Databehandleravtale for Toolcape

Versjon 1.0, gjelder fra 4. november 2026

Denne databehandleravtalen er en del av Avtalen mellom Kunden, som er behandlingsansvarlig, og Dyst, som er databehandler, etter kundevilkårene for Toolcape. Den inngås når Kunden godtar Avtalen. Ord med stor forbokstav har samme betydning som i kundevilkårene. Begreper fra personvernforordningen (GDPR) har samme betydning som der.

1. Formål og forholdet til kundevilkårene

1.1 Denne avtalen regulerer Dysts behandling av personopplysninger på vegne av Kunden når Dyst leverer Tjenesten, og skal oppfylle kravene i GDPR artikkel 28.

1.2 Ved motstrid går denne avtalen foran kundevilkårene for plikter ved behandling av personopplysninger. Ansvar, også ansvar for underdatabehandlere og regresskrav, reguleres uttømmende av kundevilkårene punkt 12 og 13, også om noe annet skulle følge av denne avtalen.

1.3 Opplysninger om Kundens konto, Brukernes kontoer og innlogging, fakturering, aksept av vilkår og sikkerhetslogger behandler Dyst som selvstendig behandlingsansvarlig, slik personvernerklæringen beskriver. Denne avtalen gjelder ikke for slike opplysninger.

2. Behandlingen

Gjenstand, art, formål, varighet, typer personopplysninger og kategorier av registrerte står i bilag 1.

3. Instrukser

3.1 Avtalen, denne databehandleravtalen, Kundens innstillinger i Tjenesten og Brukernes handlinger i Tjenesten er Kundens fullstendige, dokumenterte instrukser, også om overføring til land utenfor EØS.

3.2 Dyst behandler personopplysningene bare etter disse instruksene, med mindre EØS-retten eller norsk rett krever noe annet. Dyst skal i så fall varsle Kunden før behandlingen, med mindre loven forbyr det.

3.3 Andre instrukser må gis skriftlig og ligge innenfor Tjenestens funksjoner. Dyst kan kreve betaling etter gjeldende timepriser for å følge dem, eller avslå dem. Avslår Dyst en instruks, kan Kunden si opp Avtalen.

3.4 Dyst skal straks varsle Kunden dersom Dyst mener at en instruks er i strid med personvernregelverket, og kan vente med å følge den til Kunden har bekreftet, endret eller trukket den tilbake.

4. Taushetsplikt

Dyst skal sørge for at alle som har tilgang til personopplysningene, er underlagt taushetsplikt, også etter at de har sluttet å arbeide for Dyst.

5. Sikkerhet

5.1 Dyst skal gjennomføre tekniske og organisatoriske tiltak som gir et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. GDPR artikkel 32. Tiltakene står i bilag 2.

5.2 Dyst kan endre tiltakene så lenge det samlede sikkerhetsnivået ikke svekkes. Kunden godkjenner slike endringer på forhånd.

6. Kundens plikter

Kunden er ansvarlig for at behandlingen Kunden instruerer om, er lovlig. Det omfatter blant annet behandlingsgrunnlag, også for særlige kategorier av personopplysninger og opplysninger om straffbare forhold (GDPR artikkel 9 og 10), informasjon til de registrerte, vurdering av personvernkonsekvenser der det kreves, og at opplysningene er riktige. Kunden skal bare legge inn særlige kategorier av personopplysninger når det er nødvendig og lovlig.

7. Underdatabehandlere

7.1 Kunden gir generell forhåndsgodkjenning til at Dyst bruker underdatabehandlere. Listen over underdatabehandlere, med tjeneste, behandlingssted og overføringsgrunnlag, ligger på toolcape.com/no/subprocessors og er bilag 3.

7.2 Dyst skal i en skriftlig avtale pålegge hver underdatabehandler i det vesentlige de samme pliktene som følger av denne avtalen.

7.3 Dyst skal varsle Kundens Administratorer på e-post minst 30 dager før Dyst tar i bruk en ny underdatabehandler eller erstatter en eksisterende.

7.4 Kunden kan skriftlig motsette seg endringen innen 14 dager etter varselet, på saklig grunnlag knyttet til personvern. Finner partene ingen løsning innen 30 dager, kan Kunden si opp den berørte Tjenesten med virkning før endringen tas i bruk for Kundens personopplysninger. Dette er Kundens eneste beføyelse når Kunden motsetter seg en endring.

7.5 Må Dyst bytte underdatabehandler straks av hensyn til sikkerhet eller drift, kan Dyst gjøre det og varsle så snart som mulig. Kunden kan da motsette seg endringen på samme måte.

7.6 Dyst er ansvarlig overfor Kunden for at underdatabehandlerne oppfyller sine plikter, innenfor kundevilkårene punkt 12.

8. Overføring til land utenfor EØS

8.1 Dyst overfører personopplysninger til land utenfor EØS bare til underdatabehandlere på listen og bare med gyldig overføringsgrunnlag etter GDPR kapittel V, for eksempel en beslutning om tilstrekkelig beskyttelsesnivå, EU-U.S. Data Privacy Framework eller EU-kommisjonens standard personvernbestemmelser.

8.2 Overføring til Tilkoblede tjenester skjer etter Kundens instruks og på Kundens ansvar, se punkt 9.

9. Tilkoblede tjenester og Partnere

9.1 Tilkoblede tjenester og Partnere som Kunden gir tilgang, handler for Kunden etter Kundens egne avtaler. De er ikke Dysts underdatabehandlere, og Dyst er ikke ansvarlig for dem.

9.2 Ved å koble til en tjeneste eller gi en Partner tilgang instruerer Kunden Dyst om å gjøre personopplysninger tilgjengelige for dem i det omfanget Kundens innstillinger tillater. Når opplysningene er levert, er Kunden ansvarlig for dem, også for overføring ut av EØS.

10. Bistand

10.1 Henvendelser fra registrerte som Dyst mottar, videresender Dyst til Kunden uten ugrunnet opphold. Dyst svarer ikke den registrerte selv med mindre Kunden ber om det.

10.2 Dyst bistår Kunden med å ivareta de registrertes rettigheter og med pliktene etter GDPR artikkel 32 til 36, herunder vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet, så langt det er rimelig ut fra Tjenestens art og informasjonen Dyst har. Bistand ut over funksjonene i Tjenesten og den alminnelige dokumentasjonen faktureres etter gjeldende timepriser.

11. Brudd på personopplysningssikkerheten

11.1 Dyst skal varsle Kunden uten ugrunnet opphold, og så langt det er mulig innen 48 timer, etter at Dyst har blitt kjent med et brudd på personopplysningssikkerheten som gjelder Kundens personopplysninger.

11.2 Varselet skal inneholde den informasjonen Dyst har på tidspunktet, så langt det er mulig, om bruddets art, kategorier og omtrentlig antall registrerte og registreringer, sannsynlige konsekvenser og tiltak som er gjort eller foreslås. Dyst supplerer varselet etter hvert som mer blir kjent.

11.3 Det er Kunden som vurderer og eventuelt sender melding til Datatilsynet og varsel til de registrerte. Et varsel fra Dyst er ikke en erkjennelse av ansvar.

12. Dokumentasjon og revisjon

12.1 Dyst gjør tilgjengelig den informasjonen som er nødvendig for å påvise at pliktene i denne avtalen er oppfylt, herunder bilag 2, relevante retningslinjer og svar på ett rimelig spørreskjema per år.

12.2 Er informasjonen ikke tilstrekkelig, eller krever Datatilsynet det, kan Kunden gjennomføre revisjon én gang per år med minst 30 dagers skriftlig varsel, selv eller ved en uavhengig revisor med taushetsplikt som ikke er Dysts konkurrent. Revisjonen gjennomføres digitalt, med mindre inspeksjon på stedet er nødvendig etter et brudd, etter krav fra Datatilsynet eller fordi dokumentasjonen ikke er tilstrekkelig. Revisjonen skal ikke gi tilgang til andre kunders data.

12.3 Hver part bærer egne kostnader for én revisjonsdag per år. For tid ut over dette kan Dyst kreve betaling etter gjeldende timepriser. Avdekker revisjonen vesentlige brudd fra Dysts side, bærer Dyst egne kostnader.

13. Feilsøking

Kundens instrukser omfatter at Dyst kan bruke kopier av Kundens personopplysninger for å finne og rette feil i Kundens bruk av Tjenesten, i miljøer med tilgangskontroll som ikke er offentlig tilgjengelige. Kopiene slettes når feilsøkingen er ferdig.

14. Sletting og tilbakelevering

14.1 Kunden kan eksportere personopplysningene i avtaleperioden og i 60 dager etter opphør, jf. kundevilkårene punkt 7.5.

14.2 Deretter sletter Dyst Kundens personopplysninger fra Tjenesten innen 30 dager. Opplysninger i sikkerhetskopier gjøres utilgjengelige og slettes ved ordinær rotasjon, senest 90 dager etter at de er slettet fra Tjenesten. Det samme gjelder opplysninger Kunden sletter i avtaleperioden.

14.3 Kunden er selv ansvarlig for å oppbevare opplysninger Kunden har plikt til å oppbevare etter lov.

15. Ansvar

15.1 Partenes ansvar etter denne avtalen, herunder ansvar for underdatabehandlere, for tap av data og for regresskrav etter GDPR artikkel 82 nr. 5, reguleres uttømmende av kundevilkårene punkt 12 og 13.

15.2 Denne avtalen begrenser ikke de registrertes rettigheter eller myndighetenes kompetanse. Hver part bærer selv overtredelsesgebyr og andre sanksjoner som ilegges parten.

16. Endringer

16.1 Dyst kan endre denne avtalen med minst 30 dagers varsel på e-post til Kundens Administratorer.

16.2 En endring som svekker beskyttelsen av personopplysningene, gjelder først når en Administrator har godtatt den. Til da gjelder den gjeldende versjonen, og hver av partene kan si opp den berørte Tjenesten med virkning fra utløpet av varselfristen.

16.3 Endringer som kreves av lov eller myndigheter, kan tre i kraft med kortere varsel. Endringer i listen over underdatabehandlere følger punkt 7.

17. Varighet

Avtalen gjelder så lenge Dyst behandler personopplysninger for Kunden. Punkt 4, 14 og 15 gjelder også etter opphør.

18. Lovvalg og verneting

Kundevilkårene punkt 18 gjelder tilsvarende.

Bilag

1. Beskrivelse av behandlingen i Toolcape
2. Sikkerhetstiltak
3. Underdatabehandlere

Bilag 1: Beskrivelse av behandlingen i Toolcape

Formål. Levere Toolcape til Kunden: lagre tilgangsnøkler til Kundens Kilder, utføre operasjoner i Kildene for Kundens Brukere og KI-klienter innenfor tilgangene Kunden har gitt, logge operasjonene, lagre filer, notater og instruksjoner Kunden legger inn, gi brukerstøtte, og drifte, sikre og feilsøke Tjenesten.

Behandlingens art. Henting, lagring, endring og sletting av opplysninger i Kildene etter instruks. Overføring til KI-klienter og andre Tilkoblede tjenester etter Kundens instruks. Logging av operasjoner. Lagring av filer, notater og instruksjoner. Sletting.

Kategorier av registrerte. Kundens Brukere, og personer som finnes i Kundens Kilder, for eksempel ansatte, kunder, leverandører og kontaktpersoner.

Typer personopplysninger.

• Tilgangsnøkler til Kildene, lagret kryptert.
• Innholdet i operasjonene: kode, argumenter og resultater. Det kan omfatte e-post, dokumenter, regnskaps- og bankopplysninger og alle typer personopplysninger som finnes i Kildene.
• Logger over operasjoner.
• Filer, notater og instruksjoner.

Særlige kategorier. Kan forekomme når Kildene inneholder slike opplysninger. Kunden bestemmer hvilke Kilder og operasjoner som brukes.

Varighet og lagring. Behandlingen varer i avtaleperioden og frem til sletting etter punkt 14. Logger over operasjoner, med kode, argumenter og resultater, lagres i avtaleperioden. Filer som lastes opp til midlertidig lagring, slettes automatisk når fristen deres går ut.

Tilkoblede tjenester. KI-klienter og Kilder er Kundens egne leverandører og er ikke Dysts underdatabehandlere, se punkt 9.

Bilag 2: Sikkerhetstiltak

Dyst gjennomfører tiltakene nedenfor for Toolcape.

• Tilgang til personopplysninger gis personlig og etter tjenstlig behov, og fjernes når den ikke lenger trengs.
• Hver kundes data er skilt fra andre kunders data i databasen.
• Alle kall gjennom Toolcape logges.
• Passord, nøkler og andre hemmeligheter lagres i et passordhvelv og aldri i kildekode.
• Tilgangsnøkler til Kilder lagres kryptert.
• All trafikk krypteres med TLS.
• Serverne står i EØS og tar ikke imot trafikk direkte fra internett.
• Serverne holdes oppdatert med sikkerhetsoppdateringer.
• Databasen sikkerhetskopieres hver natt, og sikkerhetskopiene lagres kryptert på to separate steder i EØS.

Bilag 3: Underdatabehandlere

Se toolcape.com/no/subprocessors.