Databehandleravtale

Roller

Studioet er behandlingsansvarlig for personopplysninger som behandles i studiokøen, inkludert kundeforespørsler, referansebilder, køstatus og alderspolicy metadata.

RoadInk er databehandler når RoadInk behandler disse opplysningene på vegne av studioet. RoadInk kan være selvstendig behandlingsansvarlig for egne konto-, sikkerhets-, support- og faktureringsdata.

Instruks

RoadInk skal behandle studiokødata i samsvar med avtalen, tjenestens funksjonalitet og dokumenterte instrukser fra studioet. RoadInk skal ikke bruke studiokødata til egne formål med mindre dette er avtalt eller lovpålagt.

Sikkerhetstiltak

• Rollebasert tilgang og organisasjonsskille.
• MFA og step-up for sensitive administratorhandlinger der dette er aktivert eller påkrevd.
• Serverstyrte sesjoner, rate limiting og logging av relevante sikkerhetshendelser.
• Dataminimering for alderspolicy, uten standard lagring av ID-dokumenter eller fødselsdato.
• Begrenset tilgang til produksjonsdata og ikke-destruktive tester der det er mulig.

Underleverandører

RoadInk kan bruke underleverandører for hosting, database, lagring, e-post, sikkerhet, analyse, betalingsfunksjoner og AI-funksjoner. RoadInk skal sørge for at underleverandører har relevante databehandlerforpliktelser der de behandler personopplysninger på vegne av RoadInk.

Bistand og sletting

RoadInk skal så langt det er rimelig bistå studioet med innsyn, retting, sletting, eksport, sikkerhetshendelser og dokumentasjon. Ved avslutning skal data slettes eller returneres etter avtale, med mindre videre lagring er nødvendig for lovpålagte krav, sikkerhet eller tvisteløsning.

Kontakt og ansvarlig enhet

RoadInk leveres av RoadInk As, org.nr. [Org.nr. settes i Plattform → Legal], med juridisk adresse Breivik. Juridiske henvendelser sendes til legal@roadink.no. Personvernhenvendelser sendes til privacy@roadink.no.

Lagringstid

• Kundeforespørsler: 365 dager.
• Referansebilder: 180 dager.
• Kampanjedata: 90 dager.
• Sikkerhetslogger: 365 dager.

Underleverandører

• Supabase: Database, autentisering, privat bildelagring og backend datalagring for RoadInk · EU/EØS/USA etter Supabase DPA og valgt prosjektregion · https://supabase.com
• Vercel: Hosting, serverless functions, CDN, deploy og tekniske web-/driftslogger · USA/global etter Vercel DPA · https://vercel.com
• OpenAI: AI-vurdering/ruting av tatoveringsforespørsler og admin AI-funksjoner når AI er aktivert · EU/USA/global etter OpenAI DPA · https://openai.com
• Stripe: Betaling, abonnement, faktura-/betalingsmetadata og betalingsstatus når betaling er aktivert · EU/USA/global etter Stripe DPA · https://stripe.com
• Twilio: SMS-varsling til kunder og studio når SMS-varsling er aktivert · EU/USA/global etter Twilio DPA · https://twilio.com
• fal.ai: AI-bildegenerering eller bildebaserte AI-funksjoner dersom dette aktiveres i RoadInk · USA/global etter fal.ai vilkår/personvern · https://fal.ai
• Cloudflare: Bot-beskyttelse, sikkerhet og eventuell Turnstile-verifisering på offentlige skjema · Global · https://cloudflare.com