Databehandleravtale

Kundeorganisasjonen som driver et newsroom-workspace, er behandlingsansvarlig. Entro314 Labs PC er databehandler. Denne avtalen trer i kraft når kunden aksepterer Vilkårene, og varer så lenge workspacet eksisterer. Ingen separat signatur er nødvendig for at den skal være bindende; en kontrasignert papirkopi utstedes på forespørsel.

ErmisAI behandler personopplysninger for å drive newsroom-workspacet kunden abonnerer på: overvåke konfigurerte kilder, klynge dekning, skrive utkast til saker, sende dem gjennom redaksjonell gjennomgang og levere godkjent innhold til publiseringsflatene kunden kobler til. Behandlingen varer i abonnementsperioden pluss overgangs- og slettevinduene som beskrives på siden om dataportabilitet og exit.

De registrerte er kundens redaktører, administratorer og inviterte medlemmer, samt enhver person som er nevnt i kildematerialet et newsroom overvåker eller i utkastene redaktørene skriver. Kategoriene er:

• identitets- og kontodata – navn, e-postadresse, rolle, workspace-medlemskap,
• bruksdata – handlinger i workspacet, saks- og utkastshistorikk, revisjonslogger,
• innholdsdata – kildeartikler, clustere, utkast og godkjente saker, inkludert personopplysninger de nevner,
• tekniske data – IP-adresse, enhets- og nettlesermetadata fanget opp i sikkerhets- og feillogger.

ErmisAI behandler personopplysninger kun etter dokumenterte instrukser fra kunden. Vilkårene, denne avtalen, produktinnstillingene kunden konfigurerer, og handlingene redaktørene utfører i workspacet utgjør disse instruksene. Dersom ErmisAI er pålagt av unionsretten eller medlemsstatenes nasjonale rett å behandle utover dem, informeres kunden før det skjer, med mindre loven forbyr varselet. ErmisAI varsler kunden hvis en instruks fremstår som et brudd på personvernlovgivningen.

Alle som er autorisert til å behandle kundens personopplysninger er underlagt taushetsplikt og har kun tilgang til det arbeidet krever. Tilgang til produksjonsdata er begrenset til operatøren av tjenesten og logges.

ErmisAI opprettholder tekniske og organisatoriske tiltak tilpasset risikoen, inkludert kryptering under overføring, kryptert lagring hos hostingleverandørene, rollebasert tilgangskontroll, tenant-isolasjon i alle lese- og skriveveier, signaturverifisering på innkommende webhooks og rate limiting. Sikkerhetssiden beskriver tiltakene og sier rett ut hva som ikke hevdes.

Kunden gir generell godkjenning til underdatabehandlerne som er oppført på siden over underdatabehandlere, der hver leverandør, dens rolle og dens behandlingsregion er navngitt. ErmisAI pålegger hver av dem tilsvarende personvernforpliktelser og er fullt ut ansvarlig for deres utførelse. Nye eller erstattede underdatabehandlere kunngjøres på den siden før de begynner å behandle, og kunden kan protestere på rimelig personverngrunnlag; en uløst innsigelse gir kunden rett til å avslutte den berørte tjenesten uten kostnad.

Med hensyn til behandlingens art bistår ErmisAI kunden med:

• å besvare forespørsler fra de registrerte, herunder innsyn, retting, sletting og dataportabilitet – de fleste av dem kan kunden håndtere selv fra workspacet,
• sikkerhet ved behandlingen, varsling om brudd og vurderinger av personvernkonsekvenser,
• forhåndsdrøfting med en tilsynsmyndighet der dette kreves.

ErmisAI varsler kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører kundens data, med den informasjonen kunden trenger for sin egen varsling etter artikkel 33, og følger opp etter hvert som undersøkelsen utvikler seg.

ErmisAI gjør tilgjengelig den informasjonen som er nødvendig for å påvise etterlevelse av artikkel 28, og muliggjør revisjoner, herunder inspeksjoner, utført av kunden eller en revisor kunden gir fullmakt. Revisjoner avtales med rimelig varsel, høyst én gang i året med mindre en hendelse eller en tilsynsmyndighet krever noe annet, og må ikke svekke sikkerheten for andre kunder.

Behandlingen holdes innenfor EU eller EØS der leverandøren tilbyr det. Der en underdatabehandler overfører data ut av EØS, bygger overføringen på en beslutning om tilstrekkelig beskyttelsesnivå eller på EU-kommisjonens standardkontraktsklausuler med supplerende tiltak. Siden over underdatabehandlere oppgir hvilken region hver leverandør opererer i.

Ved opphør velger kunden om personopplysninger skal tilbakeleveres eller slettes. Data forblir lesbare i overgangsperioden som er beskrevet på siden om dataportabilitet og exit, slik at eksporter kan fullføres, og slettes deretter, unntatt der EU-retten eller medlemsstatenes nasjonale rett krever lagring – faktureringsdata er det vanlige tilfellet.

Der denne avtalen er i strid med Vilkårene om behandling av personopplysninger, går denne avtalen foran. En fremforhandlet avtale signert med en kunde går foran begge. Vesentlige endringer publiseres på denne siden med ny ikrafttredelsesdato og varsles til kunder med et aktivt abonnement.