Databehandleravtale (DPA)

Dette dokumentet er et operativt avtaleutkast. Seller of record / kontraktsmotpart skal bekreftes skriftlig før første betalende fremmede kunde. Inntil videre oppgis AAXO AS (org.nr 937 324 367) som leverandør/databehandler.

1. Parter

Behandlingsansvarlig: Kunden (virksomheten som oppretter organisasjon i SikkerJobb og registrerer arbeidsdokumentasjon).

Databehandler: AAXO AS, Statsminister Kolstads vei 51, 1711 Sarpsborg. Kontakt: Kent@aaxo.ai.

2. Formål og art

Databehandleren leverer tjenesten SikkerJobb for digital arbeidsklarering / SJA: lagring og presentasjon av arbeidsbilder, AI-assisterte observasjonsforslag, risikovurdering, krav, attestasjoner, klarering, ekstern arbeidsgodkjenning, PDF-bevis og fakturering. AI foreslår; mennesker autoriserer.

3. Varighet

Behandlingen varer så lenge kunden har aktiv konto/abonnement, pluss nødvendig oppbevaring for sporbarhet, rettslige krav og bokføring (se punkt 7). Ved oppsigelse slettes eller returneres personopplysninger etter punkt 8, med mindre loven krever lengre lagring.

4. Kategorier registrerte og opplysninger

• Brukere/kontakter: navn, e-post, organisasjonstilknytning, rolle.
• Arbeidsdokumentasjon: bilder fra arbeidssted, beskrivelser, vurderinger, attestasjoner, godkjenninger, dokument-ID/hash.
• Tekniske logger: tidsstempler, hendelseslogg, IP-hash der relevant, feil-/sikkerhetslogger.
• Betaling: kunde-/faktureringsdata via Stripe (kortnummer håndteres av Stripe, ikke av SikkerJobb).

Tjenesten er ikke ment for særlige kategorier (helse, biometri osv.). Kunden skal ikke laste opp slike opplysninger.

5. Instruks

Databehandleren behandler opplysninger kun etter dokumenterte instruksjoner fra kunden (bruk av tjenesten), denne DPA-en og gjeldende personvernlov. Databehandleren informerer kunden dersom en instruks etter databehandlerens vurdering bryter GDPR.

6. Sikkerhet

• Tilgangsstyring via autentisering (Clerk) og organisasjonsroller.
• Evidence (bilder/PDF) lagres privat og serveres via autorisert proxy; rå lagring er fail-closed uten offentlig fallback.
• Godkjenningslenker bruker engangstokens som lagres hashed.
• Transportkryptering (HTTPS) og leverandørsikkerhet hos underleverandører.

7. Oppbevaring / sletting

Arbeidsdokumentasjon og attestasjonslogger oppbevares som standard i kundens organisasjon så lenge kontoen er aktiv, for sporbarhet og HMS-dokumentasjon. Ved kundens skriftlige forespørsel slettes data innen rimelig tid etter oppsigelse, med forbehold om lovpålagt oppbevaring (f.eks. regnskap). Sikkerhetskopier fase ut i henhold til underleverandørers rotasjonsrutiner.

8. Export / avslutning

Ved avtaleavslutning kan kunden be om eksport av AUTHORIZED-dokumenter (PDF/metadata) og sletting av øvrige personopplysninger i tjenesten. Forespørsel sendes til kontaktadressen over.

9. Underleverandører

Kunden godkjenner bruk av underleverandører listet på /underleverandorer. Vesentlige endringer varsles med rimelig frist der praktisk mulig.

10. Internasjonale overføringer

Enkelte underleverandører kan behandle data utenfor EØS. Overføring skjer da med gyldig overføringsgrunnlag (f.eks. EU standard contractual clauses / databehandlerens leverandøravtaler). Se underleverandørliste for regioner.

11. Brudd / hendelseshåndtering

Databehandleren varsler kunden uten ugrunnet opphold etter å ha blitt kjent med et personvernbrudd som berører kundens data, med kjent informasjon om art, omfang og tiltak. Kunden vurderer melding til Datatilsynet/registrerte.

12. Registrertes rettigheter

Databehandleren bistår kunden med innsyn, retting, sletting, begrensning og dataportabilitet der forespørselen gjelder data i SikkerJobb. Henvendelser fra registrerte som treffer databehandleren videresendes til kunden når det er hensiktsmessig.

13. Revisjon

Kunden kan be om rimelig dokumentasjon av sikkerhetstiltak. Fysisk revisjon av underleverandørers datacentre er begrenset til det underleverandørene tillater; databehandleren videreformidler tilgjengelige attester/rapporter der det er avtalt.

Se også personvernerklæring og vilkår.