Versjon 1.0 · Gjelder fra 21.10.2026
1. Parter og formål
1.1 Denne databehandleravtalen («Databehandleravtalen») er inngått mellom Kunden som behandlingsansvarlig og iQub AS, org.nr. 937 244 355, som databehandler, og utgjør en del av Avtalen mellom partene.
1.2 Databehandleravtalen skal sikre at iQubs behandling av personopplysninger på vegne av Kunden skjer i samsvar med forordning (EU) 2016/679 («personvernforordningen»), personopplysningsloven og annen gjeldende personvernlovgivning, jf. personvernforordningen artikkel 28.
1.3 Begreper som benyttes i Databehandleravtalen, har den betydning de har i personvernforordningen artikkel 4.
2. Behandlingen
2.1 Behandlingens formål, art, varighet, kategorier av registrerte og kategorier av personopplysninger fremgår av Bilag 1.
2.2 Kunden skal ikke overføre særlige kategorier av personopplysninger, jf. personvernforordningen artikkel 9, eller opplysninger om straffedommer og lovovertredelser, jf. artikkel 10, til behandling under Databehandleravtalen uten særskilt skriftlig avtale.
3. Kundens plikter
3.1 Kunden er ansvarlig for at behandlingen har rettslig grunnlag, for at de registrerte har fått nødvendig informasjon, og for at instruksene til iQub er lovlige.
3.2 Kunden skal varsle iQub uten ugrunnet opphold dersom Kunden blir kjent med forhold som kan ha betydning for iQubs oppfyllelse av Databehandleravtalen.
4. Instruks
4.1 iQub skal kun behandle personopplysninger etter dokumentert instruks fra Kunden, også med hensyn til overføring til tredjeland, med mindre behandlingen er pålagt i lov. Er iQub rettslig forpliktet til å behandle opplysningene på annen måte, skal iQub varsle Kunden før behandlingen påbegynnes, med mindre loven forbyr slik varsling.
4.2 Avtalen, denne Databehandleravtalen og Kundens konfigurasjon og bruk av Tjenestene utgjør Kundens samlede instruks.
4.3 iQub skal umiddelbart varsle Kunden dersom iQub mener at en instruks er i strid med personvernlovgivningen.
4.4 iQub skal ikke behandle personopplysningene for egne formål, med unntak av behandlingen beskrevet i punkt 4.5. Eventuell ny behandling for egne formål krever aktiv aksept etter Generelle vilkår punkt 19.6, og omfattes ikke automatisk av Kundens instruks.
4.5 Kunden instruerer iQub om å behandle trafikkdata, også ved hjelp av maskinlæring, for drift, ruting, leveringskvalitet og kapasitetsplanlegging, herunder anonym, aggregert statistikk. Kunden er kjent med at iQub i tillegg behandler trafikkdata som selvstendig behandlingsansvarlig for å forebygge svindel og misbruk, herunder kunstig oppblåst trafikk og spam, for å ivareta sikkerheten i Plattformen og for å oppfylle krav fra operatører og myndigheter, jf. Generelle vilkår punkt 12.2. Med trafikkdata menes nummer og nummerserier, avsender, tidspunkt, volum, destinasjon og leveringsstatus. Meldingsinnhold inngår ikke i slik behandling. Kunden er også kjent med at iQub behandler opplysninger om Kundens brukere, herunder pålogginger og bruk av funksjonene, som selvstendig behandlingsansvarlig for sikkerhet og for å forbedre Plattformen, jf. Generelle vilkår punkt 12.2.
4.6 For KI-funksjoner behandler iQub opplysningene etter Kundens dokumenterte valg og instruks, jf. produktvedlegg 5D og Bilag 1 del D. Modellleverandører er underdatabehandlere og omfattes av punkt 7 og 8. Når Kunden kobler til egne agenter, modeller eller verktøy under Kundens avtale med tredjeparten, er disse Kundens egne leverandører og ikke iQubs underdatabehandlere. iQub behandler da data etter Kundens instruks innenfor tildelte tilganger og svarer for egen integrasjon, tilgangsstyring og utlevering. Kunden svarer for behandlingen hos sin valgte leverandør. Kunden er da ansvarlig for avtalen og overføringsgrunnlaget med leverandøren. Kundens egne agenter og verktøy er Tredjepartstjenester etter Generelle vilkår punkt 3.8.
4.7 Særskilte instrukser for den enkelte tjeneste fremgår av Bilag 1.
4.8 Inndata og utdata skal ikke brukes til Modellleverandørens egen modelltrening. Trening eller finjustering utelukkende for Kunden kan bare skje etter særskilt dokumentert bestilling og instruks som angir formål, datasett, modell, tilgang og sletting. Personopplysninger og kundespesifikke modeller skal ikke gjenbrukes for andre kunder. Anonymisering for utvikling av felles modeller inngår ikke i instruksen uten særskilt avtale etter Generelle vilkår punkt 19.6.
5. Taushetsplikt
5.1 iQub skal sikre at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til konfidensialitet eller er underlagt lovbestemt taushetsplikt. Taushetsplikten gjelder også etter Databehandleravtalens opphør.
6. Informasjonssikkerhet
6.1 iQub skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32. Minstekravene fremgår av Bilag 2.
6.2 iQub kan endre tiltakene, forutsatt at sikkerhetsnivået ikke reduseres.
7. Underdatabehandlere
7.1 Kunden gir generell forhåndsgodkjenning til at iQub benytter underdatabehandlere. Underdatabehandlerne fremgår av Bilag 3.
7.2 iQub skal varsle Kunden skriftlig minst tretti (30) dager før en planlagt endring av underdatabehandlere. Varsler en underdatabehandler iQub med kortere frist, eller er endringen nødvendig av hensyn til sikkerhet eller kontinuitet i leveransen, skal iQub varsle så tidlig som mulig. Kunden kan fremsette skriftlig, begrunnet innsigelse mot endringen innen fjorten (14) dager etter at varselet ble sendt. Inntil innsigelsen er avklart, skal iQub så langt mulig rute Kundens behandling til en annen godkjent underdatabehandler. Oppnår partene ikke enighet, kan Kunden si opp den berørte delen av Tjenestene uten kostnad med virkning fra det tidspunkt endringen trer i kraft.
7.3 iQub skal pålegge underdatabehandlere tilsvarende plikter som følger av Databehandleravtalen, og er overfor Kunden ansvarlig for underdatabehandleres oppfyllelse av disse pliktene. Underdatabehandlernes egne underleverandører fremgår av Bilag 3.
7.4 Mobiloperatører og andre tilbydere av elektroniske kommunikasjonsnett som formidler Meldinger, er selvstendige aktører og ikke underdatabehandlere for iQub. Der en underdatabehandler benytter operatører som egne underleverandører, inngår de i underdatabehandlerens kjede.
8. Overføring til tredjeland
8.1 Overføring av personopplysninger til land utenfor EØS, herunder fjerntilgang fra slike land, skal kun skje i samsvar med personvernforordningen kapittel V. Overføringsgrunnlag for den enkelte underdatabehandler fremgår av Bilag 3.
9. Bistand
9.1 iQub skal, under hensyntagen til behandlingens art, bistå Kunden med egnede tekniske og organisatoriske tiltak slik at Kunden kan oppfylle sin plikt til å besvare anmodninger om utøvelse av de registrertes rettigheter etter personvernforordningen kapittel III. Henvendelser fra registrerte som iQub mottar, skal uten ugrunnet opphold videresendes Kunden. Henvendelser som gjelder iQubs egen behandling etter punkt 4.5, besvarer iQub selv.
9.2 iQub skal bistå Kunden med å sikre overholdelse av pliktene etter personvernforordningen artikkel 32 til 36, under hensyntagen til behandlingens art og den informasjon iQub har tilgjengelig.
9.3 Bistand som går ut over Tjenestenes ordinære funksjonalitet, faktureres etter medgått tid til gjeldende timepris.
10. Brudd på personopplysningssikkerheten
10.1 iQub skal varsle Kunden uten ugrunnet opphold, og senest innen tjuefire (24) timer, etter at iQub er blitt kjent med et brudd på personopplysningssikkerheten.
10.2 Varselet skal så langt mulig inneholde informasjonen som fremgår av personvernforordningen artikkel 33 nr. 3, herunder bruddets art, berørte kategorier og omtrentlig antall registrerte og registreringer, sannsynlige konsekvenser, iverksatte og foreslåtte tiltak, og kontaktpunkt hos iQub. Informasjon som ikke er tilgjengelig ved første varsel, gis fortløpende.
10.3 Kunden er ansvarlig for varsling til Datatilsynet og de registrerte.
11. Revisjon
11.1 iQub skal gjøre tilgjengelig for Kunden all informasjon som er nødvendig for å påvise at forpliktelsene i Databehandleravtalen er oppfylt.
11.2 Kunden kan selv, eller ved uavhengig revisor underlagt taushetsplikt, gjennomføre revisjon én gang per kalenderår med tretti (30) dagers skriftlig varsel. Ved sikkerhetsbrudd eller begrunnet mistanke om brudd på Databehandleravtalen kan Kunden kreve revisjon uten hensyn til den årlige begrensningen, med det varsel omstendighetene tillater. iQub kan oppfylle revisjonsplikten helt eller delvis ved å fremlegge oppdatert sikkerhetsdokumentasjon eller tredjepartsrevisjon.
11.3 Kunden bærer egne kostnader ved revisjon. iQubs bistand ut over to (2) arbeidsdager per revisjon faktureres etter medgått tid. Ved revisjon etter pålegg fra tilsynsmyndighet, eller der revisjonen avdekker vesentlige brudd, bæres iQubs kostnader av iQub.
12. Varighet og opphør
12.1 Databehandleravtalen gjelder så lenge iQub behandler personopplysninger på vegne av Kunden.
12.2 Ved opphør skal iQub, etter Kundens valg, slette eller tilbakelevere personopplysningene innen tretti (30) dager, og slette eksisterende kopier, med mindre lagring er påkrevd etter lov. Avmeldingslogg kan beholdes så lenge det er nødvendig for å hindre at Mottakere som har reservert seg, kontaktes på nytt, og for å oppfylle rettslige forpliktelser. Sikkerhetskopier slettes ved ordinær rullering.
12.3 iQub skal på forespørsel skriftlig bekrefte at sletting er gjennomført.
13. Ansvar
13.1 Ansvarsbegrensningene i Generelle vilkår punkt 16 gjelder også for Databehandleravtalen, så langt personvernlovgivningen tillater. De registrertes rett til erstatning etter personvernforordningen artikkel 82 berøres ikke.
14. Lovvalg og verneting
14.1 Databehandleravtalen reguleres av norsk rett. Verneting følger av Generelle vilkår punkt 22.
Bilag 1 – Beskrivelse av behandlingen
Bilaget beskriver behandlingen per tjeneste. Del A gjelder alle tjenester. Øvrige deler gjelder bare for bestilte og aktiverte tjenester. Den enkelte KI-funksjonen konkretiseres i bestillingen eller den dokumenterte aktiveringen før behandling starter. Behandling utenfor beskrivelsen krever oppdatert instruks etter Generelle vilkår punkt 19.6.
Del A – Felles for alle tjenester
Formål |
Levering av Tjenestene til Kunden, herunder administrasjon av kontakter og Meldinger, søk og rapportering, support, drift, sikkerhet og ruting etter punkt 4.5 |
|---|---|
Behandlingens art |
Innsamling, registrering, lagring, strukturering, overføring, sammenstilling, visning og sletting; for aktiverte KI-funksjoner også analyse, generering og eventuell profilering som beskrevet i Del D |
Varighet |
Avtalens løpetid, med etterfølgende sletting etter punkt 12 |
Kategorier av registrerte |
Kundens Mottakere, typisk Kundens kunder og andre personer i kundeforhold med Kunden; Kundens brukere av Plattformen |
Kategorier av personopplysninger |
Identifikatorer (mobilnummer, navn, kunde- og referansenummer); kontaktlister og felt Kunden selv legger inn; Meldingsinnhold og innkommende svar; trafikkdata (nummer og nummerserier, avsender, tidspunkt, volum, destinasjon og leveringsstatus); utsendelsesgrunnlag, samtykker, avmeldinger og nøkkelord; brukeropplysninger og logger for Kundens brukere (navn, e-post, IP-adresse, pålogginger og handlinger) |
Lagringstid (standard) |
Meldingsinnhold 90 dager; vedlegg 30 dager; hendelsesdata 13 måneder; avmeldingslogg Avtalens løpetid + 3 år. Andre lagringstider kan avtales |
Behandlingssted |
Primærlagring i Google Cloud, Finland. Øvrig behandling hos underdatabehandlerne i Bilag 3. Fjerntilgang fra tredjeland, se punkt 8 |
Del B – SMS
Formål |
Formidling av SMS til og fra Mottakere, leveringsrapportering og håndtering av innkommende Meldinger og avmeldinger |
|---|---|
Underdatabehandlere |
Underdatabehandlere for SMS etter Bilag 3 |
Del C – Kundens egne agenter og tilkoblede verktøy
Formål |
Gi Kundens egne agenter, modeller og verktøy tilgang til Plattformen eller overføre data til dem etter Kundens instruks, jf. punkt 4.6 og produktvedlegg 5D punkt 7 |
|---|---|
Kategorier av personopplysninger |
Opplysninger i Del A som Kundens egne agenter og verktøy får tilgang til innenfor Kundens tilganger; logger av kall (nøkkelens identifikator, agent eller verktøy, tidspunkt og handling) |
Del D – KI-funksjoner
Formål og art. Bistå Kunden gjennom assistenten Pepper og andre KI-funksjoner med svar på spørsmål, tekstforslag og sammendrag; analysere kundedialog og utarbeide segmenter, prediksjoner og anbefalinger; tilpasse kommunikasjon og utføre handlinger innenfor Kundens uttrykkelige fullmakter. Bare kategoriene Kunden har aktivert, inngår. Behandlingen omfatter uthenting, sammenstilling, analyse, generering, eventuell profilering, overføring og sletting. Trening utelukkende for Kunden krever instruks etter punkt 4.8.
Registrerte og opplysninger. Registrerte etter del A. Nødvendige utdrag av Kundens kontakt-, meldings- og hendelsesdata, brukerens spørsmål og instrukser, samt genererte svar, segmenter, vurderinger og handlingslogger. Hendelses- og engasjementsdata inngår bare når Kunden lovlig har samlet dem inn og valgt dem for funksjonen. Opplysninger etter artikkel 9 og 10 og utledning av slike opplysninger inngår ikke uten særskilt skriftlig avtale.
Varighet og lagring. Behandling skjer mens funksjonen er aktiv, med etterfølgende lagring og sletting etter avtalt frist og punkt 12. Før aktivering angis: lagring av samtaler, inndata og utdata i Plattformen 90 dager; handlingslogger 13 måneder; kundespesifikke modeller, dersom bestilt, 90 dager. Lagring hos Modellleverandøren, herunder eventuell misbrukskontroll, angis for den aktuelle tjenesten i Bilag 3. De utfylte opplysningene inngår i Kundens dokumenterte instruks.
Leverandører og vern. Modellleverandør, behandlingssted og overføringsgrunnlag følger Bilag 3 og punkt 7 og 8. iQub begrenser overføringen til data nødvendige for oppgaven og ivaretar tilgangsstyring, kundeskille, logging og kontroll med handlinger etter Bilag 2. Kunden avklarer behandlingsgrunnlag, informasjon til de registrerte og behovet for personvernkonsekvensvurdering før aktivering; iQub bistår etter punkt 9.
Bilag 2 – Sikkerhetstiltak
iQubs tekniske og organisatoriske tiltak omfatter som et minimum:
a) kryptering av data i transitt (TLS 1.2 eller høyere) og i ro, i systemer og forbindelser iQub kontrollerer;
b) rollebasert tilgangsstyring etter minste privilegium, med tofaktorautentisering for administrative tilganger;
c) logisk adskillelse av Kundedata per kunde;
d) logging av pålogginger, administrative handlinger og tilgang til Kundedata, med maskering av mobilnummer i applikasjonslogger;
e) rutiner for sårbarhetshåndtering, sikkerhetskopiering og gjenoppretting;
f) rutiner for håndtering av sikkerhetsbrudd;
g) taushetserklæring og sikkerhetsopplæring for personell;
h) risikovurdering av og databehandleravtale med alle underdatabehandlere;
i) logging av kall via MCP og handlinger fra KI-funksjoner med bruker eller nøkkelidentifikator, tidspunkt og handling; og
j) begrensning av KI-tilgang til godkjente datakilder og handlinger, sikker håndtering av tilgangsnøkler, og mulighet til å tilbakekalle fullmakter og stoppe nye kall. Eksternt innhold skal ikke i seg selv gi nye fullmakter eller overstyre tilgangskontroll.
Bilag 3 – Underdatabehandlere
Underdatabehandlere, med behandlingssted, underleverandører og overføringsgrunnlag, fremgår av iQubs liste over underleverandører på www.iqub.com/legal/underleverandorer, i den til enhver tid gjeldende versjon. Endringer følger punkt 7.2.