Databehandleravtale

1. Bakgrunn og roller

Kunden er utleieren eller selskapet som har inngått avtale med Rentoutbase om bruk av tjenesten. Kunden er behandlingsansvarlig for personopplysningene kunden registrerer eller samler inn gjennom tjenesten om leietakere og andre.

Rentoutbase drives av Embrik Skrindo (enkeltpersonforetak), Norge, og er databehandler for disse opplysningene.

Opplysninger om kunden som kunde av Rentoutbase, for eksempel konto- og faktureringsopplysninger, behandler Rentoutbase som behandlingsansvarlig. Dette er beskrevet i personvernerklæringen (på engelsk) og omfattes ikke av denne avtalen.

Avtalen skal oppfylle kravene i personvernforordningen (GDPR) artikkel 28 og personopplysningsloven.

2. Formål, art og varighet

Formål. Rentoutbase behandler personopplysningene for å levere tjenesten til kunden: forvaltning av eiendommer og bygg, leietakere, digitale leiekontrakter med e-signering, oppfølging av husleie, skademeldinger og vedlikehold, meldinger og kunngjøringer til leietakere, økonomi, kundens offentlige utleieside og leietakerappen.

Art. Behandlingen omfatter innsamling (opplysninger kunden registrerer, og opplysninger leietakere og boligsøkere sender inn gjennom leietakerappen, leietakerportalen eller kundens utleieside), lagring, organisering, søk, visning og overføring (e-post og push-varsler som kunden setter i gang eller har satt opp). Når kunden bruker en KI-funksjon eller har slått på Rob AI, omfatter den også analyse og utkast ved hjelp av kunstig intelligens. Den omfatter dessuten eksport og sletting.

Rentoutbase behandler ikke personopplysningene for egne formål, selger dem ikke og bruker dem ikke til markedsføring.

Varighet. Behandlingen varer så lenge kundeavtalen gjelder, og deretter til personopplysningene er slettet eller levert tilbake etter punkt 13.

3. Registrerte og personopplysninger

Avtalen gjelder personopplysninger om disse gruppene av registrerte:

• leietakere og medleietakere, også tidligere og kommende
• andre som er part i eller signerer en leiekontrakt
• boligsøkere og andre som sender en henvendelse gjennom kundens utleieside
• kundens ansatte og andre brukere kunden gir tilgang til tjenesten
• andre personer som nevnes i meldinger, skademeldinger eller dokumenter, for eksempel håndverkere

Avtalen gjelder disse kategoriene av personopplysninger:

• navn og kontaktopplysninger, som e-post, telefon og adresse
• identitetsopplysninger som står i en leiekontrakt, for eksempel fødselsdato eller fødselsnummer
• leieforhold og kontrakter: bolig, leieperiode, husleie, depositum, kontraktsdokumenter, signaturer og tidspunkt for signering
• husleieregistreringer: forfalt beløp, beløp registrert som mottatt, og påminnelser
• meldinger mellom kunden og leietakere, og kunngjøringer til leietakere
• skademeldinger med beskrivelse, bilder, status og notater
• tilgangskoder og push-token for leietakerappen
• henvendelser fra boligsøkere: navn, kontaktopplysninger og melding
• for kundens brukere: navn, e-post, rolle og tilganger

Tjenesten er ikke laget for særlige kategorier av personopplysninger (artikkel 9) eller opplysninger om straffedommer og lovovertredelser (artikkel 10). Kunden skal ikke registrere slike opplysninger med mindre det er nødvendig.

4. Kundens plikter

• Kunden har ansvar for at behandlingen har et rettslig grunnlag, for å informere de registrerte om behandlingen, og for at instruksjonene kunden gir er lovlige.
• Kunden bestemmer hvilke opplysninger som registreres og hvor lenge de oppbevares i tjenesten, og skal ikke registrere flere opplysninger enn nødvendig.
• Kunden har ansvar for egne brukere: hvem som får tilgang, hvilke tilganger de får, og at innloggingsopplysninger holdes hemmelige.

5. Instruksjoner og taushetsplikt

Rentoutbase behandler personopplysningene bare etter dokumenterte instruksjoner fra kunden. Instruksjonene er denne avtalen, kundeavtalen og kundens bruk og innstillinger i tjenesten, inkludert handlinger kunden ber om eller godkjenner i Rob AI.

Krever lov i EØS eller Norge at Rentoutbase behandler opplysningene på annen måte, varsler Rentoutbase kunden før behandlingen starter, med mindre loven forbyr slik varsling. Mener Rentoutbase at en instruksjon er i strid med personvernregelverket, varsler Rentoutbase kunden straks.

Alle som behandler personopplysningene på vegne av Rentoutbase, har taushetsplikt etter avtale eller lov.

6. Rob AI og integrasjoner

• Rob AI er slått av til kunden slår ham på. Når Rob er satt på pause, stopper all behandling Rob gjør.
• KI-funksjonene sender personopplysninger til OpenAI (API) bare når kunden bruker en KI-funksjon eller har slått på Rob AI, og bare opplysningene som er relevante for forespørselen.
• Rob skriver og sender aldri en melding til en leietaker på egen hånd. En melding Rob har skrevet, sendes først når kunden har godkjent den nøyaktige teksten. Faste husleiepåminnelser på e-post sendes automatisk bare der de er slått på for kontoen; de er av når Rob slås på første gang.
• Rob gjør endringer i kundens konto, for eksempel å registrere en innbetaling eller legge inn en kalenderhendelse, bare når kunden uttrykkelig ber om det. Ber kunden om en handling etter at Rob har lest tekst skrevet av en leietaker eller boligsøker, legges handlingen i godkjenningskøen i stedet for å bli utført. Alle Robs handlinger logges.
• Rob husker bare fakta fra kundens egne meldinger, aldri fra tekst skrevet av leietakere.
• Integrasjoner kunden kobler til med en API-nøkkel, kan lese data innenfor nøkkelens tilgang, men kan ikke endre noe direkte. De kan bare legge fram forslag som kunden må godkjenne.
• Rentoutbase trener ikke egne KI-modeller på kundens personopplysninger.

7. Sikkerhet

Rentoutbase gjennomfører tekniske og organisatoriske tiltak etter artikkel 32. Per i dag er dette:

• All trafikk til og fra tjenesten går over HTTPS.
• Passord håndteres av Supabase Auth og lagres aldri i klartekst.
• Databasen er stengt for Supabases offentlige Data API: radnivåsikkerhet (row level security) er slått på for alle tabeller, uten offentlig tilgang.
• Innlogging er beskyttet med begrensning av antall forsøk, og hver bruker kan slå på totrinnsinnlogging med en engangskode på SMS.
• Dokumenter og bilder fra skademeldinger og inspeksjoner lagres privat og åpnes bare gjennom lenker som ikke kan gjettes.
• Kundens ansatte får rollebaserte tilganger, som kan avgrenses til bestemte bygg eller boliger.
• API-nøkler vises én gang, lagres bare som hash, avgrenses til bestemte datakategorier og eventuelt bygg eller boliger, har begrensning på antall kall, kan trekkes tilbake når som helst, og hvert kall logges.
• En melding Rob har skrevet, sendes ikke til en leietaker før kunden har godkjent den nøyaktige teksten, og Robs handlinger logges.
• Administrative handlinger fra Rentoutbases side logges.

Rentoutbase har ingen sikkerhetssertifiseringer. Kunden bør vurdere om tiltakene gir et sikkerhetsnivå som passer for kundens behandling. Rentoutbase kan endre tiltakene, men ikke slik at sikkerhetsnivået blir lavere.

8. Underdatabehandlere

Kunden gir generell forhåndsgodkjenning til at Rentoutbase bruker underdatabehandlerne på listen over underdatabehandlere.

Rentoutbase bruker bare underdatabehandlere som er bundet av skriftlige personvernforpliktelser som oppfyller artikkel 28 nr. 4, og er ansvarlig overfor kunden for at de oppfyller dem.

Før en ny eller erstattende underdatabehandler begynner å behandle personopplysninger på kundens vegne, oppdaterer Rentoutbase listen og varsler kunden på e-post minst 30 dager i forveien.

Kunden kan innen fristen protestere skriftlig på saklig grunnlag knyttet til personvern. Partene skal da forsøke å finne en løsning. Finner de ingen, kan kunden si opp kundeavtalen med virkning før endringen trer i kraft.

9. Overføring ut av EØS

Tjenestens database og fillagring ligger i EU (Irland), og serverfunksjonene kjører i Irland. Enkelte underdatabehandlere er amerikanske selskaper eller kan behandle opplysninger utenfor EØS, slik det fremgår av listen over underdatabehandlere. Slike overføringer skjer etter underdatabehandlerens databehandlervilkår.

Rentoutbase overfører ikke personopplysningene ut av EØS på annen måte enn gjennom underdatabehandlerne på listen, og skal sørge for at overføringene har gyldig grunnlag etter personvernforordningen kapittel V.

10. Bistand til kunden

I tjenesten kan kunden selv se, rette og slette opplysninger om leietakere og andre. Trenger kunden mer for å svare på en henvendelse fra en registrert, for eksempel om innsyn, retting, sletting eller dataportabilitet, bistår Rentoutbase på forespørsel.

Får Rentoutbase en slik henvendelse direkte, sendes den videre til kunden uten ugrunnet opphold. Rentoutbase svarer ikke den registrerte på kundens vegne, utover å henvise til kunden.

Rentoutbase bistår også kunden med pliktene etter artikkel 32 til 36 – sikkerhet, melding om brudd, vurdering av personvernkonsekvenser og forhåndsdrøftelser med Datatilsynet – ut fra behandlingens art og informasjonen Rentoutbase har.

11. Brudd på personopplysningssikkerheten

Rentoutbase varsler kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som gjelder kundens personopplysninger.

Varselet sendes til e-postadressen til kontoens eier og beskriver, så langt det er kjent: hva som har skjedd, hvilke kategorier og omtrent hvor mange registrerte og opplysninger som er berørt, sannsynlige konsekvenser, og hvilke tiltak som er eller vil bli satt i verk. Det som ikke er kjent med en gang, ettersendes.

Rentoutbase setter i verk rimelige tiltak for å begrense skaden. Kunden er som behandlingsansvarlig den som melder bruddet til Datatilsynet og eventuelt varsler de registrerte.

12. Revisjon og dokumentasjon

Rentoutbase gjør tilgjengelig all informasjon som er nødvendig for å vise at pliktene i denne avtalen og i artikkel 28 er oppfylt, og fører protokoll over behandlingsaktivitetene etter artikkel 30 nr. 2.

Kunden, eller en uavhengig revisor kunden utpeker, kan gjennomføre revisjoner, inkludert inspeksjoner. Revisjon varsles skriftlig minst 30 dager i forveien, gjennomføres i vanlig arbeidstid uten å hindre driften mer enn nødvendig, og revisor skal ha taushetsplikt. Rentoutbase kan først svare med skriftlig dokumentasjon; er den ikke tilstrekkelig, gjennomføres revisjonen. Hver part dekker egne kostnader.

Revisjon av underdatabehandlere skjer gjennom den dokumentasjonen og de rettighetene de gir etter sine vilkår.

13. Sletting og tilbakelevering

Mens avtalen løper, kan kunden rette og slette opplysninger i tjenesten og laste ned kontodata under Innstillinger → Last ned dataene dine. Kunden kan også be om en fullstendig kopi av personopplysningene i et maskinlesbart format.

Når kundeavtalen opphører, kan kunden innen 30 dager be om å få personopplysningene levert tilbake i et maskinlesbart format. Senest 60 dager etter at avtalen opphørte, sletter Rentoutbase personopplysningene som er behandlet på kundens vegne, inkludert opplastede filer, med mindre lov i EØS eller Norge krever at de lagres. Rentoutbase bekrefter slettingen skriftlig på forespørsel.

Opplysninger hos underdatabehandlere slettes etter deres vilkår.

14. Varighet, forrang, endringer og lovvalg

• Avtalen gjelder så lenge Rentoutbase behandler personopplysninger på kundens vegne.
• Ved motstrid mellom denne avtalen og kundeavtalen går denne avtalen foran når det gjelder behandling av personopplysninger.
• Ansvar etter denne avtalen reguleres av ansvarsbegrensningen i vilkårene, med mindre ufravikelig lov sier noe annet.
• Endringer i avtalen varsles på samme måte som endringer i vilkårene. Endringer i underdatabehandlere følger punkt 8.
• Avtalen reguleres av norsk lov, med samme verneting som i vilkårene.
• Avtalen finnes på norsk og engelsk. Ved motstrid gjelder den norske teksten.

15. Kontakt

Spørsmål om avtalen eller om personvern: support@rentoutbase.com. Rentoutbase har ikke plikt til å ha personvernombud; Embrik Skrindo er kontaktperson for personvern.