Standard tjenestevilkår for Devello

Versjon 1.0 — gjeldende fra 1. september 2026

1. Generelt

1.1 Disse standard tjenestevilkårene («Tjenestevilkårene») gjelder for bruk av Devello, en skybasert tjeneste som lager tilbudsutkast for håndverksbedrifter, som nærmere beskrevet på https://devello.no («Tjenesten»). Ved å ta Tjenesten i bruk anses Tjenestevilkårene akseptert.

1.2 Tjenesten leveres av Devello AS, org.nr. 936 919 065, Solheimslien 26, 5056 Bergen («Devello»). Som «Kunde» anses den juridiske enheten som benytter Tjenesten. Med «Sluttkunde» menes Kundens egne kunder og potensielle kunder — de som ber Kunden om pris på et oppdrag.

2. Bruksrett

2.1 Kunden gis en ikke-eksklusiv bruksrett til Tjenesten i abonnementsperioden, i henhold til «Abonnementsvilkår», inntatt som Vedlegg 1.

2.2 Bruksretten gjelder Kundens egen virksomhet. Kunden kan ikke overdra bruksretten, gi andre tilgang til Tjenesten eller benytte Tjenesten til fordel for andre, med mindre dette er uttrykkelig avtalt med Devello.

2.3 Bruksretten omfatter det antall brukere og det volumet som følger av Kundens abonnement.

3. Tjenesten

3.1 Tjenesten gjøres tilgjengelig for Kunden gjennom en nettleser med pålogging. Enkelte nettlesere og enheter kan inneholde begrensninger som medfører at Tjenesten ikke fungerer optimalt.

3.2 Enkelte funksjoner krever at Kunden kobler Tjenesten til egne systemer, herunder Kundens e-postkonto i Microsoft 365. Slik tilkobling forutsetter at Kunden har gyldig avtale med den aktuelle leverandøren, og kan innebære ekstra kostnad for Kunden. Kunden gir og kan når som helst trekke tilbake tilgangen i sin egen Microsoft-portal.

3.3 Tjenesten er standard programvare som leveres «som den er». Devello vil benytte kommersielt rimelige tiltak for å sikre best mulig oppetid og funksjonalitet, men gir ingen garanti for at Tjenesten til enhver tid er fri for feil eller driftsavbrudd.

3.4 Devello forbeholder seg retten til å gjøre endringer og oppdateringer i Tjenesten, herunder å forbedre, legge til, endre eller fjerne funksjonalitet, etter eget skjønn. Devello varsler Kunden dersom en endring medfører endrede krav til Kundens utstyr eller tilkoblinger. Arbeid med endring eller oppdatering kan medføre redusert funksjonalitet eller begrenset tilgang, og Devello skal tilstrebe å legge slikt arbeid til tidspunkter som belaster Kunden minst mulig. Velger Devello å avvikle Tjenesten eller vesentlige funksjoner i den, skal Kunden gis 3 måneders varsel.

4. Kundens ansvar for sikkerhet og bruk

4.1 All bruk av Tjenesten skjer på Kundens eget ansvar. Kunden er ansvarlig for innholdet og lovligheten av egne data, herunder prislister, referansefiler og kundeopplysninger som legges inn i Tjenesten.

4.2 Kunden skal ikke (i) foreta omvendt utvikling eller dekompilering av Tjenesten, (ii) kopiere eller endre Tjenesten, (iii) forstyrre eller avbryte integriteten eller funksjonaliteten i Tjenesten, herunder ved å laste opp filer som inneholder virus eller som på annen måte kan skade Tjenesten, (iv) benytte Tjenesten til ulovlige eller skadelige formål eller lagre eller overføre materiale som krenker tredjeparts rettigheter, (v) forsøke å få uautorisert tilgang til Tjenesten eller tilhørende systemer og nettverk, eller (vi) selge, videreselge, leie eller lease ut Tjenesten.

4.3 Kundens brukertilganger er personlige og kan ikke overlates til andre. Opplysninger om brukernavn og passord skal oppbevares på betryggende måte. Kunden er ansvarlig for enhver bruk, og det er Kundens ansvar å sikre seg mot uautorisert tilgang til Tjenesten.

4.4 Kunden er ansvarlig for å ha kompatibelt brukerutstyr og tilstrekkelig internettkapasitet og -hastighet for at Tjenesten skal fungere optimalt.

5. Tilbudsutkast og bruk av kunstig intelligens

5.1 Tjenesten benytter en språkmodell fra en ekstern leverandør til å lage tilbudsutkast fra Kundens innkommende henvendelser. Leverandøren framgår av databehandleravtalen i Vedlegg 2.

5.2 Tjenesten leverer utkast, ikke ferdige tilbud. Et utkast er et forslag Kunden skal gjennomgå, rette og godkjenne. Devello sender aldri e-post eller tilbud til Sluttkunder på Kundens vegne.

5.3 Priser hentes utelukkende fra Kundens egen prisfil. Devello finner aldri på en pris, og svarer ikke for at prisfila er korrekt, oppdatert eller fullstendig. Det er Kundens ansvar å vedlikeholde prisfila.

5.4 Språkmodeller kan gi uriktige eller ufullstendige resultater. Kunden er ansvarlig for å kontrollere innhold, mengder, priser og forutsetninger i utkastet før det sendes til en Sluttkunde. Et tilbud Kunden har godkjent og sendt, er Kundens tilbud.

5.5 Kunden er ansvarlig for at tilbudet oppfyller de kravene som gjelder for Kundens virksomhet, herunder plikten etter håndverkertjenesteloven til å merke tydelig om prisen er en fastpris eller et prisoverslag. Devello gir ingen juridisk rådgivning om innholdet i Kundens tilbud.

5.6 Tjenesten treffer ingen automatiserte avgjørelser med rettsvirkning eller tilsvarende betydelig virkning for enkeltpersoner.

5.7 Innholdet i en innkommende henvendelse behandles som data, ikke som instruks til Tjenesten.

6. Support

6.1 Kunden har tilgang til teknisk support fra Devello på e-post innenfor normal arbeidstid. Supporten omfatter bruk av Tjenesten og feilretting, ikke faglig eller juridisk rådgivning om Kundens oppdrag eller tilbud.

6.2 Nærmere svartider følger av Kundens abonnement.

7. Oppbevaring av data

7.1 Devello vil oppbevare Kundens data på betryggende måte. Data lagres innenfor EU/EØS. Devello vil kun dele Kundens data med tredjeparter i den utstrekning det er nødvendig for å levere Tjenesten som forutsatt, eller plikt til utlevering følger av lov, dom eller annet pålegg.

7.2 Devello fører en kundebase med opplysninger om Kunden, herunder generelle opplysninger og statistikk knyttet til Kundens bruk av Tjenesten. Formålet er å videreutvikle og optimalisere Tjenesten. Kundebasen gjøres ikke tilgjengelig for andre enn Devello og Devellos underleverandører.

7.3 Kunden kan når som helst eksportere egne data fra Tjenesten i et vanlig maskinlesbart format.

8. Personvern

8.1 Devello behandler personopplysninger knyttet til Kundens brukertilganger i tråd med gjeldende personvernlovgivning og Devellos personvernerklæring, tilgjengelig på devello.no/personvern. Devello er behandlingsansvarlig for slike personopplysninger.

8.2 Devellos leveranse av Tjenesten innebærer også behandling av personopplysninger på Kundens vegne, slik at Devello opptrer som databehandler for Kunden. For denne behandlingen gjelder databehandleravtalen inntatt som Vedlegg 2.

9. Konfidensialitet

9.1 Informasjon som partene blir kjent med i forbindelse med Kundens bruk av Tjenesten skal behandles konfidensielt, og ikke gjøres tilgjengelig for utenforstående uten samtykke fra den annen part. Partene skal ta nødvendige forholdsregler for å sikre at uvedkommende ikke får innsyn i taushetsbelagt informasjon.

9.2 Taushetsplikten gjelder ikke informasjon som er alminnelig kjent eller er tilgjengelig andre steder uten at dette skyldes urettmessig opptreden av den annen part eller tredjemann. Taushetsplikten gjelder ikke når opplysningsplikt følger av lov eller beslutning av domstol.

9.3 Brudd på taushetsplikten anses som vesentlig mislighold av Tjenestevilkårene. Taushetsplikten gjelder også etter at Kundens bruk av Tjenesten er opphørt.

10. Kommunikasjon og varsler

10.1 Generell informasjon om Tjenesten, herunder informasjon om nye funksjoner, prisendringer eller planlagt vedlikehold, vil gis i Tjenesten, på devello.no eller på e-post. Varsler som gjelder Kunden spesielt og informasjon av særlig betydning, for eksempel informasjon relatert til sikkerhet og personvern, vil bli sendt på e-post til Kundens registrerte kontaktadresse.

10.2 Kunden er ansvarlig for å holde kontaktadressen oppdatert.

11. Immaterielle rettigheter

11.1 Devello eier alle immaterielle rettigheter knyttet til Tjenesten, herunder kildekode, databaser, design, systeminstruksjoner og kompilering av data.

11.2 Kunden eier rettighetene til egne data, herunder prislister, referansefiler, kundeopplysninger og ferdige tilbud.

11.3 Devello kan bruke anonymiserte og aggregerte data fra bruken av Tjenesten til å måle kvalitet, rette feil og videreutvikle Tjenesten. Slike data inneholder ingen personopplysninger, ingen priser som kan spores tilbake til Kunden, og ingen opplysninger som identifiserer Kunden eller Kundens Sluttkunder. Devello bruker ikke Kundens data til å trene språkmodeller, og gjør dem ikke tilgjengelige for andre kunder.

11.4 Tjenesten bygger en intern referansedatabase over tidligere tilbud, slik at senere utkast blir mer treffsikre. Agenten anonymiserer alle personopplysninger før en oppføring lagres der: navn, kontaktopplysninger og adresser fjernes fra både egne felt og fritekst, og oppføringen beholder bare jobbtype, poster, priser og forutsetninger. Skulle en oppføring likevel inneholde personopplysninger, omfattes den av slettingen i Vedlegg 2 punkt 11.

11.5 Kunden kan når som helst reservere seg mot bruken beskrevet i punkt 11.3 og 11.4 ved å skrive til post@devello.no. Reservasjonen får virkning fra det tidspunktet den mottas, og påvirker ikke Kundens tilgang til Tjenesten eller prisen for den.

12. Bruksrestriksjoner

12.1 Dersom Kunden krenker Devellos immaterielle rettigheter eller på annen måte illojalt utnytter sine tilganger på en måte som kan skade Devello, eller vesentlig bryter med Tjenestevilkårene, kan Devello med umiddelbar virkning stenge tilgangen for den aktuelle brukeren og/eller Kunden.

12.2 Dersom betalingsmislighold ikke rettes etter mottatt purring og varsel om stenging, kan Devello stenge Kundens tilgang til Tjenesten. Tilgang gjenåpnes første virkedag etter at Devello har mottatt korrekt betaling.

12.3 Dersom Kundens tilgang til Tjenesten i henhold til dette punkt 12 stenges i mer enn 3 måneder, vil Kundens bruksrett automatisk opphøre, jf. punkt 14.

13. Devellos ansvar

13.1 Kunden må varsle om feil, mangler og tap straks og senest innen 14 dager etter at Kunden ble klar over forholdene. Dersom det ikke reklameres innen fristen, mister Kunden sin rett til å gjøre eventuelle misligholdsbeføyelser gjeldende.

13.2 Devello vil tilstrebe å rette feil i Tjenesten så raskt som mulig. Dersom feilen medfører at Kundens evne til å bruke Tjenesten er vesentlig redusert, og Devello ikke innen rimelig tid utbedrer feilen, kan Kunden si opp bruksretten til Tjenesten og kreve forholdsmessig refusjon av betalt vederlag (prisavslag).

13.3 Devello er ikke ansvarlig for innholdet i et tilbud Kunden har godkjent og sendt, herunder for priser, mengder, forutsetninger eller feilaktige opplysninger i tilbudet, jf. punkt 5.

13.4 Devello er under ingen omstendighet ansvarlig for Kundens indirekte tap eller konsekvenstap, herunder tap av data eller kunder, forretningsavbrudd, avsavn, tapt fortjeneste eller krav om betaling av skatter eller avgifter. Devellos erstatningsansvar er under alle omstendigheter oppad begrenset til et beløp tilsvarende ett års vederlag for Kundens bruksrett til Tjenesten.

13.5 Ovenstående ansvarsbegrensninger gjelder ikke dersom skade er voldt ved forsett eller grov uaktsomhet fra Devellos side.

14. Opphør

14.1 Tjenestevilkårene gjelder så lenge Kunden benytter Tjenesten.

14.2 Ved opphør av Kundens bruksrett vil Devello i en periode på 30 dager stille Kundens data tilgjengelig for eksport til annet lagringssted. Kundens data vil deretter slettes, jf. Vedlegg 2 punkt 11.

15. Endringer

15.1 Devello kan endre Tjenestevilkårene når det anses nødvendig. Kunden vil få varsel om endringen på e-post og ved neste pålogging, minst 30 dager før endringen trer i kraft.

15.2 Godtar ikke Kunden endringen, kan Kunden si opp Tjenesten innen fristen og få refundert forskuddsbetalt vederlag for gjenstående periode.

16. Lovvalg og tvisteløsning

16.1 Tjenestevilkårene skal reguleres av norsk rett.

16.2 Enhver tvist som måtte oppstå i forbindelse med Tjenestevilkårene og som ikke løses ved forhandlinger, skal behandles ved de alminnelige domstoler med Hordaland tingrett som verneting.

---

Vedlegg 1: Abonnementsvilkår

Følgende abonnementsvilkår gjelder for Kunder som tegner abonnement på Tjenesten. Abonnementsvilkårene supplerer de generelle Tjenestevilkårene.

1. Etablering av tilgang og administratorrolle

1.1 Kunden oppnår tilgang til Tjenesten ved å registrere sitt abonnement og opprette en personlig bruker med administratorrettigheter («Administrator»).

1.2 Administrator oppretter brukertilgang for de personene hos Kunden som skal benytte Tjenesten, og kobler Tjenesten til Kundens e-postkonto. Administrator kan avslutte Kundens bruksrett ved å si opp abonnementet.

1.3 Administrator innestår for at han har nødvendig fullmakt til å opptre på vegne av Kunden i tilknytning til Tjenesten, herunder til å opprette, endre og avslutte abonnement, opprette brukertilganger, gi Tjenesten tilgang til Kundens e-post og motta varsler.

1.4 Administrator kan ved behov overdra sin rolle til en ny Administrator. For øvrig kan Kunden ved skriftlig henvendelse be Devello om å overdra Administrator-rollen til en ny, navngitt person.

2. Priser og betalinger

2.1 Etter at Kunden har registrert sitt abonnement løper en 30 dagers vederlagsfri prøveperiode. Etter utløpet av prøveperioden beregnes vederlag i henhold til Devellos gjeldende prisliste tilgjengelig på devello.no.

2.2 Alle priser er oppgitt i norske kroner. Devello er ikke registrert i Merverdiavgiftsregisteret og fakturerer derfor uten merverdiavgift. Blir Devello mva-registrert, kommer merverdiavgift i tillegg til de oppgitte prisene, og Kunden varsles etter punkt 2.5.

2.3 Vederlaget faktureres månedlig med 14 dagers betalingsfrist. Faktura sendes fra Devello eller Devellos regnskapsfører. Devello tar ikke imot kortbetaling, og kortopplysninger behandles ikke i Tjenesten.

2.4 Prisene justeres ved hvert årsskifte i henhold til endringen i konsumprisindeksen (hovedindeksen). Slik justering krever ikke varsel.

2.5 Devello kan ellers endre prisene, for eksempel ved endringer i Tjenestens innhold og funksjonalitet, i kostnadene for Devellos underleverandører, eller i Devellos prismodell. Slike endringer varsles skriftlig til Kundens registrerte kontaktadresse minst 60 dager før de trer i kraft. Varselet skal opplyse om den nye prisen, når den gjelder fra, og Kundens rett etter punkt 2.6.

2.6 Er Kunden uenig i en prisendring etter punkt 2.5, kan Kunden si opp abonnementet med virkning senest fra det tidspunktet den nye prisen trer i kraft. Sier Kunden ikke opp innen fristen, anses den nye prisen akseptert.

2.7 En prisendring etter punkt 2.5 kan tidligst få virkning 6 måneder etter at Kunden inngikk avtalen.

2.8 Abonnementet løper til det sies opp. Oppsigelse skjer i Tjenesten og får virkning fra utløpet av inneværende betalingsperiode.

3. Betalingsmislighold

3.1 Ved forsinket betaling beregnes forsinkelsesrenter i henhold til lov om renter ved forsinket betaling m.m. Det vises også til Tjenestevilkårene punkt 12.2 og 12.3 vedrørende stenging og avslutning av bruksrett som følge av betalingsmislighold.

---

Merk: prisendringer etter punkt 2.5 er en endring i abonnementsvilkårene, ikke i Tjenestevilkårene, og følger fristen på 60 dager her — ikke 30-dagersfristen i Tjenestevilkårene punkt 15.

---

Vedlegg 2: Databehandleravtale

Som et vedlegg og integrert del av disse Tjenestevilkårene inngås databehandleravtalen der Kunden er «Behandlingsansvarlig» og Devello «Databehandler».

Devello AS, org.nr. 936 919 065, er Databehandler. Kunden er Behandlingsansvarlig. Sluttkunde betyr Kundens egne kunder og potensielle kunder. Personvernregelverket betyr GDPR og personopplysningsloven slik de til enhver tid gjelder i Norge.

Ved motstrid går dette vedlegget foran de generelle Tjenestevilkårene når det gjelder behandling av personopplysninger, med unntak av punkt 12.2 om ansvar.

En fullstendig databehandleravtale med bilag, til signering, fås ved henvendelse til post@devello.no.

---

1. Hva Devello behandler, og hvorfor

1.1 Devello leverer en tjeneste som lager tilbudsutkast for håndverksbedrifter («Tjenesten»). For å levere den behandler Devello personopplysninger på vegne av Kunden.

1.2 Formålet er å lese inn henvendelser fra sluttkunder, lage tilbudsutkast med priser fra Kundens egen prisfil, og gjøre utkastet klart til at Kunden selv godkjenner og sender. Behandlingen omfatter innsamling, lagring, strukturering, analyse, generering av tekst, visning i Kundens grensesnitt og sletting.

1.3 Opplysningene gjelder sluttkunder, Kundens egne brukere, og leverandører eller samarbeidspartnere som nevnes i en henvendelse. Det dreier seg om navn og kontaktopplysninger, oppdragsadresse, innholdet i og metadata fra henvendelsen, tilbudsdata, samt brukernavn og aktivitetslogg.

1.4 Tjenesten er ikke innrettet for særlige kategorier av personopplysninger (GDPR artikkel 9) eller opplysninger om straffedommer (artikkel 10), og Kunden skal ikke legge inn slike opplysninger. Dukker de likevel opp i fritekst fra en sluttkunde, behandler Devello dem med samme sikkerhetsnivå som øvrige opplysninger; Kunden vurderer om behandlingen skal fortsette.

1.5 Behandlingen varer så lenge Kunden bruker Tjenesten. Opphør er regulert i punkt 11.

2. Kundens rettigheter og plikter

2.1 Kunden er behandlingsansvarlig og har ansvaret for at det finnes gyldig behandlingsgrunnlag for opplysningene som legges inn i Tjenesten.

2.2 Denne avtalen, sammen med innstillingene Kunden gjør i Tjenesten, er Kundens dokumenterte instruks til Devello. Ytterligere instrukser gis skriftlig til post@devello.no.

2.3 Kunden har rett til sikkerhetsdokumentasjon (7.2), revisjon (10), å motsette seg nye underdatabehandlere (5.2), å stanse behandlingen ved vesentlig brudd (11.1), og å velge sletting eller retur ved opphør (11.2).

2.4 Kunden administrerer sine egne brukertilganger. Kunden svarer overfor de registrerte og har meldeplikten overfor Datatilsynet; dette begrenser ikke Devellos plikt etter GDPR artikkel 31 til å samarbeide med tilsynsmyndigheten.

3. Devellos ansvar

3.1 Devello behandler bare personopplysninger etter Kundens instruks og bare så langt det er nødvendig for å levere Tjenesten. Opplysningene brukes aldri til Devellos egne formål.

3.2 Mener Devello at en instruks bryter med personvernregelverket, sier Devello fra uten ugrunnet opphold. Blir Devello pålagt ved lov å behandle opplysningene på annen måte enn instruksen tilsier, varsler Devello Kunden om rettsgrunnlaget før behandlingen skjer — med mindre loven forbyr slik varsling.

3.3 Bare personer som trenger det for å levere Tjenesten, får tilgang. Alle er underlagt taushetsplikt, som også gjelder etter at avtalen er opphørt. Taushetsplikten viker for personopplysninger bare der Devello er rettslig forpliktet til å utlevere dem, og da med varsel etter punkt 3.2.

3.4 Devello bistår Kunden med å oppfylle pliktene etter GDPR artikkel 32–36, tilpasset behandlingens art og den informasjonen Devello har. Bistanden er inkludert i vederlaget ved ordinært omfang; krever en sak vesentlig arbeid ut over dette, kan Devello kreve dekket dokumenterte kostnader mot forhåndsvarsel og estimat. Bistand ved brudd som skyldes forhold på Devellos side er alltid kostnadsfri.

3.5 Devello sender aldri e-post eller tilbud til sluttkunder på egen hånd. Tjenesten lager utkast; et menneske hos Kunden godkjenner og sender.

4. Bruk av AI-modell

4.1 Tjenesten bruker en språkmodell fra Anthropic (Claude API) for å lage tilbudsutkastet. Innholdet i henvendelsen og relevante prisdata sendes til leverandørens API.

4.2 Devello har inngått databehandleravtale med leverandøren og bruker leverandøren på kommersielle vilkår der innholdet ikke brukes til å trene modeller.

4.3 Etter leverandørens gjeldende vilkår lagres innhold fra API-kall bare så lenge det er nødvendig for å levere svaret og for leverandørens kortvarige misbrukskontroll. Endres dette vesentlig, varsler Devello Kunden etter punkt 12.1.

4.4 Hvert kall er avgrenset til én kunde. Avgrensningen settes av Devellos backend, aldri av innholdet i en henvendelse. Modellen får ikke tilgang til andre av Devellos kunders data.

4.5 Innholdet i en henvendelse behandles som data, ikke som instruks. Ser noe i en innkommende e-post ut som en beskjed til systemet, følges det ikke — det flagges i utkastet.

4.6 Tjenesten treffer ingen automatiserte avgjørelser med rettsvirkning eller tilsvarende betydelig virkning for de registrerte, jf. GDPR artikkel 22. Et tilbudsutkast er et utkast, og Kunden kontrollerer innhold og priser før noe sendes.

4.7 Tjenesten bygger en intern referansedatabase over tidligere tilbud. Agenten anonymiserer alle personopplysninger før en oppføring lagres — navn, kontaktopplysninger og adresser fjernes fra både felt og fritekst, og bare jobbtype, poster, priser og forutsetninger blir igjen. Databasen er avgrenset per kunde etter punkt 4.4. Inneholder en oppføring likevel personopplysninger, omfattes den av slettingen i punkt 11.

5. Underdatabehandlere

5.1 Devello bruker disse underdatabehandlerne. Kunden godkjenner dem ved å ta Tjenesten i bruk.

5.2 Devello varsler skriftlig minst 30 dager før nye eller endrede underdatabehandlere tas i bruk, med navn, rolle og behandlingssted. Kunden kan protestere skriftlig innen fristen dersom det er saklig grunn. Blir Partene ikke enige, kan Kunden si opp Tjenesten uten oppsigelsestid og få refundert forskuddsbetalt vederlag for gjenstående periode.

5.3 Devello inngår skriftlig avtale med hver underdatabehandler som pålegger dem de samme pliktene, og er fullt ansvarlig overfor Kunden for at de oppfyller dem.

5.4 Kunden bruker sin egen Microsoft 365-konto. Microsoft er Kundens egen databehandler, ikke Devellos underdatabehandler. Devello leser e-post via delegert tilgang (OAuth) som Kunden gir og selv kan trekke tilbake, og har ikke rettighet til å sende e-post på Kundens vegne.

6. Overføring til land utenfor EU/EØS

6.1 Personopplysningene lagres i EU/EØS.

6.2 Behandling hos AI-leverandøren innebærer overføring til USA. Grunnlaget er EU-kommisjonens standard personvernbestemmelser (SCC), som inngår i databehandleravtalen Devello har med leverandøren. Devello har gjennomført og dokumentert en vurdering av overføringsgrunnlaget, tilgjengelig på forespørsel.

6.3 Enkelte leverandører er etablert utenfor EU/EØS og kan i drifts- og supporttilfeller få tilgang til opplysninger lagret i EU/EØS. Slik tilgang er dekket av SCC, jf. tabellen i punkt 5.1.

6.4 Enhver ny overføring til land utenfor EU/EØS — ny underdatabehandler, endret behandlingssted hos en eksisterende leverandør, eller Devellos egen tilgang fra utlandet — krever gyldig overføringsgrunnlag og varsles skriftlig minst 30 dager i forveien, med samme rett til å protestere som i punkt 5.2.

7. Sikkerhet

7.1 Devello gjennomfører egnede tekniske og organisatoriske tiltak etter GDPR artikkel 32, herunder kryptering under overføring og lagring, tilgangsstyring med tofaktorautentisering for administrativ tilgang, logisk skille mellom Devellos kunder satt av systemet, logging, sikkerhetskopiering med testet gjenoppretting, og rutiner for oppdatering og sårbarhetshåndtering.

7.2 Dokumentasjon av tiltakene gjøres tilgjengelig for Kunden på forespørsel.

7.3 Devello ber aldri om Kundens passord til andre systemer.

8. Brudd på personopplysningssikkerheten

8.1 Devello varsler Kunden uten ugrunnet opphold og senest 48 timer etter at Devello ble kjent med bruddet.

8.2 Varselet skal så langt det er mulig beskrive hva som har skjedd, hvilke og omtrent hvor mange registrerte og opplysninger som er berørt, sannsynlige konsekvenser, tiltak som er iverksatt, og kontaktpunkt hos Devello. Det som mangler, ettersendes så snart det foreligger.

8.3 Kunden melder til Datatilsynet og til de registrerte. Devello gjør det ikke på eget initiativ, men bistår Kunden.

9. De registrertes rettigheter

9.1 Henvendelser fra registrerte rettes til Kunden. Får Devello en slik henvendelse direkte, videresendes den til Kunden uten ugrunnet opphold, og Devello svarer ikke selv.

9.2 Devello bistår Kunden med innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse. Tjenesten har funksjonalitet for å hente ut og slette opplysninger knyttet til en enkelt person eller sak.

10. Revisjon

10.1 Devello gjør tilgjengelig informasjonen som er nødvendig for å vise at pliktene er oppfylt, og bidrar til revisjon, herunder inspeksjon på stedet, som Kunden eller en revisor med fullmakt fra Kunden gjennomfører. Devello kan bare motsette seg en bestemt revisor når det foreligger saklig grunn.

10.2 Revisjon varsles skriftlig minst 30 dager i forveien og kan uten særlig grunn kreves én gang i året. Etter et sikkerhetsbrudd eller pålegg fra tilsynsmyndighet gjelder ingen slik begrensning. Devello kan oppfylle plikten ved å legge fram oppdatert sikkerhetsdokumentasjon eller en gyldig tredjepartsrevisjon, forutsatt at den faktisk dekker det Kunden ber om.

11. Varighet og opphør

11.1 Avtalen gjelder så lenge Devello behandler personopplysninger på vegne av Kunden. Ved vesentlig brudd på avtalen eller på personvernregelverket kan Kunden pålegge Devello å stanse behandlingen med umiddelbar virkning. Ved mindre brudd gis Devello en rimelig frist til å rette forholdet.

11.2 Ved opphør velger Kunden skriftlig om opplysningene skal slettes eller returneres i et vanlig maskinlesbart format (CSV eller JSON). Sier Kunden ingenting innen fristen i punkt 11.3, slettes de.

11.3 Kunden kan selv eksportere data i 30 dager etter opphør. Velger Kunden retur, leverer Devello opplysningene innen 30 dager etter at valget er meddelt.

11.4 Devello sletter deretter alle personopplysninger fra aktive systemer, hos underdatabehandlere og i egne kopier, innen 30 dager etter opphør. Sikkerhetskopier slettes ved ordinær rotasjon, senest 90 dager etter opphør; i mellomtiden gjenopprettes ikke opplysningene og brukes ikke til noe formål. Sletting bekreftes skriftlig på forespørsel.

11.5 Opplysninger Devello er pålagt å oppbevare etter lov, beholdes bare så lenge plikten varer og brukes ikke til andre formål.

12. Endringer, ansvar og lovvalg

12.1 Devello kan endre avtalen når endringen er nødvendig som følge av regelverk, tilsynspraksis, endringer i Tjenesten eller bytte av underdatabehandler. Endringer varsles minst 30 dager i forveien. Andre endringer krever Kundens uttrykkelige aksept. Godtar ikke Kunden en varslet endring, kan Kunden si opp Tjenesten innen fristen og få refundert forskuddsbetalt vederlag for gjenstående periode.

12.2 Partene er ansvarlige overfor hverandre etter alminnelige erstatningsregler. Ansvarsbegrensningene i Devellos tjenestevilkår gjelder også her, med unntak av forsett og grov uaktsomhet. Bestemmelsen regulerer bare forholdet mellom Partene, og innskrenker ikke de registrertes rettigheter etter GDPR artikkel 82 eller ansvar overfor tilsynsmyndighet.

12.3 Avtalen reguleres av norsk rett, med Hordaland tingrett som verneting.

---