Databehandleravtale

Denne databehandleravtalen («Avtalen») inngås mellom kunden som har en konto hos Threll («Behandlingsansvarlig» eller «Kunden») og Threll.ai AS, org.nr. 935 054 702, Vulkan 16, 0178 Oslo («Databehandler» eller «Threll»). Avtalen skal oppfylle kravene i personvernforordningen (GDPR) artikkel 28 og er en del av tjenestevilkårene.

01Parter og bakgrunn

Kunden bruker Threll-plattformen til KI-drevne telefonsamtaler, transkripsjon, oppsummering og arbeidsflyt («Tjenesten»). Når Kunden bruker Tjenesten, behandler Threll personopplysninger på vegne av Kunden. Kunden er behandlingsansvarlig for disse opplysningene og Threll er databehandler.

Avtalen gjelder fra Kunden tar Tjenesten i bruk, og så lenge Threll behandler personopplysninger på vegne av Kunden. Ved motstrid mellom Avtalen og tjenestevilkårene går Avtalen foran for behandlingen av personopplysninger.

02Definisjoner

Begrepene «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler», «den registrerte» og «brudd på personopplysningssikkerheten» har samme betydning som i GDPR artikkel 4. «Personvernregelverket» betyr GDPR, personopplysningsloven og annen gjeldende personvernlovgivning i Norge og EØS. «Tilsynsmyndigheten» betyr den personvernmyndigheten som fører tilsyn med Kunden, for eksempel Datatilsynet i Norge, Integritetsskyddsmyndigheten (IMY) i Sverige eller Datatilsynet i Danmark.

03Formål, art og omfang

Threll behandler personopplysninger bare for å levere Tjenesten til Kunden, slik den er beskrevet i tjenestevilkårene og konfigurert av Kunden. Hvilke kategorier av registrerte og personopplysninger som behandles, står i vedlegg A.

Kundens konfigurasjon av Tjenesten utgjør Kundens dokumenterte instrukser. Det gjelder blant annet hvilke samtaler som gjennomføres, hvilke skript og dokumenter som brukes, hvilke integrasjoner som kobles til og hvor lenge opptak, transkripsjoner og opplysninger om samtaleparten lagres.

04Behandlingsansvarliges plikter

Kunden er ansvarlig for at behandlingen har et gyldig rettslig grunnlag, og for at de registrerte får den informasjonen personvernregelverket krever. Det omfatter, der det er aktuelt, å informere samtalepartene om at samtalen tas opp, transkriberes og analyseres. Kundens plikter om åpenhet om KI og om telefonsalg står i tjenestevilkårene.

Kunden skal ikke instruere Threll til å behandle personopplysninger i strid med personvernregelverket. Kunden skal heller ikke bruke Tjenesten til å behandle særlige kategorier av personopplysninger (GDPR artikkel 9) med mindre Kunden har et gyldig grunnlag for det og har vurdert risikoen, blant annet ved å gjennomføre en vurdering av personvernkonsekvenser (DPIA) der det kreves.

05Databehandlers plikter

Threll skal:

• behandle personopplysninger bare etter Kundens dokumenterte instrukser, også når det gjelder overføring til land utenfor EØS, med mindre behandlingen kreves etter EØS-retten eller norsk rett som Threll er underlagt. Threll skal i så fall informere Kunden om dette rettslige kravet før behandlingen, med mindre denne retten forbyr det;
• umiddelbart varsle Kunden dersom Threll mener at en instruks er i strid med personvernregelverket;
• sørge for at personer som har tilgang til personopplysningene, har taushetsplikt;
• bistå Kunden med å oppfylle de registrertes rettigheter etter GDPR kapittel III, blant annet innsyn, retting og sletting. Henvendelser som kommer direkte til Threll, sendes videre til Kunden uten ugrunnet opphold;
• bistå Kunden med å oppfylle pliktene i GDPR artikkel 32–36, blant annet sikkerhet, avviksmelding, vurdering av personvernkonsekvenser (DPIA) og forhåndsdrøftelser med Tilsynsmyndigheten;
• ikke bruke Kundens personopplysninger til egne formål, herunder til å trene eller forbedre KI-modeller, uten Kundens skriftlige forhåndssamtykke. Innsamling av lyd fra samtaler til slike formål er slått av for alle kontoer, med mindre Kunden har gitt slikt samtykke.

06Informasjonssikkerhet

Threll skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som passer til risikoen, jf. GDPR artikkel 32. Tiltakene står i vedlegg C. Threll kan endre tiltakene, så lenge sikkerhetsnivået ikke blir lavere.

07Brudd på personopplysningssikkerheten

Threll skal varsle Kunden uten ugrunnet opphold, og senest innen 48 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten som gjelder Kundens personopplysninger.

Varselet skal så langt det er mulig beskrive hva som har skjedd, hvilke kategorier og omtrent hvor mange registrerte og opplysninger som er berørt, sannsynlige konsekvenser og hvilke tiltak som er eller vil bli satt i verk. Er ikke all informasjon tilgjengelig samtidig, skal Threll gi den trinnvis etter hvert som den foreligger. Kunden er ansvarlig for eventuell melding til Tilsynsmyndigheten og de registrerte.

08Underdatabehandlere

Kunden gir generell forhåndsgodkjenning til at Threll bruker underdatabehandlerne i vedlegg B. Threll skal inngå skriftlige avtaler med underdatabehandlere som pålegger dem de samme personvernforpliktelsene som denne Avtalen, og er ansvarlig overfor Kunden for at underdatabehandlerne oppfyller sine forpliktelser.

Threll skal varsle Kunden per e-post minst 30 dager før en ny underdatabehandler tas i bruk eller en eksisterende byttes ut. Kunden kan protestere skriftlig av saklige personvernhensyn innen fristen. Kommer partene ikke til enighet, kan Kunden si opp Tjenesten med virkning fra den dagen endringen trer i kraft. Threll skal da refundere forhåndsbetalt vederlag for tiden etter opphøret.

09Overføring til land utenfor EØS

Kundens personopplysninger lagres i EØS. Enkelte underdatabehandlere er etablert i land utenfor EØS, eller tilhører et konsern med morselskap der, og kan behandle eller få tilgang til personopplysninger derfra. Slik overføring skjer bare når det finnes et gyldig overføringsgrunnlag etter GDPR kapittel V. Det vil si en beslutning om tilstrekkelig beskyttelsesnivå, som beslutningen om EU–US Data Privacy Framework (DPF), eller EU-kommisjonens standard personvernbestemmelser (SCC) sammen med eventuelle nødvendige tilleggstiltak. Vedlegg B angir hvor hver underdatabehandler holder til, og hvilket overføringsgrunnlag som brukes.

Mottar Threll et rettslig bindende pålegg fra en offentlig myndighet om tilgang til Kundens personopplysninger, skal Threll varsle Kunden med mindre lov forbyr det. Threll skal ikke utlevere mer enn det som kreves, og skal bestride pålegg som Threll mener er ulovlige.

10Revisjon og innsyn

Threll skal på forespørsel gi Kunden den informasjonen som trengs for å vise at Avtalen og GDPR artikkel 28 overholdes. Kunden kan gjennomføre revisjon, herunder inspeksjon, selv eller ved en uavhengig revisor med taushetsplikt, inntil én gang i året. Revisjonen skal varsles minst 30 dager i forveien, med mindre det har skjedd et brudd på personopplysningssikkerheten eller det er konkret grunn til å mistenke at Threll ikke overholder sine forpliktelser. Kunden dekker egne kostnader ved revisjonen.

11Sletting og tilbakelevering

Mens kundeforholdet varer, kan Kunden selv slette opptaket og transkripsjonen av enkeltsamtaler, slette en threll med alle tilhørende samtaler, og sette lagringstid for opptak, transkripsjoner og opplysninger om samtaleparten innenfor rammene av sin plan. Er det ikke satt noen lagringstid, lagres opplysningene til Kunden sletter dem eller kundeforholdet opphører.

Når kundeforholdet opphører, skal Threll etter Kundens valg slette eller tilbakelevere Kundens personopplysninger. Kunden kan laste ned opptak og transkripsjoner i Tjenesten før kontoen avsluttes. Er det Threll som avslutter kundeforholdet, kan Kunden be om eksport innen 14 dager. Threll sletter eller anonymiserer opplysningene senest 14 dager etter at kundeforholdet er avsluttet eller, hvis Kunden har bedt om eksport, etter at eksporten er levert, med mindre EØS-retten eller norsk rett krever at de oppbevares. Krypterte sikkerhetskopier overskrives innen 30 dager.

12Ansvar

Avtalen begrenser ikke noen av partenes ansvar overfor de registrerte etter GDPR artikkel 82. Mellom partene gjelder ansvarsbegrensningene i tjenestevilkårene, også for krav etter denne Avtalen.

13Varighet og endringer

Avtalen gjelder så lenge Threll behandler personopplysninger på vegne av Kunden. Threll kan oppdatere Avtalen for å følge endringer i regelverk eller i Tjenesten. Vesentlige endringer varsles Kunden per e-post minst 30 dager i forveien. Godtar ikke Kunden en vesentlig endring, kan Kunden si opp Tjenesten før endringen trer i kraft. Threll skal da refundere forhåndsbetalt vederlag for tiden etter opphøret. Gjeldende versjon er alltid tilgjengelig i Threll-kontoen og på threll.ai.

14Lovvalg og verneting

Avtalen reguleres av norsk rett. Tvister avgjøres av Oslo tingrett som eksklusivt verneting.

15Vedlegg A – Beskrivelse av behandlingen

• Formål: Gjennomføre innkommende og utgående telefonsamtaler med KI-assistenter, transkribere, oppsummere og analysere samtaler, og utføre oppgaver i Kundens tilkoblede systemer.
• Kategorier av registrerte: Personer som ringer til eller blir oppringt av Kunden via Tjenesten, Kundens kontakter og kunder, og Kundens ansatte og brukere.
• Kategorier av personopplysninger: Navn, telefonnummer, e-postadresse og andre kontaktopplysninger; lydopptak, transkripsjoner, sammendrag og analyser av samtaler; opplysninger som oppgis i samtalen; dokumenter og kunnskapsbaser Kunden laster opp; og data fra integrasjoner som CRM og kalender.
• Særlige kategorier: Behandles bare dersom Kunden konfigurerer Tjenesten til det, eller de registrerte selv oppgir slike opplysninger i samtalen.
• Varighet: Så lenge kundeforholdet varer, innenfor de lagringstidene Kunden setter, og deretter som beskrevet under «Sletting og tilbakelevering».

16Vedlegg B – Underdatabehandlere

• Amazon Web Services (Sverige): Skyinfrastruktur, lagring, datakraft, svitsjing av telefonsamtaler og e-post (Amazon SES), i Stockholm. Morselskapet er i USA; SCC og EU–US DPF.
• Supabase (Sverige): Database og autentisering, lagret i Stockholm. Avtaleparten er i Singapore; SCC.
• Google Cloud – Gemini Enterprise Agent Platform (EU): KI-modeller, talegjenkjenning og talesyntese, behandlet i Googles EU-regioner. Morselskapet er i USA; SCC og EU–US DPF.
• Munin (Nederland): Kundestøtte på chat og e-post, behandlet i EU. Omfatter det kunden deler i henvendelser til kundestøtte.
• RunPod (EU): Talegjenkjenning (Whisper) på servere i EU. RunPod er et amerikansk selskap; SCC.
• Telenor SIP-trunk (Norge): Telefoni.
• Twilio (Irland/USA): Videreformidling av lyden i samtaler i nettleseren når en direkte forbindelse ikke er mulig (TURN). Lyden er ende-til-ende-kryptert, så Twilio ser bare IP-adresser og tilkoblingsdata. SCC og EU–US DPF. Kunder som kobler til sin egen Twilio-konto, har egen avtale med Twilio for de samtalene.
• Telenor AI Factory (Norge): Beregningskapasitet for KI.
• Vercel (Sverige/USA): Drift av webapplikasjonen. Webforespørsler håndteres i Stockholm; kontodata og logger behandles i USA. SCC og EU–US DPF.
• Vipps MobilePay (Norge): Identitetsbekreftelse under samtaler, for kunder som slår det på.

17Vedlegg C – Sikkerhetstiltak

• Personopplysninger lagres i datasentre i Stockholm, Sverige;
• kryptering av data i ro, både database og fillagring;
• kryptering av data under overføring med TLS 1.2 eller nyere;
• atskillelse av kundenes data, håndhevet i databasen med sikkerhet på radnivå (row-level security);
• rollebasert tilgangskontroll, der Kunden styrer hvilke brukere som har tilgang til hva, og flerfaktorautentisering som brukerne kan ta i bruk;
• tilgang til produksjonsmiljøet begrenset til autorisert personell etter tjenstlig behov;
• automatisk sletting av opptak, transkripsjoner og opplysninger om samtaleparten etter Kundens innstillinger for lagringstid;
• logging, overvåking og varsling for systemer og tilgang;
• krypterte daglige sikkerhetskopier som lagres i Stockholm i inntil 30 dager;
• regelmessige sikkerhetsgjennomganger.

18Kontakt

Spørsmål om Avtalen eller behandlingen av personopplysninger kan rettes til: