Databehandleravtale

Databehandleravtale

Versjon 1.0, 20. oktober 2026

Denne avtalen gjelder mellom virksomheten som har konto hos Referi (kunden, behandlingsansvarlig) og Company Mathisen (leverandøren, databehandler). Avtalen er en del av abonnementet og gjelder fra kontoen opprettes. Ønsker dere en signert kopi, skriv til kontakt@referi.no.

1. Formål og omfang

Leverandøren behandler personopplysninger på vegne av kunden for å gjøre møteopptak og transkripsjoner om til skriftlige møtereferater, og for å lagre disse for kunden. Opplysningene brukes ikke til andre formål, og ikke til å trene AI-modeller.

2. Hvilke opplysninger

  • Kategorier av registrerte: møtedeltakere og personer som omtales i møtene.
  • Typer opplysninger: stemme og tale i lydopptak, navn, roller og det som blir sagt i møtet. Kunden avgjør hva som tas opp.
  • Kunden bør unngå å laste opp særlige kategorier av personopplysninger (f.eks. helse) med mindre det er nødvendig og kunden har behandlingsgrunnlag for det.

3. Leverandørens plikter

  • Behandle opplysningene kun etter kundens dokumenterte instruks, som er denne avtalen og bruken av tjenesten.
  • Sørge for at alle med tilgang har taushetsplikt.
  • Ha forsvarlige sikkerhetstiltak (art. 32): kryptert overføring (HTTPS), kryptert lagring, tilgang kun for kundens egne brukere, og automatisk sletting av lydfiler etter transkripsjon.
  • Bistå kunden med å oppfylle de registrertes rettigheter, f.eks. innsyn og sletting.
  • Varsle kunden uten ugrunnet opphold, og senest innen 48 timer, ved brudd på personopplysningssikkerheten.
  • Gi kunden informasjon som trengs for å vise at avtalen følges, og svare på rimelige revisjonsspørsmål.

4. Underleverandører

Kunden godkjenner at leverandøren bruker underleverandørene som er listet i personvernerklæringen (Supabase, Vercel, AssemblyAI, Anthropic og Stripe). Leverandøren har avtaler med hver av dem som gir tilsvarende vern. Ved bytte eller nye underleverandører varsles kunden på e-post minst 30 dager før, og kan si opp avtalen dersom kunden ikke godtar endringen.

5. Overføring utenfor EU/EØS

Lagring skjer i EU. Generering av referatet gjøres av Anthropic i USA. Overføringen bygger på EU-kommisjonens standard personvernbestemmelser og/eller EU–US Data Privacy Framework.

6. Sletting og tilbakelevering

  • Lydfiler slettes automatisk når transkripsjonen er ferdig.
  • Kunden kan slette referater når som helst i tjenesten.
  • Ved opphør av avtalen kan kunden laste ned referatene (Word/PDF). Leverandøren sletter alle opplysninger innen 30 dager etter skriftlig forespørsel, med mindre lov krever noe annet.

7. Varighet

Avtalen gjelder så lenge leverandøren behandler personopplysninger for kunden.

8. Lovvalg

Norsk rett gjelder. Tvister løses ved Bergen tingrett.