Databehandleravtale (DPA)

I henhold til GDPR / Personvernforordningen artikkel 28

Versjon 2026-09-06 (1.2) — 6. september 2026

1. Parter

2. Bakgrunn og formål

Denne avtalen regulerer SMkinos behandling av personopplysninger på vegne av Kinoen i forbindelse med bruk av SMkino-plattformen for automatisert kinomarkedsføring.

SMkino opptrer som databehandler etter instruks fra Kinoen (behandlingsansvarlig) når vi:

• Forvalter kinoens arbeidsområde og brukernes tilganger etter kinoens instruks
• Publiserer innhold på kinoens sosiale medier-kontoer
• Behandler OAuth-tokens for kinoens sosiale medier-tilganger
• Behandler operatørens instruksjoner, tilbakemeldinger og AI-chat for å generere og forbedre kinoens innhold
• Behandler aggregerte kino-/tenantdata, publiseringsdata og verktøyresultater som inngår i AI-assistentens tjenesteleveranse

For konto- og kontaktadministrasjon, avtale og fakturering, informasjonssikkerhet og akseptlogg opptrer Chavez Konsult som selvstendig behandlingsansvarlig. Disse formålene faller utenfor Kinoens instruksjonsmyndighet etter denne avtalen og er beskrevet i personvernerklæringen.

3. Typer personopplysninger som behandles

Tjenesten er laget for aggregerte salgsdata, ikke opplysninger om enkeltgjester. Kinoen skal ikke laste opp gjestedata, særlige kategorier personopplysninger eller annet personinnhold utenfor formålene over. Fritekst og medier kan likevel inneholde personopplysninger, som omfattes av denne avtalen når de behandles på kinoens vegne.

4. Databehandlers forpliktelser

SMkino forplikter seg til å:

• Kun behandle etter instruks: Vi følger Kinoens dokumenterte instrukser, også ved tredjelandsoverføringer. Ved lovpålagt behandling varsles Kinoen før behandlingen, med mindre loven forbyr det. Vi varsler straks dersom en instruks etter vår vurdering strider mot personvernregelverket (art. 28(3)(a) og (h))
• Konfidensialitet: Sikre at personer med tilgang til personopplysningene er underlagt taushetsplikt (art. 28(3)(b))
• Sikkerhet: Iverksette tilstrekkelige tekniske og organisatoriske tiltak:
  • Kryptering i hvile: AES-256 for sensitive tokens
  • Kryptering i transit: TLS/HTTPS for all kommunikasjon
  • Tilgangskontroll: Rollebasert (eier/redaktør/leser) med JWT-autentisering
  • Dataisolering: Tilgangskontroll og radbaserte tilgangsregler per kino
  • Primærlagring: Supabase på AWS eu-central-1 (Frankfurt, EU/EØS)
  • API-compute: Vercel-region arn1 (Stockholm), verifisert 6. september 2026; CDN og leverandørtilgang kan innebære behandling utenfor EØS
• Underdatabehandlere: Ikke engasjere underdatabehandlere uten forhåndsgodkjenning (se §5)
• Bistå med rettigheter: Bistå Kinoen med å oppfylle registrertes rettigheter (innsyn, retting, sletting, portabilitet) via selvbetjening i plattformen
• Bistand med sikkerhet: Bistå Kinoen med pliktene etter artikkel 32–36, herunder sikkerhet, bruddvarsling, personvernkonsekvensvurderinger og forhåndsdrøftelser, ut fra behandlingens art og informasjonen vi har.
• Tilbakelevering og sletting: Etter Kinoens valg tilbakelevere personopplysningene i et tilgjengelig elektronisk format eller slette dem ved opphør. Eksport kan bestilles før sletting. Alle gjenværende kopier skal slettes innen 30 dager etter opphør, med mindre lov krever oppbevaring; lovgrunnlag og varighet skal da opplyses.
• Revisjon: Gi Kinoen nødvendig informasjon for å påvise etterlevelse og tillate og bidra ved revisjoner, herunder inspeksjoner ved Kinoen eller en revisor Kinoen utpeker

5. Underdatabehandlere

Listen beskriver tjenesteleverandører og relevante roller. Generell godkjenning etter denne avtalen gjelder bare deres behandling på Kinoens vegne. Stripe og sosiale plattformer kan være selvstendige behandlingsansvarlige for egne formål; slike formål følger deres egne vilkår.

Den aktive AI-leverandøren er Anthropic. OpenAI og Google Gemini er konfigurert som mulige leverandører i kodebasen, men er ikke aktive og er ikke godkjent gjennom denne listen. Dette gjelder også planlagt lydtranskripsjon via OpenAI. De kan ikke tas i bruk uten verifiserte leverandørvilkår og overføringsgarantier samt forhåndsvarsel og oppdatering av listen. Resend og valgfri produktanalyse (Plausible) er heller ikke aktive eller godkjent som nye behandlinger gjennom denne versjonen.

Ved dokumentert inngåelse gir Kinoen generell godkjenning til de aktive underdatabehandlerne oppført over. SMkino varsler minst 30 dager før en ny eller erstattende underdatabehandler tas i bruk. Kinoen kan innen fristen fremsette begrunnet personverninnsigelse til sergio@optimaized.io. Partene søker en løsning; ved uløst innsigelse skal den nye leverandøren ikke behandle Kinoens data, og berørt tjeneste kan avsluttes med eksport og sletting etter punkt 8. SMkino skal pålegge underdatabehandlere tilsvarende plikter gjennom skriftlig avtale og forblir ansvarlig overfor Kinoen for deres oppfyllelse.

6. Overføring til tredjeland

All primærlagring skjer i EU/EØS hos Supabase på AWS eu-central-1 (Frankfurt). API-compute i arn1 (Stockholm) ble verifisert 6. september 2026. Vercels globale nettverk og enkelte andre underdatabehandlere kan innebære overføring til tredjeland. Slik overføring skal være basert på EU-US Data Privacy Framework, standard kontraktsklausuler (SCC-er) eller annet gyldig grunnlag. Leverandøravtaler, eventuelle SCC-er og nødvendige overføringsvurderinger skal dokumenteres før de legges til grunn. Kinoen kan be om relevant dokumentasjon og kopi av overføringsgarantier via kontaktadressen over; denne listen er ikke i seg selv bevis på inngåtte leverandøravtaler.

7. Sikkerhetsbrudd

SMkino skal:

• Varsle Kinoen uten ugrunnet opphold og senest innen 24 timer etter å ha blitt kjent med et personvernbrudd
• Gi Kinoen tilstrekkelig informasjon til å oppfylle sin varslingsplikt overfor Datatilsynet (72 timer) og registrerte
• Bistå Kinoen med å håndtere konsekvensene av bruddet

Varsling sendes til kinoens registrerte e-postadresse i SMkino-plattformen, med kopi til eier-rollen.

8. Varighet og opphør

• Denne avtalen gjelder så lenge SMkino behandler personopplysninger på Kinoens vegne, også på Free-planen og under avvikling. Oppsigelse av betalingsabonnementet avslutter ikke i seg selv avtalen
• Ved avslutning av tjenesteavtalen gjelder Kinoens valg om eksport og sletting i punkt 4, med sletting innen 30 dager
• Kinoen kan be om dataeksport før opphør via plattformens selvbetjening (Innstillinger → Personvern → Eksporter)

9. Lovvalg

Denne avtalen er underlagt norsk lov. Tvister avgjøres av Oslo tingrett.

10. Dokumentert inngåelse

SMkino tilbyr denne avtalen som del av tjenesteavtalen. Den kan inngås elektronisk av en person med fullmakt til å binde Kinoen eller ved separat skriftlig avtale. Ved elektronisk inngåelse skal akseptoppføringen identifisere Kinoen, representanten, avtaleversjonen og tidspunktet. Dokumentet og oppføringen utgjør sammen avtalen; det å åpne denne siden er ikke aksept.

Denne versjonen presiserer behandlingens varighet og lovpålagte plikter. Den dokumenterer ikke automatisk aksept for eksisterende kunder. Eventuelle vesentlige endringer følger tjenesteavtalens varslingsfrist; særskilt avtalte vilkår gjelder fortsatt med mindre partene avtaler annet.