Databehandleravtale

Calco behandler personopplysninger på vegne av den Behandlingsansvarlige for å levere Calco-tjenesten, herunder generering av tilbud og tilhørende funksjoner. Behandlingen skjer utelukkende for å gjøre tjenestens funksjoner tilgjengelige for den Behandlingsansvarlige og i samsvar med vilkårene og denne Avtalen. Behandlingen varer så lenge den Behandlingsansvarlige bruker tjenesten.

Når Calco bruker samlede mønstre på tvers av kunder til å forbedre tjenesten (f.eks. hvilken grossistvare som passer til en tilbudslinje), skjer det som selvstendig behandlingsansvarlig og kun med mønstre som minst tre uavhengige virksomheter har bekreftet. Priser og sluttkunders navn og adresser inngår ikke. Se Calcos personvernerklæring.

• Sluttkunders og kontakters personopplysninger: navn, adresse og kontaktopplysninger (e-post, telefon)
• Innhold i tilbud, herunder oppgavebeskrivelser samt bilder og dokumenter som den Behandlingsansvarlige laster opp, og som kan inneholde personopplysninger
• Sluttkunders svar på tilbudslenker: tidspunkt og IP-adresse ved aksept eller avslag, en eventuell begrunnelse for avslag og kvittering for informasjon om angrerett
• E-poster i en tilkoblet innboks (Microsoft 365 eller Google Workspace), hvis den Behandlingsansvarlige kobler den til: avsenders navn og e-post, emne, tekst og opplysninger om vedlegg
• Opplysninger som deles med eller mottas fra en partnervirksomhet via Calco Connect, samt navn, e-post, telefon og organisasjonsnummer for inviterte virksomheter
• Den Behandlingsansvarliges egne medarbeidere (brukere): navn, e-post, telefon og brukeraktivitet i tjenesten, herunder IP-adresse og nettleseropplysninger i revisjonsloggen
• Tilgangsnøkler og tokener til systemer som den Behandlingsansvarlige kobler til (ordrestyring, regnskap og innboks), kryptert med AES-256

Calco behandler kun personopplysninger etter dokumentert instruks fra den Behandlingsansvarlige, herunder når det gjelder overføring til tredjeland, med mindre EU-rett eller dansk rett krever noe annet. Instruksen utgjøres av denne Avtalen, vilkårene og den Behandlingsansvarliges bruk av tjenesten. Calco varsler umiddelbart den Behandlingsansvarlige dersom Calco mener at en instruks er i strid med personvernreglene.

Calco sikrer at de personene som er autorisert til å behandle personopplysningene, har forpliktet seg til konfidensialitet eller er underlagt en passende lovbestemt taushetsplikt. Tilgang gis kun til personer som det er nødvendig for å oppfylle Calcos forpliktelser.

Calco gjennomfører passende tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er tilpasset risikoen, jf. artikkel 32, herunder kryptering under overføring (TLS 1.2 eller nyere), kryptering av API-nøkler og andre sensitive legitimasjonsopplysninger via AES-256 (pgcrypto), tilgangsstyring og row-level security i databasen samt logging av tilgang og hendelser.

Den Behandlingsansvarlige gir herved generell godkjenning til at Calco bruker følgende underdatabehandlere:

• Supabase Inc. (database, innlogging og fillagring - data lagres i EU, Frankfurt)
• Cloudflare Inc. (hosting, nettverk og anonym statistikk - USA, globalt nettverk)
• Anthropic PBC (beregning av tilbud og vurdering av innboks-e-poster - USA)
• Resend Inc. (utsending av e-post - USA)
• Stripe (betaling - Irland/USA)
• Expo / 650 Industries Inc. (pushvarsler og appoppdateringer - USA)
• Telegram (interne driftsvarsler til Calcos team - De forente arabiske emirater)
• Google (kalenderinvitasjon ved onboarding og lesing av Gmail, kun hvis den kobles til - Irland/USA)
• Microsoft (lesing av Outlook-innboks, kun hvis den kobles til - Irland/USA)
• Ordrestyrings- og regnskapssystemene som den Behandlingsansvarlige selv velger å koble til: Apacta, Minuba, Ordrestyring, Kompas4, e-conomic, Dinero, Billy eller Fortnox

Adresseoppslag for beregning av kjøring: danske adresser slås opp hos Dataforsyningen (den danske staten), norske hos Kartverket (den norske staten) og svenske hos OpenStreetMap Foundation (Nominatim, Storbritannia - EU-godkjent beskyttelsesnivå). Det sendes bare gate, husnummer, postnummer og poststed - aldri navn eller andre opplysninger om kunden.

Calco varsler endringer i bruken av underdatabehandlere minst 30 dager i forveien, og den Behandlingsansvarlige kan komme med innsigelser mot endringen. Overføringer til tredjeland skjer på grunnlag av EU-kommisjonens standardpersonvernbestemmelser (SCC) og, der mottakeren er sertifisert, EU-US Data Privacy Framework. Calco inngår en skriftlig avtale med hver underdatabehandler som pålegger denne de samme personvernforpliktelsene som i denne Avtalen, og Calco hefter for underdatabehandlernes etterlevelse.

Calco bistår, i den grad det er mulig, den Behandlingsansvarlige med passende tekniske og organisatoriske tiltak med å besvare anmodninger fra registrerte om utøvelse av deres rettigheter, herunder innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse.

Calco bistår den Behandlingsansvarlige med å sikre overholdelse av forpliktelsene etter artikkel 32-36, herunder behandlingssikkerhet, melding av brudd på personopplysningssikkerheten til tilsynsmyndigheten og de registrerte, vurderinger av personvernkonsekvenser (DPIA) samt forhåndsdrøftinger med tilsynsmyndigheten, idet det tas hensyn til behandlingens art og de opplysningene Calco har til rådighet.

Calco varsler den Behandlingsansvarlige uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten. Varselet inneholder de relevante opplysningene om bruddet, herunder bruddets art, de berørte kategoriene av opplysninger og registrerte, de sannsynlige konsekvensene samt de tiltakene som er truffet eller foreslås truffet.

Ved opphør av tjenesten sletter eller tilbakeleverer Calco, etter den Behandlingsansvarliges valg, alle personopplysninger senest 30 dager etter opphør og sletter eksisterende kopier, med mindre EU-rett eller dansk rett krever fortsatt oppbevaring av personopplysningene.

Calco stiller all informasjon som er nødvendig for å påvise overholdelse av forpliktelsene i denne Avtalen, til rådighet for den Behandlingsansvarlige og legger til rette for og bidrar til revisjoner, herunder inspeksjoner, som gjennomføres av den Behandlingsansvarlige eller en annen revisor som den Behandlingsansvarlige har gitt fullmakt.