Databehandleravtale
Sist oppdatert: 31. august 2026
Denne avtalen inngås automatisk som en del av brukervilkårene mellom virksomheten som oppretter konto («Behandlingsansvarlig») og Eiendomsportalen AS, org.nr. 914 979 935 («Databehandler»), og utgjør partenes databehandleravtale etter GDPR artikkel 28.
1. Behandlingens art, formål og varighet
Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig utelukkende for å levere Estimai — AI-drevet byggekalkyle og prosjektstyring — så lenge Behandlingsansvarlig har konto i Tjenesten.
2. Kategorier av registrerte og opplysninger
- Ansatte hos Behandlingsansvarlig: navn, e-post, timeføring, timesats, fagtilhørighet, HMS-kortopplysninger (navn, fødselsdato, kortnummer, selskap), bilder og registreringer fra byggeplass.
- Underentreprenører og deres ansatte: firmanavn, kontaktperson, e-post, oppgave- og timeregistreringer.
- Behandlingsansvarliges kunder: navn, kontaktinformasjon, adresse og prosjektopplysninger i kalkyler, tilbud og kontrakter.
3. Instruks
Databehandler behandler opplysningene kun etter dokumenterte instrukser fra Behandlingsansvarlig — instruksen anses gitt gjennom bruken av Tjenestens funksjoner — og aldri til egne formål. Opplysningene brukes ikke til å trene AI-modeller.
4. Sikkerhet
Databehandler gjennomfører tekniske og organisatoriske tiltak etter GDPR art. 32, herunder kryptert transport (TLS), tilgangsstyring med rollebasert tilgang (eier, ansatt, underentreprenør), passordhashing, sesjonskontroll og logging. Personer som behandler opplysningene er underlagt taushetsplikt.
5. Underdatabehandlere
Behandlingsansvarlig godkjenner bruk av underdatabehandlerne listet i personvernerklæringen (per i dag: Railway, Anthropic, Stripe og Resend). Databehandler varsler om planlagte endringer, slik at Behandlingsansvarlig kan protestere. Overføring utenfor EØS skjer med gyldig overføringsgrunnlag (SCC og/eller EU–US Data Privacy Framework).
6. Bistand
Databehandler bistår Behandlingsansvarlig, i den grad det er mulig, med å besvare de registrertes rettighetshenvendelser (GDPR kap. III) og med å oppfylle pliktene etter art. 32–36, herunder varsling ved brudd på personopplysningssikkerheten. Brudd varsles Behandlingsansvarlig uten ugrunnet opphold.
7. Sletting og tilbakelevering
Ved avtalens opphør slettes eller tilbakeleveres personopplysningene etter Behandlingsansvarliges valg, med mindre lovgivning krever videre lagring. Eksport av egne data kan gjøres fra Tjenesten (PDF/Excel) før oppsigelse.
8. Revisjon
Databehandler stiller nødvendig informasjon til rådighet for å påvise etterlevelse av denne avtalen, og muliggjør revisjoner i rimelig omfang, med rimelig varsel og for Behandlingsansvarliges regning.
9. Ansvar og lovvalg
Ansvarsbegrensningene i brukervilkårene gjelder tilsvarende for denne avtalen. Avtalen er underlagt norsk rett med Oslo tingrett som verneting, jf. brukervilkårene.