Databehandleravtale og instruks for konsulentprofiler

1. Parter og roller. Denne avtalen inngås mellom Independent Consultants AS (IC), org.nr. 832 872 652, Nakkeknausen 4, 6014 Ålesund, og konsulenthuset med navn og organisasjonsnummer som vises ved aksept. Huset er behandlingsansvarlig for konsulentprofilene det registrerer. IC er databehandler og behandler disse opplysningene etter husets dokumenterte instruks. Kontakt hos IC: richard.gulbrandsen@ic.no, +47 91 31 25 77.

2. Avtalens virkning. Avtalen tilbys elektronisk av IC og inngås når en representant med fullmakt aksepterer den for huset. Den gjelder nye registreringer, import og videre behandling under den nye instruksen fra aksepttidspunktet. For dette omfanget supplerer avtalen tidligere avtaler mellom partene og går foran motstridende bestemmelser om behandlingsomfang, leverandører, tredjeland og backup. Den endrer ikke historiske aksepter eller gir tilbakevirkende godkjenning. Personopplysningsloven av 15. juni 2018 nr. 38 og forordning (EU) 2016/679 gjelder.

3. Formål og opplysninger. Huset instruerer IC om å motta profiler manuelt eller fra husets Flowcase, lagre og oppdatere dem på ic.no og i CRM, finne relevante oppdrag for husets konsulenter og følge opp konkrete fremminger. Opplysningene omfatter nødvendige navn, kontaktopplysninger, CV, tittel, kompetanse, erfaring, tilgjengelighet, oppdragstilknytning og kilde, samt dokumentasjon av registrering, informasjon, samtykke og personvernhenvendelser. Huset skal unngå unødvendige opplysninger. Særlige kategorier etter artikkel 9 og opplysninger om straffbare forhold etter artikkel 10 omfattes ikke av denne instruksen.

4. Instruks for matching, AI og deling. Instruksen omfatter innsyn, lagring, strukturering av CV, søk, sammenstilling av kompetanse og oppdragskrav, AI-basert analyse og embeddings som støtte for matching. Anthropic brukes til analyse og Voyage til embeddings. IC skal minimere opplysninger som sendes, og skal ikke velge bruk av innholdet til leverandørenes generelle modelltrening. Voyage skal brukes med opt out. AI-resultater er forslag som må vurderes av mennesker; de kan være feil. Instruksen gir ikke adgang til utelukkende automatiserte avgjørelser med rettslig eller tilsvarende vesentlig virkning. CV og kontaktopplysninger deles med en konkret oppdragsgiver etter husets fremming eller annen dokumentert instruks og kontroll av grunnlag og begrensninger. Husets profiler skal ikke gjenbrukes av IC til egne, uavhengige formål eller gjøres tilgjengelige for andre hus.

5. Husets grunnlag. Huset har ansvar for gyldig behandlingsgrunnlag for innsamling, bruken og utleveringen til IC. Registreringsflytens bekreftelse om CV-samtykke skal bygge på et faktisk, frivillig, spesifikt og informert samtykke fra konsulenten. Representantens avtaleklikk er ikke konsulentens samtykke. Dersom huset benytter et annet grunnlag, må dette og en tilpasset flyt avklares med IC før bruk; annet grunnlag skal ikke registreres som samtykke. Huset varsler IC når grunnlaget opphører eller opplysninger skal rettes, slettes eller begrenses.

6. Informasjon til konsulenten. Huset gir dekkende informasjon før registrering, eller velger uttrykkelig at IC skal sende informasjon på husets vegne. Når e-postvalget står av, bekrefter huset at konsulenten allerede har fått informasjonen. Ved valgt IC-utsendelse er målet neste daglige kjøring, med oppfølging av kø, manglende adresse og leveringsfeil. Informasjonen skal gis innen gjeldende frist og senest ved tidligere kontakt eller utlevering når dette kreves. Informasjonsvalg, aktør, tidspunkt, tekstversjon og berørte profiler lagres separat fra samtykke. Ingen svar- eller klikkplikt oppstår. ICs publiserte personvernerklæring og standardtekst inngår i informasjonen huset skal formidle.

7. Rettigheter og bistand. IC mottar henvendelser på richard.gulbrandsen@ic.no og bistår huset med innsyn, retting, sletting, dataportabilitet, tilbaketrekking, innsigelse og begrensning. Huset har ansvaret for beslutninger og svar om sin behandling. IC registrerer opprinnelig mottaksdato og følger opp slik at lovens frister kan overholdes. Aktive begrensninger stanser de berørte operasjonene og oppheves ikke ved ny import. Nødvendig innsyn og saksbehandling beholdes. Husets automatiske statusvarsler er minimerte; nødvendig saksinnhold formidles separat med tilgangskontroll.

8. Godkjente underdatabehandlere og oppgaver. Huset godkjenner følgende for oppgavene angitt her: Supabase (database, autentiseringsdata og CV-lagring); Vercel (hosting og serverkjøring); Cloudflare (CRM-filer, backup og Turnstile); Resend / Plus Five Five, Inc. (e-post og leveringsstatus); Anthropic, PBC (AI-analyse); Voyage AI Innovations, Inc. (embeddings); GitHub, Inc. (isolert backupkjøring og kortvarige krypterte backupartefakter). Google brukes ved valgt Google-innlogging; Sanity brukes til innhold og avtaletekster, og skal ikke motta konsulent-CV-er. Flowcase er husets valgte kilde; huset må ha rett til å hente opplysningene derfra. Supabases DPA angir Supabase Pte. Ltd. som dataimportør. Leverandørenes egne underleverandører omfattes av kravene om tilsvarende plikter, kontroll og varsling nedenfor.

9. Land og overføringsinstruks. Huset gir med aksepten skriftlig forhåndsinstruks til behandling i EU/EØS og til nødvendig overføring/tilgang i USA for de amerikanske drift-, e-post-, AI- og backuptjenestene over, samt Singapore for Supabases dataimportør og nødvendig drift. Dette er ikke en tillatelse til overføring uten lovlig overføringsgrunnlag: IC skal anvende relevante EU-standardkontraktsklausuler, herunder modul 3 der IC er databehandler, eller en dekkende adekvansbeslutning, og vurdere nødvendige tilleggstiltak. Region for primærlagring garanterer ikke at all drift skjer i samme land. IC skal innhente ny dokumentert instruks før andre tredjeland brukes. Supporthenvendelser skal minimeres og normalt ikke inneholde konsulentdata. Overføring skal stanses dersom nødvendige garantier ikke kan opprettholdes. Huset kan få kopi av relevante overføringsgarantier ved å kontakte IC.

10. Leverandørvilkår og endringer. IC skal sørge for bindende databehandlerforpliktelser som i det vesentlige svarer til denne avtalen, følge leverandørvilkår og være ansvarlig overfor huset for underdatabehandlernes utførelse. Offentlige kontrollkilder er supabase.com/legal/dpa, vercel.com/legal/dpa, cloudflare.com/cloudflare-customer-dpa, resend.com/legal/dpa, anthropic.com/legal/data-processing-addendum, voyageai.com/tos (med innarbeidet DPA) og github.com/customer-terms/github-data-protection-agreement. Disse lenkene beskriver leverandørvilkår, ikke en ubegrenset instruks fra huset. IC varsler huset skriftlig før nye underdatabehandlere eller vesentlige endringer tas i bruk, normalt minst 30 dager før, og gir mulighet til begrunnet innsigelse. Uavklart innsigelse eller nytt tredjeland håndteres før den berørte behandlingen fortsetter.

11. Sikkerhet, avvik og revisjon. IC begrenser tilgang til autorisert personell med taushetsplikt, bruker tilgangskontroll, kryptert transport, beskyttet fillagring, logger og sikkerhetskopier og dokumenterer sikkerhetstiltak etter artikkel 32. IC bistår huset med risikovurderinger, personvernkonsekvensvurderinger og myndighetskontakt. IC varsler huset uten ugrunnet opphold og senest innen 48 timer etter kjennskap til et brudd på personopplysningssikkerheten og gir nødvendig informasjon for oppfølging. Huset kan få nødvendig dokumentasjon og gjennomføre eller få gjennomført revisjon etter nærmere praktisk avtale; dette begrenser ikke lovpålagte kontrollrettigheter. IC varsler straks dersom en instruks etter ICs vurdering strider mot personvernreglene.

12. Oppbevaring og opphør. Tilgang til registrering, import og fremming krever fornyet avtaleaksept senest etter 12 måneder. Avtalens vern består så lenge IC behandler opplysningene. CV-samtykke har 12 måneders gyldighet; ved utløp stanses fremming, og etter 90 dagers karens behandles sletting/arkivering. Profiler uten CV arkiveres etter 30 dager. Karens gir ikke adgang til behandling uten gyldig grunnlag og overstyrer ikke tidligere sletteinstruks eller tilbaketrekking. Ved opphør tilbakeleverer eller sletter IC etter husets valg operative opplysninger og kopier, med mindre lov krever oppbevaring. IC dokumenterer utførte handlinger innen fire uker. Nødvendige åpne saker, begrensninger og lovkrav vurderes særskilt og dokumenteres; de gir ikke generell adgang til fortsatt matching.

13. Uttrykkelig backupunntak. Som særskilt endring av tidligere krav om at også alle sikkerhetskopier skal slettes innen fire uker, godkjenner huset at begrenset tilgjengelige sikkerhetskopier utløper senest etter 35 dager for daglige kopier, 400 dager for månedlige kopier og 90 dager for slettede/overskrevne filer i slettespeil, regnet fra opprettelse i den aktuelle backupklassen. Krypterte GitHub-backupartefakter beholdes inntil 7 dager. Et løpende speil skal følge slettinger i kilden og er ikke et selvstendig arkiv. Disse kopiene brukes bare til beredskap/gjenoppretting, ikke matching eller ordinær bruk. Før gjenopprettede data tas i produksjon, skal senere slettinger og begrensninger gjennomføres på nytt. ICs fireukersbekreftelse skal angi gjenstående backupkategorier og seneste utløp. Unntaket gjelder først etter aksept og overstyrer ikke lovpålagt sletting; behov for tidligere sletting skal vurderes konkret.

14. Dokumentasjon og lovvalg. Husets navn og organisasjonsnummer, innlogget representant, tidspunkt, versjon og hash av hele avtaleteksten lagres sammen med aksepten. Aksepten omfatter den beskrevne behandlingsinstruksen, navngitte leverandører, angitte land og backupunntaket. Norsk rett gjelder. Tvister søkes løst ved dialog og deretter ved kompetent norsk domstol. Taushetsplikt, tilbakelevering/sletting og kontrollplikter består etter opphør så langt opplysninger fortsatt behandles.