Databehandleravtale

Hvis denne oversettelsen og den engelske versjonen avviker fra hverandre, har den engelske versjonen forrang. Denne databehandleravtalen («Databehandleravtalen») inngås mellom Propelos Technology S.L., et spansk selskap med begrenset ansvar med registrert forretningsadresse på The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, Spania («Propelos», «vi»), og virksomheten som har godtatt våre bruksvilkår eller undertegnet en avtale med Propelos om Tjenestene («Kunden»).

Den gjelder når Propelos behandler personopplysninger på Kundens vegne ved levering av KI-boligsøk og tilknyttede tjenester («Tjenestene»): chat- og søkewidgetene på Kundens nettsted, den driftede søkesiden samt innsamling av henvendelser og levering av dem til Kunden. Den er en del av bruksvilkårene og fastsetter vilkårene som kreves etter artikkel 28 GDPR og artikkel 33 LOPDGDD. Hvis Kunden har undertegnet en separat databehandleravtale med Propelos, har den avtalen forrang.

«GDPR» betyr forordning (EU) 2016/679. «LOPDGDD» betyr den spanske organiske loven 3/2018 av 5. desember om vern av personopplysninger og garanti for digitale rettigheter. «Behandlingsansvarlig», «databehandler», «personopplysninger», «behandling», «registrert» og «brudd på personopplysningssikkerheten» har den betydningen som følger av GDPR. En «Kjøper» er en person som bruker Boligsøk på Kundens nettsted eller driftede søkeside.

For personopplysningene som beskrives i Databehandleravtalen, er Kunden behandlingsansvarlig og Propelos databehandler. Propelos er selvstendig behandlingsansvarlig bare for Kundens kontoopplysninger, som innloggingsopplysninger for Kundens ansatte og faktureringsinformasjon, som dekkes av vår personvernerklæring.

Avtalens gjenstand er behandling av Kjøperes personopplysninger slik at Propelos kan levere Tjenestene til Kunden. Behandlingen varer så lenge Kunden bruker Tjenestene, samt i perioden etter Tjenestenes opphør som beskrives i avsnitt 15, frem til opplysningene slettes.

Propelos behandler personopplysningene bare for å:

• forstå hva Kjøpere søker etter, og svare dem med boliger fra Kundens portefølje ved hjelp av KI-modeller;
• transkribere en Kjøpers tale når Kunden har aktivert talesøk;
• samle inn henvendelser gjennom henvendelsesskjemaet i Boligsøk, med eventuelle samtykker Kjøperen gir;
• levere henvendelser til Kunden via e-post og, der Kunden har konfigurert det, til Kundens CRM, webhooks eller API;
• oppbevare henvendelser og samtaler for Kunden og utarbeide bruksstatistikk for Kunden;
• holde Tjenestene sikre, forebygge misbruk og rette feil.

Registrerte: Kjøpere (potensielle boligkjøpere og leietakere som bruker Boligsøk), personer som sender en henvendelse gjennom det, og Kundens ansatte som Kunden legger inn opplysninger om i Tjenestene (for eksempel megleren som mottar henvendelser).

Personopplysninger:

• identitets- og kontaktopplysninger: navn, e-postadresse og telefonnummer;
• meldinger: det Kjøpere skriver eller sier til Boligsøk, og sammendraget av samtalen som legges ved en henvendelse;
• søkeatferd: søk, boliger som vises og klikkes på, budsjett, foretrukne områder og andre preferanser;
• samtykkeopplysninger: om Kjøperen har samtykket til markedsføring og Kundens personvernerklæring, og adressen til erklæringen som ble vist;
• tekniske opplysninger: en øktidentifikator, landet utledet fra IP-adressen, enhets- og nettlesertype, henvisende side, landingsside og kampanjeparametere.

Tjenestene er ikke utformet for å samle inn særlige kategorier av personopplysninger. En Kjøper kan likevel frivillig oppgi slike opplysninger i en melding. Propelos behandler dem da bare som en del av den meldingen.

• Kunden er ansvarlig for å ha et rettslig grunnlag for behandlingen og for å informere Kjøpere om den, særlig i sin egen personvernerklæring. Boligsøk kan lenke til Kundens personvernerklæring og be om samtykke i henvendelsesskjemaet. Kunden er ansvarlig for å konfigurere dette.
• Kundens instrukser må være i samsvar med personvernlovgivningen.
• Kunden er ansvarlig for systemene Kunden ber Propelos sende henvendelser til, som CRM-systemet, e-postadresser og webhook-endepunkter.

Propelos behandler personopplysningene bare etter Kundens dokumenterte instrukser. Bruksvilkårene, Databehandleravtalen og Kundens innstillinger i Tjenestene utgjør disse instruksene. Hvis EU-retten eller en medlemsstats lovgivning krever at Propelos behandler opplysningene på en annen måte, informerer Propelos Kunden før dette skjer, med mindre lovgivningen forbyr det. Propelos informerer Kunden hvis en instruks etter Propelos' vurdering bryter med personvernlovgivningen.

Propelos sørger for at alle som gis tillatelse til å behandle personopplysningene, er bundet av taushetsplikt etter avtale eller lov, og bare har tilgang til det arbeidet krever.

Propelos gjennomfører egnede tekniske og organisatoriske tiltak etter artikkel 32 GDPR, inkludert:

• kryptering under overføring: Tjenestene leveres over HTTPS, og forbindelser til databasen vår krypteres med TLS;
• CRM-innloggingsopplysninger og hemmeligheter for signering av webhooks krypteres ved lagring med AES-256-GCM, med en nøkkel som oppbevares atskilt fra databasen;
• passord lagres bare som bcrypt-hasher, og innloggingsøkter bare som hasher av økttokenet. Øktene utløper etter 24 timer;
• tilgangskontroll: hver kundes brukere kan bare få tilgang til den kundens opplysninger, fordi kontoen hentes fra innloggingsøkten på serveren vår og aldri fra forespørselen. Administrativ tilgang er begrenset til autoriserte ansatte i Propelos;
• widgetens tilgangstokener signeres, knyttes til Kundens nettadresse og utløper etter 24 timer;
• begrensninger på antall forespørsler til offentlige endepunkter og ved innlogging;
• feilrapporter filtreres for å fjerne kontaktopplysninger og meldingsinnhold før de forlater serverne våre.

Propelos kan oppdatere disse tiltakene så lenge det samlede sikkerhetsnivået ikke reduseres.

Kunden gir Propelos en generell tillatelse til å bruke underdatabehandlere. Propelos bruker følgende underdatabehandlere for Tjenestene:

• Replit (USA): drifter applikasjonen på Google Cloud og videresender forespørslene våre til OpenAI og OpenRouter
• Neon (USA): driver databasen vår, levert gjennom Replit på Amazon Web Services (us-east-1)
• OpenAI (USA): KI-modeller som forstår søk, skriver svar og sammendrag av henvendelser, transkriberer tale og slår opp steder en kjøper nevner; brukes også til rapporter om KI-synlighet
• OpenRouter (USA): ruter enkelte KI-forespørsler til Googles Gemini-modeller og Jev-modellen fra TypeSafe AI
• Google (USA): Gemini-KI-modeller som nås gjennom OpenRouter (og direkte for rapporter om KI-synlighet), samt Google Maps Platform, som bare mottar navnet på et sted en kjøper nevner
• TypeSafe AI (USA): KI-modellen Jev, som nås gjennom OpenRouter og rangerer og klassifiserer søkeresultater
• Resend (USA): sender e-postene våre, inkludert kontomeldinger og varsler om henvendelser til meglerforetak
• Sentry (Tyskland, EU): feilovervåking; kontaktopplysninger og meldingsinnhold filtreres bort før en feilrapport sendes

Propelos varsler Kunden via e-post minst 30 dager før en underdatabehandler legges til eller erstattes. Kunden kan protestere på rimelig personvernfaglig grunnlag innen denne perioden. Hvis vi ikke kan løse innsigelsen, kan Kunden si opp abonnementet før endringen trer i kraft. Propelos pålegger hver underdatabehandler de samme personvernforpliktelsene som i Databehandleravtalen gjennom en skriftlig avtale, og er fortsatt ansvarlig overfor Kunden for at de oppfylles.

Noen underdatabehandlere behandler personopplysninger utenfor Det europeiske økonomiske samarbeidsområdet, hovedsakelig i USA. Propelos foretar disse overføringene bare med et beskyttelsestiltak som er anerkjent etter GDPR: standard personvernbestemmelser vedtatt av Europakommisjonen (beslutning (EU) 2021/914) eller, hvis mottakeren er sertifisert, EU-US Data Privacy Framework. Kunden godkjenner disse overføringene.

• Med hensyn til behandlingens art hjelper Propelos Kunden med å besvare forespørsler fra Kjøpere som utøver rettighetene sine (innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse). Hvis en Kjøper kontakter Propelos direkte, videresender vi forespørselen til Kunden uten ugrunnet opphold og svarer ikke selv med mindre Kunden ber oss om det.
• Propelos hjelper Kunden med å oppfylle forpliktelsene knyttet til sikkerhet, varsling om brudd på personopplysningssikkerheten, vurderinger av personvernkonsekvenser og forhåndsdrøftelser med tilsynsmyndigheten, med hensyn til informasjonen Propelos har tilgjengelig.

Propelos varsler Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører Kundens opplysninger, og tar sikte på å gjøre dette innen 72 timer. Varselet beskriver, så langt det er kjent på det tidspunktet: bruddets art, kategoriene av og det omtrentlige antallet berørte registrerte og personopplysningsposter, de sannsynlige konsekvensene, tiltak som er gjennomført eller foreslått, og et kontaktpunkt. Propelos supplerer med informasjon etter hvert som den blir tilgjengelig.

Når Kundens abonnement opphører, oppbevarer Propelos personopplysningene i 90 dager slik at Kunden kan starte Tjenestene igjen eller be om en kopi, og sletter dem deretter, med mindre EU-retten eller spansk lov krever at Propelos beholder dem. I løpet av disse 90 dagene kan Kunden be oss tilbakelevere henvendelsene i et vanlig format (CSV) eller slette opplysningene tidligere. Kopier i leverandørenes sikkerhetskopisystemer slettes når lagringstiden for disse sikkerhetskopiene utløper.

Propelos stiller informasjonen som er nødvendig for å påvise etterlevelse av artikkel 28 GDPR, til rådighet for Kunden og tillater revisjoner, inkludert inspeksjoner, utført av Kunden eller en revisor Kunden utpeker. Kunden gir skriftlig varsel minst 30 dager i forveien. Revisjoner gjennomføres i ordinær arbeidstid, høyst én gang i året (med mindre en tilsynsmyndighet krever det eller det har skjedd et brudd på personopplysningssikkerheten), under taushetsplikt og på Kundens bekostning. Propelos kan først svare ved å legge frem dokumentasjon når dette er tilstrekkelig for å påvise etterlevelse.

Hver parts ansvar etter Databehandleravtalen er underlagt begrensningene i bruksvilkårene, unntatt der loven ikke tillater ansvarsbegrensning. Hvis Databehandleravtalen og bruksvilkårene er i strid med hverandre når det gjelder behandling av personopplysninger, har Databehandleravtalen forrang.

Databehandleravtalen er underlagt spansk lov. Tvister som oppstår som følge av eller i forbindelse med den, hører utelukkende under domstolene i Málaga, Spania.

For spørsmål om Databehandleravtalen eller for å utøve Kundens rettigheter etter den: privacy@propelos.com

Adresse: Propelos Technology S.L., The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, Spania

Skatteidentifikasjonsnummer (NIF): B27624980

Registrert i handelsregisteret i Málaga, registerblad MA-197845 (elektronisk bind og folio), IRUS 1000471597682