Databehandleravtale – Skyworker

Versjon 2026-10. Sist oppdatert: 7. oktober 2026

Denne databehandleravtalen («Avtalen») er inngått mellom Skyworker AS, org.nr. 930 773 913, c/o Aboveit AS, Dronning Eufemias gate 8, 0191 Oslo («Databehandler»), og Kunden («Kunden»), sammen kalt «Partene».

1. Innledning

1.1 Databehandler leverer Skyworker som en skytjeneste (SaaS) som Kunden bruker til å behandle personopplysninger i egen virksomhet.

1.2 Kunden er behandlingsansvarlig. Databehandler behandler personopplysninger på vegne av Kunden, i samsvar med denne Avtalen og personvernforordningen (GDPR).

2. Definisjoner

2.1 «Personopplysninger» betyr opplysninger som kan knyttes til en identifisert eller identifiserbar fysisk person.

2.2 «Behandling» betyr enhver bruk av personopplysninger, som innsamling, lagring, endring, bruk, utlevering og sletting.

2.3 «Tjenesten» betyr Skyworker slik den leveres etter Standardvilkårene.

3. Omfang og formål

3.1 Databehandler behandler personopplysninger bare etter Kundens dokumenterte instrukser, med mindre annet følger av lov. Standardvilkårene, denne Avtalen og Kundens bruk og innstillinger i Tjenesten er Kundens instrukser.

3.2 Databehandler behandler personopplysninger bare for å levere Tjenesten, og ikke for egne formål.

3.3 Hvilke opplysninger og personer som omfattes, står i Vedlegg 1.

4. Databehandlers plikter

4.1 Databehandler skal ha egnede tekniske og organisatoriske tiltak for å beskytte personopplysningene, se punkt 8.

4.2 Bare ansatte og underleverandører som trenger tilgang for å levere Tjenesten, får tilgang. De har taushetsplikt.

4.3 Databehandler skal varsle Kunden uten ugrunnet opphold ved brudd på personopplysningssikkerheten, og hjelpe Kunden med å håndtere og begrense bruddet.

4.4 Databehandler skal hjelpe Kunden med å oppfylle plikter etter GDPR, som konsekvensvurderinger, når det er rimelig ut fra behandlingen.

5. Underdatabehandlere

5.1 Kunden godkjenner at Databehandler bruker underdatabehandlerne i Vedlegg 2.

6.2 Når Kunden bruker KI-funksjoner, sendes bare opplysningene som trengs for oppgaven til KI-leverandøren, som er underdatabehandler etter Vedlegg 2. KI-behandlingen kan skje utenfor EØS. Overføringen skjer da etter EUs standardavtaler (SCC).

5.3 Databehandler skal varsle Kunden før en ny underdatabehandler tas i bruk eller en eksisterende byttes ut. Kunden kan protestere innen rimelig tid. Protesterer Kunden, skal Partene samarbeide om en løsning.

6. Lagring og overføring utenfor EØS

6.1 Personopplysninger i Tjenesten lagres i Google Cloud i Frankfurt, Tyskland (EU).

6.2 Når Kunden bruker KI-funksjoner, sendes bare opplysningene som trengs for oppgaven til KI-leverandøren. KI-behandlingen kan skje utenfor EØS. Overføringen skjer da etter EUs standardavtaler (SCC) eller annet gyldig overføringsgrunnlag. Opplysningene brukes ikke til å trene leverandørenes modeller.

6.3 Personopplysninger overføres ikke ellers til land utenfor EØS uten gyldig overføringsgrunnlag etter GDPR kapittel V.

7. Rettigheter til personopplysninger

7.1 Kunden eier personopplysningene som behandles i Tjenesten.

7.2 Databehandler skal ikke bruke personopplysningene kommersielt eller til å utvikle egne tjenester, med mindre det er avtalt skriftlig med Kunden.

8. Sikkerhet

8.1 Databehandler skal sikre konfidensialitet, integritet og tilgjengelighet, blant annet med kryptering, tilgangskontroll og sikkerhetskopier.

8.2 Databehandler skal ha rutiner for sikkerhetshendelser og risikostyring, og gjennomføre en intern sikkerhetsgjennomgang minst én gang i året.

8.3 Krever Kunden et høyere sikkerhetsnivå enn Databehandler tilbyr, avtales dette særskilt og kan gi tillegg i pris.

9. De registrertes rettigheter

9.1 Databehandler skal hjelpe Kunden med å svare på forespørsler om innsyn, retting, sletting og andre rettigheter.

9.2 Får Databehandler en slik forespørsel direkte, sendes den videre til Kunden uten ugrunnet opphold.

10. Revisjon

10.1 Databehandler skal gi Kunden informasjonen som trengs for å vise at Avtalen følges, og legge til rette for revisjon etter rimelig varsel. Kunden dekker egne kostnader ved revisjon.

11. Varighet og avslutning

11.1 Avtalen gjelder så lenge Kunden bruker Tjenesten.

11.2 Kunden kan eksportere dataene sine i avtaleperioden og i 30 dager etter at avtalen er avsluttet. Deretter sletter Databehandler personopplysningene, med mindre lov krever at de lagres lenger.

12. Lovvalg og tvister

12.1 Avtalen følger norsk lov.

12.2 Tvister skal først søkes løst ved forhandlinger, og ellers ved de alminnelige domstolene med Oslo tingrett som verneting.

Vedlegg 1 – Behandlingen

Formål: Levering av Skyworker, med kunde-, prosjekt-, ordre- og timestyring, dokumentasjon, signering og varsler.

Kategorier av registrerte: Kundens ansatte og brukere, Kundens underleverandører, Kundens kunder og kontaktpersoner.

Typer personopplysninger: navn, e-post, telefon og rolle; timeføringer og aktivitet i Tjenesten; prosjekt- og ordredata; bilder, dokumenter, sjekklister og avvik; signaturer; faktura- og betalingsinformasjon.

Posisjon, bare der Kunden har slått det på: GPS-posisjon når en timeføring startes på et prosjekt med arbeidssone, lagret på timeføringen; siste kjente posisjon og kilometerstand for kjøretøy og utstyr fra ABAX, som oppdateres hvert 15. minutt.

Særlige kategorier: Det skal ikke registreres særlige kategorier av personopplysninger (art. 9) i Tjenesten. Kunden sørger for at brukerne følger dette.

Vedlegg 2 – Underdatabehandlere

• Google Cloud EMEA Ltd (Irland) – drift, database og fillagring. Behandlingssted: Frankfurt, Tyskland (EU).

• Anthropic, PBC (USA) – KI-funksjoner (Claude). Behandling kan skje utenfor EU, etter EUs standardavtaler (SCC).

• OpenAI, L.L.C. (USA) – KI-funksjoner. Behandling kan skje utenfor EU, etter EUs standardavtaler (SCC).

• Signicat AS (Norge) – digital signering med BankID. Behandlingssted: EØS.

• Sinch – utsending av SMS-varsler. Behandlingssted: EØS.

• Mailjet SAS (Frankrike) – utsending av e-post. Behandlingssted: EØS.

Regnskapsintegrasjon via Iizy reguleres i egen avtale mellom kunden og Iizy.