Databehandleravtale (DPA)

Selskapsinformasjon: Clovr AS, org.nr. 922 016 143, MVA-nr. NO 922 016 143 MVA. Selskapet er foreløpig registrert som Pike Media AS i Brønnøysundregistrene og skal endre navn til Clovr AS. Navnet Clovr AS brukes i våre retningslinjer og avtaler om det samme selskapet. Navneendringen innebærer ingen endring av juridisk enhet, organisasjonsnummer eller MVA-nummer.

Denne databehandleravtalen («DPA») inngår mellom kunden («Behandlingsansvarlig») og Clovr AS, org.nr 922 016 143 («Databehandler»). DPA-en utfyller tjenestens vilkår og regulerer Databehandlerens behandling av personopplysninger på vegne av Behandlingsansvarlig, jf. GDPR art. 28.

Aksept: Ved bruk av Clovr Marketing-plattformen for forretningsmessig formål, og hvor kunden er behandlingsansvarlig for personopplysninger som inngår i tjenesten, anses denne DPA-en som godkjent og bindende. For større oppdrag tilbyr Clovr AS en signert utgave på forespørsel ved å kontakte per@clovr.no.

1. Definisjoner

Begreper som «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler» og «den registrerte» har den betydningen som følger av GDPR.

2. Behandlingens art og formål

Databehandleren behandler personopplysninger på vegne av Behandlingsansvarlig for å levere Clovr Marketing-tjenesten, herunder AI-genererte kampanjer, content, ad creatives og analyser. Behandlingen omfatter:

• Lagring og henting av brand-data og kampanjeinnhold
• Generering av tekst, bilder og video gjennom AI-agenter (Claude, Gemini, GPT-modeller m.m.)
• Logging og analyse for å forbedre tjenestekvalitet
• Sending av e-post-varslinger og publisering til tredjepartskanaler du har koblet til

3. Kategorier av registrerte og opplysninger

Registrerte: Kundens ansatte, kontaktpersoner, sluttkunder hvis de inngår i kampanjedata, og besøkende på publiserte kanaler.

Kategorier: Identifikasjonsdata (navn, e-post), kontaktinformasjon, jobb- og rolledata, brand-spesifikt innhold, kampanjedata og statistikk fra koblede plattformer (Meta, Google Ads, GA4 m.m.).

Tjenesten er ikke beregnet for behandling av særlige kategorier personopplysninger (helse, etnisitet, politisk oppfatning osv., jf. GDPR art. 9). Slike opplysninger skal ikke lastes opp.

4. Databehandlerens forpliktelser

• Instruksjon: Kun behandle personopplysninger etter dokumenterte instrukser fra Behandlingsansvarlig. Bruk av tjenesten anses som instruksjon.
• Konfidensialitet: Sikre at personell med tilgang er underlagt taushetsplikt.
• Sikkerhet: Iverksette egnede tekniske og organisatoriske tiltak (se punkt 7).
• Bistand: Bistå Behandlingsansvarlig med å oppfylle forespørsler fra registrerte og tilsynsmyndigheter.
• Brudd: Varsle Behandlingsansvarlig uten ugrunnet opphold (innen 48 timer) ved sikkerhetsbrudd som rammer personopplysninger.
• Sletting: Slette eller returnere alle personopplysninger ved avtaleopphør, jf. personvernerklæringen punkt 5.
• Revisjon: Stille relevant dokumentasjon til rådighet og tillate revisjon én gang i året, eller ved konkret mistanke om brudd.

5. Underdatabehandlere

Databehandleren har Behandlingsansvarliges generelle samtykke til å bruke underdatabehandlere som listet nedenfor. Endringer i listen varsles minst 30 dager i forkant. Behandlingsansvarlig kan motsette seg bytte av underdatabehandler. I så fall kan tjenesten avsluttes uten kostnad.

6. Overføring til tredjeland

Den primære databasen ligger i EU (Stockholm). For underdatabehandlere i USA bygger overføringen på EU-kommisjonens standard kontraktklausuler (SCC) av 4. juni 2021, modul 2 (behandlingsansvarlig til databehandler) eller modul 3 (databehandler til underdatabehandler), jf. GDPR art. 46 nr. 2 c.

Før en overføring settes i gang skal databehandleren dokumentere overføringsgrunnlaget og vurdere behovet for supplerende tiltak. Behandlingen skal begrenses til det avtalte formålet.

7. Tekniske og organisatoriske tiltak

• Kryptering: Kryptert overføring med TLS, kryptering i hvile og særskilt kryptering av integrasjonstokens
• Tilgangskontroll: Rolle-basert tilgang (RBAC) per bruker, Row-Level Security (RLS) i database, full isolering mellom brand-er
• Autentisering: Cookie-basert sesjonshåndtering med @supabase/ssr; to-faktor-autentisering tilgjengelig for alle brukere, og obligatorisk for kontoer som har slått den på
• Logging: Sikkerhetslogger og agent-kall logges for revisjon
• Backup: Daglig kryptert backup, oppbevart i EU
• Sårbarhetshåndtering: Avhengighetsovervåking, regelmessige sikkerhetsoppdateringer
• Penetrasjonstesting: Planlagt minst årlig fra og med første betalende kunde
• Hendelseshåndtering: Dokumentert prosess for deteksjon, varsling og avvikling

8. Ansvar

Hver part er selvstendig ansvarlig for overtredelser av eget regelverk. Erstatningsansvaret følger ansvarsbegrensningene i tjenestens vilkår punkt 8.

9. Avtalens varighet og opphør

DPA-en gjelder så lenge Behandlingsansvarlig bruker tjenesten. Ved opphør sletter Databehandleren personopplysningene i tråd med personvernerklæringens punkt 5, med mindre lov pålegger fortsatt lagring.

10. Kontakt

• Personvernhenvendelser: per@clovr.no
• Personvernkontakt: Clovr AS
• Postadresse: Clovr AS, Postboks 4501, Nydalen, 0404 Oslo

For en signert utgave av denne DPA-en, kontakt per@clovr.no.