1. Innledning
Denne databehandleravtalen regulerer Envra AS sin behandling av personopplysninger på vegne av kunden.
Databehandleravtalen inngår som en del av Vilkår for bruk tilgjengelig på /terms.
2. Parter og roller
Kunden er behandlingsansvarlig for personopplysninger som behandles gjennom kundens bruk av Envra. Kunden bestemmer formålene med behandlingen, skal ha gyldig behandlingsgrunnlag, gi nødvendig informasjon til de registrerte og sørge for at instrukser til Envra er lovlige.
Envra AS er databehandler og behandler personopplysningene bare på dokumenterte instrukser fra kunden.
3. Behandlingens art og formål
Envra behandler personopplysninger på vegne av kunden for å levere funksjoner kunden har aktivert eller bedt om, herunder:
- analyse, sporing, attribusjon, rapportering og innsikt
- administrasjon av nettsteder, brukere og tilganger
- behandling, lagring og publisering av kundeinnhold
- AI-baserte tekst-, bilde-, lyd- og videofunksjoner
- behandling gjennom integrasjoner kunden velger å aktivere
- teknisk drift, sikkerhet, misbruksvern, support, feilretting og ytelsesforbedring
4. Kategorier av personopplysninger
Behandlingen kan, avhengig av aktiverte funksjoner, omfatte:
- IP-adresser, besøks- og sesjonsidentifikatorer
- nettleser-, enhets-, sidevisnings-, hendelses-, attribusjons- og geografiske data
- kontakt-, bruker-, konto- og tilgangsopplysninger
- kundeinnhold, herunder tekst, dokumenter, bilder, lyd, video, instruksjoner og genererte resultater
- markedsførings-, annonserings-, publiserings- og kommunikasjonsdata fra integrasjoner kunden aktiverer
- tekniske logger, sikkerhetslogger, feilmeldinger og ytelsesdata
- personopplysninger som inngår i materiale kunden laster opp, importerer, kobler til eller på annen måte gjør tilgjengelig gjennom tjenesten
Tjenesten er ikke beregnet for behandling av særlige kategorier personopplysninger med mindre dette er uttrykkelig avtalt og lovlig konfigurert.
5. Kategorier av registrerte
Behandlingen kan omfatte:
- besøkende og brukere av kundens nettsteder og tjenester
- kundens ansatte, brukere og representanter
- kundens kontakter, mottakere, leads og sluttkunder
- personer som sender inn skjema eller utfører handlinger kunden har valgt å registrere
- personer som inngår i eller omtales i innhold kunden laster opp, importerer eller behandler
- andre personer hvis opplysninger kunden gjør tilgjengelige gjennom aktiverte integrasjoner eller funksjoner
6. Instruks
Envra behandler personopplysninger kun etter kundens instruksjoner, med mindre behandling kreves etter lov.
Kundens instruksjoner følger av:
- denne avtalen
- Vilkår for bruk
- kundens konfigurasjon i plattformen
- eventuelle skriftlige instrukser mellom partene
Instruksene omfatter også eventuell overføring av personopplysninger til land utenfor EØS. Dersom behandling kreves etter lov, skal Envra informere kunden før behandlingen, med mindre loven forbyr slik informasjon.
Envra skal uten ugrunnet opphold informere kunden dersom Envra mener at en instruks er i strid med GDPR eller annet relevant personvernregelverk.
7. Sikkerhet
Envra benytter organisatoriske og tekniske sikkerhetstiltak, inkludert:
- rolle- og tilgangsstyring
- site-isolering
- company-isolering
- CSRF-beskyttelse
- rate limiting
- sikkerhetslogging
- passordhashing
- tilgangskontroll
- overvåkning og misbruksvern
8. Konfidensialitet
Personer som har tilgang til personopplysninger hos Envra, skal være underlagt konfidensialitet eller tilsvarende lovpålagt taushetsplikt.
9. Underdatabehandlere
Envra kan benytte underdatabehandlere for drift av tjenesten.
Oppdatert oversikt finnes på /subprocessors.
Envra er ansvarlig for at underdatabehandlere pålegges tilsvarende databeskyttelsesforpliktelser som følger av denne avtalen.
10. Overføring utenfor EØS
Eventuelle overføringer utenfor EØS skjer i henhold til gjeldende regelverk og nødvendige garantier.
11. Bistand til kunden
Envra skal, så langt det er rimelig og relevant, bistå kunden med:
- håndtering av innsynsforespørsler
- sletting eller retting
- vurdering av sikkerhetsbrudd
- dokumentasjon av tekniske og organisatoriske tiltak
- oppfyllelse av relevante GDPR-forpliktelser
12. Sikkerhetsbrudd
Ved brudd på personopplysningssikkerheten som berører kundens data, skal Envra varsle kunden uten ugrunnet opphold etter at bruddet er oppdaget.
Varslet skal inneholde relevant informasjon så langt dette er tilgjengelig.
13. Sletting og tilbakelevering
Ved opphør av kundeforholdet kan data slettes, anonymiseres, deaktiveres eller tilbakeleveres i henhold til gjeldende avtale, retention-policy og lovpålagte krav.
Envra kan opprettholde en tidsbegrenset grace-periode på 30 dager etter opphør av abonnementet hvor historiske data og innstillinger lagres midlertidig for mulig reaktivering av tjenesten.
I grace-perioden kan tracking og ny datainnsamling være deaktivert eller begrenset.
Dersom abonnementet ikke reaktiveres før grace-perioden utløper, kan Envra anonymisere identifikatorer, analysekoblinger og tilknyttede ressurser i henhold til gjeldende lifecycle-policy.
Aggregerte og anonymiserte analyseopplysninger kan beholdes i den grad dette er tillatt etter gjeldende regelverk.
Backupdata kan eksistere i en begrenset periode før endelig overskriving.
14. Revisjon
Envra skal gjøre relevant dokumentasjon tilgjengelig for å vise etterlevelse av denne avtalen.
Revisjon eller kontroll skal avtales på forhånd og gjennomføres på en måte som ikke kompromitterer sikkerhet, drift eller andre kunders data.
15. Varighet
Denne databehandleravtalen gjelder så lenge Envra behandler personopplysninger på vegne av kunden.