1. Parter og formål
Behandlingsansvarlig: kunden som har tegnet abonnement på ProdForm. Databehandler: ProdForm. Avtalen regulerer hvordan ProdForm behandler persondata om deltakere på vegne av kunden, og er underlagt GDPR art. 28.
2. Behandlingens art og kategorier av data
Formål: produkttesting, deltakerhåndtering, datainnsamling og rapportering på vegne av kunden. Datakategorier: deltakerens svar på tester, eventuelle valgfrie demografi-felt, deltakerkode eller e-post hvis testen krever identifikasjon, samt teknisk metadata (IP, nettleser, enhetstype). Behandlingen skjer så lenge kunden har et aktivt abonnement, og avsluttes ved oppsigelse i tråd med punkt 5.
3. Underleverandører
ProdForm bruker underdatabehandlere for å levere tjenesten. Oppdatert liste med formål, datalokasjon og datatype finnes på prodform.com/subprocessors og oppdateres ved endringer. Alle har inngåtte databehandleravtaler. Kunden samtykker til de underleverandørene som er listet på siden ved aksept av denne avtalen. Nye underleverandører varsles minst 30 dager før de tas i bruk via e-post til kundens kontakt-adresse, og kunden kan motsette seg ved skriftlig henvendelse innen varselfristen.
4. Sikkerhet
ProdForm benytter kryptering i transit (TLS 1.3) og ved lagring (AES-256). Tilgang til persondata internt er rollebasert og logges. Multi-tenant isolasjon håndheves med Row Level Security i databasen. Alle ansatte med tilgang til kundedata har signert taushetserklæring. Tekniske og organisatoriske tiltak vurderes løpende mot risikoen behandlingen innebærer (GDPR art. 32).
5. Sletting og retur av data
Ved oppsigelse av abonnementet kan kunden eksportere data i 30 dager. Etter dette slettes Kundedata innen 30 dager — backups inkludert — med mindre lov pålegger oss å beholde dataene. I aktive tester anonymiseres deltaker-svar med personidentifikatorer 24 måneder etter at testen er avsluttet, slik at koblingen mellom svar og person fjernes permanent. Anonymiserte aggregat-data kan beholdes uten tidsbegrensning.
6. Bistand til behandlingsansvarlig
ProdForm bistår kunden med å oppfylle GDPR-forpliktelser, herunder å besvare deltakerforespørsler om innsyn, retting og sletting (art. 15-22), gjennomføre vurderinger av personvernkonsekvenser (DPIA, art. 35) og varsle Datatilsynet om brudd. Kunden er primært ansvarlig for å besvare deltakerforespørsler; selvbetjente verktøy i plattformen dekker innsyn og sletting for deltakere som har e-postkobling.
7. Varsling om brudd
Hvis ProdForm oppdager brudd på persondatasikkerheten som berører kundens data, varsles kunden uten ugrunnet opphold og senest innen 72 timer. Varselet inneholder bruddets art, omfang, tiltak iverksatt og kontaktpunkt for videre informasjon, jf. GDPR art. 33.
8. Overføring utenfor EØS
Hoveddata lagres i EU. Sentry og Anthropic kan behandle deler av data utenfor EØS. Overføringene skjer på grunnlag av EU-kommisjonens standardkontrakter (SCC) supplert med tekniske tiltak. ProdForm vurderer overføringene løpende mot gjeldende rettspraksis.
9. Revisjon og dokumentasjon
Kunden kan be om dokumentasjon på sikkerhetstiltak, sertifiseringer og risikovurderinger. Inspeksjon på stedet kan avtales ved skriftlig forespørsel og rimelig varsel, normalt en gang per år, og bekostes av kunden. ProdForm fører oversikt over behandlingsaktiviteter på vegne av kunden og kan dele relevante utdrag på forespørsel.
10. Avtalens varighet og lovvalg
Avtalen gjelder så lenge ProdForm behandler persondata på vegne av kunden. Ved opphør av Vilkårene opphører også denne avtalen. Avtalen reguleres av norsk rett. Tvister søkes løst gjennom forhandling; verneting er Oslo tingrett.