Databehandleravtale
Henter databehandleravtalen …
Henter databehandleravtalen …
Sist oppdatert: 1. september 2026
Denne databehandleravtalen ("Avtalen") inngås mellom:
Kunden, som angitt på bedriftskontoen i Autiva
("Behandlingsansvarlig")
og
Autiva AS
("Databehandler")
Avtalen utgjør en del av avtalen om bruk av Autiva.
Formålet med denne Avtalen er å regulere Autivas behandling av personopplysninger på vegne av Kunden i forbindelse med levering av Autiva.
Avtalen skal sikre at behandlingen skjer i samsvar med gjeldende personvernregelverk, herunder personopplysningsloven og EUs personvernforordning (GDPR).
Kunden er behandlingsansvarlig for personopplysninger Kunden eller Kundens Brukere registrerer eller på annen måte behandler gjennom Autiva når Kunden bestemmer formålene med behandlingen.
Autiva er databehandler for disse opplysningene når Autiva behandler dem på vegne av Kunden for å levere tjenesten.
Autiva kan samtidig være selvstendig behandlingsansvarlig for enkelte opplysninger som Autiva behandler for egne formål, eksempelvis:
Slike behandlinger reguleres av Autivas personvernerklæring og omfattes ikke av denne databehandleravtalen.
Autiva skal behandle personopplysninger i den utstrekning det er nødvendig for å levere tjenesten til Kunden.
Behandlingen kan blant annet omfatte:
Formålet er å levere en digital løsning for Kundens administrasjon og gjennomføring av arbeid.
Behandlingen varer så lenge Kunden har et aktivt kundeforhold med Autiva eller så lenge Autiva ellers har plikt eller instruks til å behandle Kundedata.
Etter at avtalen avsluttes håndteres personopplysningene i samsvar med punkt 15.
Avhengig av hvordan Kunden bruker Autiva kan behandlingen omfatte personopplysninger om blant annet:
Autiva kan på vegne av Kunden behandle opplysninger som blant annet:
Nøyaktig hvilke opplysninger som behandles avhenger av hvordan Kunden bruker Autiva.
Autiva er ikke utviklet med behandling av særlige kategorier personopplysninger som hovedformål.
Kunden bør derfor unngå å registrere slike opplysninger med mindre det er nødvendig for Kundens bruk av tjenesten og Kunden har et gyldig rettslig grunnlag for behandlingen etter gjeldende personvernregelverk, herunder GDPR artikkel 9.
Særlige kategorier personopplysninger omfatter blant annet opplysninger om:
Kunden er ansvarlig for å vurdere om slike opplysninger kan behandles lovlig, og for å begrense registreringen til det som er nødvendig for formålet.
Dersom Kunden planlegger systematisk eller omfattende behandling av særlige kategorier personopplysninger i Autiva, bør Kunden kontakte Autiva før slik behandling igangsettes.
Autiva skal kun behandle personopplysninger etter dokumenterte instrukser fra Kunden, med mindre Autiva er rettslig forpliktet til annen behandling.
Kundens inngåelse av avtalen, konfigurasjon av tjenesten, bruk av funksjoner og handlinger utført av autoriserte Brukere anses som dokumenterte instrukser innenfor tjenestens avtalte formål.
Dersom Kunden ber om behandling utover standardfunksjonaliteten, kan partene avtale særskilte instrukser.
Hvis Autiva mener en instruks er i strid med gjeldende personvernregelverk, skal Kunden informeres uten ugrunnet opphold.
Kunden er ansvarlig for:
Kunden skal ikke instruere Autiva til behandling som strider mot gjeldende lovgivning.
Autiva skal sørge for at personer som har tilgang til Kundens personopplysninger:
Tilgang til Kundedata skal begrenses etter behovsprinsippet.
Autiva skal gjennomføre egnede tekniske og organisatoriske tiltak basert på behandlingens art, risiko, kostnader og tilgjengelig teknologi.
Tiltakene kan blant annet omfatte:
Autiva skal løpende vurdere sikkerheten i tjenesten og tilpasse tiltakene når risiko eller teknologi endrer seg.
Kunden gir Autiva generell tillatelse til å benytte underdatabehandlere når dette er nødvendig for å levere tjenesten.
Underdatabehandlere kan blant annet levere:
Autiva skal inngå avtale med underdatabehandlere som pålegger dem personvernforpliktelser som i det vesentlige tilsvarer de relevante forpliktelsene etter denne Avtalen.
Autiva er ansvarlig overfor Kunden for underdatabehandlernes behandling i den utstrekning dette følger av gjeldende personvernregelverk.
Autiva skal gjøre en oppdatert liste over relevante underdatabehandlere tilgjengelig for Kunden.
Ved vesentlige endringer i underdatabehandlere skal Kunden varsles på egnet måte før endringen trer i kraft når dette kreves etter personvernregelverket.
Kunden kan fremsette saklig begrunnet innsigelse dersom en ny underdatabehandler etter Kundens vurdering innebærer en reell personvernrisiko.
Partene skal i slike tilfeller forsøke å finne en rimelig løsning.
Autiva skal ikke overføre personopplysninger til land utenfor EØS uten at vilkårene i gjeldende personvernregelverk er oppfylt.
Dersom en underdatabehandler eller annen leverandør behandler opplysninger utenfor EØS, skal Autiva sørge for et gyldig overføringsgrunnlag.
Dette kan blant annet være:
Der regelverket krever det, skal nødvendige supplerende tiltak vurderes.
Autiva skal, så langt det er mulig og rimelig sett i lys av behandlingens art og tilgjengelig informasjon, bistå Kunden med å oppfylle sine personvernforpliktelser.
Dette kan blant annet omfatte bistand ved:
Dersom bistanden medfører vesentlig arbeid utover det som normalt inngår i tjenesten, kan Autiva kreve rimelig betaling etter nærmere avtale, med mindre behovet skyldes forhold Autiva selv er ansvarlig for.
Når kundeforholdet opphører skal Autiva, etter Kundens valg og innenfor tjenestens tilgjengelige funksjonalitet og gjeldende regelverk:
Autiva kan beholde opplysninger dersom videre lagring er påkrevd etter lov.
Opplysninger som inngår i sikkerhetskopier kan beholdes frem til sikkerhetskopiene overskrives eller slettes etter Autivas ordinære rutiner.
Så lenge slike data finnes i sikkerhetskopier skal de fortsatt være beskyttet og ikke brukes til andre formål.
Autiva skal fastsette og kommunisere en rimelig frist for Kundens uttrekk av data etter avsluttet kundeforhold.
Dersom Autiva blir kjent med et brudd på personopplysningssikkerheten som berører personopplysninger Autiva behandler på vegne av Kunden, skal Kunden varsles uten ugrunnet opphold.
Varslet skal, i den grad informasjonen er tilgjengelig, inneholde relevante opplysninger om:
Informasjon kan gis trinnvis dersom alle opplysninger ikke er tilgjengelige samtidig.
Kunden er ansvarlig for å vurdere om hendelsen skal meldes til Datatilsynet eller de registrerte, med mindre annet følger av loven.
Autiva skal bistå Kunden i den grad dette er nødvendig og relevant.
Autiva skal gjøre tilgjengelig informasjon som er nødvendig for å dokumentere etterlevelse av forpliktelsene etter GDPR artikkel 28.
Kunden kan med rimelig varsel be om relevant dokumentasjon om Autivas sikkerhets- og personverntiltak.
Dersom dokumentasjonen ikke er tilstrekkelig for å oppfylle Kundens lovpålagte kontrollplikt, kan Kunden be om ytterligere kontroll eller revisjon.
Revisjon skal:
Kunden dekker normalt egne kostnader knyttet til revisjonen.
Dersom revisjonen avdekker vesentlige brudd som Autiva er ansvarlig for, skal Autiva uten ugrunnet opphold iverksette nødvendige tiltak.
Dersom Autiva mottar en forespørsel fra en registrert som gjelder personopplysninger Kunden er behandlingsansvarlig for, skal Autiva som hovedregel henvise forespørselen til Kunden eller videresende den til Kunden.
Autiva skal ikke selv avgjøre slike forespørsler uten instruks fra Kunden, med mindre Autiva er rettslig forpliktet til det.
Dersom Autiva mottar et rettslig bindende krav om utlevering av Kundens personopplysninger, skal Kunden varsles før utlevering dersom loven tillater dette.
Autiva skal ikke utlevere mer informasjon enn det som følger av det rettslige kravet.
Autiva skal ikke bruke personopplysninger som behandles på vegne av Kunden til uforenlige egne formål.
Autiva kan behandle anonymiserte eller aggregerte opplysninger som ikke lenger kan knyttes til en identifisert eller identifiserbar person, blant annet for statistikk, analyse og forbedring av tjenesten.
Autiva skal ikke bruke Kundedata til trening av generelle AI-modeller uten særskilt rettslig grunnlag eller uttrykkelig avtale med Kunden.
Autiva kan oppdatere denne Avtalen dersom det er nødvendig som følge av:
Vesentlige endringer som påvirker Kundens rettigheter eller plikter skal varsles.
Dersom endringen krever ny avtaleinngåelse, kan Autiva kreve at Kontoadministrator godtar den nye versjonen.
Avtalen kan inngås elektronisk i Autiva.
Autiva kan registrere:
Elektronisk godkjenning anses som Kundens aksept av Avtalen når den utføres av Kontoadministrator eller annen person med nødvendig fullmakt.
Kopi av avtalen skal kunne gjøres tilgjengelig for Kunden elektronisk.
Ved motstrid mellom denne databehandleravtalen og generelle bruksvilkår skal denne databehandleravtalen ha forrang i spørsmål som gjelder behandling av personopplysninger på vegne av Kunden.
Avtalen er underlagt norsk rett.
Behandlingsansvarlig: Kunden
Databehandler: Autiva AS
Formål:Levering, drift, vedlikehold og sikkerhet av Autiva på vegne av Kunden.
Behandlingens varighet:Kundeforholdets varighet samt eventuell etterfølgende periode nødvendig for sletting, eksport eller lovpålagt oppbevaring.
Registrerte:Ansatte, innleide, kunder, kontaktpersoner, samarbeidspartnere og andre personer Kunden registrerer.
Personopplysninger:Identitetsopplysninger, kontaktinformasjon, arbeidsrelaterte opplysninger, prosjekt- og jobbdata, timeføringer, kjørelister, bilder, filer, notater, kommentarer, dokumentasjon og tekniske metadata.
Behandlingsaktiviteter:Innsamling, registrering, strukturering, lagring, fremvisning, søk, overføring, sikkerhetskopiering, analyse, support, feilsøking og sletting.
Autiva fører en oppdatert liste over underdatabehandlere som benyttes i forbindelse med tjenesten. For hver leverandør oppgir listen navn, tjeneste/formål, type opplysninger, behandlingssted og eventuelt overføringsgrunnlag utenfor EØS.
Gjeldende liste: autiva.no/underdatabehandlere
Opplysninger hentes fra Kundens registrerte bedriftskonto i Autiva.
Autiva AS