Databehandleravtale (DPA)

Mal for signering. Felter i [klammer] fylles ut av institusjonen ved inngåelse. Ikke juridisk rådgivning.

Denne databehandleravtalen («Avtalen») inngås mellom [institusjonens navn], org.nr [org.nr] («Behandlingsansvarlig») og Lukas Thrane (enkeltpersonforetak), org.nr 936 043 925, Vegamot 1N, 7049 Trondheim («Databehandler», «Graidable»). Avtalen regulerer Databehandlers behandling av personopplysninger på vegne av Behandlingsansvarlig i forbindelse med bruk av Graidable, jf. personvernforordningen (GDPR) art. 28.

Avtalen signeres av Behandlingsansvarlig nedenfor. En lærer godtar den også i appen når kontoen opprettes, på vegne av institusjonen som har ansvaret for elevene hvis arbeid lastes opp, og bekrefter i vilkårene at læreren har fullmakt til det.

1. Formål og omfang

Databehandler behandler personopplysninger kun for å levere Graidable-tjenesten (lese elevarbeid, sortere det til elevene, og KI-støttede utkast til vurdering og tilbakemelding som læreren går gjennom og godkjenner) og kun etter Behandlingsansvarliges dokumenterte instrukser, slik de fremgår av denne Avtalen og hovedavtalen/vilkårene. Databehandler skal ikke behandle opplysningene til egne formål.

2. Varighet

Avtalen gjelder så lenge Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig, og opphører når behandlingen avsluttes og opplysningene er slettet/returnert (jf. punkt 9).

3. Behandlingens art, kategorier og registrerte

Art og formål, kategorier av personopplysninger og registrerte fremgår av Vedlegg A. Hva hver underdatabehandler får, fremgår av Vedlegg B.

4. Databehandlers plikter

Databehandler skal:

• behandle personopplysninger kun etter dokumenterte instrukser, og varsle dersom en instruks anses å være i strid med personvernregelverket;
• sikre at personer med tilgang har taushetsplikt;
• iverksette egnede tekniske og organisatoriske tiltak etter GDPR art. 32 (se Vedlegg B);
• bistå Behandlingsansvarlig med å oppfylle plikter knyttet til de registrertes rettigheter, sikkerhet, personvernkonsekvensvurderinger (art. 35) og forhåndsdrøfting (art. 36);
• ikke bruke kunde- eller elevinnhold til å trene KI-modeller, og bare sende KI-kall til leverandører som, med rutingen i Vedlegg B, verken lagrer eller trener på dem.

5. Brudd på personopplysningssikkerheten

Databehandler skal uten ugrunnet opphold varsle Behandlingsansvarlig etter å ha blitt kjent med et brudd, og bistå med nødvendig informasjon slik at Behandlingsansvarlig kan oppfylle sin varslingsplikt etter art. 33–34.

6. Underdatabehandlere

Behandlingsansvarlig gir generell forhåndsgodkjenning til bruk av underdatabehandlerne i Vedlegg A. Databehandler skal pålegge underdatabehandlere tilsvarende forpliktelser som i denne Avtalen, og varsle Behandlingsansvarlig om planlagte endringer (nye eller utskiftede underdatabehandlere) i rimelig tid, slik at Behandlingsansvarlig kan motsette seg endringen.

7. Overføring til tredjeland

Lagring, databasen, e-post og lesing (OCR) er konfigurert innenfor EU/EØS, og det er også KI-modellene som finner oppgavene, lager kriterier og vurderer. To databehandlere arbeider utenfor EØS: OpenRouter (USA), som alle KI-kall går gjennom, og TypeSafe (USA), der modellen Jev sorterer arbeidet til elevene og derfor får elevenes navn og teksten i arbeidet deres (Vedlegg B). For disse overføringene skal det foreligge et gyldig overføringsgrunnlag, normalt EUs standardvilkår (SCC) med nødvendige tilleggstiltak.

8. Revisjon og tilsyn

Databehandler skal gjøre tilgjengelig nødvendig informasjon for å dokumentere etterlevelse av art. 28, og muliggjøre og bidra til revisjoner, herunder inspeksjoner, utført av Behandlingsansvarlig eller en revisor utpekt av denne.

9. Retur og sletting

Ved avslutning av tjenesten skal Databehandler, etter Behandlingsansvarliges valg, slette eller returnere alle personopplysninger og slette eksisterende kopier, med mindre lagring er lovpålagt. Sletting utføres uten ugrunnet opphold på forespørsel.

10. Ansvar og lovvalg

Avtalen reguleres av norsk rett, med verneting Trøndelag tingrett. Hver part er ansvarlig etter personvernregelverket og hovedavtalen. De registrerte kan klage til Datatilsynet.

---

Vedlegg A – Behandlingsoversikt og underdatabehandlere

Formål: lese elevarbeid, sortere det til elevene, og KI-støttede utkast til vurdering og tilbakemelding som læreren går gjennom og godkjenner. Registrerte: elever og studenter; lærere og undervisningsassistenter. Kategorier: identifikatorer (navn, og der læreren legger dem inn: e-post, elevnummer, kandidatnummer); elevarbeid (filene som lastes opp, bilder av sidene og teksten som leses fra dem, som kan inneholde særlige kategorier i fritekst); vurderingsdata (poeng, utkast og godkjente resultater, tilbakemelding); konto- og loggdata. Lagringstid: data beholdes så lenge klassen eller kontoen finnes, uten automatisk sluttdato. Slettede klasser og oppgaver slettes etter 30 dager i «Nylig slettet»; en slettet konto slettes med én gang.

KI-modeller: Databehandler velger modellene og endepunktene deres; det finnes ingen policy per konto å velge. Databehandler bruker TypeSafe, Microsoft og Google bare gjennom OpenRouter og har ingen direkte avtale med dem. Koden til Databehandler har også Gemini 3.8 Flash på Googles globale endepunkt (utenfor EU) som vurderingsmodell; den brukes bare i Databehandlers egne testkjøringer, aldri på Behandlingsansvarliges data, og tas ikke i bruk på dem uten forhåndsvarsel etter punkt 6.

Vedlegg B – Tekniske og organisatoriske tiltak (art. 32)

Sikkerhet: kryptering under overføring (TLS); filene i lagringen er kryptert; tilgangsstyring og rollebasert tilgang; logging; EU-/EØS-basert hosting; rutiner for avvikshåndtering og varsling innen fristene i art. 33.

KI-ruting, fastsatt i koden for hvert KI-kall: bare endepunktene i Vedlegg A, uten reserve hos en annen leverandør; bare endepunkter OpenRouter oppgir har null datalagring; bare leverandører som etter OpenRouters datapolicy ikke lagrer eller trener på kallene; et kall med annen ruting stoppes før det sendes; innholdet i KI-kall og svar logges ikke. Disse innstillingene binder modelleverandørene; hva OpenRouter selv beholder, styres av OpenRouters vilkår med Databehandler.

Dataminimering: hva hver underdatabehandler får

Elevenes navn sendes altså til TypeSafe i USA, og håndskrevne navn kan stå på sidebildene som sendes til vurdering. Der det er mulig, kan Behandlingsansvarlig redusere dette ved å bruke kandidatnumre eller elevnumre i stedet for navn på klasselisten og på arbeidet.

---

Signatur