Databehandleravtale

1. Parter og bakgrunn

Denne avtalen gjelder mellom utleieren som bruker Hustr (behandlingsansvarlig) og Anders Parr Consulting (ENK), org.nr. 937 262 477 (databehandler). Den er en del av vilkårene for bruk og inngås når utleier oppretter konto. Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28.

2. Hva behandlingen gjelder

• Formål: Svare på leietakeres spørsmål ut fra utleiers dokumenter, og samle saker som krever oppfølging i utleiers dashbord.
• Registrerte: Leietakere og andre som bruker eiendomskoden, og personer som er nevnt i utleiers dokumenter.
• Opplysninger: Navn leietaker oppgir, meldinger, bilder leietaker sender, korte AI-notater om tidligere henvendelser, saksmerking (kategori, hastegrad, status) og innholdet i utleiers dokumenter.
• Varighet: Så lenge utleier har konto hos Hustr.

3. Databehandlerens plikter

• Behandle opplysningene kun etter utleiers dokumenterte instrukser, som er denne avtalen og slik utleier konfigurerer tjenesten. Databehandler sier fra dersom en instruks etter vår vurdering er i strid med personvernregelverket.
• Sørge for at alle som har tilgang til opplysningene, har taushetsplikt.
• Gjennomføre tekniske og organisatoriske sikkerhetstiltak etter artikkel 32, se punkt 4.
• Bistå utleier med å oppfylle de registrertes rettigheter (innsyn, retting, sletting m.m.). Utleier kan selv slette all data om en leietaker fra dashbordet.
• Bistå utleier med sikkerhet, avviksmelding og eventuelle personvernkonsekvensvurderinger etter artikkel 32–36.
• Varsle utleier uten ugrunnet opphold, og senest innen 48 timer etter at et brudd på personopplysningssikkerheten er oppdaget, slik at utleier kan melde til Datatilsynet innen 72 timer.
• Gjøre tilgjengelig den informasjonen som trengs for å vise at avtalen følges, og legge til rette for revisjon etter rimelig varsel.

4. Sikkerhetstiltak

• Data lagres i EU (Frankfurt). All trafikk er kryptert (HTTPS med HSTS).
• Tilgangskontroll på radnivå i databasen: en utleier kan bare lese data for egne eiendommer. Leietakere har ikke direkte databasetilgang. Alt går via serverfunksjoner som kontrollerer tilgang.
• Leietakere knyttes til én enhet med en tilfeldig nøkkel, slik at andre ikke kan lese samtalen ved å skrive inn samme navn.
• Eiendomskoder kan ikke listes ut. De kan bare slås opp enkeltvis.
• Begrensning av antall forespørsler per IP-adresse og per eiendom mot misbruk.
• AI-notater skal ikke inneholde helse- eller økonomiopplysninger. Forsøk på å smugle inn interne styringskoder i meldinger fjernes før AI-en leser dem.
• AI-leverandøren bruker ikke innholdet til å trene modeller.

5. Underdatabehandlere

Utleier gir generell forhåndsgodkjenning til bruk av underdatabehandlerne under. Databehandler varsler om planlagte endringer minst 30 dager i forveien på e-post, og utleier kan protestere ved å si opp avtalen før endringen trer i kraft. Hver underdatabehandler er bundet av en databehandleravtale med tilsvarende plikter.

6. Utleiers ansvar

• Ha behandlingsgrunnlag for å bruke Hustr overfor leietakerne, og informere dem om det. Leietakere får en kort personverninformasjon før de starter chatten.
• Ikke laste opp dokumenter med unødvendige personopplysninger om leietakere (f.eks. personnummer, helseopplysninger eller betalingshistorikk).
• Slette leietakerdata når de ikke lenger trengs, for eksempel når leieforholdet avsluttes.

7. Når avtalen opphører

Når utleier sletter kontoen eller avtalen opphører, slettes alle personopplysninger behandlet på vegne av utleier innen 30 dager, med mindre lov krever at de lagres. Utleier kan be om en kopi av dataene før sletting.

8. Lovvalg

Avtalen følger norsk rett. Ansvar reguleres av vilkårene for bruk. Ved motstrid går denne avtalen foran vilkårene når det gjelder behandling av personopplysninger.