Databehandleravtale

Denne databehandleravtalen («Avtalen») regulerer Databehandlers behandling av personopplysninger på vegne av Behandlingsansvarlig i forbindelse med bruk av Skjld Diktat, og inngår som vedlegg til hovedavtalen mellom partene. Ved motstrid går Avtalen foran hovedavtalen for spørsmål om behandling av personopplysninger.

1. Parter

2. Formål og behandlingens art

Databehandler behandler personopplysninger utelukkende for å levere tjenesten Skjld Diktat: å gjøre tale om til tekst (diktering). Etter transkripsjon kan den genererte teksten etterbehandles med en språkmodell (LLM) for «språkvask» — fjerning av nøling, tegnsetting og formatering. Både talegjenkjenning og språkvask kjøres på Databehandlers egen infrastruktur i Norge; teksten lagres ikke etter levering og brukes ikke til å trene modeller. Tjenesten er ikke en stemmeassistent eller samtale-AI. Databehandler bruker ikke diktert lyd eller tekst til å trene eller forbedre tale- eller AI-modeller, og ikke til noe annet formål enn å levere tjenesten til Behandlingsansvarlig.

Kategorier av personopplysninger

• Lyd (tale) som dikteres, og teksten som genereres fra denne.
• Innholdet i det som dikteres kan inneholde personopplysninger som Behandlingsansvarlig bestemmer (f.eks. navn, kontaktopplysninger, fritekst).
• Konto- og bruksdata knyttet til lisensen (f.eks. bruker-ID og e-post).
• Nødvendige tekniske metadata for drift, fakturering, sikkerhet og misbruksdeteksjon, som tidspunkt, pseudonymisert konto-/enhets-ID, endepunkt/modell, opplastingsstørrelse, lydvarighet, behandlingstid, status-/feilkategori og kvote-/rate-limit-hendelser.

Særlige kategorier: Tjenesten er ikke ment for særlige kategorier av personopplysninger (GDPR art. 9). Behandlingsansvarlig er ansvarlig for hva som dikteres.

Registrerte

Behandlingsansvarliges ansatte og brukere, samt personer som omtales i det som dikteres.

3. Behandlingssted og dataflyt

• All gjenkjenning og språkvask (selve dikteringen) kjøres på Databehandlers egen infrastruktur i Sandefjord, Norge. Dikteringstrafikken går via Cloudflares edge (TLS-terminering) på vei til Sandefjord — Cloudflare er transport-underdatabehandler, se pkt. 5 og 6.
• Lyd og transkripsjon behandles for å levere tjenesten, men lagres ikke av Databehandler etter behandlingen. Databehandler har heller ikke tilgang til eventuell lokal historikk som brukeren oppbevarer i Diktat-appen på sin egen enhet.
• Databehandler beholder kun nødvendige tekniske metadata for drift, fakturering, sikkerhet og misbruksdeteksjon. Slike logger skal ikke inneholde WAV/lydopptak, transkripsjon, multipart-body, Authorization-header, prompt eller komplett respons. Konto- og bruksdata lagres så lenge kundeforholdet løper. Tekniske logger roteres etter en størrelsesbasert grense inntil en eksplisitt tidsbasert slettefrist er fastsatt og dokumentert.

4. Databehandlers plikter

• Behandle personopplysninger kun etter dokumenterte instrukser fra Behandlingsansvarlig, herunder denne Avtalen.
• Sikre at personer med tilgang er underlagt taushetsplikt.
• Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak iht. GDPR art. 32 (bl.a. tilgangsstyring, kryptering der relevant, logging og fysisk/digital sikring av infrastrukturen i Sandefjord).
• Bistå Behandlingsansvarlig med å oppfylle plikter overfor registrerte og tilsynsmyndighet (art. 28 nr. 3 bokstav e og f).
• Varsle Behandlingsansvarlig uten ugrunnet opphold ved brudd på personopplysningssikkerheten (art. 33), normalt innen 48 timer etter at bruddet er kjent.

5. Underdatabehandlere

Behandlingsansvarlig gir generelt samtykke til bruk av underdatabehandlere. Databehandler skal informere om endringer slik at Behandlingsansvarlig kan protestere. Gjeldende underdatabehandlere:

Merk: Talegjenkjenning og språkvask utføres på Databehandlers infrastruktur i Sandefjord. Cloudflare behandler dikteringstrafikken i transportlaget på vei dit; ut over denne transporten deles ikke diktert innhold med underdatabehandlere for å levere talegjenkjenningen.

6. Overføring utenfor EØS

Talegjenkjenning og språkvask utføres i Norge. Lyd og transkripsjon behandles for å levere tjenesten, men lagres ikke av Databehandler etter behandlingen. Både nettsiden og dikterings-gatewayen ligger bak Cloudflare (USA), som kan behandle trafikkdata — herunder dikteringslyd i transitt (TLS-edge). For slike overføringer legges EU-U.S. Data Privacy Framework og/eller EUs standardvilkår (SCC) til grunn.

7. Den registrertes rettigheter, revisjon og bistand

• Databehandler bistår Behandlingsansvarlig med innsyn, retting, sletting og dataportabilitet så langt det er mulig.
• Databehandler gjør tilgjengelig nødvendig informasjon for å vise etterlevelse, og muliggjør revisjon/inspeksjon iht. art. 28 nr. 3 bokstav h, etter rimelig varsel.

8. Varighet og opphør

Avtalen gjelder så lenge Databehandler behandler personopplysninger for Behandlingsansvarlig. Ved opphør slettes eller tilbakeleveres personopplysninger etter Behandlingsansvarliges valg, med mindre lov krever lagring.

9. Signering

Avtalen kan signeres elektronisk her — den registreres på kontoen din, og du får en bekreftelse på e-post. Skjld Labs AS tilbyr denne standardavtalen og er bundet av den; ved din elektroniske signering er avtalen inngått mellom partene. Vil du heller signere på papir, kan du skrive ut og signere nederst.

Signer på papir i stedet (utskrift)

For Behandlingsansvarlig (Kunden)

Sted/dato, navn og signatur

For Databehandler (Skjld Labs AS)

Sted/dato, navn og signatur

Versjon 1.2 · 4. august 2026 · Spørsmål: Send e-post