Databehandleravtale

Mellom:

Behandlingsansvarlig ("Kunden"): Firmainfo som registrert i Reaktiver Lead-konto

Databehandler: Brødrene Gåsdal AS (org.nr. 935 519 640), forretningsnavn Reaktiver Lead Kontakt: hei@reaktiverlead.no

Avtalen er inngått i henhold til EU-forordning 2016/679 (GDPR) artikkel 28.

---

1. Bakgrunn

Kunden benytter tjenesten Reaktiver Lead for å sende SMS-kampanjer til egne kontakter. For å levere tjenesten behandler Reaktiver Lead personopplysninger på Kundens vegne.

2. Formål og art

• Formål: Sending av SMS-kampanjer, innsamling og klassifisering av svar, rapportering av hot leads
• Art: Lagring, oversendelse til SMS-provider, mottak av svar, automatisk klassifisering, sletting på kommando
• Varighet: Gjelder så lenge Kunden har aktiv avtale med Reaktiver Lead

3. Kategorier av registrerte og personopplysninger

Registrerte: Kundens kontakter (leads) — typisk bedriftsansatte, kunder eller prospekter

Kategorier:

• Fullt navn
• Telefonnummer
• Eventuelle tilleggsfelt Kunden selv laster opp
• Innhold og tidspunkt for sendte og mottatte SMS-meldinger
• Automatisk klassifisering av svar

Særlige kategorier (art. 9): Ingen. Kunden skal ikke laste opp sensitive personopplysninger.

4. Kundens instruksjoner

Reaktiver Lead behandler personopplysningene kun på dokumenterte instruksjoner fra Kunden. Bruken av Reaktiver Lead-plattformen utgjør den løpende instruksjonen. Endringer kan gis skriftlig til hei@reaktiverlead.no.

5. Kundens plikter

Kunden garanterer at:

• Det foreligger gyldig rettsgrunnlag for behandlingen
• Kontaktene har fått informasjon om behandlingen i tråd med art. 13/14
• B2C-kontakter har dokumentert samtykke eller et eksisterende kundeforhold etter markedsføringsloven § 15 (Reservasjonsregisteret gjelder telefonsalg og adressert post, ikke SMS)
• Opplysningene er oppdaterte og korrekte

6. Databehandlerens plikter

Reaktiver Lead forplikter seg til å:

• Behandle opplysningene kun i tråd med Kundens instrukser
• Gjennomføre egnede tekniske og organisatoriske tiltak (se vedlegg A)
• Bistå Kunden med å besvare henvendelser fra registrerte
• Bistå Kunden med brudd på personvernet, DPIA og forhåndsdrøftinger
• Slette eller returnere alle personopplysninger ved avtalens opphør

7. Underdatabehandlere

Kunden gir Reaktiver Lead generell skriftlig forhåndsgodkjennelse, jf. GDPR art. 28 nr. 2, til å bruke underdatabehandlere i disse kategoriene:

• Hosting og database
• Betaling
• E-post
• SMS
• AI-modell

Navn og lokasjon for hver underleverandør står i Vedlegg B til databehandleravtalen. Kunder laster det ned under Min konto. Underdatabehandlerne pålegges de samme forpliktelsene som i denne avtalen, jf. art. 28 nr. 4.

Reaktiver Lead varsler Kunden 30 dager før endring av underdatabehandlere. Kunden kan motsette seg endringen innen varselsfristen.

8. Overføring til tredjeland

Overføring til land utenfor EU/EØS skjer bare i samsvar med GDPR art. 44–49: på grunnlag av en beslutning om tilstrekkelig beskyttelsesnivå (art. 45), EU-kommisjonens standardkontraktsklausuler (art. 46 nr. 2 bokstav c) eller bindende virksomhetsregler (art. 47).

9. Sletting og tilbakelevering

Ved avtalens opphør skal Reaktiver Lead:

• Slette personopplysningene. Kontoen og tilhørende data slettes 14 dager etter at du ber om sletting. Sikkerhetskopier slettes innen ytterligere 14 dager. Avsluttes abonnementet uten at du ber om sletting, slettes kontoen og tilhørende data tidligst 30 dager etter at abonnementet er avsluttet, og alltid minst 14 dager etter at vi har varslet deg på e-post. Sikkerhetskopier slettes innen ytterligere 14 dager.
• Returnere dataene til Kunden i maskinlesbart format dersom Kunden ber om det før slettingen

Unntatt er opplysninger som Reaktiver Lead er lovpålagt å oppbevare.

10. Revisjon og kontroll

Kunden har rett til å kontrollere at Reaktiver Lead oppfyller avtalen gjennom dokumentasjon, eller inntil én gang årlig gjennom revisjon på egen bekostning med 30 dagers skriftlig varsel.

11. Brudd på personvernet

Reaktiver Lead varsler Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten, jf. GDPR art. 33 nr. 2. Kunden er som behandlingsansvarlig ansvarlig for eventuell melding til Datatilsynet, jf. art. 33 nr. 1.

12. Ansvar

Reaktiver Leads ansvar under denne avtalen er begrenset til ansvarsgrensen i Vilkår for bruk.

13. Lovvalg

Norsk rett gjelder. Verneting: Møre og Romsdal tingrett (Ålesund).

---

Vedlegg A — Tekniske og organisatoriske tiltak

Listen omfatter bare tiltak som er innebygd i tjenesten i dag.

Tilgangskontroll i databasen: Radnivåsikkerhet (Row Level Security) er slått på for alle tabeller. En kunde kan bare lese og endre egne data.

Roller: Administratorrettigheter ligger i en egen rolletabell og kontrolleres på serveren, ikke i nettleseren. Administrative funksjoner krever innlogget administrator.

Interne jobber: Planlagte bakgrunnsjobber krever en intern hemmelighet som kontrolleres på serveren.

Betalingsvarsler: Varsler fra betalingsleverandøren godtas bare med gyldig signatur.

Begrensning av forespørsler: Utsatte funksjoner har grense for antall forespørsler.

Endringslogg: Endringer i kunder, kampanjer, kontakter, roller, teammedlemmer, SMS-kostnader og møter logges automatisk.

Sletting: Kunden kan be om sletting av kontoen. Dataene slettes permanent etter en angrefrist på 14 dager, og slettingen logges.

Kryptering: Alle data krypteres ved lagring (AES-256) og under overføring (TLS) hos driftsleverandøren for database og lagring.

Backup: Databasen sikkerhetskopieres daglig hos driftsleverandøren, og kopiene slettes innen 14 dager. Databasen ligger i EU (Irland).

Underdatabehandlere: Se Vedlegg B.