Databehandleravtale

Denne databehandleravtalen («DPA») utgjør en del av og supplerer vilkårene for bruk (Terms of Service) mellom Rukkor AB («Rukkor») og Kunden, og regulerer Rukkors behandling av personopplysninger som databehandler på vegne av Kunden. Ved konflikt med vilkårene for bruk har denne DPA-en forrang for behandlingen av personopplysninger.

1. Roller

Rukkor behandler personopplysninger utelukkende som databehandler etter Kundens dokumenterte instruksjoner; Kunden er behandlingsansvarlig og er alene ansvarlig for behandlingsgrunnlaget for personopplysninger som Kunden behandler gjennom tjenestene. Leveringen av tjenestene utgjør Kundens primære instruksjon.

2. Konfidensialitet

Rukkor sikrer at personell som er autorisert til å behandle personopplysninger, er bundet av taushetsplikt og er opplært; tilgang er begrenset til dem som trenger den.

3. Sikkerhet

Rukkor opprettholder egnede tekniske og organisatoriske tiltak, inkludert kryptering under overføring og i hvile, rollebasert tilgang og MFA for administrativ tilgang, regelmessig testing samt rutiner for motstandsdyktighet og gjenoppretting. Nåværende tiltak er beskrevet i Trust Center (www.rukkor.com/legal/trust-center).

4. Sikkerhetshendelser

Rukkor varsler Kunden uten ugrunnet opphold og innen 72 timer etter at Rukkor har blitt kjent med et brudd på personopplysningssikkerheten, med tilgjengelig informasjon, og bistår med forpliktelsene etter artikkel 33–34 GDPR.

5. De registrertes rettigheter

Kunden er ansvarlig for å besvare forespørsler fra registrerte; Rukkor gir kommersielt rimelig bistand og videresender enhver forespørsel som Rukkor mottar direkte, uten å svare, med mindre loven krever noe annet.

6. Underdatabehandlere

Kunden gir en generell tillatelse til å benytte underdatabehandlerne som er angitt i vedlegg 2. Rukkor gir rimelig forhåndsvarsel om tillegg/utskiftinger; Kunden kan protestere på rimelig personverngrunnlag innen 14 dager, og uløste innsigelser gir rett til å si opp de berørte tjenestene. Rukkor forblir ansvarlig for underdatabehandlernes utførelse i den grad Rukkor er ansvarlig.

7. Internasjonale overføringer

Personopplysninger i Rukkor-produktet driftes utelukkende innenfor EU (Tyskland) og overføres ikke til noen amerikanskeid skyleverandør. Der en underdatabehandler er plassert utenfor EØS (se vedlegg 2), baseres overføringer på EUs standardavtaleklausuler eller en annen mekanisme etter kapittel V; slike overføringer er begrenset til fakturerings- eller transportmetadata og omfatter aldri innhold i Rukkor-produktet.

8. Lagring og sletting

Rukkor oppbevarer personopplysninger i avtaleperioden pluss inntil tre (3) år (der Kunden kan reaktivere og eksportere), og sletter dem deretter permanent. På Kundens skriftlige forespørsel før dette sletter Rukkor innen 30 dager, unntatt der loven krever oppbevaring.

9. Ansvar

Omfattes av ansvarsbegrensningene i vilkårene for bruk; hver part kan kreve bidrag fra den andre i den grad den parten er ansvarlig.

10. Løpetid, lovvalg og kontakt

Denne DPA-en gjelder i avtalens løpetid og reguleres av svensk lov (Ystads tingsrätt). Kontakt: Rukkor AB, Besökaregränd 2D, 271 42 Ystad, Sverige, support@rukkor.com.

Vedlegg 1 — Beskrivelse av behandlingen

Vedlegg 2 — Godkjente underdatabehandlere

Rukkors gjeldende underdatabehandlere er publisert på www.rukkor.com/legal/sub-processors, som utgjør en del av denne DPA-en. Listen er gruppert etter tjeneste og angir hver underdatabehandlers formål, plassering og overføringsmekanisme. For Rukkor-produktet holder innholdet seg innenfor EU (Hetzner; Berget AI når AI er aktivert), og de øvrige leverandørene behandler kun fakturerings- eller transportmetadata. Rukkor varsler Kunden om ethvert tillegg eller utskifting, og Kunden kan protestere i henhold til avsnitt 6.