Databehandleravtale

1. Parter

Denne DBA-en inngås mellom PurePPM AS (databehandler) og organisasjonen som registrerer seg for tjenesten (behandlingsansvarlig).

2. Formål og varighet

PurePPM behandler personopplysninger på vegne av den behandlingsansvarlige for å levere porteføljestyringssystemet. Behandlingen pågår i hele abonnementsperioden.

3. Behandlingens art og formål

• Lagring og visning av porteføljedata registrert av den behandlingsansvarliges brukere.
• Overføring av pseudonymisert porteføljekontekst til en AI-underdatabehandler for AI-analysefunksjoner (Platform Extended og høyere). Hvilken underdatabehandler som brukes avhenger av dataresidensen den behandlingsansvarlige velger — se avsnittet om underdatabehandlere nedenfor.
• Utsendelse av transaksjonse-post via Scaleway TEM (e-postbekreftelser, varsler).

4. Kategorier av registrerte og personopplysninger

De registrerte er ansatte og konsulenter hos den behandlingsansvarlige. Personopplysninger omfatter navn, e-postadresse, arbeidsrolle og porteføljebidrag registrert i systemet.

5. Underdatabehandlere

PurePPM benytter underdatabehandlerne nedenfor. Hvilken AI-underdatabehandler som brukes avhenger av dataresidensen den behandlingsansvarlige velger. Velger den behandlingsansvarlige en self-hosted AI-modell, driftes denne av den behandlingsansvarlige selv — PurePPM er ikke underdatabehandler for den behandlingen, og den behandlingsansvarlige er alene ansvarlig for den.

• Scaleway — API-hosting, PostgreSQL-database og levering av transaksjonse-post (EU-region).
• Anthropic PBC — AI-analyse ved Global dataresidens (pseudonymisert før overføring; USA, standardavtalevilkår).
• Mistral AI — AI-analyse ved EU-dataresidens (pseudonymisert før overføring; EU-region).
• HubSpot Inc. — kundeoppfølging (CRM) for lead- og kontaktdata (EU-dataregion; HubSpot Inc. er USA-registrert, standardavtalevilkår).

6. Den behandlingsansvarliges forpliktelser

Den behandlingsansvarlige er ansvarlig for å sikre et lovlig grunnlag for behandlingen og for å informere de registrerte i samsvar med GDPR.

7. Tekniske og organisatoriske tiltak

PurePPM implementerer radnivåsikkerhet (RLS), kryptering i transitt (TLS 1.2+), kryptering i ro, tilgangskontroll og pseudonymisering for AI-behandling.

8. De registrertes rettigheter

PurePPM tilbyr verktøy for å hjelpe den behandlingsansvarlige med å oppfylle de registrertes rettigheter (innsyn, sletting, eksport). Forespørsler kan rettes til privacy@pureppm.com.

9. Lovvalg

Denne DBA-en er underlagt norsk rett og GDPR der det er aktuelt.