Databehandleravtale for Relation Sign

Denne databehandleravtalen er inngått etter personvernforordningen (GDPR) artikkel 28. Den er en del av vilkårene for Relation Sign og inngås elektronisk, sammen med vilkårene, når en administrator med fullmakt signerer «Kundeavtale for Relation Sign» med BankID (artikkel 28 nr. 9).

1. Partene og rollene

Behandlingsansvarlig: kunden, det vil si organisasjonen som bruker Relation Sign.

Databehandler: Relation Labs AS, organisasjonsnummer 938 480 931, Ruseløkkveien 36, 0251 Oslo.

Kontakt for personvern og sikkerhet: privacy@relationlabs.no. Hit sender kunden varsel om mistanke om avvik, henvendelser fra registrerte, spørsmål om denne avtalen og forespørsler om revisjon.

Kunden er behandlingsansvarlig for personopplysninger om dem som signerer, om andre mottakere og om personer som er nevnt i dokumentene kundens brukere laster opp eller lager fra en mal. Relation Labs behandler disse opplysningene bare på kundens vegne.

Relation Labs er selv behandlingsansvarlig for opplysninger om kundens kontakter og brukere som trengs for kundeforholdet og faktureringen, og for sikkerhetslogger. Den behandlingen er ikke omfattet av denne avtalen.

2. Formål og instruks

Relation Labs behandler personopplysningene bare for å levere Relation Sign til kunden: sende dokumenter til signering, også dokumenter kunden lager fra en mal i Relation Sign, bekrefte identiteten til dem som signerer, forsegle dokumentene, sende varsler og kopier, oppbevare dokumentene og beviset og gi kunden tilgang til dem.

Avtalen, vilkårene og kundens bruk av tjenesten (valgene kundens brukere gjør i Relation Sign og gjennom API-et, også med en integrasjon eller en AI-agent) er kundens dokumenterte instruks. Relation Labs sier fra til kunden uten ugrunnet opphold hvis vi mener en instruks er i strid med personvernregelverket.

3. Hvilke opplysninger og hvem de gjelder

Registrerte: dem som signerer, mottakere av kopier, kundens brukere (som avsendere) og personer som er nevnt i dokumentene eller i svarene i malene.

Opplysninger:

navn, e-postadresse og telefonnummer
fødselsdato, når avsenderen oppgir den for at eID-innloggingen skal kunne kontrolleres mot riktig person
bevis fra eID-en signataren valgte (norsk eller svensk BankID, dansk MitID, finsk eID, Vipps eller en annen eID tjenesten tilbyr): navn, fødselsdato og tekniske identifikatorer fra innloggingen (utsteder, en anonym bruker-id, metode og tidspunkt). Vi tar bare vare på en fast liste med felter og lagrer aldri fødselsnummer eller andre nasjonale identitetsnumre (for eksempel svensk personnummer, dansk CPR-nummer eller finsk henkilötunnus).
IP-adresse og nettleserinformasjon (user agent) i hendelsesloggen og beviset
innholdet i dokumentene, kommentarer og meldinger i signeringen
hendelser i signeringen (sendt, åpnet, signert, avvist) og selve signaturene
engangskoder og innlogginger, som bare lagres som hash
ved hurtigsignering: underskriften som tegnes, navnet signataren skriver inn, og en tilfeldig id for telefonene som viser og skanner koden
godkjente signatarer for hurtigsignering: navn, firma, mobilnummer, eventuelt e-postadresse og fødselsdato, og hvilke telefoner de har godkjent (en hash av telefonens nøkkel, nettleserinformasjon og IP-adresse)
svarene når en bruker fyller ut en dokumentmal: partenes navn, e-postadresse, telefonnummer, fødselsdato og adresse, organisasjonsnummer og hvem som signerer for en organisasjon, og det brukeren ellers skriver inn, for eksempel priser, registreringsnummer, beskrivelser og avtalte vilkår. Malene spør ikke etter fødselsnummer, D-nummer eller andre nasjonale identitetsnumre, og Relation Sign avviser felt i en mal som ber om dem. Fødselsdatoen til en part som signerer, brukes også til å kontrollere eID-innloggingen.
logoer, bannere og bilder kundens brukere laster opp til maler og merkevaren. Bildene kodes på nytt når de lastes opp, så metadata fra kameraet, som posisjon, fjernes.

Svarene lagres med signeringen de ble brukt til, og en utfylling som ikke er gjort ferdig, lagres for brukeren som fyller ut. Svarene, malene og bildene ligger i samme database og dokumentlager som resten av tjenesten, i Relation Labs AS sitt driftsmiljø i Norge, med sikkerhetskopier som beskrevet på /underleverandorer. Svarene brukes bare til å lage dokumentet og fylle inn signatarene.

Godkjente signatarer bekrefter seg bare med norsk BankID. Bekrefter en godkjent signatar seg med BankID, lagrer Relation Labs en signataridentitet (navn og fødselsdato fra BankID, BankID-ens faste id og en passkey per telefon) som brukes av alle kunder som har godkjent personen. Relation Labs er behandlingsansvarlig for identiteten, ikke kunden. Kunden ser bare de personene kunden selv har godkjent.

Dokumentene kan inneholde alle slags opplysninger, også særlige kategorier (artikkel 9). Kunden avgjør hva som lastes opp, og må selv vurdere om behandlingen er lovlig.

4. Taushetsplikt og tilgang

Bare personer hos Relation Labs som trenger det for å drive, sikre eller feilsøke tjenesten, har tilgang til personopplysningene. De har taushetsplikt. Vi åpner ikke kundens dokumenter uten at det trengs for å levere tjenesten, rette en feil kunden har meldt, eller fordi loven krever det.

Relation Labs' egne oversikter over kundene, som vi bruker til drift, kundestøtte og fakturering, viser antall, summer, status og tidspunkter. De viser aldri dokumentene, svarene i malene, titlene på kundens signeringer eller navnet og kontaktopplysningene til dem som signerer. Slår vi opp én signering for å hjelpe kunden, ser vi status, tidspunkter og om e-post og SMS er levert, ikke hvem de gikk til, og oppslaget logges.

5. Sikkerhet

Relation Labs har tekniske og organisatoriske tiltak etter artikkel 32. De viktigste er:

Kryptering under overføring: all trafikk til tjenesten går over HTTPS.
Kryptering av hemmeligheter: eID-bevis og webhook-hemmeligheter lagres kryptert med en nøkkel avledet fra en hemmelighet som bare finnes i driftsmiljøet. Engangskoder, signeringslenker og innlogginger lagres bare som hash.
Tilgangsstyring per organisasjon: hver forespørsel er avgrenset til organisasjonen brukeren er logget inn i. En avsender ser bare sine egne signeringer; administratorer styrer brukere og innstillinger.
Hendelseslogg: hver signering har en logg der hver hendelse er lenket til den forrige med en hash, slik at endringer kan oppdages.
Kryptering av sikkerhetskopier: sikkerhetskopiene av databasen og dokumentlageret krypteres på vår server før de sendes til Microsoft Azure, med en nøkkel bare Relation Labs har.
Segl: ferdige dokumenter forsegles med Relation Labs AS sitt eget seglsertifikat og et tidsstempel, slik at enhver endring etterpå kan oppdages. Seglet fornyes før det går ut på dato, så det kan kontrolleres i mange år.
Sikkerhetskopi: databasen og dokumentlageret sikkerhetskopieres kryptert, også til et annet sted enn serveren tjenesten kjører på. Gjenoppretting øves jevnlig.
Ingen sporing: signeringssidene bruker ikke informasjonskapsler til sporing eller analyse. Hurtigsignering bruker en informasjonskapsel med en tilfeldig id for telefonen, bare for sikkerheten i signeringen.

6. Underleverandører

Kunden gir med denne avtalen generell forhåndsgodkjenning av at Relation Labs bruker underleverandører (underdatabehandlere). Listen over dem vi bruker nå, står på /underleverandorer.

Relation Labs varsler kundens administratorer minst 30 dager før en ny underleverandør tas i bruk eller en eksisterende byttes ut. Kunden kan protestere mot endringen av saklige grunner, og kan si opp avtalen hvis vi ikke blir enige.

Relation Labs inngår avtale med hver underleverandør som gir minst samme vern som denne avtalen, og er ansvarlig overfor kunden for underleverandørens behandling.

7. Overføring ut av EØS

Relation Labs overfører ikke personopplysninger til land utenfor EØS uten grunnlag etter kapittel V i forordningen. Der en underleverandør er en del av et konsern utenfor EØS, står grunnlaget i listen over underleverandører.

8. Bistand til kunden

Relation Labs hjelper kunden, så langt det er rimelig ut fra hva vi vet og hvordan tjenesten er bygget, med å:

svare på henvendelser fra registrerte som vil bruke rettighetene sine (innsyn, retting, sletting, begrensning, protest). Henvendelser som kommer til oss, sender vi videre til kunden.
oppfylle pliktene om sikkerhet, avvik, konsekvensvurdering og forhåndsdrøfting (artikkel 32 til 36)

Signerte dokumenter og bevis kan ikke endres eller slettes enkeltvis uten at beviset for de andre partene svekkes. Kunden avgjør hvordan slike krav håndteres.

9. Avvik

Relation Labs varsler kunden uten ugrunnet opphold, og senest innen 36 timer, etter at vi er blitt kjent med et brudd på personopplysningssikkerheten som gjelder kundens opplysninger. Varselet sendes kundens administratorer og beskriver så langt det er kjent hva som har skjedd, hvilke opplysninger og hvor mange som er berørt, sannsynlige konsekvenser og hva vi har gjort og vil gjøre. Kunden har ansvaret for å melde avviket til Datatilsynet og eventuelt til de registrerte.

Oppdager kunden noe som kan være et avvik i tjenesten, varsles Relation Labs på privacy@relationlabs.no.

10. Revisjon

Relation Labs gir kunden informasjonen som trengs for å vise at pliktene i denne avtalen er oppfylt. Forespørsler sendes til privacy@relationlabs.no. Kunden kan revidere etterlevelsen, selv eller med en uavhengig revisor med taushetsplikt, med minst 30 dagers varsel og høyst én gang i året, med mindre et avvik gir grunn til mer. Kunden dekker egne kostnader.

11. Oppbevaring og sletting

Mens avtalen varer:

Signerte dokumenter, forseglede kopier og bevis oppbevares i 5 år etter at signeringen ble avsluttet (fullført, avslått, utløpt eller avbrutt). Deretter slettes dokumentene, versjonene, kommentarene, hendelsesloggen og partenes kontaktopplysninger og innloggingsopplysninger.
Det som beholdes etter 5 år, er en verifiseringspost: tittel, organisasjon, tidspunkter, SHA-256 av de forseglede filene, og for hver part: navn, metode, tidspunkt for signering og fødselsdato fra eID-en. Verifiseringsposten oppbevares så lenge avtalen varer, og slettes med resten når avtalen opphører.
Signeringer som ingen har signert, slettes helt 90 dager etter at de ble avsluttet. Utkast og signeringer som pågår, slettes ikke automatisk.
Den som sendte signeringen, eller kundens administratorer hvis brukeren er deaktivert, får e-post 30 til 60 dager før noe slettes. En administrator kan velge «Behold lenger» med en grunn, for eksempel en tvist, og da slettes signeringen ikke før valget tas av.
Kunden kan selv slette signeringer som ingen har signert. Et dokument som minst én person har signert, kan ikke slettes permanent av kunden, fordi det er bevis for alle partene.
Svarene et dokument ble laget med fra en mal, slettes sammen med dokumentene i signeringen, etter fristene over. Verifiseringsposten tar ikke vare på svarene, men den har tittelen på signeringen. Tittelen kan inneholde det avsenderen skrev i den eller det malen hentet fra svarene, for eksempel adressen i en husleiekontrakt.
En utfylling av en mal som ikke er gjort ferdig, slettes 30 dager etter at den sist ble endret.
Egne maler beholdes til kunden sletter dem. En mal som en signering er laget fra, arkiveres i stedet for å slettes. Bilder som ingen mal eller brevhodet bruker, slettes når de er mer enn en uke gamle.
Mens kunden er suspendert (vilkårene punkt 7), slettes ingenting automatisk, fordi kunden ikke kan logge inn og laste ned. Når suspensjonen er opphevet, varsles det som skal slettes, på nytt, og det slettes tidligst 30 dager etter det nye varselet.

Når avtalen opphører:

Kunden kan laste ned dokumentene og bevisene i oppsigelsesperioden.
Deretter sletter Relation Labs kundens personopplysninger, også verifiseringspostene, innen 90 dager, bortsett fra det vi etter loven må oppbevare.
Sikkerhetskopier slettes etter en fast rutine. Opplysninger som er slettet, også etter at avtalen er opphørt, er borte fra sikkerhetskopiene senest 90 dager etter at de ble slettet.
Vil kunden at dokumentene og bevisene skal oppbevares lenger, for eksempel for å kunne legge dem fram i en tvist, kan det avtales skriftlig.

12. Varighet

Avtalen gjelder så lenge Relation Labs behandler personopplysninger for kunden, også etter at vilkårene er sagt opp og fram til opplysningene er slettet eller levert tilbake.

13. Endringer i avtalen

Endringer i denne avtalen følger punkt 13 i vilkårene:

Redaksjonelle endringer, som ikke endrer noen rettigheter eller plikter, gjelder straks og varsles ikke.
Andre endringer varsles kundens administratorer minst 30 dager før de gjelder. Bruker kunden tjenesten videre etter det, er endringene godtatt, og kunden kan si opp avtalen før de gjelder.
Vesentlige endringer til ugunst for kunden, for eksempel nye formål for behandlingen, overføring av personopplysninger ut av EØS eller kortere frister for kunden, krever at en administrator signerer den nye kundeavtalen med BankID.

Nye eller byttede underleverandører varsles minst 30 dager før, som beskrevet i punkt 6, og krever ikke ny signatur.

14. Lovvalg og verneting

Som i vilkårene: norsk rett, og Søndre Østfold tingrett (Fredrikstad) som verneting.