Data Processing AgreementDatabehandleravtale

This Data Processing Agreement ("DPA") is part of the Terms of Service between the Customer (controller) and Mielikkix AS, org. no. {{VERIFY: org. number}} (processor). It meets the requirements of GDPR article 28 and applies whenever we process personal data on the Customer's behalf.

1. Subject matter and duration

We process personal data to provide the Mielikkix chat widget, AI agents and dashboard to the Customer. The DPA lasts as long as we process personal data for the Customer.

2. Nature and purpose

Storing, retrieving, analysing (including with AI language models), transmitting and deleting data, only to answer the Customer's end users, capture leads, book appointments, handle calls and reviews, and show results in the Customer's dashboard.

3. Data subjects and categories of data

• Data subjects: the Customer's website visitors, callers, customers and reviewers, and the Customer's staff.
• Data: chat messages and AI replies; names, email addresses, phone numbers and messages from lead and booking forms; appointment times; caller phone numbers and call audio (transcribed in real time, not stored); public reviews and replies; technical data such as session IDs.
• Special categories (GDPR art. 9) are not meant to be processed. The Customer must not configure the service to collect them without our written agreement.

4. Our obligations as processor

1. We process personal data only on the Customer's documented instructions (these terms, the Customer's settings and written requests), unless the law requires otherwise. If an instruction seems to break data protection law, we will tell the Customer.
2. Everyone with access to the data is bound by confidentiality.
3. We apply the security measures described on our Security page (GDPR art. 32).
4. We help the Customer respond to data subject requests (access, erasure, etc.), for example by exporting or deleting a given visitor's conversations.
5. We help the Customer with security, breach notification, impact assessments and prior consultations (art. 32–36), within reason.
6. We notify the Customer without undue delay after becoming aware of a personal data breach affecting the Customer's data, with the information the Customer needs to meet its own reporting duties.
7. We make available the information needed to show compliance with this DPA and allow audits, on reasonable notice and at the Customer's cost.

5. Subprocessors

The Customer gives general authorisation for the subprocessors listed on our Subprocessors page. We will notify the Customer at least {{VERIFY: 30}} days before adding or replacing a subprocessor, and the Customer may object on reasonable grounds. If we can't resolve the objection, the Customer may terminate the affected service. We impose the same data protection obligations on every subprocessor and remain responsible for them.

6. International transfers

Where a subprocessor is outside the EEA, transfers rely on an adequacy decision (such as the EU-US Data Privacy Framework) or the EU Standard Contractual Clauses {{VERIFY: mechanism per vendor}}.

7. Deletion and return

When the Customer deletes its account, we permanently delete the Customer's personal data 30 days later (a grace period in which the Customer can cancel), unless the law requires us to keep it. Before deleting, the Customer can download a copy in a machine-readable format from the dashboard.

8. Contact

Questions about this DPA or requests under it: post@mielikkix.no.

Denne databehandleravtalen («DPA-en») er en del av vilkårene for bruk mellom Kunden (behandlingsansvarlig) og Mielikkix AS, org.nr. {{VERIFY: org. number}} (databehandler). Den oppfyller kravene i GDPR artikkel 28 og gjelder når vi behandler personopplysninger på Kundens vegne.

1. Formål og varighet

Vi behandler personopplysninger for å levere Mielikkix-chatwidgeten, AI-agentene og dashbordet til Kunden. Avtalen gjelder så lenge vi behandler personopplysninger for Kunden.

2. Behandlingens art og formål

Lagring, gjenfinning, analyse (også med AI-språkmodeller), overføring og sletting av data, kun for å svare Kundens sluttbrukere, registrere leads, booke avtaler, håndtere samtaler og anmeldelser, og vise resultater i Kundens dashbord.

3. Registrerte og kategorier av opplysninger

• Registrerte: Kundens besøkende, innringere, kunder og anmeldere, samt Kundens ansatte.
• Opplysninger: chatmeldinger og AI-svar; navn, e-postadresser, telefonnumre og meldinger fra kontakt- og bookingskjemaer; avtaletidspunkter; innringers telefonnummer og samtalelyd (transkribert i sanntid, ikke lagret); offentlige anmeldelser og svar; tekniske data som økt-ID-er.
• Særlige kategorier (GDPR art. 9) skal ikke behandles. Kunden skal ikke sette opp tjenesten til å samle inn slike opplysninger uten skriftlig avtale med oss.

4. Våre plikter som databehandler

1. Vi behandler personopplysninger bare etter Kundens dokumenterte instrukser (disse vilkårene, Kundens innstillinger og skriftlige henvendelser), med mindre loven krever noe annet. Hvis en instruks ser ut til å bryte personvernregelverket, sier vi fra til Kunden.
2. Alle med tilgang til opplysningene har taushetsplikt.
3. Vi har sikkerhetstiltakene som er beskrevet under Sikkerhet (GDPR art. 32).
4. Vi hjelper Kunden med å besvare henvendelser fra registrerte (innsyn, sletting osv.), for eksempel ved å eksportere eller slette en besøkendes samtaler.
5. Vi bistår Kunden med sikkerhet, avviksmelding, konsekvensvurderinger og forhåndsdrøftinger (art. 32–36), innenfor rimelighetens grenser.
6. Vi varsler Kunden uten ugrunnet opphold etter at vi har blitt kjent med et avvik som berører Kundens data, med informasjonen Kunden trenger for å oppfylle egen meldeplikt.
7. Vi gjør tilgjengelig informasjonen som trengs for å vise at avtalen følges, og tillater revisjon med rimelig varsel og for Kundens regning.

5. Underleverandører

Kunden gir generell godkjenning av underleverandørene på siden Underleverandører. Vi varsler Kunden minst {{VERIFY: 30}} dager før vi legger til eller bytter en underleverandør, og Kunden kan protestere på saklig grunnlag. Løser vi ikke innsigelsen, kan Kunden si opp den berørte tjenesten. Alle underleverandører pålegges de samme personvernpliktene, og vi er ansvarlige for dem.

6. Overføring til tredjeland

Der en underleverandør er utenfor EØS, bygger overføringen på en tilstrekkelighetsbeslutning (som EU–US Data Privacy Framework) eller EUs standardkontraktsbestemmelser {{VERIFY: overføringsgrunnlag per leverandør}}.

7. Sletting og tilbakelevering

Når Kunden sletter kontoen, sletter vi Kundens personopplysninger permanent 30 dager senere (en angrefrist der Kunden kan avbryte), med mindre loven krever at vi beholder dem. Før sletting kan Kunden laste ned en kopi i et maskinlesbart format fra dashbordet.

8. Kontakt

Spørsmål om denne avtalen eller henvendelser etter den: post@mielikkix.no.