Versjon 1.0 — 8. april 2026
Denne databehandleravtalen («Avtalen») regulerer behandlingen av personopplysninger som Databehandler utfører på vegne av Behandlingsansvarlig i forbindelse med bruk av tjenesten Rapportagenten. Avtalen er inngått i henhold til personvernforordningen (GDPR) artikkel 28 og gjelder som vedlegg til brukervilkårene.
Organisasjon: Kundens organisasjon, som oppgitt ved registrering i Rapportagenten
Kontaktperson: Angitt under kontooppsett
Rolle: Behandlingsansvarlig (jf. GDPR art. 4 nr. 7)
Selskap: Trygt Overvann AS
Organisasjonsnummer: 932 480 956
Adresse: 5094 Bergen, Norge
E-post: contact@rapportagenten.com
Rolle: Databehandler (jf. GDPR art. 4 nr. 8)
Denne avtalen inngås ved aksept under registrering og gjelder som vedlegg til brukervilkårene mellom partene. Ved motstrid mellom denne Avtalen og brukervilkårene gjelder denne Avtalens bestemmelser for behandling av personopplysninger.
Databehandler behandler personopplysninger utelukkende for å levere Rapportagenten-tjenesten til Behandlingsansvarlig. Behandlingen er begrenset til det som er nødvendig for å oppfylle denne hensikten.
Behandlingen som utføres av Databehandler omfatter:
Databehandler handler kun etter dokumenterte instrukser fra Behandlingsansvarlig. Disse instruksene fremgår av brukervilkårene, denne Avtalen og de innstillinger Behandlingsansvarlig konfigurerer i tjenesten.
Dersom Databehandler er rettslig forpliktet til å behandle personopplysninger utover det som følger av Behandlingsansvarligs instrukser, varsles Behandlingsansvarlig om dette på forhånd, med mindre varsling er forbudt av hensyn til viktige allmenne interesser.
Behandlingen berører følgende kategorier av registrerte:
| Kategori | Beskrivelse |
|---|---|
| Lydopptak | Digitale lydopptak lastet opp av Behandlingsansvarlig; kan inneholde stemmer og navn på ansatte og andre |
| Transkribert tekst | Tekstversjon av lydopptak; samme innhold og personopplysninger som opptaket |
| Rapportinnhold | Genererte tekniske rapporter basert på lydopptak; kan inneholde navn, roller og prosjektdetaljer |
| Prosjektinformasjon | Metadata om oppdrag og prosjekter, som Behandlingsansvarlig legger inn i tjenesten |
| Autentiseringsdata | E-postadresser, brukernavn og roller for Behandlingsansvarligs brukere av tjenesten |
Behandlingen omfatter ikke særlige kategorier av personopplysninger (jf. GDPR art. 9) med mindre Behandlingsansvarlig eksplisitt inkluderer slike i lydopptak. Behandlingsansvarlig er ansvarlig for å unnlate dette dersom nødvendig rettslig grunnlag mangler.
Databehandler sikrer at alle personer som er autorisert til å behandle personopplysningene er underlagt taushetsplikt. Taushetsplikten gjelder personopplysninger Databehandler behandler på vegne av Behandlingsansvarlig, og fortsetter å gjelde også etter at arbeidsforholdet eller oppdraget er avsluttet.
Tilgang til personopplysninger begrenses til autorisert personell som har et tjenstlig behov for tilgang for å kunne levere tjenesten. Databehandler fører ikke tilgang til personopplysninger utover det som er nødvendig for å oppfylle formålet med denne Avtalen.
Databehandler har iverksatt tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er egnet i forhold til risikoen, jf. GDPR artikkel 32. Tiltakene inkluderer:
Databehandler gjennomfører jevnlig vurdering av sikkerhetstiltak og oppdaterer disse ved behov basert på trusselbilde og ny teknologi.
Behandlingsansvarlig gir herved generell forhåndsgodkjenning til at Databehandler kan benytte underbehandlere for å levere tjenesten. En oppdatert liste over underbehandlere finnes på rapportagenten.com/underleverandorer.
Ved endringer i bruken av underbehandlere — enten ved tillegg av nye eller erstatning av eksisterende — gjelder følgende prosedyre:
Databehandler sikrer at alle underbehandlere er bundet av tilsvarende forpliktelser om personvern og datasikkerhet som fremgår av denne Avtalen, og at dette skjer gjennom skriftlig avtale med den aktuelle underbehandleren.
Deler av personopplysningene overføres til tjenesteleverandører i USA for teknisk prosessering. Overføringene er sikret gjennom følgende mekanismer:
| Leverandør | Formål | Overføringsgrunnlag |
|---|---|---|
| OpenAI | Transkripsjon av lydopptak | Standard Contractual Clauses (SCCs) |
| Anthropic | Generering av rapporter | Standard Contractual Clauses (SCCs) |
| Clerk | Autentisering og brukerstyring | EU-US Data Privacy Framework |
| Vercel | Frontend-hosting (app.rapportagenten.com) | EU-US Data Privacy Framework |
All primærlagring av personopplysninger skjer innenfor EU/EØS — Frankfurt (VPS), Helsinki (Hetzner) og Amsterdam (Backblaze B2). Personopplysninger lagres ikke permanent hos leverandørene i USA; disse behandler kun data for å levere sine tjenester og lagrer ikke data utover det som er nødvendig for den aktuelle prosesseringen.
Databehandler bistår Behandlingsansvarlig med å oppfylle de registrertes rettigheter etter GDPR kapittel III, herunder:
Henvendelser fra Behandlingsansvarlig om bistand til registrertes rettigheter besvares innen 72 timer. Behandlingsansvarlig kan benytte eksportfunksjonen i tjenesten for å oppfylle krav om innsyn og dataportabilitet for sine brukere og oppdrag. For sletting av enkeltpersoners data, ta kontakt via contact@rapportagenten.com.
Dersom Databehandler blir kjent med brudd på personopplysningssikkerheten som berører personopplysninger Databehandler behandler på vegne av Behandlingsansvarlig, varsles Behandlingsansvarlig uten unødig opphold og senest 36 timer etter at Databehandler ble kjent med bruddet.
Varselet vil så vidt mulig inneholde:
Dersom ikke all informasjon er tilgjengelig ved det første varselet, gis supplerende opplysninger så snart de foreligger. Databehandler bistår Behandlingsansvarlig med eventuell varsling til Datatilsynet (jf. GDPR art. 33) og de registrerte (jf. GDPR art. 34).
Ved opphør av denne Avtalen eller abonnementsavtalen mellom partene, gjelder følgende:
Databehandler bekrefter skriftlig til Behandlingsansvarlig at sletting er gjennomført, dersom Behandlingsansvarlig ber om dette.
Databehandler stiller nødvendig dokumentasjon tilgjengelig for å påvise etterlevelse av denne Avtalen og GDPR artikkel 28, jf. GDPR artikkel 5(2).
Behandlingsansvarlig eller en representant utpekt av Behandlingsansvarlig kan gjennomføre revisjon av Databehandlers behandlingsaktiviteter, på følgende vilkår:
Denne databehandleravtalen gjelder så lenge abonnementsavtalen mellom partene er aktiv. Avtalen opphører automatisk når abonnementsavtalen avsluttes.
Forpliktelsene om konfidensialitet (punkt 4) og sletting av data (punkt 10) gjelder også etter Avtalens opphør, inntil alle personopplysninger er slettet i henhold til punkt 10.
Denne Avtalen er underlagt norsk rett og skal tolkes i samsvar med:
Tvister om Avtalens innhold eller gyldighet søkes løst ved forhandlinger mellom partene. Dersom enighet ikke oppnås, avgjøres tvisten av norske domstoler med Bergen tingrett som verneting.
Henvendelser vedrørende denne databehandleravtalen, personvern eller behandling av personopplysninger rettes til:
Behandlingsansvarlig kan også kontakte Datatilsynet (datatilsynet.no) dersom det er bekymringer knyttet til behandlingen av personopplysninger.