursAgent ska genomföra, upprätthålla och dokumentera tekniska och organisatoriska åtgärder som är lämpliga med hänsyn till risken enligt GDPR artikel 32, med beaktande av den tekniska utvecklingen, kostnader för implementering, karaktär, omfattning, sammanhang och syften med behandlingen samt risker för individer. Åtgärderna ska omfatta löpande konfidentialitet, integritet, tillgänglighet och resiliens i behandlingen, snabb återställning av åtkomst till data efter en incident samt regelbunden testning och utvärdering av deras effektivitet.

Bilaga B ska dokumentera de konkreta åtgärderna, inklusive åtkomstkontroller, kundseparering, skydd av data under överföring och i vila, säkerhetskopiering och återställning, säker utveckling och hantering av incidenter. Kryptering och pseudonymisering ska bedömas och tillämpas där det är lämpligt med hänsyn till riskerna. Personal ska endast behandla data inom ramen för sin auktorisation och kundens instruktioner. Åtgärder ska vara på plats innan den behandling de avser påbörjas.

RessursAgent ska bistå kunden med dataskydd genom design och som standard inom de tjänster som tillhandahålls. Säkerhetsåtgärder kan utvecklas utan att minska den överenskomna skyddsnivån eller efterlevnaden av gällande lag. Väsentliga förändringar ska dokumenteras och kommuniceras till kunden.

Varje part ska upprätthålla de behandlingsregister som krävs enligt artikel 30, utse ett dataskyddsombud när artikel 37 kräver det, och samarbeta med behöriga tillsynsmyndigheter. RessursAgent ska behålla stödjande säkerhetsdokumentation, regelbundet bedöma effektiviteten i sina åtgärder och åtgärda identifierade brister. Offentliggörandet av detta avtal är inte en certifiering eller en oberoende säkerhetsrevision.

8. Underbiträden

RessursAgent ska inte anlita en underbiträde utan kundens föregående specifika eller allmänna skriftliga godkännande. Genom att ingå detta avtal godkänner kunden underbiträdena i bilaga C för de funktioner som ingår i den avtalade tjänsten och ger ett allmänt skriftligt godkännande för senare tillägg eller ersättningar enligt denna klausul. Att lista en valfri tjänst innebär inte att den aktiveras eller godkänner orelaterad behandling.

RessursAgent ska meddela kunden direkt skriftligen om avsedd tillägg eller ersättning av underbiträde i god tid för att möjliggöra ett meningsfullt invändningsförfarande innan den berörda behandlingen påbörjas. Meddelandet ska identifiera enheten, aktiviteten, relevanta uppgifter, behandlingsplatser och överföringsskyddsåtgärder. Eventuell ytterligare överenskommen minsta meddelandetid ska dokumenteras i Bilaga D. Parterna ska söka en laglig lösning på vederbörligen grundade dataskyddsinvändningar. Den omtvistade behandlingen får inte påbörjas för den kunden medan invändningen är olöst; om ingen laglig lösning är möjlig ska den berörda tjänsten avbrytas eller avslutas med återlämning och radering enligt klausul 14.

Innan en underbiträde tar emot personuppgifter ska RessursAgent bedöma dess tillräckliga garantier och ingå ett bindande avtal som i huvudsak ålägger samma dataskyddsförpliktelser som detta avtal för den delegerade behandlingen, inklusive lämplig säkerhet och assistans. RessursAgent ska förbli fullt ansvarig gentemot kunden för underbiträdets fullgörande av dessa förpliktelser enligt artikel 28(4).

RessursAgent ska hålla det godkända registret uppdaterat och tillhandahålla information som rimligen behövs för att verifiera arrangemangen för underbiträden. Relevanta avtal får redigeras endast i den utsträckning som behövs för att skydda konfidentiell information utan att hindra kunden från att bedöma efterlevnad. RessursAgent ska underrätta kunden om underbiträdets icke-efterlevnad som påverkar behandlingen och vidta lämpliga åtgärder för rättelse.

9. Bearbetningsplatser och överföringar utanför EES

Utförande av applikationsfunktioner, den primära applikationsdatabasen samt hanterad databasbackup och återställning är konfigurerade i Frankfurt, Tyskland. RessursAgent ska upprätthålla denna regionala begränsning för den infrastrukturen. Innehållsleverans, operativa loggar, supportåtkomst samt separat engagerad AI, e-post, SMS och andra tjänster har sina egna bearbetningsplatser. Bilaga C identifierar dessa tjänster; klausulerna 8 och 9 reglerar deras användning och eventuella internationella överföringar.

Bilaga C ska identifiera de överenskomna bearbetnings- och lagringsplatserna, stödja åtkomst från andra länder och relevant vidarebearbetning. Att placera en databas inom EES etablerar inte i sig att all bearbetning sker där. Ändringar av platser ska utvärderas innan de genomförs och är föremål för kundens dokumenterade instruktioner och klausul 8 när en underbiträde ändras.

Förutom där den rättsliga skyldighet som beskrivs i klausul 4 gäller, ska överföringar utanför EES endast ske på kundens dokumenterade instruktioner. Varje sådan överföring, inklusive relevant fjärråtkomst och vidareöverföringar, måste uppfylla GDPR kapitel V. Innan data överförs ska RessursAgent dokumentera mottagaren, landet och tillämplig mekanism, såsom ett adekvat beslut inom dess tillämpningsområde eller lämpliga skyddsåtgärder enligt artikel 46.

När standardavtalsklausuler används ska RessursAgent bedöma deras effektiva skydd i förhållande till överföringens omständigheter, dokumentera relevant lagstiftning och praxis i mottagarlandet och genomföra kompletterande åtgärder där det är nödvändigt. Överföringar får inte påbörjas, eller ska avbrytas, om det erforderliga skyddet inte kan garanteras. Detta avtal är inte i sig ett överföringsmekanism enligt kapitel V.

10. AI, kommunikation och anslutningar

När den är aktiverad och konfigurerad använder assistenten Anthropic:s kommersiella Claude API för att tolka förfrågningar, förbereda föreslagna åtgärder, komponera svar och tillhandahålla språkstöd. Uppgiftskontext kan omfatta utvalda personer, utrustning, projekt, datum, uppgifter och tillgänglig planeringsinformation; användarprofiluppgifter, sparade preferenser eller minnen, nyligen ställda frågor och relevant konversationshistorik kan också inkluderas. Bilagor bearbetas när de lämnas in. Den tillåtna omfattningen måste kontrolleras mot faktisk promptkonstruktion och användarbehörigheter, inklusive valfria fält. RessursAgent ska endast avslöja det som är nödvändigt för den auktoriserade uppgiften.

RessursAgent använder Anthropic under sina standardvillkor för kommersiellt bruk, vilka inkluderar ett tillägg för databehandling och förbjuder träning på kundinnehåll. Standard-API-inmatningar och -utmatningar raderas normalt inom 30 dagar; filtjänster som kontrolleras av leverantören, modell-specifika säkerhetskrav, undersökningar av användningspolicy och juridiska skyldigheter kan ha annan lagringstid. Ingen specialanpassad noll-data-lagringsöverenskommelse ingår. RessursAgent ska dokumentera den tillämpliga modellen, verktyget, lagrings- och överföringsarrangemang och begränsa de data som lämnas ut till den auktoriserade uppgiften.

Som en kontraktsmässig begränsning för denna tjänst får RessursAgent inte använda, eller tillåta sina underbiträden att använda, personuppgifter som behandlas enligt detta avtal för att träna eller förbättra generella modeller, skapa profiler över flera kunder eller utveckla orelaterade produkter. Leverantörsavtal och inställningar ska stödja denna begränsning innan den relevanta behandlingen påbörjas. All säkerhets- eller missbruksövervakningsbehandling ska dokumenteras, begränsas till ett lagligt syfte och bedömas utifrån leverantörens faktiska roll.

AI-output är beslutsstöd och kan innehålla fel. Kunden ska tillhandahålla betydande mänsklig granskning, med befogenhet att avvisa eller ändra förslaget, innan man litar på output för beslut som rör individer. Planeringsförändringar föreslagna av RessursAgent-assistenten kräver användarens godkännande och förblir föremål för tjänstens tillstånds- och valideringskontroller. Ett bekräftelseklick ensam etablerar inte en betydande granskning. Varje avsedd helt automatiserad beslut som ger juridiska eller liknande betydande effekter kräver en separat bedömning av artikel 22, ett tillämpligt undantag och de nödvändiga skyddsåtgärderna; det är inte auktoriserat av de standardiserade bearbetningsinstruktionerna.

Bifogade filer och konversationshistorik kan behandlas för att uppfylla den auktoriserade begäran. Utdrag från dokumenttext eller uppladdade filer kan skickas till AI-leverantören beroende på filtyp. Applikationshistorik och filer som hålls av leverantören har separata lagringsordningar. För tillfälliga Files API-uppladdningar begär applikationen en utgångstid på högst en timme, validerar den återlämnade utgångstiden innan användning och begär radering efter bearbetning. Dessa applikationskontroller lovar inte omedelbar fysisk radering av varje kopia hos leverantören. RessursAgent ska följa upp misslyckade förfrågningar om utgång/ radering, tillämpa lagliga raderingsinstruktioner på relevanta kopior och dokumentera eventuell begränsad kvarvarande lagring enligt klausul 14.

SMS använder Strex/Target365. Produktmejl och autentiseringsmejl, inklusive inbjudningar och återställning av lösenord, använder Resend. Dessa tjänster bearbetar mottagarinformation, relevant innehåll, leveranshändelser och länkar. Den godkända omfattningen, platserna och lagringstiden ska dokumenteras i bilaga C. Känslig frånvaroinformation och HMS-kortnummer ska inte inkluderas i meddelanden eller AI-promptar om det inte har bedömts separat och uttryckligen godkänts med lämpligt leverantörsskydd.

Kundanslutna system och externa AI-klienter som använder API eller MCP ska bedömas utifrån vem som engagerar dem, deras faktiska roll, den data som nås och de åtgärder som är auktoriserade. De är inte automatiskt RessursAgent underbiträde. Kunden ska säkerställa de nödvändiga instruktionerna, lagliga utlämnandet och avtal för de tjänster den engagerar; RessursAgent förblir ansvarig för skyldigheter som rör dess egen tjänst och underbiträde.

Den valfria kartvyn använder Google Maps. Adressgeokodning använder Kartverkets Geonorge-tjänst, inklusive projektadresser och resursarbetsbasadresser där det är konfigurerat. Kundstyrda länkar kan avslöja ett telefonnummer till Gule Sider eller ett HMS-kortnummer till Jobbkort efter att användaren klickar. Dessa avslöjanden och externa identitetsleverantörer registreras separat i Bilaga C; deras roller och lagliga användning måste bedömas i stället för att behandla varje extern tjänst som en underbiträde. Varken detta avtal eller en anslutningskatalog ger tillstånd för onödiga avslöjanden.

11. Rättigheter och assistans

Kunden är ansvarig för att svara på personer som utövar rättigheter enligt GDPR Kapitel III. RessursAgent ska omedelbart vidarebefordra förfrågningar den tar emot och ska inte svara å kundens vägnar utan instruktioner om det inte krävs enligt lag. Förfrågningar till privacy@ressursagent.no bör identifiera ärendet, omfattningen och gällande tidsfrist utan att inkludera onödiga personuppgifter.

Med hänsyn till behandlingens natur ska RessursAgent bistå genom lämpliga tekniska och organisatoriska åtgärder, så långt det är möjligt, så att kunden kan uppfylla förfrågningar om åtkomst, rättelse, radering, begränsning, dataportabilitet och invändning, samt andra tillämpliga rättigheter enligt Kapitel III. Parterna ska ordna säker utväxling och tillräckligt snabb assistans för att uppfylla lagstadgade tidsfrister; interna rutiner får inte förlänga dessa tidsfrister.

Med hänsyn till hanteringens natur och tillgänglig information ska RessursAgent bistå kunden med skyldigheter enligt artiklarna 32–36, inklusive säkerhet, bedömning och underrättelse av överträdelser, konsekvensbedömningar och föregående samråd. Överenskomna operativa detaljer ska anges i bilagorna B och D. Eventuella assistansavgifter måste avtalas i förväg och får inte förhindra juridiskt krävande bistånd.

12. Intrång i personuppgifter

RessursAgent ska utan onödigt dröjsmål meddela kundens utsedda incidentkontakt efter att ha blivit medveten om ett personuppgiftsbrott som påverkar behandlingen enligt detta avtal, i enlighet med artikel 33.2. Det ska inte vänta på en fullständig utredning eller sin egen bedömning av om brottet måste rapporteras till en myndighet. Om informationen är ofullständig ska ett första meddelande följas av uppdateringar utan onödigt dröjsmål.

I den mån det är möjligt ska meddelandet ange brottets natur, berörda kategorier och ungefärligt antal individer och register, sannolika konsekvenser, åtgärder för innehållande och rättelse, samt en kontaktperson för ytterligare information. RessursAgent ska dokumentera fakta och svar, bevara relevant bevismaterial, vidta proportionerliga åtgärder för innehållande och mildring samt assistera kunden.

Kunden ska bedöma och uppfylla sina skyldigheter enligt artiklarna 33 och 34. När myndighetsanmälan krävs, föreskriver artikel 33(1) anmälan utan obefogat dröjsmål och, om möjligt, inom 72 timmar efter att kunden blivit medveten om händelsen; fördröjd anmälan måste förklara skälen. Anmälan krävs inte om överträdelsen sannolikt inte leder till en risk för individers rättigheter och friheter. Kommunikation till individer ska följa artikel 34, inklusive dess högrisktröskel och tillämpliga undantag. Dessa regler ger inte RessursAgent en 72-timmars väntetid för att underrätta kunden.

Kunden ska omedelbart informera RessursAgent om komprometterade konton eller andra incidenter som påverkar tjänsten och samarbeta vid begränsning. Kontaktpersoner för incidenter, eskaleringskanaler och eventuella strängare kontraktsmässiga svarsmål ska kompletteras i Bilaga D och får inte skjuta upp en lagstadgad skyldighet.

13. Dokumentation och revision

RessursAgent ska tillhandahålla all information som är nödvändig för att visa efterlevnad av artikel 28 och detta avtal, svara adekvat på kundens förfrågningar och tillåta samt bidra till revisioner, inklusive inspektioner, av kunden eller en revisor som kunden utser. Relevanta oberoende rapporter kan stödja denna bedömning men ska inte automatiskt ersätta en nödvändig revision eller inspektion.

Rutinaudit bör normalt ordnas med fyra veckors varsel. Denna schemaläggningsförväntan begränsar inte revisioner som behövs akut efter en incident, misstänkt icke-efterlevnad eller ett myndighetskrav. Parterna ska komma överens om proportionerliga arrangemang som skyddar andra kunders data och konfidentiell information utan att hindra effektiv verifiering. Avgifter ska avtalas i förväg och får inte göra revisionsrätten ineffektiv. Relevant dokumentation och resultat ska vara tillgängliga för behörig tillsynsmyndighet där det krävs.

14. Bevarande, återlämning och radering

RessursAgent ska följa principen om lagringsbegränsning enligt GDPR artikel 5(1)(e) och tillämplig norsk dataskyddslag. Personuppgifter som behandlas på kundens vägnar ska endast sparas så länge som är nödvändigt för de överenskomna ändamålen och lagligt dokumenterade instruktioner, eller enligt vad som krävs av tillämplig lag. Kunden ska definiera de relevanta lagringsperioderna eller objektiva kriterierna, och RessursAgent ska genomföra de överenskomna gransknings- och raderingsprocedurerna. Det finns ingen enda lagstadgad lagringsperiod som gäller för alla uppgifter i tjänsten.

Under tjänsten ska RessursAgent genomföra lagliga instruktioner för bevarande och radering inom den överenskomna omfattningen. När de relevanta behandlingstjänsterna avslutas ska kunden välja om personuppgifterna ska returneras eller raderas. RessursAgent ska utföra det valet och radera återstående kopior, såvida inte EU/EES eller norsk lag kräver fortsatt lagring. Uppgifter ska inte sparas eller användas för orelaterade ändamål efter avslut.

Återlämning eller radering ska genomföras utan onödigt dröjsmål och inom 30 kalenderdagar efter att kundens instruktioner och nödvändigt omfattning har klargjorts. RessursAgent ska omgående söka eventuella nödvändiga klargöranden och ska inte använda klargöranden för att onödigt förlänga lagringen. Återlämning ska ske med ett strukturerat, allmänt använt format och en autentiserad eller krypterad leveranskanal. Återstående aktiva kopior ska raderas när återlämningen är slutförd om inte en laglig instruktion eller bevaringsplikt kräver något annat. Proceduren omfattar aktiva system, bilagor, relevanta loggar och kopior hos underbiträden, med förbehåll för dokumenterade backup- och lagliga leverantörsundantag nedan. Denna operativa tidsfrist förlänger inte de lagstadgade tidsfristerna för individers rättigheter.

Säkerhetskopior som väntar på radering enligt en dokumenterad lagringscykel ska skyddas och vara otillgängliga för vanlig användning. RessursAgents hanterade databassäkerhetskopior roterar över ungefär sju dagar. Leverantörsspecifika återstående kopior följer de tillämpliga begränsade lagringsarrangemangen som anges i Bilaga C. Vid återlämning eller radering ska RessursAgent registrera och informera kunden om det slutliga utgångsdatumet eller tillämpliga rättsliga lagringskriterier för eventuella återstående kopior. En leverantörspolicy tillåter i sig inte lagring som strider mot tillämplig lag eller detta avtal. Utestående raderingsinstruktioner ska tillämpas igen innan normal åtkomst återupptas efter en återställning. RessursAgent ska erhålla lämpligt bevis på underrättelse om underbiträdets radering och bekräfta slutförandet samt eventuell begränsad kvarvarande lagring till kunden skriftligen.

När lagen kräver fortsatt lagring ska RessursAgent, om det inte är förbjudet, informera kunden om den rättsliga grunden, de berörda uppgifterna och den erforderliga perioden. Tillgång och behandling ska begränsas till detta lagkrav och uppgifterna ska förbli skyddade tills de raderas.

15. Ansvar

Varje part är ansvarig för sina skyldigheter enligt tillämplig dataskyddslagstiftning och detta avtal. Ansvar mellan parterna följer tillämplig lag och eventuella giltiga begränsningar som uttryckligen avtalats i tjänsteavtalet. Ingen begränsning ska frånta obligatoriska skyldigheter eller skapa ett ytterligare tak genom detta avtal.

Inget i detta avtal begränsar registrerades rätt till ersättning enligt GDPR artikel 82 eller tillsynsmyndigheternas befogenheter. När en part har betalat ersättning för skada som den andra parten är ansvarig för, ska återkrav mellan parterna följa ansvarsfördelningen enligt artikel 82(5) och tillämplig lag.

16. Ändringar och icke-efterlevnad

Ändringar som krävs enligt lag, tjänsteutveckling eller behandlingsarrangemang ska dokumenteras. Föreslagna väsentliga ändringar ska normalt meddelas minst 30 dagar före det avsedda ikraftträdandedatumet och kräver skriftligt godkännande, inklusive elektroniskt godkännande. Publicering av ett reviderat dokument ändrar inte i sig ett redan slutet kundavtal. Leverantörens ändringar följer klausul 8; obligatoriska lagstadgade skyldigheter gäller när de krävs enligt lag.

Vid bristande efterlevnad ska parterna söka tidsenlig åtgärd. Behandling som inte kan utföras lagligt ska avbrytas eller avslutas på ett sätt som skyddar uppgifterna, med återlämning och radering enligt klausul 14. Obligatoriska rättsliga skyldigheter har företräde framför motstridiga instruktioner eller villkor.

17. Tillämplig lag, domstolsort och språk

Detta avtal regleras av norsk lag. Med förbehåll för tvingande jurisdiktionsregler ska tvister mellan parterna som uppstår på grund av detta avtal hänskjutas till Oslo tingsrätt. Detta begränsar inte de registrerades lagstadgade rättsmedel, deras rätt att klaga till en tillsynsmyndighet eller behöriga myndigheters befogenheter.

Engelska är det styrande avtalsspråket för detta avtal och samtliga bilagor. Översättningar tillhandahålls för att göra avtalet tillgängligt på webbplatsens språk. Vid skillnader i betydelse har den engelska versionen företräde. Ifyllda bilagor, skriftliga ändringar och den överenskomna versionen ska bevaras på engelska.

Bilaga A · Behandlingsdetaljer

Denna bilaga definierar den standardiserade behandlingsomfånget. Kundspecifika beställningar och Bilaga D identifierar de funktioner som faktiskt används och eventuella ytterligare lagliga instruktioner. Valfria funktioner och anslutningar ger inte tillstånd till obegränsad utlämning.

Syfte

Tillhandahåll sammanhängande planering för personal, utrustning, projekt och hela portföljen, inklusive uppdrag, tillgänglighet, kvalifikationer, överenskommen ekonomisk analys, kommunikation och AI-assistans. Orelaterad profilering eller övervakning av anställdas prestationer är inte ett ytterligare syfte som denna överenskommelse tillåter.

Registrerade personer

Egen personal, inhyrd personal och underleverantörspersonal; administratörer och andra behöriga användare; samt projekt-, leverantörs- och kundkontakter. Utrustningsinformation inkluderas där den identifierar en individ.

Karaktär och varaktighet

Insamling, import, lagring, visning, sökning, uppdatering, tilldelning, beräkning, auktoriserad utlämning, export och radering under den överenskomna tjänsten, följt av begränsad återlämning och radering. Externa samtal sker genom auktoriserade funktioner eller överenskommen synkronisering.

Kontoinformation och resursinformation

Namnen, arbetskontaktuppgifter, anställningsreferenser, arbetsgivare/affiliation, avdelning, roll, yrke, kvalifikationer och utgångsdatum, relevanta dokument, kontoinställningar och åtkomsträttigheter. Valfria CV- och fritextfält måste begränsas till nödvändig information.

Planeringsinformation

Min plan: individuellt arbete, arbetstider och ändringar. Projektplan: aktiviteter, team, milstolpar och beroenden. Resursplan: tillgänglighet, kapacitet, krav och uppdrag över projekt. Strategisk plan: portföljkapacitet, egen/extern resursblandning, anbud, scenarier och överenskommen kostnadsanalys. Identifierbara aggregeringar förblir personuppgifter.

Plats- och ekonomisk information

Projekt-/rapporteringsplatser, arbetsplatsadress eller postnummer, härledda koordinater, uppskattningar av reseavstånd och auktoriserad kostnads-/tariffinformation. Detta beskriver inte kontinuerlig GPS-spårning av arbetstagare. Använd mindre exakt platsinformation när det är tillräckligt.

Frånvaro- och yrkesidentifierare

Nödvändiga frånvarokategorier och datum, samt auktoriserat HMS-kortnummer/status/utgångsdatum. En sjukdomskategori kan avslöja hälsoupplysningar och kräver en artikel 9-förutsättning samt en artikel 6-basis. Diagnoser och detaljerade medicinska förklaringar ligger utanför den standardiserade omfattningen. Åtkomstbegränsningar och den rättsliga grunden måste verifieras innan man litar på den avsedda delningsarrangemanget.

Kommunikation, AI och operativa register

Mottagaruppgifter, meddelande-/leveransregister, länkar för delning av planer, uppmaningar, vald planeringskontext, relevant chathistorik, sparade inställningar, inskickade filer, svar och föreslagna ändringar; autentisering, aktivitet, avisering och nödvändiga säkerhets-/diagnostikregister. Dessa register är inte automatiskt anonyma eller utanför denna DPA.

Kriterier för lagring

Behåll varje kategori endast så länge det behövs för det dokumenterade syftet och enligt lagliga instruktioner. Granska planerings-/personaluppgifter när ett projekt eller uppdrag avslutas och kvalifikationer när de ersätts eller upphör. Definiera gransknings-/slutdatum för all nödvändig historik. Konversationer, bilagor, meddelanden, loggar och cache-filer kräver egna syften och raderingskriterier. Den färdiga schemat måste inkludera leverantörskopior och juridiska spärrar begränsade till den nödvändiga delmängden.

Slut på tjänsten

Kunden väljer retur eller radering enligt klausul 14. RessursAgent registrerar omfattningen, säker leveransmetod och den slutliga utgången för begränsade säkerhetskopior. Utestående raderingsinstruktioner tillämpas igen efter en återställning. Ingen obegränsad lagring är tillåten.

Bilaga B · Säkerhet och återställning

Följande tekniska och organisatoriska åtgärder utgör en del av RessursAgents skyldigheter enligt klausul 7. Stödjande dokumentation, testregister och säkerhetsbedömningar upprätthålls separat och görs tillgängliga enligt klausul 13. Ingen certifiering, kontinuerlig tillgänglighet eller numerisk återställningsgaranti antyds.

Åtkomst och sekretess

Organisations medlemskap, roll- och ansvarstillstånd, API-scope och databastradnivåkontroller separerar kunddata. RessursAgent ska begränsa åtkomst till auktoriserade uppgifter, granska privilegierad åtkomst och ta bort åtkomst när den inte längre behövs. Administrativ åtkomst ska använda multifaktorautentisering där det stöds. Åtkomstinnehavare ska vara föremål för sekretessförpliktelser. Kundadministratörer tilldelar och granskar sina egna användares tillstånd.

Skydd av data

Webbplatsen och applikationen använder HTTPS. Inkommande produktionsanslutningar till PostgreSQL kräver SSL/TLS; direkta databasklienter måste verifiera servercertifikatet och värdnamnet. RessursAgent ska skydda referenser i åtkomstkontrollerad konfiguration, begränsa åtkomst till lagrad data och bedöma lagringskryptering och nyckelhantering inom leverantörens säkerhetsarrangemang. Secrets och onödig personlig data ska inte ingå i diagnostikloggar.

Regional infrastruktur

Applikationsfunktioner, den primära databasen och hanterade databackup- och återställningsprocesser är konfigurerade i Frankfurt, Tyskland. Separata leverantörsaktiviteter beskrivs i bilaga C och förblir föremål för klausul 9.

Backup och återställning

Databasen använder dagliga hanterade fysiska säkerhetskopior med cirka sju dagars bevarad historik. Återställning till en viss tidpunkt ingår inte i standardkonfigurationen. Databassäkerhetskopior innehåller inga separata filobjekt. Återställningsprocedurer ska täcka applikationen, autentiseringskonfigurationen, separat lagrade filer där det är tillämpligt, integrationer och återapplicering av raderingsinstruktioner. RessursAgent ska regelbundet testa och utvärdera återställningsåtgärder och återställa tillgängligheten inom en period som är lämplig med hänsyn till risken; en numerisk RTO eller RPO gäller endast om det uttryckligen överenskommits.

Validering av återställning

Återställning ska först använda en isolerad miljö med begränsad åtkomst och kontrollerade utgående anslutningar. Dataintegritet, kundseparation och nödvändiga applikationsfunktioner ska kontrolleras innan normal åtkomst återupptas. Temporära återställningskopior ska tas bort när de inte längre behövs. Databasåterställning testades i ett separat projekt i Frankfurt den 13 oktober 2026; detta innebär inte ett test av alla tjänstekomponenter eller en garanterad återställningstid.

Säker utveckling och förändringshantering

Ändringar ska använda kontrollerad källhantering, granskning och proportionerliga tester innan de släpps. Testning ska täcka åtkomstgränser och relevanta datahanteringsvägar. Syntetiska data ska föredras för testning; eventuell nödvändig användning av kunddata är begränsad till det dokumenterade syftet. Säkerhetsproblem ska bedömas och åtgärdas utifrån deras risk.

Loggar och hantering av incidenter

Säkerhets- och aktivitetsregister ska begränsas till sina angivna syften, skyddas mot obehörig åtkomst eller ändring och omfattas av kriterier för lagring. RessursAgent ska upprätthålla rutiner för bedömning av incidenter, begränsning, eskalering och återställning. Meddelande till kunden följer klausul 12 utan onödig fördröjning.

Återlämning och radering av data

Förfrågningar ska godkännas och anpassas till rätt kund, inklusive relevanta bilagor, ansökningsregister och leverantörskopior. Exporter ska använda ett strukturerat, vanligt förekommande format och en autentiserad eller krypterad leveranskanal. Raderingsprocedurer ska skydda orelaterade kunder och delade identiteter, registrera begränsade återstående kopior och ge en skriftlig slutföranderapport enligt klausul 14.

AI och anslutningar

Endast data som behövs för en godkänd uppgift får skickas till AI eller anslutna tjänster. API/MCP-åtkomst ska återspegla kundens behörigheter och godkända anslutningsomfång. Begäranden om tillfällig leverantörsfilens utgång och radering ska kontrolleras och misslyckanden följas upp. Föreslagna ändringar av assistent kräver användarens godkännande och applikationsvalidering. Detaljerade medicinska berättelser ligger utanför den standardiserade planeringsomfattningen.

Bilaga C · Leverantörer och platser

Följande register identifierar RessursAgents underbiträden och andra mottagare för standardtjänsten. Valfria tjänster gäller endast om de ingår i den avtalade tjänsten. RessursAgent ska hålla registret och de stödjande uppgifterna om mottagare, land, lagringstid och överföring uppdaterade, tillhandahålla dem enligt klausul 13 och följa klausul 8 vid ändringar av underbiträden.

Frankfurt-begränsningen gäller för den infrastruktur som anges i klausul 9. Den gäller inte för varje mottagare som listas nedan. Internationella överföringar och relevant fjärråtkomst kräver skyddsåtgärder enligt klausul 9. Leverantörslänkar ger stödjande information; ändringar på en leverantörs webbplats ändrar inte automatiskt kundens avtalade villkor.

Supabase · databas och autentisering

Supabase Pte. Ltd., Singapore, tillhandahåller applikationsdatabasen och autentiseringsplattformen. Den primära databasen och de hanterade säkerhetskopiorna finns i Frankfurt, Tyskland. Support, kontoadministration och driftstjänster kan involvera andra länder under Supabase:s DPA och register över underbiträden. Dess standard-DPA inkluderar EU:s standardavtalsklausuler för tillämpliga överföringar. RessursAgent ska upprätthålla mottagar-/landsregister och de bedömningar som krävs enligt klausul 9. Databassäkerhetskopiornas lagringstid beskrivs i Bilaga B; konto- och leverantörskopior förblir föremål för klausul 14.

Vercel Inc. · hosting

Vercel Inc., USA, tillhandahåller hosting och körning av applikationer. Applikationsfunktioner konfigureras i Frankfurt, Tyskland. Innehållsleverans, driftloggar, support och vidarebehandling kan ske utanför Tyskland, inklusive i USA. Vercel:s DPA tillhandahåller kontraktsmässiga skydd vid överföring. RessursAgent ska upprätthålla relevanta mottagare/lands- och lagringsregister samt den bedömning som krävs enligt klausul 9; ingen plats endast i Frankfurt eller fast raderingstid anges för varje Vercel-tjänst.

Anthropic · AI-assistans

Anthropic Ireland, Limited erbjuder Claude AI-assistans enligt standardiserade kommersiella EES-villkor och DPA. Den bearbetar auktoriserade promptar, kontext, relevant historik, inlämnade dokument och output; bearbetningen är inte begränsad till Frankfurt eller EES. Dess DPA ger skydd för internationell bearbetning, inklusive tillämpliga standardavtalsklausuler. Standard API-ingångar/-utgångar behålls normalt i upp till 30 dagar. Files API:s lagring, modelspecifika säkerhetsåtgärder och juridiska eller missbrukspreventiva undantag kan skilja sig; för flaggade fall enligt användningspolicy publicerar Anthropic upp till två år för ingångar/utgångar och sju år för klassificeringspoäng. Den aktuella lagringspolicyn finns länkad nedan. Allmän träning av modellen på kundinnehåll är förbjuden. Ingen särskild noll-bevarandearrangemang ingår; klausulerna 9, 10 och 14 gäller.

Plus Five Five, Inc. (Resend) · e-post

Plus Five Five, Inc. (Resend), USA, hanterar produkt- och autentiserings-e-post, inklusive inbjudningar och återställning av lösenord. Data inkluderar mottagares adresser, innehåll/länkar och leveranshändelser. Kunddata lagras i USA även när e-post skickas från en europeisk region. Deras DPA inkluderar EU:s standardavtalsklausuler, inklusive Modul Tre för underbiträden. Resend publicerar 30 dagars e-post-/loggbevarande för sina standardplaner Free, Pro och Scale, sju dagars säkerhetskopior och upp till 90 dagar för kvarvarande kunddata efter avslut av Resend-kontot. Eventuell Enterprise-variant måste registreras för det aktuella kontot. Dessa leverantörsperioder ersätter inte RessursAgents kundinstruktionsfrist: RessursAgent ska begära eventuell radering och lämna uppgifter om begränsade kvarvarande kopior enligt klausul 14.

Strex Mobile Services AS · valfri SMS

Strex Mobile Services AS, norskt organisationsnummer 927 347 830, tillhandahåller SMS-leverans enligt det undertecknade serviceavtalet och Connect DPA v1.3. De hanterar mottagarens telefonnummer, SMS-innehåll och leveransregister som RessursAgents underbiträde när RessursAgent agerar för sina företagskunder. Strex raderar data efter 30 dagar, vilket bekräftas för RessursAgent. Denna leverantörs lagringstid är separat från återlämnings-/raderingsfristen i klausul 14. Dess leverantörsbilaga listar Microsoft Azure i Nederländerna och Irland; ONLINECITY.IO i Tyskland; INFOBIP med lagring inom EU/EES; samt NRDB, Telenor Norge, Telia Norge, Lyse Tele och Target365 i Norge. Sinch Sverige är listad utan lagring, vilket inte utesluter behandling. Överföringar utanför EU/EES kräver uttryckligt skriftligt samtycke enligt leverantörens DPA. Allt som lagligen måste sparas omfattas fortfarande av klausul 14.

Kartor, adressuppslag och identitetsleverantörer

Google Maps, valfri Google-inloggning och Kartverket/Geonorge adressuppslag har olika roller och upplysningskrav. Beroende på aktiviteten kan en mottagare agera som separat personuppgiftsansvarig snarare än som RessursAgent underbiträde. Dokumentera vilken tjänst som används, relevant data och gällande villkor/plats. Ett offentligt adressuppslag kan fortfarande involvera personuppgifter.

Kundvalda anslutningar

HR, lön, operativa system och externa AI-klienter som använder API/MCP måste bedömas utifrån vem som anlitar mottagaren, dess roll, behörigheter och faktisk dataflöde. Integrationskatalogen är ingen auktorisationslista. Kundstyrda externa länkar kräver samma behovs- och transparensbedömning.

Inaktiva tjänster

WorkOS är inte aktiv och ingår inte i den nuvarande ramen för underbiträden. Eventuell framtida aktivering kräver bedömning och kundens meddelande/godkännande enligt klausulerna 8 och 9.

Bilaga D · Kundarrangemang och godkännande

Nedanstående kundspecifika information tillhandahålls av den accepterade serviceordern, kontoadministrationsposten och eventuella överenskomna skriftliga instruktioner. Den behöver inte upprepas i ett separat undertecknat schema. De standardbestämmelser som finns i bilagorna A–C gäller om inte parterna skriftligen kommer överens om en laglig ändring.

Processor och kontakt

RessursAgent AS · organisationsnr. 935 854 067 · Gydas vei 22, 0363 Oslo, Norge · privacy@ressursagent.no. Incident-/integritetsansvarig: Oskar Bragnes, VD. Alternativ: Olav Bragnes, CPO.

Kund och serviceorder

Kontrollanten är den juridiska enhet som identifieras i det accepterade serviceavtalet/order. Dess registreringsuppgifter, serviceperiod och auktoriserade representant är de som står i det avtalet. Kunden ska hålla sina administrativa, sekretess- och incidentkontakter uppdaterade. Tills en separat incidentkontakt utses, skickas meddelanden till den auktoriserade kundkontakten som registrerats för tjänsten.

Omfattning och instruktioner

Omfattningen omfattar prenumerationen och funktionerna i den accepterade ordern, kompletterad med auktoriserad konfiguration och skriftliga instruktioner enligt klausul 4. Valfri AI, SMS och kundanslutningar gäller endast när de är auktoriserade. Kunden ska dokumentera sina kriterier för bevarande, tillåtna frånvarokategorier och målgrupper, grund för Artikel 6 och eventuella villkor för Artikel 9. Detaljerade medicinska berättelser är uteslutna från standardtjänstens omfattning.

Behållande och återlämning/radering

Punkt 14 anger den vanliga tidsfristen på 30 kalenderdagar efter att instruktioner och nödvändig omfattning har klargjorts, utan onödiga förseningar. Kategorispecifika scheman och lagliga undantag ska dokumenteras i kundens instruktioner. RessursAgent ska registrera återstående begränsade säkerhetskopior och leverantörskopior, kommunicera deras slutliga utgångsdatum eller lagliga behållningskriterier och bekräfta slutförandet skriftligt.

Återställning och incidenter

Åtgärderna i Bilaga B och meddelande utan onödiga förseningar enligt punkt 12 gäller. En ytterligare numerisk återställningstid eller garanti för dataförlust, fast SLA för incidenthantering eller längre varselperiod för byte av underbiträde gäller endast om det uttryckligen ingår i den accepterade tjänstebeställningen.

Godkännande av underbiträde

Godkännande ger underbiträdena i bilaga C behörighet för den överenskomna tjänsten och den allmänna godkännandeproceduren i klausul 8. RessursAgent ansvarar fortfarande för att upprätthålla leverantörsavtal, överföringsbedömningar och säkerhetsbevis. Valfria mottagare får inte obegränsad tillåtelse att behandla data.

Godkännande och ikraftträdelsedatum

Version 1.0, publicerad den 14 oktober 2026, träder i kraft för en kund på det datum den införlivas i ett accepterat tjänsteavtal/order eller separat accepteras skriftligen, inklusive elektroniskt, av behöriga representanterna för båda parter. Order-/godkännanderegistret identifierar den överenskomna versionen och datumet. Spara det registret och en kopia av det accepterade avtalet. Befintliga kundavtal ersätts inte enbart genom publiceringen av denna version.

Dokumentversion

Version 1.0 · 14 oktober 2026

Publicerat standardavtal som täcker behandlingsinstruktioner, säkerhet, leverantörer, lagring, support och kundacceptans. Den accepterade tjänstebeställningen anger vilken version som gäller för varje kund; senare publicering ändrar inte automatiskt det avtalet.