Databehandleravtale

Denne databehandleravtalen («Avtalen») inngås mellom verkstedet som benytter Mekassist («Behandlingsansvarlig») og Reagera AS, org.nr. 925 385 624, leverandør av Mekassist («Databehandler»). Avtalen regulerer Databehandlers behandling av personopplysninger på vegne av Behandlingsansvarlig, og er en del av vilkårene for bruk av Mekassist. Den oppfyller kravene i personvernforordningen (GDPR) artikkel 28. Behandlingsansvarlig godtar Avtalen ved registrering av konto.

1. Formål og omfang

Databehandler behandler personopplysninger utelukkende for å levere Mekassist-tjenesten til Behandlingsansvarlig — herunder verkstedsdrift, arbeidsordrer og tilbud, kundeoppfølging, fakturagrunnlag, og KI-assistert diagnose — og kun etter Behandlingsansvarliges dokumenterte instrukser, slik de uttrykkes gjennom bruken av tjenesten og denne Avtalen.

2. Varighet

Avtalen gjelder så lenge Behandlingsansvarlig har et aktivt kundeforhold til Mekassist, og opphører når kundeforholdet avsluttes, jf. punkt 8 om sletting og retur.

3. Kategorier av registrerte og opplysninger

• Registrerte: verkstedets egne kunder og kontaktpersoner, samt verkstedets brukere (kontoeier og mekanikere).
• Personopplysninger: navn, kontaktopplysninger (telefon, e-post), adresse, organisasjonsnummer, kjøretøyopplysninger knyttet til person, arbeidsordre-/tilbuds- og fakturagrunnlag, samt bruks- og loggdata.

Behandlingen omfatter ikke særlige kategorier av personopplysninger (sensitive opplysninger) som ledd i tjenestens formål.

4. Databehandlers plikter

• Behandle personopplysninger kun etter Behandlingsansvarliges instrukser og denne Avtalen.
• Sikre at personer med tilgang er underlagt taushetsplikt.
• Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak, jf. GDPR art. 32 (se punkt 6).
• Bistå Behandlingsansvarlig med å oppfylle plikter overfor de registrerte (innsyn, retting, sletting m.m.) og ved avvikshåndtering og personvernkonsekvensvurderinger.
• Varsle Behandlingsansvarlig uten ugrunnet opphold ved brudd på personopplysningssikkerheten.
• Ikke benytte nye underdatabehandlere uten forhåndsvarsel (se punkt 5), og gjøre tilgjengelig nødvendig dokumentasjon for å vise etterlevelse.

5. Underdatabehandlere

Behandlingsansvarlig gir Databehandler generell tillatelse til å benytte underdatabehandlere for å levere tjenesten. Alle underdatabehandlere er underlagt databehandleravtaler med tilsvarende forpliktelser, og opplysninger lagres innenfor EU/EØS eller overføres på et gyldig overføringsgrunnlag (f.eks. EUs standard personvernbestemmelser). Databehandler varsler Behandlingsansvarlig ved planlagte endringer, slik at Behandlingsansvarlig kan gjøre innsigelse. Den til enhver tid oppdaterte oversikten med navngitte underdatabehandlere oppgis på forespørsel til hei@mekassist.no.

Underdatabehandlerne brukes til følgende formål:

Kategori	Formål	Lokasjon
Drift og lagring	Hosting av applikasjon og database	EU/EØS
Betaling	Kort- og abonnementsbetaling. Kortnummer lagres aldri av Mekassist.	EU/EØS m/ standard personvernbestemmelser
KI-assistert diagnose	Mottar kun teknisk kjøretøy- og jobbkontekst — aldri kundens navn, telefon, e-post eller adresse (se punkt 7).	EU/EØS eller gyldig overføringsgrunnlag
SMS-utsending	SMS til verkstedets kunder på verkstedets vegne	Norge
Nøkkelbokser	Inn-/utlevering av nøkler, når verkstedet benytter integrasjonen	Norge/EØS
Regnskap	Fakturagrunnlag og kundeopplysninger sendes til verkstedets egen regnskapskonto, kun når verkstedet kobler den på	Norge

6. Sikkerhetstiltak (art. 32)

• Kryptert overføring (TLS) og kryptert lagring av hemmeligheter.
• Streng tilgangsstyring og logging av tilgang.
• Logisk adskillelse av hvert verksteds data fra andre verksteders data (flerleietaker-isolasjon).
• Regelmessig sikkerhetskopiering med kontrollert gjenoppretting.
• Løpende oppdatering og herding av drifts­miljøet.

7. KI-analyse — kundedata holdes utenfor

Mekassist er bygget slik at identifiserende kundeopplysninger — navn, telefonnummer, e-post og adresse — aldri sendes til KI-modellen. Det som behandles av modellen er teknisk kontekst om kjøretøyet og selve verkstedsspørsmålet (feilkoder, symptomer, bildata). Kundeopplysninger benyttes kun i verkstedets eget grensesnitt, ikke i KI-behandlingen. Dette er et bærende prinsipp i tjenesten og kan ikke slås av per opplysning.

8. Sletting og retur ved opphør

Ved opphør av kundeforholdet sletter eller tilbakefører Databehandler personopplysningene etter Behandlingsansvarliges valg, med mindre lagring er pålagt ved lov (f.eks. bokføringsplikt). Behandlingsansvarlig kan be om eksport av sine data før sletting.

9. Revisjon

Databehandler gjør tilgjengelig den dokumentasjon som er nødvendig for å vise at pliktene i Avtalen oppfylles, og bidrar ved revisjoner gjennomført av Behandlingsansvarlig eller en revisor utpekt av denne, innenfor rimelige rammer.

10. Endringer

Databehandler kan oppdatere Avtalen ved endringer i tjenesten, underdatabehandlere eller regelverket. Vesentlige endringer varsles til verkstedene, og gjeldende versjon er datert øverst på denne siden.

11. Kontakt

Spørsmål om databehandling rettes til hei@mekassist.no.