Databehandleravtale

§ 1Avtalens parter

I denne avtalen betegnes Grini Tech AS (org.nr 837 326 842) som «Databehandler» og brukeren av MøteFlyt som «Behandlingsansvarlig». Avtalen regulerer Databehandlers behandling av personopplysninger på vegne av Behandlingsansvarlig.

§ 2Bakgrunn og formål med avtalen

Denne databehandleravtalen er inngått for å sikre at personopplysninger behandles i samsvar med personvernforordningen (EU) 2016/679 (GDPR) og norsk personopplysningslov.

Avtalen regulerer Databehandlers behandling av personopplysninger når Behandlingsansvarlig benytter tjenesten «MøteFlyt» (heretter «Tjenesten») — en KI-assistent for møter, tolking og dokumentarbeid.

§ 3Behandlingens formål og art

Databehandler behandler personopplysninger utelukkende for å levere følgende tjenester til Behandlingsansvarlig:

1. Brukeradministrasjon og autentisering — opprettelse og forvaltning av brukerkonto, tofaktor-autentisering (TOTP) og SMS-verifisering ved registrering.
2. Talegjenkjenning (tale-til-tekst) — sanntids transkripsjon av møter, samtaler og diktat via Soniox (EU-region). Lyd prosesseres i sanntid og lagres ikke etter at transkripsjonen er fullført.
3. KI-basert tekstbehandling — bearbeiding av tekst gjennom en stor språkmodell (LLM) via AWS Bedrock (EU-region) for å lage møtereferater, oversettelser, sammendrag, omskrivinger og dokumentasjonsutkast. Teksten prosesseres i sanntid og lagres ikke hos AWS.
4. Tolketjeneste — sanntids tale-til-tekst-oversettelse mellom språk for fysiske møter og tekstbasert tolking.
5. Videomøter — sikker videokonferanse mellom deltakere via Tjenestens integrerte videomodul. Video- og lydstrømmer overføres direkte mellom deltakerne (peer-to-peer via WebRTC) og lagres ikke av Databehandler.
6. Lagring av møtereferater og brukerinnhold — Behandlingsansvarlig kan velge å lagre genererte møtereferater og dokumenter på Databehandlers servere for senere tilgang og redigering.
7. Valgfri kryptert lagring av transkripsjon (begrenset, sektorstyrt) — for visse sektorer kan rå transkripsjon lagres kryptert i inntil 7 dager etter møtet, slik at Behandlingsansvarlig kan gå tilbake og arbeide videre med innholdet. Sensitive sektorer (skole, barnehage, privat) har denne lagringen permanent låst AV. Behandlingsansvarlig kan slette lagret transkripsjon manuelt før utløp, og automatisk sletting skjer via nattlig prosess. Krypteringen bruker AES-256-GCM med eget Additional Authenticated Data (AAD).
8. Betalings- og abonnementsadministrasjon — håndtering av betaling og abonnement via Stripe.

Databehandler skal ikke behandle personopplysninger til andre formål enn det som er beskrevet ovenfor, med mindre Behandlingsansvarlig gir skriftlig instruks om dette.

§ 4Kategorier av personopplysninger og registrerte

4.1 Registrerte

• Behandlingsansvarlig (brukeren av Tjenesten)
• Møtedeltakere og samtalepartnere — i den grad stemme, navn eller annen identifiserbar informasjon prosesseres gjennom talegjenkjenning, tolking eller videomøter. Behandlingsansvarlig er ansvarlig for å informere disse om bruken av Tjenesten.

4.2 Personopplysninger som behandles

4.3 Særlige kategorier (følsomme opplysninger)

4.4 Lagringstid og automatisk sletting

Tjenesten benytter differensierte lagringstider basert på datatype og sektor-policy:

Behandlingsansvarlig kan når som helst slette lagret transkripsjon manuelt før utløp via brukergrensesnittet. Manuell sletting logges i audit-loggen (transcript_deleted). Automatisk sletting via nattlig prosess logges som transcripts_auto_purged.

§ 5Behandlingsansvarligs rettigheter og plikter

Behandlingsansvarlig har ansvar for at behandlingen av personopplysninger har et lovlig grunnlag i henhold til GDPR, og skal:

1. Sørge for at det foreligger lovlig grunnlag for behandling av personopplysninger gjennom Tjenesten, herunder å innhente nødvendige samtykker fra møtedeltakere og samtalepartnere.
2. Informere møtedeltakere om at lyd og innhold prosesseres av Tjenesten i tråd med gjeldende lover og retningslinjer.
3. Ikke benytte Tjenesten til formål som er uforenlige med denne avtalen eller til behandling av særlige kategorier opplysninger uten selvstendig lovlig grunnlag.
4. Beskytte egne påloggingsopplysninger og TOTP-enheter.
5. Slette eget lagret innhold som ikke lenger er nødvendig for formålet.

§ 6Sikkerhetstiltak

Databehandler har implementert følgende tekniske og organisatoriske tiltak for å beskytte personopplysninger:

6.1 Tekniske tiltak

• Kryptering i transit: All kommunikasjon skjer over TLS 1.2 eller nyere.
• Kryptering i hvile: Database og backup er kryptert på lagringsnivå hos Hetzner. Passord lagres som bcrypt-hash, og TOTP-hemmeligheter er beskyttet på tilsvarende måte.
• Applikasjonsnivå-kryptering av sensitive felt: Lagret transkripsjon (når aktivert per sektor) krypteres med AES-256-GCM på applikasjonsnivå med eget Additional Authenticated Data (AAD) per datatype, slik at ciphertext-substitusjon mellom kolonner forhindres. Krypteringsnøkler oppbevares utenfor databasen.
• Innholdssikkerhetspolicy (strict CSP): Frontend leveres med default-src 'none' og eksplisitt whitelist per kategori. Kombinert med HSTS preload (2 år), X-Frame-Options DENY, og full Permissions-Policy.
• Sterk autentisering: Tofaktor-autentisering (TOTP) er påkrevd for alle brukere, kombinert med SMS-verifisering ved registrering.
• Sesjonsbasert tilgangskontroll: HTTP-only session cookies med begrenset levetid og strenge SameSite-regler.
• Ingen lagring av lyd eller video: Lyd og videostrømmer prosesseres kun i sanntid (in-transit) og lagres aldri på Databehandlers servere.
• Rate-limiting og audit-logger: Innloggingsforsøk, passord-resetter og sensitive operasjoner overvåkes og begrenses i frekvens.

6.2 Organisatoriske tiltak

• Tilgangen til produksjonssystemer er begrenset til nødvendig personell hos Databehandler.
• Databehandler gjennomfører jevnlige risikovurderinger av Tjenesten.
• Underdatabehandlere er valgt basert på dokumenterte sikkerhets- og personvernsertifiseringer.
• Hendelser logges og gjennomgås for å identifisere og lukke sårbarheter.

§ 7Underdatabehandlere

Behandlingsansvarlig gir ved godkjenning av denne avtalen en generell forhåndsgodkjenning til bruk av underdatabehandlere. Databehandler skal informere Behandlingsansvarlig om endringer i underdatabehandlere med rimelig varsel, og Behandlingsansvarlig kan protestere mot slike endringer.

Følgende underdatabehandlere benyttes per avtaledato:

Databehandler benytter utelukkende underdatabehandlere som tilbyr tilstrekkelige garantier i henhold til GDPR artikkel 28(1), herunder gjennom egne databehandleravtaler, sertifiseringer og/eller standardkontraktsklausuler (SCCs). Disse avtalene er inngått i tråd med kravene i GDPR artikkel 28(4).

§ 8Overføring til tredjeland

All primær databehandling skjer innenfor EU/EØS-området. Databehandlers servere er plassert hos Hetzner i EU, talegjenkjenning skjer i Soniox' EU-region, og KI-inferens skjer i AWS' EU-region (Stockholm).

8.1 Stripe og overføring til USA

Stripe er et amerikansk selskap med europeisk hovedkontor i Irland (Stripe Payments Europe, Ltd.). Som del av betalingsbehandlingen kan personopplysninger overføres til USA. Denne overføringen er sikret gjennom følgende mekanismer:

• EU-U.S. Data Privacy Framework (DPF): Stripe er sertifisert under EU-U.S. Data Privacy Framework, som er godkjent som et adekvat overføringgrunnlag av EU-kommisjonen.
• Standard Contractual Clauses (SCCs): Stripes dataoverføringstillegg inkorporerer EUs standardkontraktsklausuler som supplerende overføringsmekanisme.
• Dataminimering: Kun betalingsrelaterte opplysninger (navn, e-post, betalingsinformasjon) behandles av Stripe. Innhold fra møter eller dokumenter deles ikke med Stripe.

8.2 Øvrige underdatabehandlere

Soniox er et amerikansk selskap, men tilbyr en dedikert EU Sovereign Cloud-region som benyttes av Tjenesten. Data prosesseres og forblir innenfor EU. Soniox lagrer ikke lyd eller transkripsjoner.

AWS Bedrock benyttes i EU-regionen (Stockholm, eu-north-1). AWS lagrer ikke prompter eller svar, og data forblir innenfor den valgte regionen.

8.3 Vurdering av risiko ved amerikansk jurisdiksjon

Soniox, AWS og Stripe er amerikanske selskaper og kan i prinsippet være underlagt amerikansk lovgivning (FISA 702, CLOUD Act). Risikoen for de registrerte er vurdert som lav av følgende grunner:

• Lyd og rå transkripsjon prosesseres utelukkende in-transit (sanntid) uten lagring hos noen av disse leverandørene. Det finnes dermed ingen persistente data hos dem som kan utleveres på forespørsel.
• Alle tre leverandørene tilbyr EU-basert prosessering og er sertifisert under EU-U.S. Data Privacy Framework.
• Betalingsdata hos Stripe er ikke følsomme opplysninger og utgjør en vesentlig lavere risiko.

§ 9Avviksbehandling og varsling

Ved brudd på personopplysningssikkerheten skal Databehandler:

1. Varsle Behandlingsansvarlig uten ugrunnet opphold, og senest innen 48 timer etter at Databehandler ble kjent med avviket.
2. Gi Behandlingsansvarlig tilstrekkelig informasjon til å oppfylle sin meldeplikt til Datatilsynet i henhold til GDPR artikkel 33, herunder:
   • Beskrivelse av avvikets art
   • Kategorier og omtrentlig antall berørte registrerte
   • Sannsynlige konsekvenser av avviket
   • Tiltak som er truffet eller foreslått for å håndtere avviket
3. Bistå Behandlingsansvarlig med å håndtere avviket og begrense eventuelle negative konsekvenser.

§ 10Revisjon og innsyn

Behandlingsansvarlig har rett til å kontrollere at Databehandler overholder vilkårene i denne avtalen. I praksis vil dette for de fleste brukere innebære å be om skriftlig dokumentasjon, men avtalen gir også rett til mer omfattende revisjon dersom det skulle være aktuelt:

1. Å be om skriftlig dokumentasjon av sikkerhetstiltak, rutiner og underdatabehandlere — Databehandler skal besvare slike henvendelser innen rimelig tid og uten ekstra kostnad.
2. Å gjennomføre eller la en uavhengig tredjepart gjennomføre revisjoner av Databehandlers systemer og rutiner, med minimum 30 dagers skriftlig varsel og ikke hyppigere enn én gang per 12 måneder. Kostnadene ved slik ekstern revisjon bæres av Behandlingsansvarlig.

Databehandler skal gi rimelig bistand til slike kontroller og stille nødvendig dokumentasjon til rådighet. Retten til revisjon etter punkt 2 er inkludert for å oppfylle kravene i GDPR artikkel 28(3)(h), og er ikke ment å skape en forventning om at enkeltbrukere skal gjennomføre fysiske revisjoner.

§ 11Varighet og opphør

Denne avtalen gjelder så lenge Behandlingsansvarlig har en aktiv brukerkonto hos Databehandler.

Ved opphør av avtalen skal Databehandler:

1. Slette alle personopplysninger knyttet til Behandlingsansvarligs konto innen 30 dager etter oppsigelse, med mindre lovpålagt oppbevaring krever annet.
2. Bekrefte slettingen skriftlig dersom Behandlingsansvarlig ber om dette.
3. Sørge for at underdatabehandlere sletter relevante data i tråd med punkt 1.

Behandlingsansvarlig kan når som helst slette egne lagrede møtereferater og dokumenter direkte gjennom Tjenestens brukergrensesnitt, og kan be om sletting av hele kontoen ved henvendelse til Databehandler.

§ 12Bistand ved utøvelse av registrertes rettigheter

Databehandler skal bistå Behandlingsansvarlig med å oppfylle sine forpliktelser overfor registrerte i henhold til GDPR kapittel III, herunder rett til innsyn, retting, sletting, dataportabilitet og rett til å protestere mot behandling.

Ettersom Tjenestens arkitektur innebærer at lyd og rå transkripsjon ikke lagres, vil forespørsler i hovedsak gjelde kontodata og lagrede møtereferater. Behandlingsansvarlig har direkte tilgang til disse gjennom Tjenestens brukergrensesnitt.

§ 13Kontaktinformasjon

Henvendelser vedrørende denne avtalen og behandling av personopplysninger kan rettes til:

§ 14Lovvalg og tvister

Denne avtalen er underlagt norsk rett. Tvister som oppstår i forbindelse med avtalen skal søkes løst gjennom forhandlinger. Dersom enighet ikke oppnås, skal tvisten avgjøres av norske domstoler med Follo og Nordre Østfold tingrett som verneting.