Databehandleravtale

Denne databehandleravtalen («Avtalen») inngås mellom verkstedet som benytter Mekassist («Behandlingsansvarlig») og Reagera AS, org.nr. 925 385 624, leverandør av Mekassist («Databehandler»). Avtalen regulerer Databehandlers behandling av personopplysninger på vegne av Behandlingsansvarlig, og er en del av vilkårene for bruk av Mekassist. Den oppfyller kravene i personvernforordningen (GDPR) artikkel 28. Behandlingsansvarlig godtar Avtalen ved registrering av konto.

1. Formål og omfang

Databehandler behandler personopplysninger utelukkende for å levere Mekassist-tjenesten til Behandlingsansvarlig — herunder verkstedsdrift, arbeidsordrer og tilbud, kundeoppfølging, fakturagrunnlag, og KI-assistert diagnose — og kun etter Behandlingsansvarliges dokumenterte instrukser, slik de uttrykkes gjennom bruken av tjenesten og denne Avtalen.

2. Varighet

Avtalen gjelder så lenge Behandlingsansvarlig har et aktivt kundeforhold til Mekassist, og opphører når kundeforholdet avsluttes, jf. punkt 8 om sletting og retur.

3. Kategorier av registrerte og opplysninger

• Registrerte: verkstedets egne kunder og kontaktpersoner, verkstedets brukere (kontoeier og mekanikere), og verkstedets ansatte i den grad verkstedet bruker HMS- og personalfunksjonene.
• Personopplysninger om kunder: navn, kontaktopplysninger (telefon, e-post), adresse, organisasjonsnummer, kjøretøyopplysninger knyttet til person, arbeidsordre-/tilbuds- og fakturagrunnlag, samt bruks- og loggdata.
• Personopplysninger om ansatte: navn, kontaktopplysninger, stilling, arbeidskontrakt (lønn, arbeidstid, oppsigelsestid), fravær, stempling, kompetanse og sertifikater, førerkort, og meldinger om avvik og uhell — kun det verkstedet selv registrerer.

Behandlingen omfatter ikke særlige kategorier av personopplysninger (sensitive opplysninger) som ledd i tjenestens formål.

4. Databehandlers plikter

• Behandle personopplysninger kun etter Behandlingsansvarliges instrukser og denne Avtalen.
• Sikre at personer med tilgang er underlagt taushetsplikt.
• Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak, jf. GDPR art. 32 (se punkt 6).
• Bistå Behandlingsansvarlig med å oppfylle plikter overfor de registrerte (innsyn, retting, sletting m.m.) og ved avvikshåndtering og personvernkonsekvensvurderinger.
• Varsle Behandlingsansvarlig uten ugrunnet opphold ved brudd på personopplysningssikkerheten.
• Ikke benytte nye underdatabehandlere uten forhåndsvarsel (se punkt 5), og gjøre tilgjengelig nødvendig dokumentasjon for å vise etterlevelse.

5. Underdatabehandlere

Behandlingsansvarlig gir Databehandler generell tillatelse til å benytte underdatabehandlere for å levere tjenesten. Alle underdatabehandlere er underlagt databehandleravtaler med tilsvarende forpliktelser, og opplysninger lagres innenfor EU/EØS eller overføres på et gyldig overføringsgrunnlag (f.eks. EUs standard personvernbestemmelser). Databehandler varsler Behandlingsansvarlig ved planlagte endringer, slik at Behandlingsansvarlig kan gjøre innsigelse. Den til enhver tid oppdaterte oversikten med navngitte underdatabehandlere oppgis på forespørsel til hei@mekassist.no.

Underdatabehandlerne brukes til følgende formål:

Kategori	Formål	Lokasjon
Drift og lagring	Hosting av applikasjon og database	EU/EØS
Betaling	Kort- og abonnementsbetaling. Kortnummer lagres aldri av Mekassist.	EU/EØS m/ standard personvernbestemmelser
KI-assistert diagnose og dokumentlesing	Mottar teknisk kjøretøy- og jobbkontekst, fritekst der telefon, e-post, fødselsnummer og kundens navn er maskert, og bilder/dokumenter verkstedet selv laster opp for tolkning — aldri kundens navn, telefon, e-post eller adresse som registrerte felt (se punkt 7).	EU/EØS eller gyldig overføringsgrunnlag
SMS-utsending	SMS til verkstedets kunder på verkstedets vegne	Norge
Nøkkelbokser	Inn-/utlevering av nøkler, når verkstedet benytter integrasjonen	Norge/EØS
Regnskap	Fakturagrunnlag og kundeopplysninger sendes til verkstedets egen regnskapskonto, kun når verkstedet kobler den på	Norge

6. Sikkerhetstiltak (art. 32)

• Kryptert overføring (TLS) og kryptert lagring av hemmeligheter.
• Streng tilgangsstyring og logging av tilgang.
• Logisk adskillelse av hvert verksteds data fra andre verksteders data (flerleietaker-isolasjon).
• Regelmessig sikkerhetskopiering med kontrollert gjenoppretting.
• Løpende oppdatering og herding av drifts­miljøet.

7. KI-analyse — hva som sendes til KI-leverandøren, og hva som holdes utenfor

Mekassist er bygget slik at identifiserende kundeopplysninger — navn, telefonnummer, e-post og adresse — aldri sendes til KI-modellen som registrerte felt. Det som behandles av modellen er teknisk kontekst om kjøretøyet og selve verkstedsspørsmålet (feilkoder, symptomer, bildata). Kundeopplysninger benyttes kun i verkstedets eget grensesnitt. Dette er et bærende prinsipp i tjenesten og kan ikke slås av per opplysning.

Fritekst: Tekst verkstedets brukere selv skriver (meldinger i chatten, titler, beskrivelser og notater på arbeidsordrer) kan inneholde personopplysninger. Før slik tekst sendes til KI-modellen maskeres telefonnummer, e-postadresser, fødselsnummer, kontonummer og kundens navn automatisk. Maskeringen er mønsterbasert og fjerner det den gjenkjenner; Behandlingsansvarlig bør likevel unngå å skrive personopplysninger i fritekst.

Opplastede bilder og dokumenter: Når verkstedet laster opp et bilde eller en PDF for tolkning (for eksempel kontrollseddel fra EU-kontroll, følgeseddel, datablad, bruksanvisning, forsikringsavtale eller arbeidskontrakt), sendes innholdet til KI-leverandøren for lesing. Slike dokumenter kan inneholde personopplysninger, som eierens navn på en kontrollseddel eller den ansattes opplysninger i en arbeidskontrakt. For PDF-er med tekstlag leser Mekassist ut teksten og maskerer fødselsnummer, kontonummer, telefonnummer, e-post og adresse før den sendes; for arbeidskontrakter sendes bare den maskerte teksten. Skannede sider og bilder kan ikke maskeres og sendes slik de er. Behandlingsansvarlig avgjør selv hva som lastes opp, og instruerer Databehandler gjennom opplastingen.

KI-leverandøren: KI-leverandøren behandler innholdet bare for å gi svaret, bruker det ikke til å trene modeller, og er underlagt databehandleravtale med Databehandler. Svarene lagres i Mekassist som del av verkstedets egne data.

8. Sletting og retur ved opphør

Ved opphør av kundeforholdet sletter eller tilbakefører Databehandler personopplysningene etter Behandlingsansvarliges valg, med mindre lagring er pålagt ved lov (f.eks. bokføringsplikt). Behandlingsansvarlig kan be om eksport av sine data før sletting.

9. Revisjon

Databehandler gjør tilgjengelig den dokumentasjon som er nødvendig for å vise at pliktene i Avtalen oppfylles, og bidrar ved revisjoner gjennomført av Behandlingsansvarlig eller en revisor utpekt av denne, innenfor rimelige rammer.

10. Endringer

Databehandler kan oppdatere Avtalen ved endringer i tjenesten, underdatabehandlere eller regelverket. Vesentlige endringer varsles til verkstedene, og gjeldende versjon er datert øverst på denne siden.

11. Kontakt

Spørsmål om databehandling rettes til hei@mekassist.no.