Databehandleravtale

Versjon 2026-09.2 · Sist oppdatert: 1. oktober 2026

Denne databehandleravtalen («Avtalen») regulerer Build a Bots behandling av personopplysninger på vegne av kunden når kunden bruker tjenesten. Avtalen inngås når kunden godtar den ved registrering, og utgjør en databehandleravtale etter personvernforordningen (GDPR) artikkel 28.

1. Partene

• Behandlingsansvarlig: kunden (virksomheten som oppretter konto og bruker tjenesten).
• Databehandler: Reichborn-Bjørneklett Software (org.nr 937 724 233), heretter «Build a Bot».

2. Behandlingens formål, art og varighet

Build a Bot behandler personopplysninger for å levere en AI-chatbot basert på innholdet kunden gjør tilgjengelig (opplastede dokumenter og nettsideinnhold), og for å besvare henvendelser fra kundens sluttbrukere. Behandlingen varer så lenge kunden har et aktivt kundeforhold, med etterfølgende sletting som beskrevet i punkt 8.

3. Kategorier registrerte og personopplysninger

• Registrerte: kundens sluttbrukere samt personer omtalt i innholdet kunden laster opp.
• Personopplysninger: opplysninger som forekommer i kundens dokumenter og nettsideinnhold, samt fritekst sluttbrukere skriver til chatboten.
• Sluttbrukerens spørsmål og chatbotens svar: lagres i 30 dager for å gi kunden statistikk over hva de besøkende spør om og hva chatboten svarte, og slettes deretter automatisk. E-postadresser, telefonnumre, fødselsnumre og kortnumre maskeres automatisk før lagring, i både spørsmål og svar. Et tilfeldig samtale-ID knytter meldingene i én nettleserøkt sammen og slettes sammen med spørsmålet. IP-adresse og enhetsinformasjon lagres ikke.
• Etter 30 dager beholdes kun statistikk uten fritekst: antall henvendelser, tidspunkt, temaer det ble spurt om, og hvilket av kundens eget innhold boten svarte fra. Denne statistikken inneholder ingen personopplysninger og oppbevares så lenge kundeforholdet varer.

Kunden kan når som helst slå av lagring av sluttbrukernes spørsmål under Chatbot-innstillinger. Da lagres kun statistikken beskrevet over.

4. Kundens instruksjonsrett

Build a Bot behandler personopplysninger utelukkende etter dokumenterte instruksjoner fra kunden. Denne avtalen, sammen med bruk av tjenestens funksjoner, utgjør kundens instruksjoner. Build a Bot varsler kunden dersom en instruksjon etter Build a Bots vurdering er i strid med personvernregelverket.

5. Konfidensialitet

Build a Bot sikrer at personer som behandler personopplysningene er underlagt taushetsplikt.

6. Sikkerhet (art. 32)

Build a Bot gjennomfører egnede tekniske og organisatoriske tiltak, herunder:

• kryptering av data under overføring og lagring
• tilgangsstyring og autentisering
• bruk av administrerte identiteter og nøkkelhvelv for hemmeligheter
• logisk isolasjon av hver kundes data

7. Underdatabehandlere

Kunden gir Build a Bot generell tillatelse til å bruke underdatabehandlere. Følgende underdatabehandlere benyttes:

Build a Bot varsler kunden ved planlagte endringer i bruken av underdatabehandlere, slik at kunden kan gjøre innsigelser.

8. Sletting ved opphør

Ved opphør av kundeforholdet slettes kundens innhold og personopplysninger senest 90 dager etter at abonnementet er avsluttet. Betalings- og regnskapsopplysninger oppbevares så lenge bokføringsloven krever. Slettede opplysninger kan ligge i sikkerhetskopier i inntil 7 dager før de overskrives.

9. Bistand til den behandlingsansvarlige

Build a Bot bistår kunden med å oppfylle plikter overfor registrerte (innsyn, retting, sletting mv.) og med sikkerhet, avviksmelding og personvernkonsekvensvurderinger, hensyntatt behandlingens art og opplysningene som er tilgjengelige for Build a Bot.

10. Avvik og brudd på personopplysningssikkerheten

Build a Bot varsler kunden uten ugrunnet opphold etter å ha blitt kjent med brudd på personopplysningssikkerheten, med informasjon som gjør kunden i stand til å oppfylle sin meldeplikt.

11. Revisjon

Build a Bot gjør tilgjengelig all informasjon som er nødvendig for å påvise at pliktene i denne avtalen overholdes, og muliggjør og bidrar til revisjoner.

12. Overføring utenfor EØS

Enkelte underdatabehandlere (OpenAI, Cohere, Stripe) behandler opplysninger i USA, og Cohere også i Canada. Slik overføring skjer på grunnlag av EUs standard personvernbestemmelser (SCC), eventuelt EU-US Data Privacy Framework, EUs adekvansbeslutning for Canada eller annet gyldig overføringsgrunnlag.

Avtalepartene våre for OpenAI og Stripe er etablert i EØS: OpenAI Ireland Ltd. og Stripe Payments Europe Ltd. Cohere Inc. er etablert i Canada, som EU har adekvansbeslutning for. Vektordatabasen (Qdrant Solutions GmbH) og øvrig drift (Microsoft Azure) skjer i sin helhet innenfor EØS.

13. Kontakt

Spørsmål om denne avtalen rettes til hei@buildabot.no.