Databehandleravtale

Behandlingsansvarlig er virksomheten som har inngått avtale om bruk av Done HRM («kunden»). Databehandler er Done.ai Norway AS, org.nr. 915 006 620 («Done»).

Denne databehandleravtalen («DPA») er en del av avtalen om Done HRM, jf. produktvilkårene, og regulerer Dones behandling av personopplysninger på vegne av kunden. Den gjelder fra Done begynner å behandle slike opplysninger og så lenge behandlingen varer. Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28 nr. 3 og personopplysningsloven.

Ved motstrid går denne DPAen foran bestilling, produktvilkår, CLA og Done.ais generelle DPA i alle spørsmål om behandling av personopplysninger på kundens vegne. Done.ais generelle DPA gjelder ikke for Done HRM. Ingen bestilling eller annen kommersiell avtale kan redusere pliktene etter denne DPAen med mindre endringen uttrykkelig er tillatt etter personvernregelverket.

Registrerte kan være ansatte, tidligere ansatte, innleide, konsulenter, ledere, administratorer og personer kunden registrerer som pårørende eller barn.

• Identitet og kontakt: navn, e-post, telefon, adresse, fødselsdato og bilde.
• Ansettelse: stilling, avdeling, leder, ansettelsesform, stillingsprosent, start- og sluttdato, lønn (kryptert på feltnivå), kontrakter og øvrige personaldokumenter.
• Fravær og ferie: fraværstype, datoer, saldo, søknader og godkjenninger.
• Tid og arbeid: timeføringer, prosjekter, kunder og godkjenninger.
• Utvikling: mål, medarbeidersamtaler, ferdigheter, eventuelt CV, og undersøkelsessvar. I åpne undersøkelser er svarene knyttet til den ansatte; i anonyme undersøkelser lagres svarene uten kobling til person.
• Dokumenter: opplastede dokumenter og dokumenter laget fra kundens maler, der malteksten er flettet med opplysninger fra ansattregisteret.
• Pårørende og barn: opplysninger kunden velger å registrere.
• Bruk og sikkerhet: innlogging, IP-adresse, nettleser, sesjons- og revisjonslogg.

Særlige kategorier (art. 9): Fraværsopplysninger kan avsløre helseopplysninger (egenmelding, sykmelding, sykt barn). Tjenesten er innrettet slik at fraværstype bare vises for den ansatte selv, leder med tilgang og administrator. Andre særlige kategorier kan bare registreres dersom kunden har vurdert og dokumentert lovlig grunnlag og behandlingen er forenlig med tjenestens formål. Kunden skal ikke registrere diagnoser i fritekst.

• Kunden bestemmer formål og vesentlige midler for behandlingen og er ansvarlig for rettslig grunnlag, transparens, dataminimering og korrekte tilganger.
• Kundens bruk av avtalte funksjoner, innstillinger, roller, integrasjoner og dokumenterte henvendelser utgjør instrukser til Done.
• Instrukser utover tjenestens standardfunksjoner gis skriftlig til sas@done.ai eller gjennom en annen avtalt kanal.
• Instruksen omfatter behandling og eventuell overføring til tredjeland som er nødvendig for å levere tjenesten i samsvar med denne DPAen og vedlegg B.
• Kunden styrer selv hvem som har tilgang gjennom roller, synlighet per dokument og hvem som får se resultater av undersøkelser, og bestemmer om en undersøkelse skal være anonym eller åpen. Tjenesten opplyser den ansatte om valget før svar avgis.
• Kunden er ansvarlig for å vurdere om egen bruk krever DPIA, arbeidsrettslig drøfting eller andre særskilte tiltak. Done bistår med tilgjengelig dokumentasjon.

• Done behandler personopplysninger bare etter dokumenterte instrukser fra kunden, med mindre EU-rett eller norsk rett krever annet. Dersom lov krever behandling uten instruks, informerer Done kunden før behandlingen så langt loven tillater det.
• Done varsler kunden uten ugrunnet opphold dersom en instruks etter Dones vurdering er i strid med personvernregelverket, og kan stanse den berørte behandlingen til instruksen er avklart.
• Done sikrer at personer med tilgang til personopplysninger er underlagt taushetsplikt og bare har tilgang når det er nødvendig.
• Done gjennomfører og vedlikeholder tiltakene i vedlegg C og tilpasser tiltakene til risiko, teknisk utvikling og behandlingens karakter.
• Done bistår kunden, under hensyn til behandlingens art og informasjonen Done har tilgjengelig, med registrertes rettigheter og kundens plikter etter GDPR artikkel 32–36.
• Done fører protokoll etter artikkel 30 nr. 2 og gjør nødvendig dokumentasjon tilgjengelig etter punkt 10.
• Done behandler ikke kundens personopplysninger for egne formål og bruker dem ikke til markedsføring, statistikk, produktutvikling, maskinlæring eller modelltrening. Reelt anonymiserte og aggregerte tekniske driftstall som ikke er personopplysninger kan brukes til drift og kapasitetsplanlegging.
• Dersom Done ikke lenger kan oppfylle kravene i denne DPAen eller GDPR artikkel 28, skal Done varsle kunden. Kunden kan kreve at den berørte behandlingen stanses og kan si opp den berørte tjenesten dersom forholdet ikke avhjelpes innen rimelig tid eller ikke kan avhjelpes.

Kunden gir generell skriftlig godkjenning til underleverandørene i vedlegg B. Done skal ha skriftlig avtale med hver underleverandør som pålegger underleverandøren i det vesentlige de samme personvernforpliktelsene som følger av denne DPAen, så langt de er relevante for den behandlingen underleverandøren utfører. Done er ansvarlig overfor kunden for underleverandørens oppfyllelse i samsvar med GDPR artikkel 28.

Done varsler kundens registrerte administrator minst 30 dager før en ny eller erstattende underleverandør begynner å behandle kundens personopplysninger. Varselet beskriver leverandør, formål, datakategorier, behandlingssted og eventuelt overføringsgrunnlag. Kunden kan innen varslingsfristen fremsette en saklig begrunnet innsigelse knyttet til personvern. Partene skal forsøke å finne en rimelig løsning. Dersom dette ikke lykkes, kan kunden si opp den berørte tjenesten med virkning fra endringstidspunktet uten ekstra oppsigelsesgebyr. Gjeldende liste vedlikeholdes på /personvern/databehandlere.

På forespørsel gir Done kunden informasjon som er nødvendig for å kontrollere underleverandørenes personvernforpliktelser, med de begrensninger som følger av konfidensialitet og leverandøravtaler.

Dones valgte produksjonsregioner for database, applikasjon og fil-lagring er i EU/EØS (Frankfurt, Tyskland). E-posttjenesten behandler data i EU. Done tilstreber at ordinær produksjonsbehandling og lagring skjer i EU/EØS. E-postvarsler inneholder bare emne og lenke, ikke fraværstype, helseopplysninger eller lønn.

En leverandør med hovedkontor utenfor EU/EØS kan i enkelte tilfeller få fjernaksess eller på annen måte motta personopplysninger fra et tredjeland, for eksempel ved support eller sikkerhetshåndtering. Når en slik aktivitet utgjør overføring etter GDPR kapittel V, skal Done sikre gyldig overføringsgrunnlag før overføringen skjer. Dette kan være en gyldig adekvansbeslutning, herunder EU–U.S. Data Privacy Framework for en mottaker som er omfattet av gyldig sertifisering, eller EU-kommisjonens standard personvernbestemmelser (SCC) supplert med nødvendig overføringsvurdering og tilleggstiltak.

Done skal på forespørsel gi kunden rimelig tilgjengelig informasjon om det aktuelle overføringsgrunnlaget og relevante supplerende tiltak, med forbehold om konfidensiell sikkerhetsinformasjon.

Done varsler kunden uten ugrunnet opphold og senest innen 24 timer etter at Done er blitt kjent med et brudd på personopplysningssikkerheten som berører kundens personopplysninger. Første varsel kan være foreløpig. Varselet sendes til kundens administratorer og inneholder:

• beskrivelse av bruddets art og, når tilgjengelig, kategorier og omtrentlig antall registrerte og registreringer;
• kontaktpunkt for oppfølging;
• sannsynlige konsekvenser så langt de er kjent;
• iverksatte eller planlagte tiltak for å håndtere og begrense bruddet.

Manglende opplysninger ettersendes uten ugrunnet opphold. Kunden er ansvarlig for eventuell melding til tilsynsmyndighet og registrerte; Done bistår med informasjon Done har tilgjengelig.

Done bistår kunden med egnede tekniske og organisatoriske tiltak for å besvare anmodninger etter GDPR kapittel III. Selvbetjeningsfunksjoner kan brukes der de dekker forespørselen. Dersom kunden trenger bistand utover standardfunksjonene, skal Done normalt besvare henvendelsen eller avtale videre fremdrift innen 10 virkedager, med kortere frist når kundens lovpålagte frist krever det.

Forespørsler fra registrerte som kommer direkte til Done og gjelder kundens HR-data videresendes til kunden uten ugrunnet opphold, normalt innen 3 virkedager. Done tar ikke stilling til forespørselen på kundens vegne med mindre kunden uttrykkelig instruerer det.

Done gjør all informasjon som er nødvendig for å påvise etterlevelse av GDPR artikkel 28 tilgjengelig for kunden, herunder relevant sikkerhetsdokumentasjon, behandlingsprotokoll, oversikt over underleverandører og tilgjengelige tredjepartsattestasjoner.

Som normalordning kan kunden gjennomføre én planlagt revisjon per kalenderår med minst 30 dagers skriftlig varsel og i ordinær arbeidstid. I tillegg kan kunden kreve revisjon eller annen kontroll med kortere varsel når det er rimelig nødvendig, blant annet ved personvernbrudd, vesentlig endring i behandlingen, dokumentert rimelig mistanke om manglende etterlevelse eller krav fra tilsynsmyndighet.

Revisjon skal gjennomføres slik at andre kunders konfidensialitet og sikkerhet ivaretas og driften forstyrres minst mulig. Kunden kan bruke en uavhengig revisor under taushetsplikt. Dersom den foreslåtte revisoren er en direkte konkurrent av Done, kan Done kreve at kunden velger en annen kvalifisert og uavhengig revisor, så lenge dette ikke hindrer kundens lovfestede revisjonsrett.

Hver part dekker egne ordinære kostnader. Dersom kunden krever vesentlig bistand utover normal dokumentasjon og én ordinær arbeidsdag, kan Done fakturere rimelig medgått tid når kostnaden er opplyst på forhånd. Done fakturerer ikke bistand som er nødvendig fordi Done har misligholdt denne DPAen eller fordi en myndighet krever kontroll som følge av forhold på Dones side.

Done gjennomfører sikkerhetstiltakene i vedlegg C. Tiltakene kan videreutvikles dersom det samlede sikkerhetsnivået ikke reduseres vesentlig. Vesentlige endringer i sikkerhetsarkitekturen som påvirker risikoen for kundens data dokumenteres og kommuniseres når dette er relevant.

• Kunden kan eksportere tilgjengelige data gjennom tjenestens eksportfunksjoner mens abonnementet er aktivt.
• Etter opphør holdes kundens data tilgjengelige for eksport i inntil 30 dager, med mindre kunden skriftlig ber om tidligere sletting eller lov krever annet.
• Etter eksportperioden skal Done slette kundens personopplysninger fra aktive systemer og instruere underleverandørene om tilsvarende sletting. Slettingen skal være gjennomført senest 60 dager etter opphør, med mindre en kortere frist er avtalt eller praktisk mulig.
• Kopier i sikkerhetskopier isoleres fra ordinær bruk og overskrives eller utløper i ordinær rotasjon, senest 30 dager etter fristen for aktive systemer, med mindre teknisk dokumentert backup-rotasjon krever en annen uttrykkelig avtalt frist.
• Done kan beholde opplysninger i den utstrekning EU-rett eller norsk rett krever det. Slike opplysninger skal bare brukes til det lovpålagte formålet og sikres frem til sletting.
• På kundens forespørsel bekrefter Done skriftlig at sletting etter dette punktet er gjennomført.

Partenes ansvar overfor registrerte og tilsynsmyndigheter følger GDPR og annen ufravikelig rett og begrenses ikke av denne avtalen. Administrative overtredelsesgebyr bæres av den parten som gebyret ilegges.

Mellom partene gjelder CLAens ansvarsregler for kontraktskrav knyttet til denne DPAen i den utstrekning en slik begrensning er gyldig. Ansvarsbegrensningen gjelder ikke ved forsett eller grov uaktsomhet og begrenser ikke regress eller erstatningsansvar i den utstrekning dette følger ufravikelig av GDPR artikkel 82 eller annen lov.

DPAen gjelder så lenge Done behandler personopplysninger på vegne av kunden. Endringer som er nødvendige for å oppfylle lov, myndighetskrav eller styrke den registrertes vern kan varsles med minst 30 dager når omstendighetene tillater det. Andre vesentlige endringer som reduserer kundens rettigheter eller Dones forpliktelser krever kundens uttrykkelige aksept.

Avtalen er underlagt norsk rett med Oslo tingrett som avtalt verneting, med mindre ufravikelig lov bestemmer annet.

Interne komponenter i samme juridiske enhet: Done ID (innlogging) og Done Signatory (e-signering) leveres av Done.ai Norway AS og er derfor ikke underleverandører til Done.ai Norway AS. De inngår som interne behandlingsaktiviteter i tjenesteleveransen. Dersom en annen juridisk enhet senere overtar behandlingen, håndteres dette etter punkt 6.

Brønnøysundregistrene brukes til oppslag på organisasjonsnummer uten at personopplysninger sendes. Tjenesten bruker ingen leverandør av kunstig intelligens for behandling av kundens opplysninger. Funksjoner som bygger på kunstig intelligens er slått av i produksjon og kan ikke slås på uten at leverandøren først er varslet som ny underleverandør etter punkt 6.

C.1 Skille mellom kunder

• Kundedata merkes med selskaps-ID og isoleres med databasehåndhevet tilgangskontroll (Row-Level Security), aktivert og tvunget på alle tabeller med kundedata.
• Applikasjonens produksjonsrolle har ikke rett til å omgå kundeskillet, og applikasjonen nekter å starte i produksjon hvis den kobler til med en rolle som kan det.
• Automatiske tester forsøker å lese og endre andre kunders data ved hver kodeendring; en statisk kontroll stopper utrulling av spørringer uten kundefilter.

C.2 Kryptering

• TLS 1.2 eller nyere under transport og HSTS for webtrafikk. Kryptering i hvile hos database- og fillagringsleverandør.
• Lønnsopplysninger krypteres i tillegg på feltnivå (AES-256-GCM) med separat nøkkelhåndtering utenfor databasen.

C.3 Tilgangsstyring

• Innlogging via Done ID med OpenID Connect (PKCE) og støtte for tofaktorautentisering. Ingen passord lagres i tjenesten.
• Rollebasert tilgang for ansatt, leder, administrator og kjedeadministrator. Lederes innsyn er begrenset til eget team i organisasjonskartet. Fraværstype og lønn er begrenset etter rolle i selve spørringene, ikke bare i visningen.
• Private filer hentes bare gjennom autentiserte ruter som kontrollerer selskap, rolle og dokumentets synlighetsregler.
• Anonyme undersøkelser: svar lagres uten kobling til person, og navn hentes aldri sammen med svar, heller ikke i eksport. Åpne undersøkelser er merket tydelig for den som svarer.
• Eksport av lønnsliste er forbeholdt administrator, dekrypteres på serveren og skrives til revisjonsloggen.
• Dones produksjonstilgang begrenses til navngitt personell med tjenstlig behov og er underlagt taushetsplikt.

C.4 Sporbarhet, sikker utvikling og beredskap

• Revisjonslogg for sentrale opprettelser, endringer, eksport og sletting, med hvem, når og hva. Loggen kan ikke endres eller slettes fra applikasjonen.
• Sikkerhetsheadere (CSP, HSTS, innrammingsforbud), hastighetsbegrensning på uautentiserte innganger og kontroll av opplastede filtyper.
• Logging og varsling av driftsfeil og planlagte jobber.
• Punkt-i-tid-gjenoppretting av databasen hos leverandør og dokumentert gjenopprettingsprosedyre.
• Kontroll av avhengigheter for kjente sårbarheter som del av utviklingsløpet.
• Funksjoner som sender data til en leverandør av kunstig intelligens er sperret med en bryter på servernivå og er av i produksjon.
• Dokumentert prosedyre for personvern- og sikkerhetshendelser med rask intern eskalering og 24-timers varsling til kunden.