Om DPA-en
Denne databehandler-avtalen («DPA») gjelder behandling av personopplysninger som AssetCore AS («Databehandler») utfører på vegne av Kunden («Behandlingsansvarlig») i forbindelse med levering av AssetCore-tjenesten.
DPA-en signeres automatisk ved oppstart av abonnement. Egen kontraktversjon kan signeres dersom Kunden ønsker det.
Parter og roller
Behandlingsansvarlig: Kunden — bestemmer formålet med og midlene for behandlingen.
Databehandler: AssetCore AS (org.nr 830 068 582) — behandler personopplysninger kun etter dokumenterte instrukser fra Behandlingsansvarlig.
Behandlingsinstrukser
AssetCore behandler personopplysninger for følgende formål:
- Levere AssetCore-tjenesten (drift, oppbevaring, support)
- Sikkerhetskopi og gjenoppretting
- Misbruks- og sikkerhetstiltak
- Lovpålagt rapportering ved krav fra myndighet
Kategorier av personopplysninger som behandles:
- Identitetsdata (navn, e-post, telefon, stilling)
- Tilgangsdata (innloggingslogger, IP-adresse, sesjons-data)
- Operativ data lagt inn av Kunden (utstyr, kontroller, kundeinformasjon)
Under-databehandlere
AssetCore bruker følgende under-databehandlere. Kunden gir samtykke til disse ved aksept av DPA-en. Nye under-databehandlere varsles minst 30 dager før de tas i bruk, og Kunden kan motsette seg dem skriftlig.
| Leverandør | Formål | Lokasjon |
|---|---|---|
| Supabase Inc.SOC 2 Type II · ISO 27001 | Database, lagring, autentisering | EU/EØS (Frankfurt) |
| Domeneshop ASNorsk leverandør · GDPR-kompatibel | SMTP og e-postutsending | Norge |
| Vercel Inc.SOC 2 Type II | Hosting av frontend | EU (Frankfurt) |
| Voyage AIStandard Contractual Clauses | Embeddings for AI-funksjonalitet | USA (SCC) |
Sikkerhetstiltak
AssetCore implementerer følgende tekniske og organisatoriske tiltak:
- Kryptering i hvile (AES-256) og under overføring (TLS 1.3)
- Tilgangsstyring via 2-faktor-autentisering og rolle-basert tilgang
- Bedrifts-segregering via Row-Level Security (RLS) på databasenivå
- Audit-logg på alle endringer av kritisk data
- Backup: daglig snapshot + point-in-time recovery siste 7 dager
- Penetrasjonstest årlig av uavhengig tredjepart
- Ansatt-screening: politiattest + signert taushetsavtale
Data-overføring utenfor EU/EØS
Hovedlagring skjer i EU (Frankfurt). For enkelte under-databehandlere i USA brukes EU-Kommisjonens Standard Contractual Clauses (SCC) som overføringsgrunnlag. Vi vurderer kontinuerlig om dette gir adekvat beskyttelse, jf. Schrems II-avgjørelsen.
Brudd og varsling
Ved sikkerhetsbrudd som påvirker personopplysninger varsler AssetCore Behandlingsansvarlig uten ugrunnet opphold og senest innen 24 timer fra oppdagelse.
Varselet inneholder:
- Beskrivelse av bruddet og berørte kategorier
- Sannsynlig antall berørte personer
- Sannsynlige konsekvenser
- Tiltak som er iverksatt eller foreslås iverksatt
Avslutning og sletting
Ved oppsigelse av abonnementet:
- Kunden får 90 dager til å eksportere data (CSV, PDF, JSON)
- Etter 90 dager slettes operativ data permanent
- Backup-data slettes innen 12 måneder (etter backup-rotering)
- Audit-logger beholdes i 12 måneder iht. norsk lov
Bekreftelse på sletting sendes på e-post når prosessen er fullført.