Layer Byrå AS

§ 1 — Parter og formål

Denne databehandleravtalen (heretter «DPA» eller «avtalen») regulerer Layer Byrå AS sin behandling av personopplysninger på vegne av Oppdragsgiver i forbindelse med tjenester Layer leverer. Avtalen utgjør et bindende tillegg til den til enhver tid gjeldende oppdragsavtalen mellom partene.

DPAen er strukturert i henhold til kravene i EUs personvernforordning (GDPR) artikkel 28, samt tilhørende norsk personopplysningslov.

§ 2 — Definisjoner

I denne avtalen gjelder følgende definisjoner:

§ 3 — Omfang og instruksjonsbinding

3.1 Omfang

Denne DPAen gjelder all behandling av personopplysninger Layer utfører på vegne av Oppdragsgiver som ledd i levering av Layers tjenester. Dette inkluderer, men er ikke begrenset til:

• Bruk av AI-verktøy for analyse, innholdsproduksjon og strategiarbeid i kundeoppdrag.
• Innhenting, bearbeiding og rapportering av mediedata og kampanjedata via tilkoblede plattformer (f.eks. Supermetrics).
• Lagring og deling av oppdragsrelaterte dokumenter og leveranser.
• Kommunikasjon og prosjektadministrasjon i oppdragssammenheng.

3.2 Instruksjonsbinding

Layer behandler personopplysninger utelukkende etter dokumenterte instruksjoner fra Oppdragsgiver, med mindre behandling er påkrevd av lov. Denne DPAen, kombinert med oppdragsavtalen og eventuelle konkrete instruksjoner gitt skriftlig av Oppdragsgiver, utgjør Layers instruksjonsgrunnlag.

Dersom Layer mener en instruksjon er i strid med GDPR eller annen personvernlovgivning, skal Layer uten ugrunnet opphold varsle Oppdragsgiver skriftlig og begrunne dette.

3.3 Hva DPAen ikke regulerer

Behandling av personopplysninger Layer utfører som selvstendig behandlingsansvarlig — f.eks. behandling av egne ansattes data, egne kunderegistre i CRM, regnskapsdata — reguleres ikke av denne DPAen. Slik behandling reguleres av Layers egne internrutiner og personvernerklæring.

§ 4 — Behandlingsaktiviteter

Tabellen under beskriver de sentrale behandlingsaktivitetene Layer utfører på vegne av Oppdragsgiver. Der konkrete oppdrag avviker fra tabellen, presiseres dette skriftlig mellom partene.

§ 5 — Layers forpliktelser som databehandler

5.1 Konfidensialitet

Layer sikrer at alle medarbeidere og underleverandører som har tilgang til personopplysninger behandlet på vegne av Oppdragsgiver, er underlagt taushetsplikt. Taushetsplikten gjelder også etter avtalens opphør.

5.2 Dataminimering

Layer behandler kun de personopplysningene som er nødvendige for å utføre oppdraget. Layer anvender pragmatisk anonymisering som operativ praksis: unødvendig identifiserbar informasjon om Oppdragsgivers sluttbrukere sendes ikke inn i AI-verktøy eller andre systemer uten eksplisitt klarering fra Oppdragsgiver.

5.3 Tekniske og organisatoriske sikkerhetstiltak

Layer implementerer og opprettholder tiltak som er egnet til å sikre et beskyttelsesnivå som er tilpasset risikoen, jf. GDPR art. 32. Disse inkluderer:

• Tilgangskontroll: Kun autoriserte medarbeidere har tilgang til systemer som behandler personopplysninger.
• Autentisering: Layers systemer benytter passordpolitikk og, der støttet, to-faktor-autentisering.
• AI-plattformer: Kun godkjente AI-verktøy med akseptable databehandlervilkår benyttes. Oversikt fremgår av § 6.
• Hendelseshåndtering: Layer har rutiner for å oppdage og varsle om personvernbrudd, jf. § 9.

5.4 Bistand til Oppdragsgiver

Layer bistår Oppdragsgiver, i den grad det er mulig og rimelig, med å:

• Besvare henvendelser fra registrerte om utøvelse av deres rettigheter (jf. § 8).
• Oppfylle Oppdragsgivers forpliktelser etter GDPR art. 32–36 (sikkerhet, konsekvensutredning, forhåndskonsultasjon).

5.5 Forbud mot viderebruk

Layer benytter ikke personopplysninger behandlet på vegne av Oppdragsgiver til egne formål, herunder markedsføring, produktutvikling eller analyseformål, uten uttrykkelig skriftlig samtykke fra Oppdragsgiver.

§ 6 — Sub-processorer

6.1 Godkjenning

Oppdragsgiver gir ved aksept av denne DPAen en generell forhåndsgodkjenning til at Layer benytter sub-processorer, forutsatt at disse er listet i § 6.2 og at Layer inngår skriftlig databehandleravtale med dem som oppfyller kravene i GDPR art. 28(4).

Layer varsler Oppdragsgiver med rimelig varsel (normalt 30 dager) ved vesentlige endringer i sub-processor-listen, herunder tillegg av nye sub-processorer som behandler personopplysninger. Oppdragsgiver kan fremme skriftlig innsigelse. Kan enighet ikke oppnås, kan Oppdragsgiver si opp oppdragsavtalen uten ekstra kostnad.

6.2 Gjeldende sub-processorer

6.3 Layers ansvar for sub-processorer

Layer er overfor Oppdragsgiver ansvarlig for at sub-processorer oppfyller de samme forpliktelsene som Layer selv er underlagt etter denne DPAen. Layer påtar seg fullt ansvar overfor Oppdragsgiver for sub-processorers handlinger og unnlatelser, i den utstrekning Layer er ansvarlig for egne handlinger etter denne DPAen.

§ 7 — Overføring til tredjeland

Personopplysninger behandlet under denne DPAen kan overføres til land utenfor EU/EØS som del av bruken av sub-processorer listet i § 6.2. Slike overføringer skjer utelukkende på følgende grunnlag:

Layer holder oversikt over hvilke overføringsgrunnlag som gjelder for den enkelte sub-processor, jf. tabellen i § 6.2. Layer baserer seg ikke på EU-US Data Privacy Framework (DPF) som overføringsgrunnlag — overføringer til USA dekkes utelukkende av SCCs som inkorporert i sub-processors DPA.

§ 8 — Den registrertes rettigheter

Der Layer behandler personopplysninger på vegne av Oppdragsgiver, er det Oppdragsgiver som er behandlingsansvarlig og således primært ansvarlig for å ivareta de registrertes rettigheter etter GDPR kapittel III.

Layer bistår Oppdragsgiver med å oppfylle rettighetskrav i den utstrekning Layer har teknisk mulighet til dette, og uten at det innebærer behandling Layer ikke er instruert til å utføre. Konkret:

Layer videresender uten ugrunnet opphold henvendelser fra registrerte til Oppdragsgiver der Layer mottar slike direkte.

§ 9 — Sikkerhet og avvikshåndtering

9.1 Sikkerhetstiltak

Layer opprettholder tekniske og organisatoriske tiltak som beskrevet i § 5.3. Tiltakene evalueres og oppdateres løpende i takt med teknologiutvikling og endret risikolandskap.

9.2 Varsling ved personvernbrudd

Dersom Layer oppdager eller har rimelig grunn til å mistenke et personvernbrudd som berører personopplysninger behandlet på vegne av Oppdragsgiver, skal Layer:

• Varsle Oppdragsgiver uten ugrunnet opphold og senest innen 48 timer etter at bruddet er oppdaget.
• I varselet angi: type brudd, hvilke kategorier og omtrentlig antall registrerte og opplysninger som er berørt, sannsynlige konsekvenser, og tiltak Layer har iverksatt eller planlegger.
• Bistå Oppdragsgiver med eventuell varsling til Datatilsynet (frist 72 timer, jf. GDPR art. 33) og berørte registrerte.

Varsling etter dette punktet er ikke en anerkjennelse av ansvar fra Layers side.

9.3 Sub-processorers avvik

Layer sikrer at sub-processorer er forpliktet til å varsle Layer ved personvernbrudd på tilsvarende vilkår, slik at Layer kan oppfylle sin varslingsplikt overfor Oppdragsgiver. Anthropic forplikter seg eksplisitt til 48-timers varsling til Layer, jf. Anthropics DPA § G.1, hvilket gir Layer tid til å oppfylle egen 48-timersfrist mot Oppdragsgiver.

§ 10 — Sletting og tilbakelevering

Ved oppdragets avslutning eller DPAens opphør skal Layer, etter Oppdragsgivers valg:

• Slette alle personopplysninger behandlet på vegne av Oppdragsgiver fra systemer Layer kontrollerer, og bekrefte slettingen skriftlig; eller
• Tilbakelevere personopplysningene til Oppdragsgiver i et egnet format, og deretter slette dem.

Slettefristen er 30 dager etter oppdragsavtalens opphør, med mindre annet er avtalt skriftlig eller loven krever lengre oppbevaring.

§ 11 — Revisjon og dokumentasjon

Layer fører og vedlikeholder nødvendig dokumentasjon for å kunne demonstrere etterlevelse av denne DPAen, jf. GDPR art. 28(3)(h).

Oppdragsgiver, eller en av Oppdragsgiver utpekt uavhengig revisor, har rett til å gjennomføre revisjon av Layers behandlingsaktiviteter etter rimelig skriftlig varsel (minimum 30 dager). Kostnader til revisjon bæres av Oppdragsgiver med mindre revisjonen avdekker vesentlig avvik fra DPAen, i så fall bærer Layer rimelige kostnader.

Layer kan som alternativ til fysisk revisjon fremlegge relevante sertifiseringer, tredjepartsrevisjoner eller annen dokumentasjon som gir tilsvarende sikkerhet. For Anthropic er SOC 2-rapport tilgjengelig via trust.anthropic.com.

§ 12 — Varighet og opphør

Denne DPAen trer i kraft ved Oppdragsgivers aksept av oppdragsavtalen og gjelder så lenge Layer behandler personopplysninger på vegne av Oppdragsgiver.

DPAen opphører automatisk ved oppdragsavtalens opphør, med forbehold om at bestemmelsene om sletting (§ 10), konfidensialitet (§ 5.1) og ansvar (§ 13) består etter opphør.

Layer kan ensidig oppdatere DPAen for å reflektere endringer i lovgivning, Datatilsynets retningslinjer eller endringer i Layers sub-processor-liste. Vesentlige endringer varsles Oppdragsgiver med minimum 30 dagers varsel. Øvrige justeringer trer i kraft umiddelbart og kunngjøres på layer.no/dpa.

§ 13 — Ansvar og erstatning

Layer er ansvarlig overfor Oppdragsgiver for tap som direkte skyldes at Layer har brutt denne DPAen eller GDPR, i den grad Layer er direkte årsak til tapet.

Layer er ikke ansvarlig for:

• Behandling Oppdragsgiver instruerer Layer til å utføre, og som er i strid med GDPR — Oppdragsgiver bærer selv dette ansvaret.
• Handlinger og unnlatelser fra sub-processorer i den grad disse skyldes Oppdragsgivers instruksjoner.
• Indirekte tap, tapt fortjeneste eller konsekvenstap, med mindre det foreligger grov uaktsomhet eller forsett.

Ansvarsgrensen for Layer etter denne DPAen er begrenset til det samlede beløp Oppdragsgiver har betalt Layer de siste 12 måneder forut for kravet, med mindre annet følger av ufravikelig lov.

§ 14 — Endringslogg