Databehandleravtale

Versjon 6. november 2026. Denne databehandleravtalen (“Databehandleravtalen”) er en del av avtalen mellom QLFR AI AB, org.nr. 559389-2978, Drottninggatan 29, 103 59 Stockholm, Sverige (“Qualifier”) og kunden (“Kunden”) om tjenesten Qualifier (“Tjenesten”). Databehandleravtalen er en del av Qualifiers generelle vilkår (qualifier.ai/nb/vilkar). Den gjelder for nye kunder fra den dagen Kunden godtar de generelle vilkårene eller signerer et tilbud som viser til dem, og for eksisterende kunder fra versjonsdatoen. Den svenske versjonen (qualifier.ai/sv/personuppgiftsbitradesavtal) har samme innhold. Hvis versjonene avviker fra hverandre, går den svenske versjonen foran.

1. Definisjoner

Begreper som personopplysninger, behandling, behandlingsansvarlig, databehandler, registrert, brudd på personopplysningssikkerheten og tilsynsmyndighet har den betydningen de har i forordning (EU) 2016/679 (“GDPR”). Med standard personvernbestemmelser menes bestemmelsene som Europakommisjonen har vedtatt i gjennomføringsbeslutning (EU) 2021/914. Med Kundens kontaktadresse menes e-postadressen Kunden har oppgitt til Qualifier for varsler, eller, om det ikke finnes noen, e-postadressen til Kundens kontoeier i Tjenesten, eller, om det ikke finnes noen, e-postadressene til Kundens brukere.

2. Roller

2.1 Kunden er behandlingsansvarlig, Qualifier er databehandler. Kunden bestemmer hvem som kontaktes, med hvilket budskap og hvorfor. For personopplysninger som Qualifier behandler på vegne av Kunden for å gjennomføre Kundens kampanjer (“Kundedata”), er Kunden behandlingsansvarlig og Qualifier databehandler. Kundedata er beskrevet i vedlegg 1.

2.2 Kunden er avsender. E-postene sendes fra Kundens egen e-postkonto og i Kundens navn, eller fra e-postkontoer som Qualifier setter opp for Kunden når partene har avtalt det. Kunden er avsender av hver e-post. Kunden er ansvarlig for å ha et behandlingsgrunnlag for å kontakte hvert prospekt, for informasjonen Kunden plikter å gi prospektene etter artikkel 13 og 14 i GDPR, og for å følge markedsføringsreglene som gjelder for mottakerne Kunden velger. Kunden er også ansvarlig for å ha rett til å koble hver e-postkonto og hvert CRM til Tjenesten, og for å informere personene hvis e-postkontoer kobles til.

2.3 Qualifier er selvstendig behandlingsansvarlig for sin egen database. Qualifier finner prospekter i profesjonelle nettverk, på nettet, i åpne virksomhetsdata og hos dataleverandører, og har en egen database med kontaktopplysninger i yrkesrollen. For denne innsamlingen og databasen, og for sin egen kundeadministrasjon, fakturering, sikkerhet og produktutvikling, er Qualifier selvstendig behandlingsansvarlig, slik det er beskrevet i Qualifiers personvernerklæring (qualifier.ai/nb/personvern). Databehandleravtalen gjelder ikke for den behandlingen. Partene er ikke felles behandlingsansvarlige.

2.4 Hvor grensen går. Et prospekts kontaktopplysninger i yrkesrollen finnes i Qualifiers database før og etter Kundens kampanje, og der er Qualifier behandlingsansvarlig for dem. Kundedata er det som oppstår når Kunden bruker Tjenesten: valget av et prospekt til Kundens kampanje, e-postene og svarene, statuser, notater og oppgaver, det Kunden laster opp eller skriver inn, og det som synkroniseres med Kundens CRM. Kontakter som Kunden laster opp eller synkroniserer, tilbys ikke til andre kunder.

2.5 Signaler som Qualifier beholder. For at ingen kunde skal skrive til en adresse som ikke fungerer eller til en person som har takket nei, instruerer Kunden Qualifier om å registrere følgende fra Kundens kampanjer i Qualifiers database, der Qualifier er behandlingsansvarlig for det: at e-post til en adresse kom i retur, at en person ba om ikke å bli kontaktet, at et automatisk svar viser at personen har sluttet hos arbeidsgiveren, og om en gjettet adresse viste seg å være riktig. Qualifier kan også lage statistikk fra Kundedata der ingen person kan identifiseres, beholde den etter at avtalen har opphørt, og bruke den til å drive, forbedre og beskrive Tjenesten. Statistikk og eksempler som Qualifier viser til andre, identifiserer ikke Kunden. Qualifier selger ikke Kundedata.

3. Instrukser

3.1 Qualifier behandler Kundedata kun etter dokumenterte instrukser fra Kunden. Avtalen, Databehandleravtalen og Kundens innstillinger og handlinger i Tjenesten utgjør Kundens fullstendige instrukser. Instruksene omfatter overføringene som er angitt i vedlegg 3. Qualifier bruker ikke Kundedata til egne formål utover det som er angitt i punkt 2.5.

3.2 Qualifier informerer Kunden dersom en instruks etter Qualifiers oppfatning er i strid med GDPR eller annen personvernlovgivning i Unionen eller en medlemsstat. Qualifier kan stanse den aktuelle behandlingen til Kunden har bekreftet eller endret instruksen.

3.3 Dersom unionsretten eller en medlemsstats nasjonale rett krever at Qualifier behandler Kundedata på en annen måte, informerer Qualifier Kunden før behandlingen, med mindre denne retten forbyr det.

4. Taushetsplikt

Qualifier sørger for at alle som har tillatelse til å behandle Kundedata, har taushetsplikt, etter avtale eller lov, og bare har tilgang til det de trenger i arbeidet sitt.

5. Sikkerhet

Qualifier gjennomfører de tekniske og organisatoriske tiltakene i vedlegg 2 og opprettholder et sikkerhetsnivå som er egnet med hensyn til risikoen, slik artikkel 32 i GDPR krever. Qualifier kan endre tiltakene så lenge beskyttelsesnivået ikke senkes.

6. Underdatabehandlere

6.1 Kunden gir Qualifier generell tillatelse til å engasjere underdatabehandlere. Underdatabehandlerne som brukes på versjonsdatoen, er oppført i vedlegg 3.

6.2 Qualifier informerer Kunden om en ny eller utskiftet underdatabehandler minst 30 dager før den begynner å behandle Kundedata, ved e-post til Kundens kontaktadresse eller ved et varsel i Tjenesten, og ved å oppdatere vedlegg 3 på qualifier.ai/nb/databehandleravtale. Qualifier kan gi kortere varsel når en underdatabehandler må skiftes ut umiddelbart for å holde Tjenesten sikker eller i drift. Kunden kan fremme skriftlig innsigelse innen varselfristen på rimelig og dokumentert personverngrunnlag. Qualifier kan da velge å ikke bruke underdatabehandleren for Kundens opplysninger eller foreslå en annen løsning. Dersom Qualifier ikke gjør noen av delene innen 30 dager etter innsigelsen, kan Kunden si opp den delen av Tjenesten som ikke kan leveres uten underdatabehandleren, og får refundert forskuddsbetalte avgifter for den delen for perioden etter oppsigelsen. Dette er Kundens eneste beføyelse ved en innsigelse.

6.3 Qualifier binder hver underdatabehandler gjennom en skriftlig avtale med personvernforpliktelser som tilsvarer dem i Databehandleravtalen, og er fortsatt ansvarlig overfor Kunden for sine underdatabehandlere.

7. Overføring utenfor EU/EØS

7.1 Tjenestens servere, database og sikkerhetskopier befinner seg i EU. Enkelte underdatabehandlere, blant dem leverandørene av AI-språkmodeller, behandler opplysninger utenfor EU/EØS.

7.2 Qualifier overfører Kundedata utenfor EU/EØS bare i samsvar med kapittel V i GDPR: til et land som Europakommisjonen har truffet beslutning om at har et tilstrekkelig beskyttelsesnivå, til en mottaker i USA som er sertifisert under EU-US Data Privacy Framework, eller på grunnlag av standard personvernbestemmelser. Vedlegg 3 angir hvor hver underdatabehandler behandler opplysninger, og grunnlaget for overføringen.

8. Bistand

8.1 Registrerte. Dersom en registrert kontakter Qualifier om Kundedata, videresender Qualifier forespørselen til Kunden uten ugrunnet opphold og besvarer den ikke selv, med mindre Kunden har bedt om det. Idet det tas hensyn til behandlingens art, hjelper Qualifier Kunden med å besvare forespørsler etter kapittel III i GDPR med funksjonene i Tjenesten og, der disse ikke strekker til, med rimelig bistand.

8.2 Avmeldinger. Når en mottaker ber om ikke å bli kontaktet, stopper Qualifier videre e-poster til denne mottakeren gjennom Tjenesten. Kunden godtar at Qualifier, som selvstendig behandlingsansvarlig, beholder en sperreregistrering slik at forespørselen blir respektert.

8.3 Konsekvensvurderinger og tilsynsmyndighet. Qualifier gir Kunden den informasjonen som med rimelighet trengs for Kundens forpliktelser etter artikkel 32 til 36 i GDPR, herunder vurderinger av personvernkonsekvenser og forhåndsdrøftinger, i den grad de gjelder Tjenesten.

8.4 Kostnad. Bistand etter punkt 8.1, 8.3 og 10 som Tjenestens funksjoner og Qualifiers standarddokumentasjon ikke dekker, faktureres etter Qualifiers gjeldende timepris etter at Qualifier har opplyst Kunden om forventet kostnad. Qualifier tar ikke betalt for bistand som blir nødvendig på grunn av Qualifiers eget brudd på Databehandleravtalen.

9. Brudd på personopplysningssikkerheten

Qualifier varsler Kunden på Kundens kontaktadresse uten ugrunnet opphold, og senest innen 72 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører Kundedata. Varselet beskriver, så langt det er kjent, bruddets art, kategoriene og omtrentlig antall registrerte og registreringer av personopplysninger, de sannsynlige konsekvensene og tiltakene som er truffet eller foreslått. Qualifier supplerer med informasjon etter hvert som den blir tilgjengelig. Et varsel er ikke en erkjennelse av skyld eller ansvar.

10. Revisjon

10.1 Qualifier gjør tilgjengelig for Kunden den informasjonen som er nødvendig for å påvise at artikkel 28 i GDPR overholdes.

10.2 Kunden bruker først informasjonen etter 10.1 og Qualifiers skriftlige svar. Dersom dette ikke er tilstrekkelig til å påvise etterlevelse, kan Kunden revidere Qualifiers behandling av Kundedata, selv eller gjennom en uavhengig revisor som har taushetsplikt og ikke er en konkurrent av Qualifier, høyst én gang per år og med minst 30 dagers skriftlig varsel, med mindre en tilsynsmyndighet krever noe annet eller et brudd på personopplysningssikkerheten har inntruffet. Revisjoner skjer i arbeidstiden, må ikke forstyrre Tjenesten eller røpe andre kunders opplysninger, og bekostes av Kunden. Kunden deler revisjonsrapporten med Qualifier og behandler den konfidensielt.

11. Avtaleperiode, tilbakelevering og sletting

11.1 Databehandleravtalen gjelder så lenge Qualifier behandler Kundedata. Dersom Kunden ikke har noen løpende betalt periode, opphører avtalen når Kunden ber Qualifier om å stenge kontoen, eller når ingen av Kundens brukere har logget inn på 24 måneder.

11.2 Når avtalen opphører, velger Kunden om Kundedata skal slettes eller først utleveres i et vanlig filformat, ved å skrive til support@qualifier.ai. Qualifier gjennomfører valget innen 30 dager etter forespørselen. Dersom Kunden ikke har tatt noe valg, sletter Qualifier Kundedata senest 90 dager etter at avtalen opphørte. Kopier i sikkerhetskopier slettes automatisk når sikkerhetskopien utløper, senest 22 dager etter at sikkerhetskopien ble tatt. Dersom en sikkerhetskopi gjenopprettes, sletter Qualifier opplysningene på nytt før Tjenesten tas i bruk. Tilgangstokener og påloggingsopplysninger for kontoene Kunden har koblet til, slettes når avtalen opphører. Spor i tekniske logger slettes gjennom de automatiske lagringstidene i vedlegg 2. Sletting gjelder ikke der unionsretten eller en medlemsstats nasjonale rett krever at opplysningene oppbevares.

11.3 Punkt 11.2 gjelder ikke for opplysninger som Qualifier har som selvstendig behandlingsansvarlig etter punkt 2.3: kontaktopplysninger i yrkesrollen i Qualifiers egen database, sperreregistreringer, signalene og statistikken i punkt 2.5, Kundens kontaktpersoner og dokumentasjon som Qualifier må oppbevare etter den svenske bokføringsloven.

12. Ansvar

12.1 Hver part bærer de overtredelsesgebyrene som ilegges den.

12.2 En part som har betalt erstatning til en registrert for skade som den andre parten er ansvarlig for, kan kreve den andelen tilbake fra den andre parten, slik det følger av artikkel 82 nr. 5 i GDPR.

12.3 Kunden holder Qualifier skadesløs for krav fra registrerte, mottakere og myndigheter som skyldes Kundens instrukser, Kundens valg av mottakere, innholdet i Kundens e-poster, eller manglende behandlingsgrunnlag eller manglende informasjon til registrerte.

12.4 Ansvarsbegrensningen i de generelle vilkårene gjelder for alt Qualifiers ansvar etter Databehandleravtalen, også etter punkt 12.2 og etter enhver skadesløsholdelse i de generelle vilkårene. Den gjelder ikke ved forsett eller grov uaktsomhet.

12.5 Ingenting i Databehandleravtalen begrenser en registrerts rettigheter eller en parts ansvar overfor en tilsynsmyndighet etter GDPR.

13. Endringer, forrang, lovvalg og tvister

13.1 Qualifier kan endre Databehandleravtalen på samme måte som de generelle vilkårene. En endring kan ikke redusere beskyttelsen av Kundedata.

13.2 Dersom Databehandleravtalen og resten av avtalen er i strid med hverandre når det gjelder behandling av personopplysninger, går Databehandleravtalen foran. Punkt 6.2 gjelder uavhengig av hva de generelle vilkårene sier om tilbakebetaling. Lovvalg og tvisteløsning følger de generelle vilkårene.

Vedlegg 1. Beskrivelse av behandlingen

Vedlegg 2. Tekniske og organisatoriske tiltak

Bare tiltak som er på plass på versjonsdatoen, er oppført.

• Krypterte forbindelser (TLS) til Tjenesten. Trafikken mellom applikasjonen og databasen er kryptert.
• Databasen kan bare nås fra Qualifiers egne servere, bak en brannmur. Lesing ved feilsøking skjer med en databaserolle som bare kan lese.
• Tilgangstokener for tilkoblede e-postkontoer er kryptert med en nøkkel som oppbevares i Google Cloud Key Management Service i regionen europe-west4 (Nederland).
• Databasen sikkerhetskopieres hver natt. Kopien krypteres før den forlater databaseserveren, og nøkkelen som trengs for å lese den, oppbevares ikke på serverne. Gjenoppretting testes hvert kvartal.
• Pålogging i Tjenesten som en kundes bruker krever en administratorkonto hos Qualifier, og hver start og avslutning logges. Produksjonshemmelighetene kan bare dekrypteres med en nøkkel som én navngitt person hos Qualifier har, og med byggesystemets nøkkel.
• Hver kundes data er logisk atskilt i Tjenesten. Brukere har bare tilgang til sitt eget selskaps data.
• Pålogging skjer med en engangslenke til brukerens e-postadresse eller med brukerens Google- eller Microsoft-konto. Sesjonscookies er kryptert.
• Eksportfiler med Kundedata lagres privat og utleveres bare til påloggede brukere med tilgang.
• Lagringstider som Tjenesten bruker automatisk: besøkendes rå IP-adresser 30 dager, hendelseslogger om prospekter 90 dager, feilrapporter 14 dager, tekniske ytelsesmålinger 30 til 60 dager, historikk over endringer i poster 12 måneder, brukernes IP-historikk ved pålogging 12 måneder og sikkerhetskopier 22 dager. Applikasjonslogger på serverne overskrives fortløpende når de når en fast størrelse.
• Utsendelser pauses automatisk når bounceraten stiger. Adresser som Qualifier finner, og opplastede adresser med mindre Kunden markerer dem som pålitelige, verifiseres før den første e-posten; adresser som Kunden skriver inn eller markerer som pålitelige, brukes slik de er oppgitt.
• En forespørsel om avmelding stopper videre e-poster til mottakeren.