Databehandleravtale (DPA)

1. Parter og aksept

Denne databehandleravtalen inngås mellom kunden som behandlingsansvarlig («Kunden») og 10 X Holding AS, org.nr. 911 709 163, som databehandler («HRflyt»). Avtalen inngås elektronisk når Kunden oppretter konto eller aksepterer avtalen i appen, og er en del av avtalen om bruk av HRflyt.

2. Formål, art og varighet

HRflyt behandler personopplysninger for å levere funksjoner for ansattadministrasjon, timer, fravær, utlegg, arbeidsavtaler, lønnsopplysninger, medarbeidersamtaler, dokumenter og tilknyttede tjenester. Behandlingen består blant annet av innsamling, registrering, strukturering, lagring, visning, overføring etter instruks, eksport og sletting, samt AI-assistert registrering og oppslag (HRflyt-assistenten) når Kunden har aktivert funksjonen. Behandlingen varer så lenge tjenesteavtalen består og frem til data er tilbakelevert eller slettet etter punkt 14.

3. Registrerte og opplysningstyper

Registrerte kan være Kundens ansatte, tidligere ansatte, innleide, kandidater, ledere og kontaktpersoner. Opplysningene kan omfatte navn, kontaktopplysninger, fødsels- og arbeidsforholdsopplysninger, rolle, avdeling, timer, fravær, utlegg, kvitteringer, arbeidsavtaler, lønnsopplysninger, medarbeidersamtaler, kompetanse og dokumenter. Særlige kategorier kan omfatte helseopplysninger knyttet til egenmelding og sykmelding. Brukere skal ikke oppgi diagnose.

4. Dokumenterte instrukser

HRflyt behandler bare personopplysninger etter Kundens dokumenterte instrukser, herunder med hensyn til overføring av personopplysninger til tredjeland (art. 28(3)(a)), med mindre norsk eller annen gjeldende EØS-rett krever behandling. Kundens instrukser er fastsatt i denne avtalen, i tjenestevilkårene og gjennom Kundens bruk og konfigurering av tjenesten. Dersom loven krever behandling, varsles Kunden før behandlingen, med mindre loven forbyr varsling. HRflyt informerer Kunden umiddelbart dersom en instruks etter HRflyts mening er i strid med GDPR eller annen personvernlovgivning (art. 28(3) siste ledd).

5. Kundens plikter

Kunden skal ha behandlingsgrunnlag for opplysningene som registreres, informere de registrerte etter art. 13 og 14, vurdere behovet for en vurdering av personvernkonsekvenser (DPIA) etter art. 35, og sørge for drøfting med tillitsvalgte og informasjon om kontrolltiltak etter arbeidsmiljøloven §§ 9-1 til 9-3. Kunden skal ikke registrere diagnose eller andre særlige kategorier av personopplysninger enn det tjenesten er ment for, og ikke fødselsnummer med mindre det er nødvendig.

6. Taushetsplikt

Personer som gis tilgang til personopplysninger, skal være underlagt taushetsplikt og bare ha tilgang i den utstrekning arbeidsoppgavene krever det.

7. Sikkerhetstiltak

HRflyt skal gjennomføre egnede tekniske og organisatoriske tiltak etter GDPR art. 32, tilpasset risikoen. Tiltak som er implementert i tjenesten omfatter:

• TLS-kryptering under overføring.
• Kryptering av data og sikkerhetskopier ved lagring hos underleverandør.
• Radnivåsikkerhet (RLS) som skiller data mellom kunder.
• Rollebasert tilgang for admin, HR, leder og ansatt; ledere ser bare egne ansatte.
• Tilgangskontroll for HRflyts eget personell, med logging.
• Minste passordlengde 10 tegn og kontroll mot kjente lekkede passord.
• Revisjonslogg for endringer i lønn, arbeidsavtaler og roller.
• AES-GCM-kryptering av integrasjonsnøkler.
• Blokkering av selvgodkjenning.
• Låsing av godkjente timelister.
• HRflyt-assistenten kjører med brukerens egne tilganger, krever bekreftelse før endringer lagres, og samtaler slettes etter 30 dager.

HRflyt skal jevnlig teste, analysere og vurdere effektiviteten av tiltakene (art. 32(1)(d)).

8. Protokoll

HRflyt fører protokoll over behandlingsaktiviteter som utføres på vegne av Kunden (art. 30(2)).

9. Underleverandører

Kunden gir generell forhåndsgodkjenning til bruk av underleverandørene nedenfor:

• Lovable (Sverige, EU) – applikasjonsplattform, drift og e-posttjeneste fra notify.hrflyt.no
• Supabase (EU; konkret driftsregion er ikke bekreftet) – database, autentisering og fillagring gjennom Lovable Cloud
• Vercel (USA) – hosting og levering av frontend
• Stripe (USA) – betalingsbehandling og faktureringsrelaterte opplysninger
• Google (USA) – Gemini via Lovable AI Gateway for tolkning av kvitteringsbilder og HRflyt-assistenten (AI-chat) når Kunden har aktivert funksjonen
• Lovables e-posttjeneste (EU/EØS der tjenesten tilbyr det) – utsending av tjenestemeldinger

HRflyt skal sikre at underleverandører er bundet av personvernforpliktelser som i det vesentlige tilsvarer denne avtalen. HRflyt er fullt ansvarlig overfor Kunden for at underleverandører oppfyller sine forpliktelser (art. 28(4)). Kunden varsles minst 30 dager før en ny underleverandør tas i bruk eller erstattes. Kunden kan protestere skriftlig på saklig personvernmessig grunnlag innen varslingsfristen.

Dersom Kunden protesterer og partene ikke finner en løsning, kan Kunden si opp tjenesteavtalen med virkning fra tidspunktet den nye underleverandøren tas i bruk, og få refundert forskuddsbetalt vederlag for perioden etter opphøret.

10. Overføring til tredjeland

Data lagres i EU. Lovable, Supabase, Vercel, Stripe og Google kan innebære behandling eller tilgang fra USA. Overføringer utenfor EU/EØS skal ha gyldig grunnlag, herunder EUs standard personvernbestemmelser (SCC) og/eller EU–US Data Privacy Framework, samt supplerende tiltak der det er nødvendig. Kvitteringsbilder sendes til Google Gemini via Lovable AI Gateway ved bruk av OCR-funksjonen.

11. Registrertes rettigheter

HRflyt skal, så langt det er mulig og hensyntatt behandlingens art, bistå Kunden med å besvare krav om innsyn, retting, sletting, begrensning, dataportabilitet og protest. Ansatte kan laste ned egne data i appen. Forespørsler som mottas direkte fra en registrert, videresendes til Kunden med mindre annet følger av lov.

12. Bistand etter artikkel 32–36

HRflyt skal bistå Kunden med informasjon som er nødvendig for sikkerhetstiltak, varsling av brudd, vurdering av personvernkonsekvenser (DPIA) og eventuelle forhåndsdrøftelser med tilsynsmyndigheten, hensyntatt behandlingens art og den informasjonen HRflyt har tilgjengelig.

13. Brudd på personopplysningssikkerheten

HRflyt varsler Kunden uten ugrunnet opphold og senest 48 timer etter å ha blitt kjent med et brudd som gjelder Kundens personopplysninger. Varslet skal, så langt informasjonen er tilgjengelig, beskrive hendelsen, berørte opplysninger og registrerte, sannsynlige konsekvenser og gjennomførte eller planlagte tiltak. HRflyt dokumenterer alle brudd og bistår Kunden med varsling til Datatilsynet innen 72 timer og eventuelt til de registrerte (art. 33 og 34).

14. Tilbakelevering og sletting

Ved opphør skal HRflyt, etter Kundens valg, tilbakelevere data via eksportfunksjonen og deretter slette dem. Kunden er ansvarlig for å eksportere data som må oppbevares etter blant annet bokføringsloven. Data slettes permanent 30 dager etter forespørselen. Kopier i sikkerhetskopier slettes ved ordinær rotasjon og senest innen 90 dager. Data i sikkerhetskopier er ikke tilgjengelige for annen bruk i mellomtiden, med mindre lov krever videre lagring. HRflyt bekrefter sletting skriftlig på forespørsel.

15. Revisjon og dokumentasjon

HRflyt skal på forespørsel gjøre tilgjengelig informasjon som er nødvendig for å dokumentere at avtalen og GDPR art. 28 etterleves. Kunden kan gjennomføre revisjon selv eller ved uavhengig revisor med rimelig skriftlig varsel, på en måte som begrenser unødvendig belastning og ivaretar andre kunders sikkerhet og konfidensialitet. Kunden dekker egne revisjonskostnader med mindre revisjonen avdekker vesentlig mislighold.

16. Ansvar

Partenes ansvar følger GDPR art. 82, personopplysningsloven og ansvarsbegrensningene i tjenesteavtalen i den utstrekning slike begrensninger er lovlige. Hver part er ansvarlig for egne handlinger og plikter etter personvernregelverket.

17. Forrang

Ved motstrid mellom denne avtalen og tjenestevilkårene, går denne avtalen foran i spørsmål om behandling av personopplysninger.

18. Lovvalg og kontakt

Avtalen er underlagt norsk rett. Tvister søkes løst i minnelighet og behandles ellers av norske domstoler. Personvernhenvendelser: partner@hrflyt.no.

10 X Holding AS, Teglverksveien 17, 3413 Lier · org.nr. 911 709 163.