Databehandleravtale

Denne databehandleravtalen («DPA») gjelder mellom Kunden (behandlingsansvarlig) og Tech AS (databehandler) når Kunden bruker ELVO, i tråd med GDPR artikkel 28.

1. Formål

Databehandler behandler personopplysninger kun for å levere Tjenesten til Kunden, etter Kundens dokumenterte instruksjoner i produktet og denne DPA-en.

2. Typer data og registrerte

Typisk: ansatt- og brukerkontoer, kommunikasjon, arbeidsrelaterte poster (oppgaver, vakter, fravær, møter, CRM) og tekniske logger. Registrerte er typisk Kundens ansatte, samarbeidspartnere og andre Personen Kunden inviterer.

3. Instrukser og sikkerhet

• Behandling kun for avtalt formål.
• Tekniske og organisatoriske tiltak: tilgangskontroll, tenant-isolasjon på organizationId, TLS i transit, underleverandørers at-rest-kryptering.
• Ingen bruk av Kundedata til å trene eksterne AI-modeller.

4. Underdatabehandlere

Aktuelle underleverandører (kan oppdateres):

• Vercel Inc. — hosting
• Clerk Inc. — autentisering
• Convex Inc. — database og filer
• 8x8 (JaaS) — video/transkripsjon når aktivert
• Google LLC — kalender og Gmail når Kunden kobler Google-konto
• OpenAI, LLC — in-app hjelp (spørsmål/samtale kan sendes til leverandør når funksjonen er aktiv; ikke Kundens organisasjonsarkiv)
• Betalingsleverandør — når Stripe eller tilsvarende aktiveres

Oppdatert liste og underleverandør-DPA kan fås på forespørsel via lavrans.al@jobfit.no.

5. Internasjonale overføringer

Overføringer utenfor EØS skjer kun med gyldig overføringsgrunnlag (f.eks. EU-standardkontrakter) der det er nødvendig for underleverandører.

6. Brudd, bistand og sletting

• Varsel om personvernbrudd uten ugrunnet opphold.
• Bistand til innsyn og andre registrertes rettigheter.
• Ved opphør: sletting eller retur av Kundedata etter avtalt prosedyre, med forbehold for lovpålagt lagring og sikkerhetskopier i begrenset periode.

7. Rangorden

Ved motstrid mellom denne DPA-en og tjenestevilkårene går DPA foran for personvernspørsmål. Endelig versjon skal kvalitetssikres juridisk før den regnes som bindende produksjonsavtale.