Databehandleravtale (DPA)

Denne databehandleravtalen gjelder mellom deg som kunde (behandlingsansvarlig) og Ad Vitam Invest AB (ProfitLens Consulting) (databehandler) og kommer til anvendelse når du begynner å bruke tjenesten. Ingen signatur kreves; vilkårene gjelder i sin senest publiserte versjon og kan lastes ned fra denne siden.

Ved motstrid mellom denne avtalen og kjøpsvilkårene har denne avtalen forrang i spørsmål som gjelder behandling av personopplysninger.

Behandlingen omfatter automatisert prisanalyse: lagring av kundefiler, kvalitetskontroller, deterministiske beregninger i kundens nettleser, intervjuer, transkripsjoner, analyseresultater, rapporter og presentasjonsinnhold. KI-støtte bruker Azure OpenAI i EU. Tale er valgfritt, aktiveres bare av respondenten og kan deaktiveres; ProfitLens tar ikke opp eller lagrer lyd og lagrer bare skriftlige transkripsjoner.

For veiledning i hjelpeveiledningen sendes et begrenset sammendrag av kolonnenavn, tilordning, kontrollresultater og, dersom aktivert, pseudonymiserte eksempelrader til Azure OpenAI i EU. Kunden kan deaktivere deling av eksempelrader. Microsoft bruker ikke dette innholdet til å trene grunnmodeller; selskapets gjeldende vilkår for sikkerhet og misbruksovervåking kan tillate begrenset oppbevaring.

Behandlingen fortsetter så lenge du bruker tjenesten og i de oppbevaringsperiodene som er angitt i personvernerklæringen.

Registrerte: dine ansatte som bruker tjenesten, intervjurespondenter og personer som kan forekomme i opplastede data, for eksempel salgsrepresentanter eller kontaktpersoner hos kundene dine.

Opplysninger: navn, stillingstittel, e-postadresse, kundeidentifikatorer og transaksjonsdata. Særlige kategorier av opplysninger etter Article 9 GDPR må ikke lastes opp. Kundenavn kan maskeres, forutsatt at maskeringen er konsekvent.

Vi behandler personopplysninger bare etter dine dokumenterte instrukser, der din bruk av tjenesten og disse vilkårene utgjør instruksen.

Personell med tilgang er underlagt taushetsplikt. Tilgang styres av tillatelser og begrenses til det arbeidet krever.

Vi gjennomfører egnede tekniske og organisatoriske sikkerhetstiltak etter Article 32: kryptering ved lagring og under overføring, atskillelse per konto og analyse, loggføring og gjenopprettingsrutiner.

Vi bistår deg med å besvare anmodninger fra registrerte og med vurderinger av personvernkonsekvenser og forhåndsdrøftinger i den utstrekning det med rimelighet er nødvendig.

Vi varsler deg uten ugrunnet opphold, og senest innen 48 timer etter at bruddet ble oppdaget, om ethvert brudd på personopplysningssikkerheten som berører dine opplysninger.

Ved opphør sletter vi personopplysningene dine, eller tilbakeleverer dem dersom du ber om det innen tretti dager, unntatt der lovgivningen krever at vi oppbevarer dem.

Du gir generell forhåndsgodkjenning til at vi engasjerer underdatabehandlere. Vi pålegger hver underdatabehandler forpliktelser som minst tilsvarer dem i denne avtalen, og forblir ansvarlige for deres behandling som for vår egen.

Gjeldende underdatabehandlere og funksjoner: Microsoft Ireland Operations Limited (Azure Blob Storage, kundefiler i Sverige; Azure Database for PostgreSQL, transkripsjoner, analyser, rapporter og presentasjonsinnhold i Irland; Azure OpenAI, tekst-KI og valgfri tale/transkripsjon i EU Data Zone). Supabase (nettsteds- og applikasjonsplattform, tilgang på serversiden og tjenesteorkestrering, kontoer, autentisering, tilgangsmetadata og kreditter). E-postleverandører leverer systemvarsler. Denne fordelingen beskriver tjenestene som brukes; den innebærer ingen påstand om at drift eller kundestøtte utelukkende finner sted i EU.

Vi informerer deg før en ny underdatabehandler tas i bruk. Du kan motsette deg dette på saklig grunnlag, og dersom vi ikke kan imøtekomme innsigelsen, kan du si opp tjenesten og få refundert ubrukte kreditter.

Primærlagring av kundeinnhold skjer i Azure-regioner i EU: filer i Sweden Central (Sverige), og transkripsjoner, analyseresultater, rapporter og presentasjonsinnhold i North Europe (Irland). Azure OpenAI EU Data Zone-inferens kan finne sted i ulike EU-medlemsstater. Globale KI-distribusjoner brukes ikke. Deterministiske beregninger kjøres lokalt i kundens nettleser. Lagring og inferens i EU innebærer ikke at enhver applikasjonsserver eller støtteleverandør behandler data bare innenfor EU.

Midlertidige kopier av kundeinnhold i den tidligere Supabase-lagringen i EU beholdes under verifisering og som reserveløsning. Endelig fjerning krever særskilt godkjent sletting og skjer ikke automatisk når disse vilkårene endres. Ved støtteleverandørers tilgang fra eller overføringer til tredjeland anvender vi overføringsgarantier etter GDPR, herunder standard personvernbestemmelser der dette kreves. Microsofts gjeldende personvern- og tjenestevilkår regulerer også sikkerhet og misbruksovervåking; det er ikke verifisert noe unntak som innebærer at innhold ikke oppbevares.

På anmodning fremlegger vi dokumentasjonen som er nødvendig for å påvise etterlevelse av Article 28 GDPR. Revisjon kan gjennomføres én gang i året, med rimelig varsel og uten å eksponere andre kunders data.

KI-støtte brukes bare i enkelte trinn og mottar aldri hele det opplastede datasettet. Beregninger utføres av versjonert kode uten KI.

Før eksempelverdier sendes til en KI-underdatabehandler, erstattes kundenavn, produktnavn, salgsrepresentanter og segmenter med stabile koder. Koblingstabellen bygges midlertidig i minnet og lagres ikke.

Kunden kan velge Standard (kodede eksempelverdier), Begrenset (bare kolonne- og arknavn) eller Ingen KI på data (KI-støtte i datatrinnene slått av). Innstillingen gjelder for kontoen og kan endres per analyse.

Før hvert KI-kall kan kunden se den nøyaktige teksten som sendes. Hvert kall loggføres per analyse med tidspunkt, trinn, modus, antall tegn og om eksempelverdier var inkludert; loggen kan lastes ned og understøtter din egen protokollføring etter Article 30 GDPR.