Databehandleravtale

1. Roller

Bedriften er behandlingsansvarlig for personopplysningene som kommer fra kontoene og skjemaene den kobler til Fetch. Oscar Creative AS, org.nr. 935 716 160, er databehandler og behandler opplysningene bare etter bedriftens instrukser, slik de følger av denne avtalen og av hvordan bedriften bruker portalen.

2. Formål

Opplysningene brukes bare til å levere Fetch til bedriften: vise tall og resultater, lage månedsrapporter, varsle, publisere innlegg og svar som bedriften ber om, og hjelpe bedriften med å følge opp henvendelser. De brukes ikke til annonsering, selges ikke og brukes ikke til å trene KI-modeller.

3. Hvilke opplysninger

• Brukerne i portalen: navn, e-post og hva de har gjort i portalen (logg).
• Henvendelser bedriften fører eller får fra skjema på nettsiden: navn, telefon eller e-post og meldingen, hvis det er fylt inn.
• Google-anmeldelser: navnet anmelderen viser offentlig, anmeldelsen og svaret.
• Kommentarer og respons på innlegg på Facebook og Instagram, som antall, uten navn.
• Tall fra nettsiden, annonsene og nettbutikken er samlet, uten navn på besøkende eller kunder i butikken.

4. Sikkerhet

Opplysningene lagres i EU. Tilgangsnøkler til kontoene lagres kryptert. Hver bruker ser bare bedriftene de har tilgang til. Ansatte i Oscar Creative logger inn med to steg. Viktige hendelser logges.

5. Underleverandører

Bedriften godtar at vi bruker disse underleverandørene:

• Supabase: Database, innlogging og filer. EU (Frankfurt).
• Vercel: Drift av nettsiden og serverfunksjoner. EU (Frankfurt), selskap i USA.
• Resend: Utsending av e-post. EU, selskap i USA.
• Anthropic: KI til Spør Oscar, oppsummeringer og forslag til tekster. USA.
• OpenAI, Google og Perplexity: KI-assistenter i AI-synlighet (bare spørsmål om bransjen, ingen personopplysninger). USA.

Overføring til land utenfor EU og EØS skjer på grunnlag av EUs standard personvernbestemmelser eller rammeverket for overføring mellom EU og USA. Får vi nye underleverandører, sier vi fra minst 30 dager før, så bedriften kan si nei og avslutte avtalen.

6. Taushetsplikt

Alle som behandler opplysningene hos oss, har taushetsplikt.

7. Bistand og avvik

Vi hjelper bedriften med å svare på krav fra de registrerte, som innsyn og sletting, og med vurderinger av personvernkonsekvenser. Oppdager vi et brudd på personopplysningssikkerheten, sier vi fra til bedriften uten ugrunnet opphold, og senest innen 48 timer.

8. Lagring og sletting

Tall og rapporter slettes tre måneder etter at avtalen er avsluttet, og tre måneder etter at en prøveperiode sluttet uten at det ble valgt pakke. Logg og meldinger slettes etter seks måneder. Navn og kontaktinfo på henvendelser slettes seks måneder etter at henvendelsen er avklart. Mer om lagringstid står i personvernerklæringen.

9. Kontroll

Bedriften kan be om dokumentasjon på at avtalen følges. Spørsmål sendes til Martin Eriksen på martin@oscarcreative.no.