Databehandleravtale

Denne databehandleravtalen (Avtalen) regulerer Jobbkontroll AS sin behandling av personopplysninger på vegne av kunden, og inngås i henhold til artikkel 28 nr. 3 i personvernforordningen (forordning (EU) 2016/679, GDPR), slik den er gjennomført i norsk rett ved personopplysningsloven.

Avtalen inngås mellom kunden som behandlingsansvarlig og Jobbkontroll AS, organisasjonsnummer 937 652 429, Grenseveien 21, 4313 Sandnes, som databehandler. Partene omtales i det følgende som Behandlingsansvarlig og Databehandler.

Avtalen gjelder fra det tidspunktet Behandlingsansvarlig tar Jobbkontroll i bruk, uavhengig av om den er signert, og så lenge Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig.

1. Definisjoner

Begrepene personopplysninger, særlige kategorier av personopplysninger, behandling, behandlingsansvarlig, databehandler, registrert, brudd på personopplysningssikkerheten og tilsynsmyndighet har den betydningen de er gitt i GDPR artikkel 4.

Med Tjenesten menes programvaren Jobbkontroll med tilhørende nettsteder, mobilapplikasjoner, API og driftsmiljø. Med Underdatabehandler menes en tredjepart Databehandler engasjerer til å behandle personopplysninger på vegne av Behandlingsansvarlig.

2. Avtalens formål, omfang og rang

Avtalen skal sikre at personopplysninger som behandles i Tjenesten behandles i samsvar med GDPR og personopplysningsloven, og at de registrertes rettigheter og friheter ivaretas.

Formålet med behandlingen, behandlingens art og varighet, hvilke typer personopplysninger som behandles og hvilke kategorier av registrerte som berøres, følger av Vedlegg A.

Ved motstrid mellom Avtalen og andre avtaler mellom partene, går Avtalen foran i spørsmål som gjelder behandling av personopplysninger. Ved motstrid mellom Avtalen og ufravikelig rett, går ufravikelig rett foran.

3. Partenes roller

Behandlingsansvarlig er ansvarlig for personopplysningene som legges inn i Tjenesten om egne ansatte, innleide, kunder, kontaktpersoner og andre, og bestemmer formålet med og midlene for behandlingen. Behandlingsansvarlig svarer for at det foreligger et gyldig behandlingsgrunnlag, at de registrerte får den informasjonen de har krav på, og at opplysningene som legges inn er relevante og ikke går lenger enn nødvendig.

Databehandler behandler opplysningene utelukkende på vegne av Behandlingsansvarlig, i den utstrekning det er nødvendig for å levere, drifte, sikre og videreutvikle Tjenesten.

For enkelte opplysninger er Databehandler selv behandlingsansvarlig, og disse faller utenfor Avtalen: opplysninger knyttet til brukerkontoen som sådan (påloggingsmetoder, økter og innloggingshistorikk), fakturerings- og avtaleopplysninger, henvendelser til kundestøtte, feilrapporter, og trafikk på jobbkontroll.no. Behandlingen av disse er beskrevet i personvernerklæringen.

Henvendelser fra en ansatt hos Behandlingsansvarlig om opplysninger den ansatte har lagt inn i arbeidet, rettes til Behandlingsansvarlig som arbeidsgiver. Databehandler viderefører slike henvendelser til Behandlingsansvarlig og besvarer dem ikke selv.

4. Instruks

Databehandler skal bare behandle personopplysninger etter dokumentert instruks fra Behandlingsansvarlig, herunder ved overføring av personopplysninger til et tredjeland eller en internasjonal organisasjon.

Avtalen med vedlegg, sammen med de innstillingene og valgene Behandlingsansvarlig gjør i Tjenesten, utgjør den fullstendige instruksen på avtaletidspunktet. Behandlingsansvarlig kan gi utfyllende skriftlig instruks. Krever ny instruks endringer i Tjenesten, kan Databehandler kreve dekket dokumenterte merkostnader, og skal opplyse om dette før arbeidet settes i gang.

Dersom Databehandler er rettslig forpliktet til å behandle personopplysninger ut over instruksen, skal Behandlingsansvarlig underrettes om det rettslige kravet før behandlingen finner sted, med mindre underretning er forbudt av hensyn til viktige allmenne interesser.

Mener Databehandler at en instruks er i strid med GDPR eller annen personvernlovgivning, skal Behandlingsansvarlig varsles umiddelbart. Databehandler kan da utsette gjennomføringen av instruksen inntil forholdet er avklart.

5. Taushetsplikt

Databehandler skal sikre at enhver person som gis tilgang til personopplysningene, har forpliktet seg til fortrolighet eller er underlagt en passende lovfestet taushetsplikt. Taushetsplikten gjelder også etter at arbeidsforholdet eller oppdraget er avsluttet.

Tilgang gis bare til personell som har behov for den for å utføre sine arbeidsoppgaver, og bare i det omfanget behovet tilsier.

6. Informasjonssikkerhet

Databehandler skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er tilpasset risikoen, jf. GDPR artikkel 32. Tiltakene som er gjennomført på avtaletidspunktet, er beskrevet i Vedlegg B.

Databehandler kan endre og erstatte enkelttiltak, forutsatt at sikkerhetsnivået samlet sett ikke reduseres. Vesentlige reduksjoner i sikkerhetsnivået skal varsles Behandlingsansvarlig på forhånd.

Databehandler skal ha rutiner for å teste, analysere og vurdere sikkerheten regelmessig, herunder for å prøve at sikkerhetskopier faktisk lar seg gjenopprette.

7. Underdatabehandlere

Behandlingsansvarlig gir med dette generell skriftlig godkjenning til at Databehandler benytter underdatabehandlere. Underdatabehandlerne som benyttes på avtaletidspunktet, er oppført i Vedlegg C.

Databehandler skal varsle Behandlingsansvarlig minst 30 dager før en ny underdatabehandler tas i bruk, eller før en eksisterende erstattes. Varselet sendes til den eller de i virksomheten som er registrert som administrator i Tjenesten, og angir hvem underdatabehandleren er, hvilken behandling den skal utføre og hvor behandlingen skjer.

Behandlingsansvarlig kan innen varselfristen motsette seg endringen på saklig grunnlag knyttet til personvern eller informasjonssikkerhet. Finner partene ingen løsning, kan Behandlingsansvarlig si opp avtaleforholdet med virkning fra det tidspunktet endringen trer i kraft, uten annet vederlag enn betaling for perioden fram til opphør. Ubenyttet forskuddsbetaling refunderes forholdsmessig.

Databehandler skal pålegge enhver underdatabehandler de samme databeskyttelsesforpliktelsene som følger av Avtalen, ved avtale eller annet rettslig dokument. Databehandler er fullt ut ansvarlig overfor Behandlingsansvarlig for at underdatabehandleren oppfyller sine forpliktelser.

En leverandør som utelukkende leverer infrastruktur eller tjenester uten tilgang til personopplysninger, regnes ikke som underdatabehandler etter Avtalen.

8. Behandlingssted og overføring ut av EØS

Tjenesten driftes i Norge. Applikasjonen og databasen kjører hos Gigahost AS i deres datasenter i Sandefjord. Sikkerhetskopier og lagrede filer ligger i Cloudflare R2 med EU-jurisdiksjon.

Enkelte støttetjenester leveres av virksomheter utenfor EØS. Hvilke, og hva de behandler, framgår av Vedlegg C. Databehandler skal ikke overføre personopplysninger til land utenfor EØS uten at det foreligger et gyldig overføringsgrunnlag etter GDPR kapittel V, og skal på forespørsel dokumentere hvilket grunnlag som er benyttet.

Faller et overføringsgrunnlag bort, skal Databehandler uten ugrunnet opphold varsle Behandlingsansvarlig og enten etablere et nytt gyldig grunnlag, gjennomføre supplerende tiltak, eller opphøre med overføringen.

9. Bistand ved henvendelser fra registrerte

Databehandler skal, så langt det er mulig, bistå Behandlingsansvarlig med egnede tekniske og organisatoriske tiltak slik at Behandlingsansvarlig kan oppfylle sin plikt til å svare på anmodninger om å utøve rettighetene i GDPR kapittel III, herunder innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse.

Bistanden ytes i første rekke gjennom funksjonalitet i Tjenesten: Behandlingsansvarlig kan selv søke opp, rette, eksportere og slette opplysninger uten å kontakte Databehandler.

Retter en registrert en henvendelse direkte til Databehandler, skal Databehandler ikke besvare den på egen hånd, men uten ugrunnet opphold videreformidle den til Behandlingsansvarlig.

10. Bistand ved sikkerhet, vurderinger og forhåndsdrøfting

Databehandler skal bistå Behandlingsansvarlig med å oppfylle forpliktelsene etter GDPR artikkel 32 til 36, tatt i betraktning behandlingens art og den informasjonen Databehandler har tilgjengelig. Dette omfatter sikkerhet ved behandlingen, håndtering og melding av brudd, vurdering av personvernkonsekvenser og forhåndsdrøfting med tilsynsmyndigheten.

Databehandler stiller vederlagsfritt til rådighet den dokumentasjonen som er nødvendig for at Behandlingsansvarlig skal kunne gjennomføre en personvernkonsekvensvurdering av Tjenesten.

11. Brudd på personopplysningssikkerheten

Databehandler skal varsle Behandlingsansvarlig uten ugrunnet opphold og senest 48 timer etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører personopplysninger Databehandler behandler på vegne av Behandlingsansvarlig.

Varselet skal, så langt opplysningene er kjent, inneholde:

1. en beskrivelse av bruddets art, herunder hvilke kategorier av og hvor mange registrerte og opplysninger som er berørt,

2. når bruddet fant sted og når det ble oppdaget,

3. de sannsynlige konsekvensene av bruddet,

4. hvilke tiltak som er iverksatt eller foreslås for å håndtere bruddet og begrense skadevirkningene, og

5. navn på og kontaktopplysninger til et kontaktpunkt hos Databehandler.

Er ikke alle opplysningene tilgjengelige innen fristen, skal varsel likevel sendes innen fristen med de opplysningene som foreligger, og suppleres etter hvert. Et ufullstendig varsel innen fristen går foran et fullstendig varsel etter fristen.

Databehandler skal dokumentere alle brudd, bistå Behandlingsansvarlig med melding til tilsynsmyndigheten og eventuell underretning til de registrerte, og skal ikke selv melde bruddet til tilsynsmyndigheten på vegne av Behandlingsansvarlig uten skriftlig avtale om det.

12. Revisjon og dokumentasjon

Databehandler skal gjøre tilgjengelig for Behandlingsansvarlig all informasjon som er nødvendig for å påvise at forpliktelsene etter GDPR artikkel 28 er oppfylt, og skal muliggjøre og bidra til revisjoner, herunder inspeksjoner, som gjennomføres av Behandlingsansvarlig eller en revisor utpekt av denne.

Behandlingsansvarlig kan kreve revisjon én gang per kalenderår, og i tillegg ved mistanke om brudd på Avtalen eller etter et brudd på personopplysningssikkerheten som har berørt Behandlingsansvarlig. Revisjon varsles skriftlig minst 30 dager i forveien, gjennomføres i normal arbeidstid, og skal ikke være mer omfattende enn formålet tilsier.

Revisor skal ikke være en konkurrent av Databehandler, og skal undertegne en taushetserklæring før revisjonen. Revisjonen skal ikke gi tilgang til andre kunders opplysninger.

Databehandler kan i første omgang oppfylle plikten ved å framlegge egen sikkerhetsdokumentasjon, besvarte leverandørskjemaer og eventuelle tredjepartsrapporter. Er dette ikke tilstrekkelig til å dekke det Behandlingsansvarlig med rimelighet trenger, kan revisjon på stedet kreves.

Hver part dekker egne kostnader ved revisjon. Avdekker revisjonen vesentlige avvik fra Avtalen, dekker Databehandler Behandlingsansvarlig sine rimelige og dokumenterte kostnader.

13. Sletting og tilbakelevering

Behandlingsansvarlig kan når som helst laste ned egne data fra Tjenesten område for område, i alminnelig lesbare formater. Ønskes en fullstendig kopi samlet, leverer Databehandler den innen rimelig tid etter forespørsel, uten særskilt vederlag.

Behandlingsansvarlig kan selv slette hele virksomheten i Tjenesten. Slettingen gjennomføres 30 dager etter at den er bestilt, og kan stanses av Behandlingsansvarlig innen da. Slettingen omfatter også lagrede filer.

Ved opphør av avtaleforholdet skal Databehandler etter Behandlingsansvarlig sitt valg slette eller tilbakelevere alle personopplysninger, og slette eksisterende kopier. Har Behandlingsansvarlig ikke gitt beskjed innen 30 dager etter opphør, slettes opplysningene.

Sletting i Tjenesten skjer umiddelbart. Opplysningene kan fortsatt finnes i sikkerhetskopier fram til kopiene selv går ut på dato, og forsvinner derfra senest 35 dager etter slettingen. Sikkerhetskopier gjenopprettes ikke for å hente ut slettede opplysninger, og benyttes ikke til noe annet formål enn gjenoppretting av Tjenesten.

Databehandler kan likevel oppbevare personopplysninger så lenge og i den utstrekning det følger av ufravikelig norsk rett, og skal i så fall opplyse om hvilket rettslig grunnlag som benyttes. Opplysningene skal da bare behandles for det formålet lagringsplikten gjelder.

Overgang fra betalt plan til gratisplan er ikke opphør av avtaleforholdet, og medfører ikke sletting.

14. Ansvar

Ansvar mellom partene for skade som følge av behandling av personopplysninger reguleres av GDPR artikkel 82 og ellers av alminnelige erstatningsregler.

Databehandler er ansvarlig for skade som skyldes at Databehandler eller en underdatabehandler har unnlatt å oppfylle forpliktelser som særskilt påhviler databehandlere etter GDPR, eller har handlet i strid med eller utenfor lovlig instruks fra Behandlingsansvarlig.

Har en part betalt full erstatning til en registrert, kan parten kreve regress fra den andre parten for den delen av erstatningen som svarer til den andre partens del av ansvaret.

Eventuelle ansvarsbegrensninger i den generelle avtalen mellom partene gjelder tilsvarende for Avtalen, men kan ikke begrense ansvar overfor registrerte eller tilsynsmyndighet, og gjelder ikke ved forsett eller grov uaktsomhet.

15. Varighet, endringer og opphør

Avtalen gjelder så lenge Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig, og opphører når behandlingen opphører og sletting eller tilbakelevering er gjennomført.

Databehandler kan oppdatere Avtalen når det er nødvendig som følge av endringer i regelverk, praksis fra tilsynsmyndighet eller i Tjenesten. Endringer som er av betydning for Behandlingsansvarlig skal varsles minst 30 dager før de trer i kraft. Behandlingsansvarlig som ikke godtar endringen, kan si opp avtaleforholdet med virkning fra ikrafttredelsen.

Vesentlig mislighold av Avtalen gir den andre parten rett til å heve avtaleforholdet med umiddelbar virkning.

Bestemmelsene om taushetsplikt, ansvar og sletting gjelder også etter at Avtalen er opphørt.

16. Lovvalg og verneting

Avtalen er underlagt norsk rett. Tvister skal søkes løst i minnelighet. Fører ikke det fram, vedtas Sør-Rogaland tingrett som verneting.

Vernetingsbestemmelsen begrenser ikke en registrert sin rett etter GDPR artikkel 79 til å reise sak der vedkommende har sitt vanlige oppholdssted, og heller ikke retten til å klage til Datatilsynet etter artikkel 77.

Vedlegg A Behandlingens formål, art, varighet og kategorier

Formålet med behandlingen

Å levere Jobbkontroll til Behandlingsansvarlig: registrering og godkjenning av arbeidstid, styring av prosjekter og prosjektøkonomi, dokumentasjon av helse, miljø og sikkerhet, håndtering av fravær, utgifter, tilbud, mannskapslister, maskiner, planlegging og kunderelasjoner, meldinger mellom brukerne og varsler, samt grunnlag for fakturering og lønn.

Behandlingens art

Innsamling, registrering, lagring, strukturering, sammenstilling, visning, endring, uttrekk, overføring til systemer Behandlingsansvarlig selv kobler til, gjenkjenning av tale som brukeren dikterer, og sletting. Behandlingen er automatisert. Det treffes ingen avgjørelser med rettsvirkning for den registrerte utelukkende basert på automatisert behandling.

Varighet

Så lenge Behandlingsansvarlig benytter Tjenesten, med de slettefristene som følger av punktet om sletting og tilbakelevering.

Kategorier av registrerte

1. Ansatte hos Behandlingsansvarlig.

2. Innleide og ansatte hos underentreprenører som deltar i Behandlingsansvarlig sine prosjekter.

3. Kunder, oppdragsgivere og deres kontaktpersoner.

4. Gjester med tilgang til delt innhold, herunder byggherrer og kontrollmyndigheter.

5. Pårørende oppgitt som nødkontakt av den ansatte selv eller av arbeidsgiver.

6. Besøkende og andre eksterne som registrerer seg på arbeidsplassens mannskapsliste.

Typer personopplysninger

Særlige kategorier

Tjenesten behandler helseopplysninger i form av fraværstype og fraværsperiode. Tilgangen er begrenset til den registrerte selv og til brukere som er gitt tilgang til å behandle fravær, opplysningene inngår ikke i bruksstatistikk, og Tjenesten har ikke felt for diagnose eller andre helsedetaljer. Behandlingsansvarlig skal ikke legge inn andre særlige kategorier av personopplysninger i Tjenesten, og skal ikke legge slike opplysninger i fritekstfelt, herunder merknadsfeltet på fravær.

Vedlegg B Tekniske og organisatoriske sikkerhetstiltak

Tiltakene under er gjennomført på avtaletidspunktet, jf. GDPR artikkel 32. De kan endres og erstattes så lenge sikkerhetsnivået samlet sett ikke reduseres.

Pålogging og autentisering

1. Tofaktorautentisering er obligatorisk for alle kontoer med passord, og kan ikke slås av. Andre faktor er en autentiseringsapp, eller en sekssifret engangskode på e-post der app ikke er tatt i bruk. Pålogging med Google eller Apple er unntatt; der hviler sikkerheten på kontoen hos leverandøren. Kontoer Databehandler selv bruker til testing og til app-butikkenes gjennomgang, har en fast andre faktor og hører ikke til noen kunde.

2. Passord må være minst 12 tegn, kontrolleres mot kjente lekkasjedatabaser med k-anonymitet slik at passordet aldri forlater tjenesten, og avvises ved gjenkjennelige mønstre. Det stilles ikke krav om tvungen utskifting eller bestemte tegntyper.

3. Passord lagres saltet og hashet med en algoritme egnet for passordlagring. Engangskoder er gyldige i ti minutter.

4. Det sendes aldri en lenke som alene logger inn, fordi en lenke er en legitimasjon som havner i nettleserhistorikk, i Referer-felt og hos lenkeskannere. Der andre faktor bekreftes med en lenke på e-post, virker den bare når brukeren velger tallet som vises på skjermen.

5. Antall utsendte koder og antall forsøk er begrenset per adresse og per klient.

6. Den enkelte bruker ser sine aktive økter med enhet, IP-adresse og tidspunkt, og kan avslutte dem enkeltvis eller alle andre enn den pågående.

7. Selve øktinformasjonskapselen settes med httpOnly, Secure og SameSite. Informasjonskapslene nettleseren kan lese — hvilken innloggingsmetode som sist ble brukt, hvilket språk som er valgt, og samtykkevalget — bærer ingenting om hvem brukeren er.

8. Øktene lagres ikke i databasen, men i et hurtigminne med utløpstid. En økt varer i 30 dager og forlenges ved bruk, eller ett døgn når brukeren har valgt bort «husk meg». IP-adressen og nettleserkjennetegnet som hører til økten, forsvinner når den går ut.

Tilgangsstyring

1. Tilgang styres av kapabiliteter knyttet til rollen, ikke av hva skjermbildet viser. En bruker som ikke har en tilgang, får avslag i API-et uavhengig av grensesnittet.

2. Behandlingsansvarlig kan selv justere hva hver rolle får gjøre i sin egen virksomhet.

3. Kundeportalen viser aggregerte timer per prosjekt, aldri enkeltføringer eller navn på den som førte dem.

4. Gjestetilgang gir bare tilgang til konkret delt innhold, ikke til å bla i virksomheten.

5. Opplysninger om fravær, HMS-kort, kompetansebevis, nødkontakt og privatadresse er begrenset til den registrerte selv og til brukere med personaltilgang. HMS-kortnummer og fødselsdato vises i tillegg for brukere som fører mannskapslisten, i den utstrekning byggherreforskriften § 15 krever det.

Atskillelse mellom virksomheter

1. All datatilgang går gjennom ett lag som setter hvilken virksomhet forespørselen gjelder. Det finnes ingen vei utenom.

2. Databasen har i tillegg regler på radnivå knyttet til virksomheten transaksjonen gjelder. Svikter laget over, er svaret null rader, ikke en annen virksomhets rader.

3. Brukeren applikasjonen kobler seg til databasen med, eier ikke tabellene og er ikke superbruker, slik at reglene ikke kan omgås. Dette kontrolleres av automatiserte tester.

4. Atskillelsen er dekket av automatiserte tester som kjøres ved hver endring.

Integritet og sporbarhet

1. Revisjonsloggen skrives bare på tjenersiden, hvem som handlet hentes fra økten og aldri fra klienten, og rader kan legges til men ikke endres.

2. Godkjente og låste perioder kan ikke endres, flyttes eller slettes. Regelen håndheves i databasen.

3. Signaturer på HMS-dokumentasjon er uforanderlige i databasen.

4. All inndata valideres mot definerte skjemaer før den når forretningslogikken.

Overføring og nettverk

1. All trafikk til og fra Tjenesten går over TLS. HSTS er påslått for appen og nettstedet.

2. Appen og nettstedet sender Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy og Cross-Origin-Opener-Policy.

3. Utgående kall til adresser en kunde selv oppgir, er begrenset til HTTPS og sperret mot interne adresseområder og skytjenesters metadatapunkter, med kontroll av navneoppslag før utsending. Innhold signeres med HMAC.

4. Alle offentlige endepunkter er ratebegrenset.

Lagring og nøkler

1. Dokumenter, bilder, kvitteringer og sikkerhetskopier lagres i objektlagring med EU-jurisdiksjon, i adresser atskilt per virksomhet, og er ikke offentlig tilgjengelige.

2. Legitimasjon til systemer Behandlingsansvarlig kobler til, lagres kryptert, med tilgang bare fra tjenestelaget, og returneres aldri i API-svar.

3. Hemmeligheter ligger aldri i kodebasen. De lagres i driftsplattformen per tjeneste, slik at én kompromittert komponent bare når sine egne, og bare driftspersonell har tilgang til dem.

4. Hemmeligheter som må vises til en bruker, vises én gang ved opprettelse og lagres deretter hashet eller kryptert.

Tilgjengelighet og gjenoppretting

1. Endringer i databasen kopieres ut fortløpende, ikke bare én gang i døgnet, slik at tilstanden kan gjenopprettes til et vilkårlig tidspunkt. Forventet tap ved gjenoppretting er inntil ett minutt.

2. Ved bortfall av hele databasemaskinen gjenopprettes tjenesten på ny maskin. Forventet gjenopprettingstid er 15 til 30 minutter. Det er ikke automatisk omkobling.

3. Gjenoppretting fra sikkerhetskopien øves jevnlig i en egen, midlertidig instans, og tiden måles.

4. Sikkerhetskopiene overvåkes automatisk, og det varsles hvis en kopi er for gammel eller arkiveringen stopper.

5. Drift og feil overvåkes, med varsling ved avvik.

Personell og driftstilgang

1. Personell med tilgang er underlagt taushetsplikt, og tilgang gis bare der arbeidsoppgaven krever det.

2. Kundestøtte kan ved behov låne en økt hos Behandlingsansvarlig. Slik tilgang varer høyst én time, vises som et vedvarende banner til brukeren så lenge den varer, og registreres i Behandlingsansvarlig sin egen revisjonslogg når den starter.

3. Leseflaten for driftspersonell er skrivebeskyttet og begrenset til en fast, opplistet mengde tabeller.

4. Endringer driftspersonell gjør fra driftsflaten, krever en begrunnelse og registreres i Behandlingsansvarlig sin revisjonslogg.

Utvikling og endringshåndtering

1. Endringer går gjennom et automatisert testsett før produksjon. Endringer fra andre utviklere enn den ansvarlige krever i tillegg godkjenning før de slippes.

2. Etter hver utrulling logger en testbruker inn og fører en time, og feilene følges i fem minutter. Ved avvik rulles applikasjonen automatisk tilbake til forrige versjon, med mindre en endring i databasen gjør det umulig.

3. Avhengigheter er versjonslåst.

4. Feilrapporter og driftslogger inneholder ikke innholdet i forespørsler eller skjemafelt.

Kunstig intelligens

1. Assistenten Byggmesteren og talegjenkjenningen i Mester Diktat kjører hos OpenAI i USA, og leverandøren er kontraktsfestet på at innhold ikke brukes til å trene modeller.

2. Assistenten når bare det den innloggede brukeren selv har tilgang til, og virksomhetstilhørighet settes fra økten, aldri fra modellen.

3. Handlinger som endrer data krever bekreftelse fra brukeren.

4. Sporet av hvilke oppslag assistenten gjorde, slettes 90 dager etter siste aktivitet i samtalen.

5. Assistenten identifiserer seg alltid som kunstig intelligens, og innhold den har generert merkes.

6. Lyd fra Mester Diktat lagres ikke i Tjenesten.

Vedlegg C Underdatabehandlere

Følgende underdatabehandlere er godkjent på avtaletidspunktet. Endringer varsles i samsvar med punktet om underdatabehandlere.

For underdatabehandlere utenfor EØS skjer overføringen på grunnlag av EU-kommisjonens standard personvernbestemmelser, og der leverandøren er sertifisert, EU–US Data Privacy Framework. Overføringsgrunnlaget for den enkelte leverandøren opplyses på forespørsel.

Adresseoppslag ved utfylling av adressefelt utføres av Google direkte fra brukerens nettleser, ikke fra Jobbkontroll sine tjenere. Det som formidles er den delvise adressen brukeren skriver og nettleserens egen IP-adresse. Ingen bruker- eller virksomhetsidentifikator sendes, og ingenting lagres hos Google på Jobbkontroll sine vegne. Funksjonen er slått av dersom det ikke er konfigurert nøkkel for den.