Databehandleravtale (DPA)

1. Bakgrunn og partsforhold

Denne databehandleravtalen («DPA») regulerer Brødrene Gåsdal AS sin behandling av personopplysninger på vegne av kunden («Behandlingsansvarlig») i forbindelse med bruk av Justera-tjenesten. DPA-en er et tillegg til Brukervilkårene og har forrang ved motstrid om personvern.

2. Behandlingens karakter og formål

• Type behandling: lagring, analyse og strukturering av juridiske dokumenter og spørsmål.
• Kategorier av registrerte: kundens ansatte, motparter omtalt i avtaler.
• Kategorier av personopplysninger: navn, kontaktopplysninger, ansettelsesdetaljer, evt. særlige kategorier hvis kunden laster opp slikt innhold.
• Varighet: for tjenestens varighet, deretter slettet innen 30 dager.

3. Justeras plikter

• Behandler kun personopplysninger etter dokumenterte instrukser fra kunden.
• Sikrer at personell som har tilgang er underlagt taushetsplikt.
• Implementerer tekniske og organisatoriske tiltak (TLS, RLS, audit-logg, MFA).
• Bistår kunden med å oppfylle plikter overfor registrerte (innsyn, retting, sletting).
• Varsler kunden uten ugrunnet opphold ved sikkerhetsbrudd, senest innen 24 timer.

4. Underleverandører

Justera benytter EU-baserte underleverandører for hosting, modellinferens, e-postutsending og betaling. Komplett liste deles på forespørsel under NDA før signering av DPA.

Endringer i underleverandører varsles minst 30 dager i forkant. Kunden kan motsette seg endringen og avslutte avtalen uten kostnad dersom ny underleverandør ikke kan godtas.

5. Overføring utenfor EØS

All primærbehandling skjer innenfor EU/EØS. Dersom overføring utenfor EØS blir nødvendig, skjer dette under EU-kommisjonens standardkontraktsklausuler (SCCs) og med supplerende tiltak.

6. Revisjon og kontroll

Kunden kan be om årlig revisjonsrapport (SOC 2 Type II / ISO 27001). Egenrevisjon kan avtales med 30 dagers varsel og dekkes av kunden.

7. Sletting og retur

Ved opphør av avtalen sletter Justera all kundedata innen 30 dager, med mindre lov krever lengre lagring. Kunden kan be om eksport (JSON/PDF) før sletting.

8. Lovvalg

DPA-en er underlagt norsk rett, jf. personopplysningsloven og GDPR. Tvister løses ved Oslo tingrett.