QR Code AI databehandleravtale

DATABEHANDLERAVTALE (DBA)

Sist oppdatert 2. mars 2026

Denne databehandleravtalen («DBA») inngår i Brukervilkårene («Avtalen») mellom Supernovae, et selskap registrert i Frankrike på adressen 27 Rue Wurtz, Juvisy-sur-Orge 91260, med merverdiavgiftsnummer FR67948452891 («Databehandleren», «vi», «oss»), og virksomheten som godtar denne DBA-en («Den behandlingsansvarlige», «du»), samlet kalt «Partene».

Denne DBA-en gjelder når vi behandler personopplysninger på dine vegne i forbindelse med QR Code AI-tjenestene våre, også via API-et.

1. DEFINISJONER

• «Personopplysninger» betyr enhver opplysning om en identifisert eller identifiserbar fysisk person, som definert i GDPR artikkel 4 nr. 1.
• «Behandling» betyr enhver operasjon eller rekke av operasjoner som gjøres med Personopplysninger, som definert i GDPR artikkel 4 nr. 2.
• «Den registrerte» betyr den identifiserte eller identifiserbare fysiske personen som Personopplysningene gjelder.
• «Underbehandler» betyr enhver tredjepart som Databehandleren engasjerer for å behandle Personopplysninger på vegne av Den behandlingsansvarlige.
• «GDPR» betyr europaparlaments- og rådsforordning (EU) 2016/679.
• «UK GDPR» betyr den britiske personvernforordningen slik den gjelder i britisk rett, lest i sammenheng med Data Protection Act 2018.
• «SCC-er» betyr standard personvernbestemmelser godkjent av Europakommisjonen for overføring av Personopplysninger til tredjeland.
• «Personopplysningsbrudd» betyr et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, uautorisert utlevering av eller tilgang til Personopplysninger.

2. VIRKEOMRÅDE OG ROLLER

2.1 Behandlingsansvarlig og databehandler

I denne DBA-en gjelder følgende:

• Du (Den behandlingsansvarlige): Du bestemmer formålene med og midlene for Behandlingen av Personopplysninger når du bruker Tjenestene våre, særlig når du bruker API-et vårt til å generere QR-koder for dine egne kunder eller integrerer Tjenestene i produktene dine.
• Vi (Databehandleren): Vi behandler Personopplysninger på dine vegne etter dine instrukser, som beskrevet i denne DBA-en og Avtalen.

2.2 Når denne DBA-en gjelder

Denne DBA-en gjelder når:

• Du bruker QR Code AI-API-et til å generere QR-koder som behandler sluttbrukernes data (for eksempel URL-er med personopplysninger, vCard-data eller kontaktopplysninger kodet inn i QR-koder).
• Du bruker QR Code AIs sporings- og analysefunksjoner som samler inn skanningsdata fra sluttbrukerne dine.
• Vi ellers behandler Personopplysninger på dine vegne som databehandler.

Når du bruker QR Code AI som enkeltperson til egne formål, er vi selvstendig behandlingsansvarlig, og Personvernerklæringen vår regulerer databehandlingen.

3. OPPLYSNINGER OM BEHANDLINGEN

3.1 Gjenstand og varighet

Vi behandler Personopplysninger i Avtalens løpetid for å levere QR Code AI-tjenestene, herunder generering, sporing og analyse av QR-koder og tilknyttede funksjoner.

3.2 Behandlingens art og formål

• Generering av QR-koder basert på data fra Den behandlingsansvarlige
• Sporing av QR-kodeskanninger og innsamling av analysedata
• Lagring av QR-kodeinnstillinger og tilhørende metadata
• Behandling av forespørsler om KI-genererte kunstneriske QR-koder
• Levering av rapporter og analyseoversikter

3.3 Typer Personopplysninger

Personopplysningene som behandles, kan omfatte:

• Kontaktopplysninger (navn, e-postadresser, telefonnumre) kodet inn i QR-koder
• URL-er og nettadresser
• Posisjonsdata fra QR-kodeskanninger
• Enhetsopplysninger og IP-adresser fra QR-kodeskanninger
• Tekstinstrukser og bilder som gis for KI-generering av QR-koder
• Andre data Den behandlingsansvarlige velger å kode inn i QR-koder

3.4 Kategorier av registrerte

• Sluttbrukere som skanner QR-koder opprettet av Den behandlingsansvarlige
• Personer med kontaktopplysninger som er kodet inn i QR-koder
• Brukere av Den behandlingsansvarliges produkter eller tjenester som samhandler med QR-koder

4. DATABEHANDLERENS FORPLIKTELSER

4.1 Instrukser for Behandlingen

Vi behandler Personopplysninger bare etter dine dokumenterte instrukser, med mindre EU-retten eller nasjonal rett i en medlemsstat som vi er underlagt, krever det. I så fall informerer vi deg om lovkravet før Behandlingen, med mindre loven forbyr slik informasjon av hensyn til viktige allmenne interesser.

Vi informerer deg umiddelbart hvis vi mener at en instruks er i strid med GDPR eller andre gjeldende personvernbestemmelser i EU-retten eller i en medlemsstats rett.

4.2 Fortrolighet

Vi sørger for at personer som er autorisert til å behandle Personopplysninger, har forpliktet seg til fortrolighet eller er underlagt en egnet lovbestemt taushetsplikt.

4.3 Sikkerhetstiltak

Vi gjennomfører egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er tilpasset risikoen, herunder:

• Kryptering av Personopplysninger under overføring (TLS/HTTPS), med kryptering av sensitive opplysninger ved lagring
• Tilgangskontroll og rollebasert autentisering for interne systemer
• Regelmessige sikkerhetsvurderinger og sårbarhetsskanninger
• Infrastruktur driftet av Scaleway og DigitalOcean, med sikkerhets- og etterlevelsestiltak som avhenger av leverandøren og hostingtjenesten
• DDoS-beskyttelse og brannmur for nettapplikasjoner (Cloudflare)
• Regelmessige sikkerhetskopier med kryptert lagring
• Logging og overvåking av tilgang til Personopplysninger

4.4 Underbehandlere

Vi bruker underbehandlerne som er oppført på siden Underbehandlere. Vi vil aktivt varsle deg skriftlig om enhver planlagt tilføyelse eller utskifting av en underbehandler og gi deg 30 dager fra varselet til å protestere før endringen trer i kraft. Du kan protestere ved å kontakte oss på [email protected] innen denne fristen. Hvis du protesterer og vi ikke med rimelighet kan imøtekomme innsigelsen, kan hver av partene avslutte den berørte delen av Tjenestene.

Vi engasjerer en underbehandler til å behandle Personopplysninger på dine vegne bare i henhold til en skriftlig avtale, herunder gjeldende elektroniske vilkår, som pålegger de personvernforpliktelsene GDPR artikkel 28 nr. 4 krever. Vi er fortsatt ansvarlige for underbehandlerne våre som fastsatt i denne artikkelen.

4.5 De registrertes rettigheter

Vi bistår deg med å besvare forespørsler fra registrerte som utøver rettighetene sine etter gjeldende personvernlovgivning (innsyn, retting, sletting, begrensning, dataportabilitet og protest). Hvis vi mottar en forespørsel direkte fra en registrert, henviser vi vedkommende til deg uten opphold, med mindre du har gitt andre instrukser.

4.6 Bistand til etterlevelse

Vi bistår deg med å sikre overholdelse av forpliktelsene dine etter GDPR artikkel 32 til 36, under hensyn til Behandlingens art og opplysningene vi har tilgjengelig.

5. VARSLING OM PERSONOPPLYSNINGSBRUDD

5.1 Frist for varsling

Vi varsler deg om et Personopplysningsbrudd uten ugrunnet opphold, og senest innen 72 timer etter at vi ble kjent med bruddet. Varselet sendes til e-postadressen som er knyttet til kontoen din.

5.2 Varselets innhold

I den grad opplysningene er tilgjengelige, skal varselet inneholde:

• En beskrivelse av arten av Personopplysningsbruddet, herunder kategoriene og det omtrentlige antallet registrerte og oppføringer som er berørt.
• Navn og kontaktopplysninger til kontaktpersonen vår for personvern.
• En beskrivelse av de sannsynlige konsekvensene av Personopplysningsbruddet.
• En beskrivelse av tiltakene som er truffet eller foreslått for å håndtere Personopplysningsbruddet, herunder tiltak for å begrense mulige skadevirkninger.

5.3 Løpende samarbeid

Vi samarbeider med deg og yter rimelig bistand til å undersøke, begrense og rette opp ethvert Personopplysningsbrudd og til å sende varsler til tilsynsmyndigheter eller registrerte som du er pliktig til å sende.

6. INTERNASJONALE DATAOVERFØRINGER

6.1 Hvor dataene befinner seg

Personopplysninger lagres og behandles hovedsakelig i EU:

• Frankrike (EU) via Scaleway
• Nederland (EU) via DigitalOcean

6.2 Overføringer utenfor EU/EØS

Noen av underbehandlerne våre befinner seg utenfor EU/EØS, hovedsakelig i USA. For disse overføringene benytter vi:

• EU-US Data Privacy Framework: Der det er relevant, for overføringer til USA-baserte leverandører som er sertifisert under rammeverket.
• Standard personvernbestemmelser (SCC-er): Vi innlemmer SCC-ene som er godkjent av Europakommisjonen (Kommisjonens gjennomføringsbeslutning (EU) 2021/914) i avtalene våre med underbehandlere utenfor EU/EØS der Data Privacy Framework ikke gjelder.

6.3 Vurdering av overføringsrisiko

Vi vurderer risikoen ved overføringer til tredjeland og gjennomfører supplerende tiltak der det er nødvendig for å sikre et tilstrekkelig personvernnivå.

7. REVISJONER OG INSPEKSJONER

7.1 Revisjonsrett

Du har rett til å revidere vår etterlevelse av denne DBA-en. Vi gjør alle opplysninger som er nødvendige for å påvise etterlevelse, tilgjengelige for deg og muliggjør og bidrar til revisjoner, herunder inspeksjoner, som utføres av deg eller en revisor du har gitt fullmakt.

7.2 Revisjonsprosess

Følgende ordninger gjelder for revisjoner bare i den utstrekning de ikke begrenser rettigheter eller forpliktelser etter gjeldende personvernlovgivning:

• Du må gi skriftlig varsel minst 30 dager før en revisjon.
• Revisjoner kan gjennomføres høyst én gang i året, med mindre en tilsynsmyndighet krever det eller det har skjedd et Personopplysningsbrudd.
• Revisjoner må gjennomføres i vanlig arbeidstid og må ikke forstyrre driften vår på en urimelig måte.
• Du dekker kostnadene ved revisjonen, med mindre den avdekker et vesentlig brudd på denne DBA-en.
• Fortrolige opplysninger om våre andre kunder må ikke eksponeres under revisjonen.

8. LAGRING OG SLETTING AV DATA

8.1 I Avtalens løpetid

Vi oppbevarer Personopplysninger i Avtalens løpetid i den utstrekning det er nødvendig for å levere Tjenestene.

8.2 Ved opphør

Når Avtalen opphører, eller på din skriftlige forespørsel:

• Sletter vi etter ditt valg Personopplysningene eller returnerer dem til deg og sletter de gjenværende kopiene fra våre aktive systemer innen 30 dager.
• Slettes Personopplysninger i sikkerhetskopiarkiver innen 6 måneder. Frem til da er de beskyttet og brukes ikke til andre formål, med mindre gjeldende lov krever noe annet.
• Kan vi oppbevare Personopplysninger i den utstrekning gjeldende lov krever det (for eksempel skatte- og regnskapsplikter). I så fall isolerer og beskytter vi opplysningene og begrenser videre Behandling til det loven krever.

8.3 Bekreftelse

På forespørsel gir vi deg skriftlig bekreftelse på at Personopplysningene er slettet i samsvar med dette punktet.

9. ANSVAR

Hver parts ansvar etter denne DBA-en er underlagt ansvarsbegrensningene i Avtalen. Ingenting i denne DBA-en begrenser noen av partenes ansvar overfor registrerte eller tilsynsmyndigheter etter gjeldende personvernlovgivning.

10. LOVVALG

Denne DBA-en er underlagt fransk rett. GDPR og UK GDPR gjelder i den utstrekning Behandlingen faller innenfor deres respektive rettslige virkeområder. Tvister som oppstår som følge av denne DBA-en, skal løses i samsvar med Avtalens bestemmelser om tvisteløsning.

11. SLIK INNGÅS DENNE DBA-EN

Denne DBA-en er innlemmet i og utgjør en del av Brukervilkårene. Ved å bruke QR Code AI-tjenestene godtar du denne DBA-en.

Hvis du trenger en separat signert kopi av DBA-en til arkivet ditt, kan du kontakte oss på [email protected]. Vi gir deg en kopi innen 10 virkedager.

12. KONTAKT

Ved spørsmål om denne DBA-en eller vår databehandlingspraksis:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Frankrike [email protected]