Databehandleravtale
Digitale tjenester fra Lawai AS
Merk: Denne avtalen regulerer hvordan Lawai behandler personopplysninger du legger inn i tjenesten, blant annet tekst i chat, opplastede dokumenter og virksomhetens kunnskapsgrunnlag. Du bestemmer selv hvilke opplysninger som legges inn og hva de skal brukes til, og er derfor behandlingsansvarlig. Lawai behandler opplysningene kun på dine vegne og etter dine instrukser, og opptrer derfor som databehandler.
Lawai håndterer innholdet teknisk for å levere tjenesten, men behandler aldri samtalene eller dokumentene dine til egne formål – for eksempel til å trene modellen.
1 AVTALENS PARTER
Databehandler:
Lawai AS
Adresse:
Universitetsgata 2 0164 Oslo
Org. nr.:
934 216 318
Kontaktperson:
Maja Ottersen Miltsov
E-post:
lawai@lawai.com
Behandlingsansvarlig og Databehandler omtales enkeltvis som «Part» og i fellesskap som «Partene».
2 AVTALENS BAKGRUNN OG FORMÅL
Denne Databehandleravtalen er et vedlegg til Lisensavtale for Lawai og regulerer Databehandlerens behandling av personopplysninger på vegne av Behandlingsansvarlig.
Databehandler leverer tjenestene beskrevet i Lisensavtale for Lawai til abonnenter og registrerte brukere ("Tjenestene").
Abonnenten og registrerte brukeres bruk av Tjenestene innebærer at Databehandler vil Behandle Personopplysninger som inngår i Brukerinnholdet på vegne av Behandlingsansvarlig.
Som kunde bestemmer Behandlingsansvarlig om Brukerinnholdet omfatter Personopplysninger og formålet med Behandlingen av Personopplysningene og hvordan Personopplysningene behandles ved bruk av Tjenesten, unntatt behandlingen beskrevet i siste avsnitt i punkt 3.
3 DEFINISJONER
Følgende definisjoner gjelder for denne Databehandleravtalen:
"Databehandleravtalen" betyr bestemmelsene i denne databehandleravtalen med vedlegg.
"Personopplysning" betyr alle typer opplysninger eller informasjon som anses som personopplysninger etter personvernlovgivningen og GDPR.
"Behandling" (av personopplysninger) betyr enhver bruk av personopplysninger, for eksempel innsamling, lagring, organisering, endring eller tilpasning, utlevering og/eller overføring.
"Brukerinnhold" omfatter opplysninger som abonnentene og brukerne av løsningen laster opp i løsningen. Dette inkluderer blant annet tekst i inndatafelt, dokumenter og filer som lastes opp i enkeltstående samtaler.
"Underdatabehandler" betyr tredjepart som Databehandler bruker til å behandle Personopplysningene på vegne av Behandlingsansvarlig.
"De registrerte" betyr enhver identifisert eller identifiserbar person som Personopplysningene knytter seg til.
4 HVA AVTALEN GJELDER
Avtalen gjelder Databehandlerens behandling av personopplysninger som inngår i Brukerinnholdet. Det er Behandlingsansvarlig som bestemmer om Brukerinnholdet inneholder personopplysninger, til hvilke formål de brukes og hvordan de behandles.
Formålet med denne Databehandleravtalen er å:
regulere Partenes rettigheter og plikter ved Behandling av Personopplysninger,
sikre at kravene i Personopplysningslovgivningen og GDPR etterleves ved gjennomføringen av Lisensavtale for Lawai, og
sikre at Personopplysninger ikke Behandles urettmessig eller kommer uberettigede i hende.
Ved motstrid mellom bestemmelsene i denne Databehandleravtaler og andre avtaler mellom Partene, herunder Lisensavtale for Lawai, skal bestemmelsene i Databehandleravtalen gå foran.
Databehandleravtalen regulerer ikke Lawai AS sin behandling av personopplysninger når Lawai AS er behandlingsansvarlig. Dette gjelder for eksempel abonnentopplysninger eller betalingsinformasjon. Det samme gjelder Lawai AS sin behandling av tilbakemeldinger som kunde eksplisitt har gitt samtykke til. I disse tilfellene er det Lawai AS som bestemmer formålet med behandlingen av personopplysningene og behandlingen reguleres derfor av Lawai AS sin personvernerklæring.
5 BEHANDLINGSANSVARLIGES INSTRUKSJONSMYNDIGHET
Databehandler skal kun behandle personopplysninger etter dokumenterte instrukser fra Behandlingsansvarlig. Instruksene er fastsatt i denne Avtalen med vedlegg. Vedlegg 1 til Databehandleravtalen beskriver hvilke kategorier Personopplysninger Databehandler kan Behandle og formålet med Behandlingen.
Behandlingsansvarlig kan gi etterfølgende instrukser skriftlig så lenge Databehandler behandler opplysninger på Behandlingsansvarliges vegne. Slike etterfølgende instrukser skal gis Databehandler skriftlig og må være dokumenterte.
Partene skal umiddelbart varsle hverandre dersom de mener instrukser eller krav fra den andre parten er i strid med personvernlovgivningen.
6 INFORMASJONSSIKKERHET
Databehandler skal gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak for å oppnå et beskyttelsesnivå som er tilpasset risikoen, jf. GDPR artikkel 32. Tiltakene er beskrevet i vedlegg 2.
Databehandler skal også bistå Behandlingsansvarlig med å oppfylle sine forpliktelser etter GDPR artiklene 32–36.
7 UNDERDATABEHANDLERE
Dersom Databehandler engasjerer en Underdatabehandler til utføre spesifikke behandlingsaktiviteter på vegne av Behandlingsansvarlig, skal den aktuelle Underdatabehandleren pålegges forpliktelser som oppfyller krav til personvern i henhold til relevant lovgivning.
Oversikt over Databehandlers underdatabehandlere fremgår av vårt Trust Center. Behandlingsansvarlig aksepterer bruken av disse ved avtaleinngåelsen.
Databehandler kan benytte nye underdatabehandlere. Behandlingsansvarlig skal varsles på forhånd om slike endringer. Dersom Behandlingsansvarlig motsetter seg bruken, og tjenesten ikke kan leveres uten den aktuelle underdatabehandleren, suspenderes partenes plikter for den berørte delen av tjenesten.
Databehandler har inngått egne databehandleravtaler med underdatabehandlerne.
8 OVERFØRING AV PERSONOPPLYSNINGER TIL UTLANDET
Databehandler og Underdatabehandlerne behandler og lagrer Personopplysningene innenfor EU/EØS. Behandlingsansvarlig er kjent med at behandlingen kan skje i flere land innenfor EU/EØS, og godtar dette så lenge det er nødvendig for å gjennomføre de avtalte leveransene. Databehandler overfører ikke Personopplysninger til land utenfor EU/EØS, og gir ikke tilgang til Personopplysningene fra slike land, verken selv eller gjennom underdatabehandlere.
Behandlingsansvarlig aksepterer at Databehandler benytter andre Underdatabehandlere enn de som er beskrevet i Vedlegg 3. Dersom Databehandler ønsker å benytte seg av nye Underdatabehandlere skal Databehandleren underrette Behandlingsansvarlig om navn og kontaktinformasjon på Underdatabehandlere i forkant. Dersom Behandlingsansvarlig motsetter seg bruk av ny Underdatabehandler, skal Behandlingsansvarlig informere Databehandler uten ugrunnet opphold. Dersom Tjenesten ikke kan leveres uten bruk av den aktuelle Underdatabehandleren suspenderes Databehandlerens ansvar for å levere Tjenestene.
9 DE REGISTRERTES RETTIGHETER
Behandlingsansvarlig er kontaktpunkt for de registrerte og ansvarlig for å svare på innsyns-, rette-, slette- og andre forespørsler etter GDPR kapittel III.
Databehandler skal bistå Behandlingsansvarlig med dette, og skal umiddelbart varsle Behandlingsansvarlig dersom Databehandler mottar en slik forespørsel direkte.
10 AVVIKSHÅNDTERING OG VARSLING
Ethvert sikkerhetsbrudd eller avvik fra fastlagte rutiner skal håndteres som et avvik. Partene skal etablere rutiner for oppfølging og gjenoppretting.
Partene skal, så snart de får kunnskap om et avvik, uten ugrunnet opphold og senest innen 36 timer, informere hverandre om eventuelle sikkerhetsbrudd og umiddelbart iverksette alle nødvendige og hensiktsmessige tiltak for å gjenopprette normaltilstand.
Behandlingsansvarlig er ansvarlig for å sende avviksmelding til Datatilsynet og de registrerte etter GDPR artiklene 33 og 34. Databehandler skal, om nødvendig, bistå Behandlingsansvarlig med å sikre at GDPR artikkel 33 og 34 overholdes.
11 REVISJON OG INNSYN
Databehandler skal på forespørsel gjøre tilgjengelig den informasjonen som er nødvendig for at Behandlingsansvarlig kan verifisere at Databehandler oppfyller sine forpliktelser etter Avtalen og GDPR.
Behandlingsansvarlig kan gjennomføre revisjon, på egen kostnad, maksimalt én gang per år med fire ukers forhåndsvarsel. Databehandler skal muliggjøre og bidra til revisjoner, herunder inspeksjoner, som gjennomføres av Behandlingsansvarlig eller en annen inspektør på fullmakt fra Behandlingsansvarlig, av Databehandlers overholdelse av GDPR, Personvernlovgivningen og denne Databehandleravtalen.
12 KONFIDENSIALITET
Databehandler har taushetsplikt om personopplysningene og dokumentasjonen de får tilgang til gjennom Avtalen. Taushetsplikten gjelder også etter avtalens opphør.
Databehandler skal sikre at autoriserte personer er bundet av konfidensialitetsavtale eller lovfestet taushetsplikt.
13 AVTALENS VARIGHET OG OPPHØR
Avtalen gjelder så lenge Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig.
Når Avtalen opphører, skal Databehandler slette eller returnere alle personopplysninger som er omfattet av Avtalen, med mindre lovgivningen krever at opplysningene oppbevares. Personopplysningene slettes automatisk fra Databehandlers systemer, men kan som følge av underleverandørers misbruksovervåking oppbevares i inntil 30 dager før de slettes automatisk. Partene kan avtale nærmere fremgangsmåte og dokumentasjon for sletting.
14. LOVVALG OG VERNETING
Avtalen er underlagt norsk rett. Oslo tingrett er verneting.
15 VEDLEGG TIL AVTALEN
Vedlegg 1 Beskrivelse av personopplysningene og formålet med behandlingen
Vedlegg 2 Tekniske og organisatoriske tiltak for informasjonssikkerhet
VEDLEGG 1 Beskrivelse av behandlingen
Kategorier av personopplysninger: Brukerinnhold i samtaler (brukertekst og opplastede filer)
Kategorier av registrerte: Kategorier som Behandlingsansvarlig og bruker velger å inkludere
Formålet med behandlingen: Prosessere forespørselen for å levere tjenesten
VEDLEGG 2 Tekniske og organisatoriske sikkerhetstiltak
Lawai har etablert rutiner og tiltak for å sikre at uvedkommende ikke får tilgang til personopplysningene dine og at all behandling av opplysningene for øvrig skjer i tråd med gjeldende lovgiving.
Tiltakene inkluderer blant annet teknisk adgangskontrollsystem, tekniske systemer og fysiske adgangskontrollsystemer for å ivareta informasjonssikkerhet og rutiner for å verifisere innsyns- og rettingsforespørsler. Oppdatert informasjon om Lawais informasjons- og datasikkerhet finner du i vårt Trust Center.
Tjenesten på app.lawai.no leveres som en SaaS tjeneste på en server fra vår underleverandør Microsoft Azure.
Microsoft Azure, bruker en rekke sikkerhetsteknologier og tiltak for å beskytte informasjon fra uautorisert tilgang, bruk eller offentliggjøring. Tiltakene er designet for å gi et sikkerhetsnivå som er passende for risikoen ved å behandle personopplysninger.
Du kan lese mer om sikkerhetsrutinene til Microsoft Azure her i:
Brukerinnhold i samtaler lagres i 30 dager som standard, men brukeren kan selv endre lagringsperioden. Vi anbefaler at virksomheter etablerer en KI-policy med retningslinjer for bruk av Lawai, inkludert håndtering av lagring og sletting av samtaledata.
