QR Code AI databehandleravtale

DATABEHANDLERAVTALE (DPA)

Sist oppdatert 2. mars 2026

Denne databehandleravtalen ("DPA") er en del av Vilkår for bruk ("Avtalen") mellom Supernovae, et selskap registrert i Frankrike på 27 Rue Wurtz, Juvisy-sur-Orge 91260, MVA-nummer FR67948452891 ("Databehandler", "vi", "oss"), og enheten som godtar denne DPA-en ("Behandlingsansvarlig", "du"), samlet omtalt som "Partene".

Denne DPA-en gjelder når vi behandler personopplysninger på dine vegne i forbindelse med våre QR Code AI-tjenester, inkludert via API-et.

1. DEFINISJONER

• "Personopplysninger" betyr enhver informasjon som gjelder en identifisert eller identifiserbar fysisk person, slik det er definert i artikkel 4(1) i GDPR.
• "Behandling" betyr enhver operasjon eller rekke av operasjoner som utføres på Personopplysninger, slik det er definert i artikkel 4(2) i GDPR.
• "Registrert" betyr den identifiserte eller identifiserbare fysiske personen som Personopplysningene gjelder.
• "Underleverandør" betyr enhver tredjepart som Databehandler engasjerer for å behandle Personopplysninger på vegne av Behandlingsansvarlig.
• "GDPR" betyr forordning (EU) 2016/679 fra Europaparlamentet og Rådet.
• "UK GDPR" betyr GDPR slik den er innarbeidet i britisk lov gjennom Data Protection Act 2018.
• "SCC-er" betyr standard kontraktsklausuler godkjent av Europakommisjonen for overføring av Personopplysninger til tredjeland.
• "Databrudd" betyr et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, uautorisert utlevering av eller tilgang til Personopplysninger.

2. OMFANG OG ROLLER

2.1 Behandlingsansvarlig og databehandler

For formålene med denne DPA-en:

• Du (Behandlingsansvarlig): Du bestemmer formålene med og midlene for behandling av Personopplysninger når du bruker Tjenestene våre, særlig når du bruker API-et vårt til å generere QR-koder for dine egne kunder eller integrerer Tjenestene våre i produktene dine.
• Vi (Databehandler): Vi behandler Personopplysninger på dine vegne i henhold til dine instruksjoner, slik det er beskrevet i denne DPA-en og Avtalen.

2.2 Når denne DPA-en gjelder

Denne DPA-en gjelder når:

• Du bruker QR Code AI API til å generere QR-koder som behandler data om sluttbrukerne dine (f.eks. URL-er som inneholder personopplysninger, vCard-data, kontaktopplysninger kodet i QR-koder).
• Du bruker QR Code AI sine sporings- og analysefunksjoner som samler inn skannedata fra sluttbrukerne dine.
• Enhver annen situasjon der vi behandler Personopplysninger på dine vegne som databehandler.

Når du bruker QR Code AI som privatperson for egne formål, opptrer vi som en uavhengig behandlingsansvarlig, og vår Personvernerklæring regulerer behandlingen.

3. DETALJER OM DATABEHANDLING

3.1 Gjenstand og varighet

Vi behandler Personopplysninger i Avtalens varighet for å levere QR Code AI-tjenestene, inkludert generering av QR-koder, sporing, analyse og tilhørende funksjonalitet.

3.2 Behandlingens art og formål

• Generere QR-koder basert på inndata levert av Behandlingsansvarlig
• Spore QR-kodeskann og samle inn analysedata
• Lagre QR-kodekonfigurasjoner og tilhørende metadata
• Behandle forespørsler om KI-generert kunstnerisk QR-kode
• Levere rapporter og analysedashbord

3.3 Typer personopplysninger

Typene Personopplysninger som kan behandles, kan omfatte:

• Kontaktinformasjon (navn, e-postadresser, telefonnumre) kodet i QR-koder
• URL-er og nettadresser
• Posisjonsdata fra QR-kodeskann
• Enhetsinformasjon og IP-adresser fra QR-kodeskann
• Tekstprompter og bilder som gis for KI-generering av QR-koder
• Andre data som Behandlingsansvarlig velger å kode i QR-koder

3.4 Kategorier av registrerte

• Sluttbrukere som skanner QR-koder opprettet av Behandlingsansvarlig
• Personer hvis kontaktinformasjon er kodet i QR-koder
• Brukere av Behandlingsansvarlig sine produkter eller tjenester som samhandler med QR-koder

4. DATABEHANDLERENS FORPLIKTELSER

4.1 Instruksjoner for behandling

Vi vil behandle Personopplysninger kun etter dine dokumenterte instruksjoner, med mindre vi er pålagt å gjøre det etter EU-rett eller medlemsstatsrett som vi er underlagt. I så fall vil vi informere deg om det rettslige kravet før behandlingen, med mindre loven forbyr slik informasjon av viktige hensyn til allmennhetens interesse.

4.2 Konfidensialitet

Vi sørger for at personer som er autorisert til å behandle Personopplysninger, har forpliktet seg til konfidensialitet eller er underlagt en passende lovpålagt taushetsplikt.

4.3 Sikkerhetstiltak

Vi iverksetter egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som står i forhold til risikoen, inkludert:

• Kryptering av Personopplysninger under overføring (TLS/HTTPS) og i lagring
• Tilgangskontroller og rollebasert autentisering for interne systemer
• Regelmessige sikkerhetsvurderinger og sårbarhetsskanning
• Infrastruktur driftet hos leverandører sertifisert etter ISO 27001
• DDoS-beskyttelse og brannmur for webapplikasjoner (Cloudflare)
• Regelmessige sikkerhetskopier med kryptert lagring
• Logging og overvåking av tilgang til Personopplysninger

4.4 Underleverandører

Vi bruker underleverandørene som er oppført på vår side for underleverandører. Vi varsler deg om planlagte endringer i underleverandører ved å oppdatere den siden. Du kan protestere mot en ny underleverandør ved å kontakte oss på [email protected] innen 30 dager etter oppdateringen. Hvis du protesterer og vi ikke med rimelighet kan imøtekomme protesten din, kan hver av partene si opp den berørte delen av Tjenestene.

Vi inngår skriftlige avtaler med alle underleverandører som pålegger personvernforpliktelser som ikke er mindre beskyttende enn de som følger av denne DPA-en.

4.5 Rettigheter for registrerte

Vi vil bistå deg med å svare på forespørsler fra Registrerte som utøver sine rettigheter etter gjeldende personvernlovgivning (innsyn, retting, sletting, begrensning, dataportabilitet, protest). Hvis vi mottar en forespørsel direkte fra en Registrert, vil vi uten ugrunnet opphold henvise vedkommende til deg, med mindre vi får andre instruksjoner.

4.6 Bistand til etterlevelse

Vi vil bistå deg med å sikre etterlevelse av dine forpliktelser etter artiklene 32 til 36 i GDPR, med hensyn til behandlingens art og informasjonen som er tilgjengelig for oss.

5. VARSLING OM DATABRUDD

5.1 Varslingsfrist

Vi vil varsle deg om et Databrudd uten ugrunnet opphold, og uansett innen 72 timer etter at vi ble kjent med bruddet. Varsling sendes til e-postadressen som er knyttet til kontoen din.

5.2 Innhold i varslingen

Varslingen vil, i den grad informasjonen er tilgjengelig, inkludere:

• En beskrivelse av Databruddets art, inkludert kategoriene og omtrentlig antall Registrerte og berørte poster.
• Navn og kontaktopplysninger til vårt kontaktpunkt for personvern.
• En beskrivelse av de sannsynlige konsekvensene av Databruddet.
• En beskrivelse av tiltakene som er iverksatt eller foreslått for å håndtere Databruddet, inkludert tiltak for å begrense mulige negative virkninger.

5.3 Løpende samarbeid

Vi vil samarbeide med deg og gi rimelig bistand til å undersøke, begrense og utbedre ethvert Databrudd, samt ved varsling til tilsynsmyndigheter eller Registrerte som du er pålagt å gjennomføre.

6. INTERNASJONALE DATAOVERFØRINGER

6.1 Datalokasjon

Personopplysninger lagres og behandles primært i Den europeiske union:

• Frankrike (EU) via Scaleway
• Nederland (EU) via DigitalOcean

6.2 Overføringer utenfor EU/EØS

Noen av våre underleverandører er lokalisert utenfor EU/EØS, hovedsakelig i USA. For disse overføringene baserer vi oss på:

• EU-US Data Privacy Framework: Der det er relevant, for overføringer til USA-baserte leverandører som er sertifisert under rammeverket.
• Standard Contractual Clauses (SCC-er): Vi innarbeider SCC-ene godkjent av Europakommisjonen (Kommisjonens gjennomføringsbeslutning (EU) 2021/914) i avtalene våre med underleverandører utenfor EU/EØS der Data Privacy Framework ikke gjelder.

6.3 Vurdering av overføringskonsekvenser

Vi gjennomfører vurderinger av overføringskonsekvenser for overføringer til tredjeland og iverksetter supplerende tiltak der det er nødvendig for å sikre et tilstrekkelig nivå av personvern.

7. REVISJONER OG INSPEKSJONER

7.1 Revisjonsrettigheter

Du har rett til å revidere vår etterlevelse av denne DPA-en. Vi vil gjøre tilgjengelig for deg all informasjon som er nødvendig for å dokumentere etterlevelse og legge til rette for og bidra til revisjoner, inkludert inspeksjoner, gjennomført av deg eller en revisor du har gitt mandat.

7.2 Revisjonsprosess

Revisjoner er underlagt følgende vilkår:

• Du må gi minst 30 dagers skriftlig varsel før en revisjon.
• Revisjoner kan ikke gjennomføres mer enn én gang per år, med mindre det kreves av en tilsynsmyndighet eller etter et Databrudd.
• Revisjoner må gjennomføres i normal arbeidstid og må ikke urimelig forstyrre driften vår.
• Du er ansvarlig for kostnadene ved revisjonen, med mindre revisjonen avdekker et vesentlig brudd på denne DPA-en.
• Konfidensiell informasjon om våre andre kunder må ikke eksponeres under revisjonen.

8. LAGRING OG SLETTING AV DATA

8.1 I avtaleperioden

Vi oppbevarer Personopplysninger i Avtalens varighet i den grad det er nødvendig for å levere Tjenestene.

8.2 Ved opphør

Ved opphør av Avtalen eller etter din skriftlige forespørsel:

• Vi sletter Personopplysninger fra våre aktive systemer innen 30 dager.
• Personopplysninger i sikkerhetskopiarkiver vil bli fjernet innen 6 måneder.
• Vi kan oppbevare Personopplysninger i den grad det kreves av gjeldende lov (f.eks. skatte- og regnskapsforpliktelser). I så fall vil vi isolere og beskytte slike data og begrense videre behandling til det som kreves etter loven.

8.3 Bekreftelse

Etter din forespørsel vil vi gi skriftlig bekreftelse på at Personopplysninger er slettet i samsvar med denne delen.

9. ANSVAR

Hver parts ansvar etter denne DPA-en er underlagt ansvarsbegrensningene som er fastsatt i Avtalen. Ingenting i denne DPA-en begrenser noen av partenes ansvar overfor Registrerte eller tilsynsmyndigheter etter gjeldende personvernlovgivning.

10. LOVVALG

Denne DPA-en er underlagt fransk rett. For Registrerte i EU gjelder GDPR. For Registrerte i Storbritannia gjelder UK GDPR. Eventuelle tvister som oppstår som følge av denne DPA-en, skal løses i samsvar med Avtalens bestemmelser om tvisteløsning.

11. HVORDAN DU INNGÅR DENNE DPA-EN

Denne DPA-en er innarbeidet i og utgjør en del av Vilkår for bruk. Ved å bruke QR Code AI-tjenestene godtar du denne DPA-en.

Hvis du trenger en separat signert kopi av denne DPA-en til arkivet ditt, kan du kontakte oss på [email protected], så sender vi en innen 10 virkedager.

12. KONTAKT

For spørsmål om denne DPA-en eller vår praksis for databehandling:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]