Databehandleravtale

Denne databehandleravtalen gjelder mellom Hjard AS (organisasjonsnummer 933786021), Innspurten 13, 0663 Oslo («databehandler»), og bedriften som bruker HeiRolf («behandlingsansvarlig»). Avtalen oppfyller kravene i personopplysningsloven og GDPR artikkel 28.

Du som håndverkerbedrift er behandlingsansvarlig for personopplysningene du legger inn i HeiRolf – for eksempel opplysninger om dine kunder og ansatte. Hjard AS er databehandler og behandler opplysningene kun på dine vegne og etter dine instruksjoner, slik de fremgår av denne avtalen og vilkårene for tjenesten.

Hjard AS behandler personopplysninger for å levere tjenesten HeiRolf: opprette og lagre tilbud, avtaler og fakturaer, transkribere tale til tekst, sende dokumenter på e-post og håndtere signering. Behandlingen varer så lenge bedriften har et aktivt abonnement, og avsluttes når kontoen slettes.

Behandlingen omfatter følgende typer personopplysninger:

• Kundedata: navn, e-post, telefonnummer og adresse på kundene dine.
• Dokumentdata: innhold i tilbud, avtaler og fakturaer, inkludert priser og arbeidsbeskrivelser.
• Bilder: bilder du laster opp i tilknytning til oppdrag.
• Tale- og AI-input: lydopptak som transkriberes til tekst, og tekst du skriver inn for å generere dokumenter.
• Brukerdata: navn og e-postadresse til deg og dine ansatte som bruker HeiRolf.

Kategorier av registrerte er håndverkerbedriftens kunder og ansatte, samt kontaktpersoner hos disse.

Hjard AS forplikter seg til å:

• kun behandle personopplysninger etter dokumenterte instruksjoner fra behandlingsansvarlig,
• sikre at alle som har tilgang til opplysningene, er bundet av konfidensialitetsplikt,
• gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak, herunder kryptert lagring, HTTPS for all dataoverføring og tilgangskontroll som skiller bedriftenes data fra hverandre,
• bistå behandlingsansvarlig med å oppfylle de registrertes rettigheter, herunder innsyn, retting og sletting,
• bistå med pliktene etter GDPR art. 32–36, herunder risikovurderinger og melding til Datatilsynet der det er relevant,
• varsle behandlingsansvarlig om brudd på personopplysningssikkerheten uten ugrunnet opphold, slik at du kan oppfylle dine varslingsplikter,
• bare bruke underleverandører som er bundet av tilsvarende vilkår som denne avtalen.

Hjard AS bruker følgende underleverandører for å levere tjenesten:

• Supabase — lagring av data og filer.
• Stripe — behandling av betalinger for abonnementet.
• Google / Microsoft — utsendelse av e-post dersom du kobler til din e-postkonto.
• DealBuilder — BankID-signering av avtaler.
• Google (Gemini) — AI som tolker tale og tekst og lager dokumentutkast.
• OpenAI — transkripsjon av tale og opplesing av svar. Lydopptak slettes etter transkripsjon.

Underleverandørene er bundet av databehandleravtaler med vilkår som tilsvarer denne avtalen. Tar vi i bruk nye underleverandører, varsler vi om det, og du kan gjøre innvendinger dersom du har saklig grunn.

Enkelte underleverandører (blant annet Google, OpenAI og Stripe) kan behandle opplysninger utenfor EU/EØS. Slike overføringer skjer på grunnlag av EU-kommisjonens standardavtaler (SCC) eller EU–US Data Privacy Framework.

Når abonnementet avsluttes eller kontoen slettes, slettes personopplysningene permanent, med mindre behandlingsansvarlig ber om returnering før sletting. Det er behandlingsansvarliges eget ansvar å laste ned og oppbevare de dokumentene bokføringsloven krever – for eksempel fakturaer – før kontoen slettes.

Behandlingsansvarlig har rett til å foreta – eller la en uavhengig tredjepart foreta – revisjon av Hjard AS sin behandling av personopplysninger, for å kontrollere at avtalen overholdes. Hjard AS skal legge frem den dokumentasjonen som er nødvendig for å dokumentere overholdelse.

Avtalen reguleres av norsk lov. Eventuelle tvister løses primært ved forhandling. Løser det seg ikke, utvelges Oslo tingrett som verneting.

Spørsmål om databehandleravtalen kan sendes til hei@heirolf.no.