DATABEHANDLERAVTALE FOR STYRMIND

Versjon: 9. oktober 2026

1. Parter, inngåelse og rang

Avtalen inngås mellom virksomheten identifisert med navn, organisasjonsnummer og adresse i bestillingen eller den særskilte kundeavtalen («Kunden»), og Styrmind AS, organisasjonsnummer 937 555 741, Dronningens gate 2A, 4610 Kristiansand, Norge («Styrmind»).

Kunden er behandlingsansvarlig og Styrmind er databehandler for behandlingen avtalen omfatter. Dersom Kunden selv er databehandler for andre, skal Kunden ha nødvendig fullmakt til å instruere og godkjenne Styrmind som underdatabehandler. Kunden viderefører nødvendige krav fra sin oppdragsgiver til Styrmind før behandlingen starter.

Avtalen med vedlegg inngår i avtalen om bruk av tjenesten («Hovedavtalen»). Ved motstrid går denne avtalen foran for behandlingen av personopplysninger på Kundens vegne. Ufravikelige regler og bindende overføringsgarantier går foran motstridende avtalevilkår.

Avtalen inngås skriftlig, også elektronisk, ved dokumentert aksept fra en person med fullmakt til å binde Kunden. Gjeldende versjon skal være tilgjengelig før aksept. Endringer håndteres etter denne avtalen og Hovedavtalen; publisering alene innebærer ikke ny instruks fra Kunden.

2. Omfang og varighet

Avtalen regulerer behandling av personopplysninger på Kundens vegne etter personvernforordningen (GDPR) artikkel 28. Art, formål, kategorier av opplysninger og registrerte fremgår av vedlegg A. Godkjente underdatabehandlere fremgår av vedlegg B. Sikkerhetstiltak fremgår av vedlegg C.

Avtalen gjelder fra Styrmind begynner å behandle opplysninger på Kundens vegne og til tilbakelevering og sletting er fullført. Plikter om konfidensialitet og vern av opplysninger gjelder så lenge opplysninger fortsatt finnes hos Styrmind eller underdatabehandlere.

Behandling for Styrminds egne lovlige formål, som eget kundeforhold, regnskapsplikter og nødvendige sikkerhetsformål, beskrives særskilt i personvernerklæringen. Denne avgrensningen gir ikke Styrmind adgang til å bruke Kundens innhold til egne formål. Rollefordelingen skal vurderes ut fra faktisk behandling.

3. Kundens plikter og instrukser

Kunden bestemmer formålet med behandlingen og er ansvarlig for lovlig behandlingsgrunnlag, nødvendig informasjon til registrerte og lovlig tilgang til tilkoblede systemer. Kunden skal begrense opplysninger til det som er nødvendig og følge opp brukertilgang og lagringstid.

Hovedavtalen, denne avtalen med vedlegg og Kundens dokumenterte valg og handlinger innenfor det avtalte tjenesteomfanget utgjør den innledende instruksen. Nye formål eller vesentlige utvidelser krever oppdatert dokumentert instruks og nødvendige avtaleendringer.

Kunden kan gi ytterligere skriftlige instrukser. Styrmind skal omgående varsle dersom en instruks etter Styrminds vurdering er i strid med personvernregelverket, og skal ikke gjennomføre den ulovlige behandlingen. Partene skal søke en lovlig løsning.

4. Styrminds behandling og konfidensialitet

Styrmind skal bare behandle opplysningene etter dokumenterte instrukser, også ved overføring til tredjeland, med mindre behandling kreves etter EU-rett eller nasjonal rett som Styrmind er underlagt. Ved slikt lovkrav informeres Kunden før behandlingen, med mindre loven forbyr dette av hensyn til viktige allmenne interesser.

Opplysningene brukes ikke til Styrminds egne produktutviklingsformål, modelltrening eller analyser på tvers av kunder. Ordinær booking- og kalenderbehandling sender ikke innhold til KI-leverandører. Valgfri visittkortskanning og KI-lesing av dokumenter, også vedlegg brukeren velger fra e-post, kan bare benyttes innenfor dokumentert instruks og med godkjent leverandør etter vedlegg B. Import av et vedlegg utløser ikke KI-lesing; denne krever en egen autorisert brukerhandling. Styrmind skal sikre at leverandørens behandling, oppbevaring og databruk er forenlig med Kundens instruks før funksjonen tas i bruk.

Personer med tilgang skal være underlagt konfidensialitetsplikt og bare ha tilgang i den utstrekning oppgavene krever det. Intern tilgang til Kundens opplysninger for støtte, drift og sikkerhet skal være autorisert og begrenset til formålet.

5. Sikkerhet og bistand

Styrmind skal gjennomføre egnede tekniske og organisatoriske tiltak etter GDPR artikkel 32, tilpasset behandlingens art, omfang, formål og risiko. Minimumstiltakene følger av vedlegg C. Tiltak kan forbedres eller erstattes med likeverdige tiltak uten at det samlede beskyttelsesnivået svekkes.

Under hensyn til behandlingens art og den informasjonen Styrmind har tilgjengelig, bistår Styrmind Kunden med pliktene etter GDPR artikkel 32–36, herunder risikovurderinger, personvernkonsekvensvurderinger og forhåndsdrøfting med tilsynsmyndigheten.

6. Registrertes rettigheter

Styrmind bistår, gjennom egnede tekniske og organisatoriske tiltak og så langt det er mulig, Kunden med å oppfylle pliktene knyttet til registrertes rettigheter etter GDPR kapittel III. Bistanden omfatter relevant innsyn, retting, sletting, begrensning og utlevering. Selvbetjente funksjoners avgrensninger begrenser ikke denne bistandsplikten.

Ved direkte henvendelser om Kundens opplysninger informerer Styrmind Kunden uten ugrunnet opphold og håndterer henvendelsen etter Kundens instruks, med mindre loven krever noe annet. Kunden har ansvar for vurdering og svar til den registrerte.

Partene skal samarbeide slik at lovpålagte frister kan overholdes. Eventuell særskilt bistand utover ordinær leveranse kan prises ved skriftlig avtale på forhånd, men uenighet om pris skal ikke hindre nødvendig eller lovpålagt bistand. Bistand som skyldes Styrminds eget avtalebrudd, belastes ikke Kunden.

7. Underdatabehandlere

Kunden gir generell skriftlig godkjenning til bruk av underdatabehandlerne identifisert i vedlegg B. Godkjenningen gjelder bare den angitte behandlingen og innebærer ikke godkjenning av manglende avtaler eller ulovlige overføringer.

Styrmind inngår skriftlig avtale som pålegger hver underdatabehandler de samme personvernforpliktelsene som denne avtalen krever for den aktuelle behandlingen. Styrmind er fullt ansvarlig overfor Kunden for underdatabehandlernes oppfyllelse.

Nye eller erstattede underdatabehandlere varsles skriftlig minst 30 dager før behandlingen starter. Varselet angir leverandør, oppgave, relevante opplysninger, behandlingssteder og eventuelt overføringsgrunnlag. Kunden kan fremsette begrunnet innsigelse innen 14 dager etter mottak. Ved manglende innsigelse kan endringen gjennomføres etter varslingsperioden.

Ved innsigelse skal partene søke en løsning før den omstridte leverandøren begynner å behandle Kundens opplysninger. Hvis ingen løsning finnes, kan Kunden avslutte den berørte funksjonen, eller Hovedavtalen dersom funksjonen ikke kan skilles ut, før endringen gjennomføres. Forskuddsbetalt vederlag for den avsluttede leveransen etter opphørsdatoen tilbakebetales forholdsmessig. Retur og sletting følger punkt 11.

8. Behandling og tilgang utenfor EØS

Opplysninger skal ikke overføres eller gjøres tilgjengelige til mottakere utenfor EØS uten dokumentert instruks og gyldig grunnlag etter GDPR kapittel V. Dette omfatter også relevant fjernaksess fra tredjeland.

Aktuelle behandlingssteder og overføringsgrunnlag skal angis i vedlegg B. Ved bruk av standard personvernbestemmelser skal Styrmind sikre nødvendige vurderinger og tilleggstiltak. Hvis vilkårene for lovlig overføring ikke er oppfylt, skal overføringen ikke starte eller fortsette.

Styrmind gir på forespørsel informasjon om overføringer og relevante garantier. Endringer som innebærer nye behandlingssteder utenfor EØS eller vesentlig endrede overføringsforhold, varsles etter prosessen i punkt 7 før de gjennomføres.

9. Brudd på personopplysningssikkerheten

Styrmind varsler Kunden uten ugrunnet opphold etter å ha fått kjennskap til et brudd som gjelder opplysninger behandlet på Kundens vegne, og senest innen 48 timer. Fristen gir ikke adgang til å utsette et varsel som kan gis tidligere.

Varselet inneholder, så langt opplysningene er tilgjengelige:

• Beskrivelse av bruddet, kategorier og omtrentlig antall registrerte og oppføringer.
• Kontaktpunkt for videre oppfølging.
• Sannsynlige konsekvenser.
• Iverksatte og foreslåtte tiltak for å håndtere bruddet og begrense skade.

Manglende opplysninger ettersendes uten ugrunnet opphold. Styrmind dokumenterer hendelsen og bistår Kunden med nødvendige vurderinger og varsler. Kunden har ansvar for varsling til myndigheter og registrerte for sin behandling, med mindre annet følger av lov eller dokumentert fullmakt.

10. Dokumentasjon, revisjon og kontroll

Styrmind gjør tilgjengelig all informasjon som er nødvendig for å dokumentere etterlevelse av GDPR artikkel 28 og denne avtalen, og legger til rette for og bidrar til revisjoner og inspeksjoner utført av Kunden eller en revisor Kunden utpeker.

Ordinære revisjoner varsles med rimelig frist og gjennomføres med hensyn til drift, sikkerhet og andre kunders opplysninger. Ved hendelser, begrunnet mistanke om avtalebrudd eller krav fra myndigheter tilpasses fristen behovet. Praktiske ordninger skal ikke hindre Kundens lovlige kontrollrett.

Forretningshemmeligheter og andre kunders opplysninger beskyttes med konfidensialitet, avgrenset tilgang eller annen egnet dokumentasjon. Dette begrenser ikke informasjonen som er nødvendig for å dokumentere etterlevelse.

Partene dekker egne kostnader. Avdekker revisjonen vesentlig mislighold fra Styrmind, dekker Styrmind Kundens rimelige og dokumenterte revisjonskostnader.

11. Tilbakelevering og sletting

Ved opphør velger Kunden mellom sletting og tilbakelevering av alle personopplysninger behandlet på Kundens vegne, med etterfølgende sletting av Styrminds kopier. Styrmind skal før sletting gi Kunden rimelig mulighet til å velge og avtale tilbakeleveringen. Opplysninger kan utleveres i et alminnelig maskinlesbart format. Et begrenset selvbetjent eksportutvalg begrenser ikke tilbakeleveringsplikten.

Sletting i aktive systemer gjennomføres innen 30 dager etter opphør, med mindre loven krever fortsatt lagring. Kunden kan instruere tidligere sletting. Tilbakelevering skal avtales og gjennomføres innen denne perioden. Hvis Kunden ikke gir annen instruks etter å ha fått rimelig mulighet til å velge, er instruksen sletting innen 30 dager.

Styrmind tar sikkerhetskopier av hele databasen for å kunne gjennomføre full databasegjenoppretting ved behov. Avtalen omfatter ikke en garanti for separat gjenoppretting av én kundes data til et valgt tidspunkt. Eventuelle særskilte krav til slik gjenoppretting må avtales skriftlig.

Sikkerhetskopiområdet for liveversjonen hos Cloudflare har en aktiv utløpsregel på 90 dagers objektalder. Etter utløpet fjernes kopiene normalt innen 24 timer, men det kan ta lengre tid ved forsinkelser hos leverandøren. Utløpsperioden gjelder sikkerhetskopienes alder. Fysisk sletting fra sikkerhetskopier er en egen prosess etter sletting fra aktive systemer. I perioden før endelig sletting begrenses behandlingen til nødvendig sikkerhet og gjenoppretting. Tidligere sletteinstrukser skal gjennomføres på nytt ved gjenoppretting før opplysningene brukes i ordinær drift.

Etter sletting fra aktive systemer skal opplysningene ikke videreføres til nye sikkerhetskopier. Styrmind skal følge opp at utløpte kopier fjernes. Ved forsinket sletting skal Styrmind undersøke årsaken, sørge for begrenset tilgang og gjennomføre nødvendige tiltak for å fullføre slettingen uten ugrunnet opphold. Kunden skal på forespørsel få informasjon om status og eventuell forsinkelse som berører Kundens opplysninger.

Styrmind sikrer tilsvarende sletting hos underdatabehandlere og bekrefter gjennomført sletting på forespørsel.

Hvis loven krever fortsatt lagring av opplysninger som omfattes av avtalen, informerer Styrmind om grunnlag og varighet med mindre dette er forbudt. Opplysningene isoleres og brukes bare til lovkravet.

12. Ansvar, lovvalg og tvister

Partenes ansvar overfor hverandre følger Hovedavtalen, med forbehold for ufravikelig lov og bindende overføringsgarantier. Avtalen begrenser ikke registrertes rettigheter eller krav etter GDPR artikkel 82, eller tilsynsmyndigheters kompetanse.

Avtalen reguleres av norsk rett. Tvister søkes løst ved forhandlinger. Agder tingrett er avtalt verneting der slik avtale er lovlig.

Kontakt for personvern og hendelser: personvern@styrmind.com.

VEDLEGG A – BEHANDLINGEN

Formål

Levere avtalte funksjoner for samlet oversikt, administrasjon, planlegging og oppfølging på Kundens vegne. Behandlingen avhenger av Kundens valgte funksjoner, tilkoblinger og instrukser.

Art

Innhenting, overføring, lagring, strukturering, sammenstilling, visning, søk, oppdatering, eksport, tilbakelevering og sletting. Der Kunden instruerer dette: utsendelse av kommunikasjon, opprettelse og administrasjon av kalenderhendelser, og oppdatering av tilkoblede systemer. Kundens aktivering og innstillinger kan også gi instruks til automatiske oppgaver, som bookinguttrekk, påminnelser, dokumentsynk og fulltekstindeksering. Valgfritt tekstuttrekk fra visittkort og bestilt KI-lesing av dokumenter omfattes bare når funksjonene er lovlig etablert og aktivert.

Registrerte

Kundens brukere, ansatte, selgere, kunder, leverandører, kontaktpersoner, prospekter, enkeltpersonforetak, gjester og personer omtalt i relevante oppføringer, kalenderhendelser og meldinger.

Opplysningskategorier

• Navn, kontaktopplysninger, kontaktrolle, virksomhetstilknytning og organisasjonsnummer der det er en personopplysning.
• Personopplysninger i fakturaer, tilbud, regnskapsreferanser, økonomiske transaksjoner og salgsoppfølging.
• Notater, oppgaver, aktivitetshistorikk og kommunikasjonsopplysninger.
• Ansatt- og selgeropplysninger, stillingsprosent, planlagte timer, fakturerbarhetsmål og provisjonsgrunnlag.
• Gjestenavn, bookingreferanse, beløp, datoer og begrensede telefonopplysninger.
• Kjennemerke og relevante kjøretøyopplysninger.
• Relevante e-postvarsler som behandles for bookinguttrekk, postkasseadresser, avsender og mottaker, ansvarlig bruker og utsendelsesreferanser.
• Kalenderopplysninger ved visning, samt tittel, tidspunkt og referanse for hendelser opprettet gjennom Styrmind.
• Nødvendige bruker-, tilgangs-, integrasjons- og aktivitetsopplysninger for Kundens bruk av tjenesten.
• Visittkortbilder under valgfritt tekstuttrekk og utleste kontaktopplysninger.
• Avtaleopplysninger, dokumentinnhold, filnavn og referanser, kildeutdrag, tekstkopier, søkeindekser, tolkningsforslag og behandlings-/forbrukshistorikk.
• Årshjul, ansvarlige personer, sjekklister, påminnelser og gjennomføringsstatus.

Særlige opplysninger

Tjenesten er ikke beregnet for opplysninger etter GDPR artikkel 9 eller 10. Kunden skal ikke legge inn slike opplysninger uten særskilt skriftlig avtale og nødvendige sikkerhets- og lovlighetsvurderinger. Ved utilsiktet forekomst samarbeider partene om begrensning og håndtering etter Kundens instruks.

Varighet

Under Hovedavtalen og frem til tilbakelevering og sletting etter punkt 11. Kunden kan gi instrukser om kortere oppbevaring.

Microsoft, dokumenter og KI

Microsoft-tilkobling begrenses til avtalte funksjoner. Eksisterende kalenderhendelser og bookingmeldinger behandles ved behov uten varig lagring av hele innholdet i Styrminds database. Bookinguttrekk kan kjøres automatisk når Kunden har aktivert dette. Tilgangstokens for postbokser slettes fra aktive systemer ved frakobling. Øvrige lagrede opplysninger følger Kundens instruks.

Dokumentfunksjonen kan hente vedlegg brukeren velger fra e-post og overføre dem til Kundens SharePoint via midlertidig arbeidslager hos Cloudflare. Arbeidsfiler beskyttes av kryptering under overføring og ved lagring. Uttrukket dokumenttekst kan sendes til Anthropic ved særskilt bestilt KI-lesing. Fulltekstindeksering kan skje automatisk uten KI når funksjonen er aktivert.

SharePoint er hovedlager for originaldokumenter. Styrmind behandler dokumentreferanser, krypterte tekstkopier og søkeindekser for avtalte funksjoner. Dokumenter med innholdssperre brukes ikke til KI, tekstkopiering eller innholdsindeksering. Sletting av en avtale sletter ikke originaldokumentet. Særskilt dokument-sletting kan flytte originalen til SharePoints papirkurv; Kundens Microsoft-avtale og oppbevaringsregler gjelder for disse kopiene.

Ved frakobling av SharePoint slettes arbeidskopier, søkeindeks og ikke-lagrede avtaleforslag. Dokumentlenker merkes utilgjengelige. Kunden må trekke tilbake tildelt tilgang hos Microsoft; Styrmind skal gi nødvendig informasjon for dette.

Midlertidige opplastingsfiler har en aktiv automatisk utløpsregel på ett døgn, og midlertidige eksportfiler på sju dager. Fysisk sletting skjer normalt innen 24 timer etter utløpet, men kan ta lengre tid ved leverandørforsinkelser. Reglene omfatter ikke lagrede avtaler, tekstkopier eller søkeindekser. Disse og øvrig nødvendig dokumentasjon følger Kundens instruks og punkt 11.

VEDLEGG B – GODKJENTE UNDERDATABEHANDLERE

Oversikten angir underdatabehandlernes oppgaver og aktuelle opplysningskategorier. Bruk av en valgfri leverandørfunksjon forutsetter Kundens aktivering og at kravene i punkt 7 og 8 er oppfylt. En leverandør kan bare behandle Kundens opplysninger når nødvendig avtalegrunnlag og eventuelle overføringsgarantier er på plass.

Neon (Databricks/Neon) – database

Lagrede kundedata etter vedlegg A. Den primære databasen er plassert i Frankfurt, Tyskland. Andre behandlingssteder og relevant støtte- eller fjernaksess omfattes av kravene i punkt 8. Leverandørens gjeldende produktvilkår: https://neon.com/platform-terms.

Vercel Inc. – drift og levering av applikasjonen

Opplysninger som behandles i applikasjonen og nødvendige driftsopplysninger. Den primære applikasjonsregionen er Frankfurt, Tyskland. Andre behandlingssteder og relevant støtte- eller fjernaksess omfattes av kravene i punkt 8. Leverandørens databehandleravtale: https://vercel.com/legal/dpa.

Cloudflare, Inc. – lagring og nødvendige nettverks-/sikkerhetstjenester

Sikkerhetskopier, midlertidige dokumenter og valgte e-postvedlegg, eksportfiler og krypterte tekstkopier. Opplysningene skal beskyttes etter vedlegg C. De kontrollerte fil- og sikkerhetskopilagrene bruker EU-jurisdiksjon. Dette beskriver lagringen, ikke all mulig støtte-, administrasjons- eller nettverksbehandling.

Cloudflares oversikt over underdatabehandlere for tjenestene finnes på https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/. Oversikten omfatter også støttefunksjoner og konsernselskaper. Hvilke av disse som er relevante, avhenger av tjenestene og støtten som brukes. Oversikten for særskilte konsulenttjenester gjelder bare dersom slike tjenester benyttes: https://www.cloudflare.com/gdpr/subprocessors/professional-services/.

GitHub – automatisert sikkerhetskopiering

Kundedata som behandles i automatiserte oppgaver for sikkerhetskopiering. Bare behandling av opplysninger på Kundens vegne omfattes av dette databehandleroppdraget.

Plus Five Five, Inc. (Resend) – e-postformidling

Avsender, mottaker og nødvendig meldingsinnhold for invitasjoner, varsler og annen avtalt kommunikasjon på Kundens vegne.

Anthropic – valgfritt KI-basert tekstuttrekk

Visittkortbilder og dokumenttekst, inkludert valgte vedlegg fra e-post, når en autorisert bruker bestiller behandling. Funksjonen kan omfatte behandling i USA.

Better Stack – feilhåndtering ved behandling på Kundens vegne

Omfattes bare dersom leverandøren mottar personopplysninger som Styrmind behandler på Kundens vegne. Behandlingen begrenses til nødvendige feilmeldinger og relevante referanser for feilhåndtering. Oppetidskontroll uten personopplysninger omfattes ikke. Behandling for Styrminds egne lovlige drifts- og sikkerhetsformål omtales særskilt i personvernerklæringen.

For hver leverandør skal den juridiske leverandørenheten, relevante behandlingsland og konkrete overføringsgarantier være dokumentert og tilgjengelige for Kunden før behandlingen starter. Disse opplysningene inngår i leverandøroversikten for Kundens avtalte leveranse. Styrmind skal sikre nødvendig avtale etter punkt 7. Nærmere informasjon og kopi av relevante garantier kan etterspørres på personvern@styrmind.com. Endringer varsles etter punkt 7 og 8.

Kundens egne avtaler med Microsoft (e-post, kalender og SharePoint) og regnskapsleverandører som Tripletex, Unimicro og PowerOffice gjelder for Kundens egne tilkoblede systemer. Dette fritar ikke Styrmind fra forpliktelsene i denne avtalen for opplysninger som Styrmind henter inn eller behandler gjennom integrasjonene. Hvilke integrasjoner som er tilgjengelige og aktiverte, følger den avtalte leveransen. Stripe og Tripletex for Styrminds eget betalings- og regnskapsformål omtales i personvernerklæringen.

VEDLEGG C – SIKKERHETSTILTAK

Tiltakene skal kunne dokumenteres ved kontroll etter punkt 10:

1. Kryptering av kommunikasjon, database og sikkerhetskopier; særskilt beskyttelse av integrasjonslegitimasjon.
2. Tilgangskontroll og adskillelse mellom kunders opplysninger, med begrensning til autoriserte brukere og tjenstlig behov.
3. Personlige brukerkontoer, mulighet for tofaktor og krav om tofaktor for intern privilegert administratortilgang.
4. Konfidensialitetsplikt og relevante rutiner for personell med tilgang.
5. Logging av relevante endringer og sikkerhetshendelser, med begrensning av innhold og beskyttelse mot uvedkommende tilgang. Passord og tilgangshemmeligheter skal ikke inngå i logginnhold.
6. Krypterte sikkerhetskopier av hele databasen med overvåking av utfallet, beskyttelse mot uautorisert endring og utløpsregel etter punkt 11. Full databasegjenoppretting skal kunne gjennomføres forsvarlig, og tiltakets effektivitet skal kontrolleres etter risiko. Dette innebærer ikke en garanti om separat gjenoppretting av én kundes data til et valgt tidspunkt. Tidligere sletteinstrukser skal ivaretas ved gjenoppretting.
7. Rutiner for håndtering av hendelser, vurdering av sårbarheter og oppfølging etter risiko.
8. Rutiner for sletting, tilbakelevering og begrensning av opplysninger i sikkerhetskopier etter punkt 11.
9. Dataminimering i feillogging og kontroll av hva underdatabehandlere mottar.
10. Regelmessig vurdering av tiltakenes effektivitet og oppdatering ved endret risiko.

AKSEPT

Avtalen aksepteres elektronisk sammen med bestillingen eller gjennom særskilt skriftlig avtale. Kundens identitet, representant, dato og akseptert avtaleversjon skal fremgå av den dokumenterte aksepten.

DATA PROCESSING AGREEMENT FOR STYRMIND

Version: 9 October 2026

1. Parties, formation and precedence

This agreement is entered into between the business identified by name, organisation number and address in the order or separate customer agreement ("the Customer"), and Styrmind AS, organisation number 937 555 741, Dronningens gate 2A, 4610 Kristiansand, Norway ("Styrmind").

The Customer is the controller and Styrmind is the processor for the processing covered by this agreement. If the Customer itself acts as processor for others, the Customer must have the necessary authority to instruct and approve Styrmind as subprocessor. The Customer passes on necessary requirements from its client to Styrmind before processing starts.

This agreement and its appendices form part of the agreement for use of the service ("the Main Agreement"). In the event of conflict, this agreement takes precedence for the processing of personal data on the Customer's behalf. Mandatory rules and binding transfer safeguards take precedence over conflicting contractual terms.

The agreement is entered into in writing, including electronically, through documented acceptance by a person authorised to bind the Customer. The current version must be available before acceptance. Changes are handled under this agreement and the Main Agreement; publication alone does not constitute a new instruction from the Customer.

2. Scope and duration

This agreement governs processing of personal data on the Customer's behalf under Article 28 of the General Data Protection Regulation (GDPR). The nature, purposes, categories of data and data subjects are specified in Appendix A. Approved subprocessors are specified in Appendix B. Security measures are specified in Appendix C.

The agreement applies from when Styrmind starts processing information on the Customer's behalf until return and deletion are complete. Duties of confidentiality and protection apply for as long as information remains with Styrmind or its subprocessors.

Processing for Styrmind's own lawful purposes, such as its own customer relationship, accounting obligations and necessary security purposes, is described separately in the privacy policy. This distinction does not permit Styrmind to use the Customer's content for its own purposes. Roles must be assessed on the basis of actual processing.

3. Customer obligations and instructions

The Customer determines the purposes of processing and is responsible for a lawful legal basis, necessary information to data subjects and lawful access to connected systems. The Customer must limit information to what is necessary and monitor user access and retention periods.

The Main Agreement, this agreement with its appendices and the Customer's documented choices and actions within the agreed scope of the service constitute the initial instructions. New purposes or material extensions require updated documented instructions and necessary amendments to the agreements.

The Customer may give further written instructions. Styrmind must promptly notify the Customer if, in Styrmind's assessment, an instruction infringes data protection law, and must not carry out the unlawful processing. The parties must seek a lawful solution.

4. Styrmind's processing and confidentiality

Styrmind must process information only on documented instructions, including for transfers to third countries, unless processing is required by EU law or national law to which Styrmind is subject. In that case, the Customer is informed before processing, unless the law prohibits this on important grounds of public interest.

Information is not used for Styrmind's own product development, model training or cross-customer analytics. Ordinary booking and calendar processing does not send content to AI providers. Optional business card scanning and AI reading of documents, including attachments selected by the user from email, may only be used within documented instructions and with an approved provider under Appendix B. Importing an attachment does not trigger AI reading; this requires a separate authorised user action. Styrmind must ensure that the provider's processing, retention and data use are compatible with the Customer's instructions before the function is used.

Persons with access must be bound by confidentiality and have access only to the extent required for their tasks. Internal access to the Customer's information for support, operations and security must be authorised and limited to the purpose.

5. Security and assistance

Styrmind must implement appropriate technical and organisational measures under GDPR Article 32, adapted to the nature, scope, purposes and risks of processing. Minimum measures are specified in Appendix C. Measures may be improved or replaced by equivalent measures without weakening the overall level of protection.

Taking into account the nature of processing and the information available to Styrmind, Styrmind assists the Customer with obligations under GDPR Articles 32–36, including risk assessments, data protection impact assessments and prior consultation with the supervisory authority.

6. Data subjects' rights

Through appropriate technical and organisational measures, insofar as possible, Styrmind assists the Customer in fulfilling obligations relating to data subjects' rights under GDPR Chapter III. Assistance includes relevant access, rectification, erasure, restriction and disclosure. Limitations of self-service functions do not limit this duty to assist.

For direct requests concerning the Customer's information, Styrmind informs the Customer without undue delay and handles the request under the Customer's instructions, unless the law requires otherwise. The Customer is responsible for assessing and responding to the data subject.

The parties must cooperate so that statutory deadlines can be met. Any specific assistance beyond ordinary delivery may be priced by prior written agreement, but disagreement over price must not prevent necessary or legally required assistance. The Customer is not charged for assistance resulting from Styrmind's own breach of contract.

7. Subprocessors

The Customer gives general written authorisation for use of the subprocessors identified in Appendix B. Authorisation applies only to the specified processing and does not constitute approval of missing agreements or unlawful transfers.

Styrmind enters into a written agreement imposing on each subprocessor the same data protection obligations as this agreement requires for the relevant processing. Styrmind remains fully liable to the Customer for the subprocessors' performance.

New or replacement subprocessors are notified in writing at least 30 days before processing starts. The notice identifies the provider, task, relevant information, processing locations and any transfer basis. The Customer may raise a reasoned objection within 14 days of receipt. In the absence of an objection, the change may be implemented after the notice period.

In the event of an objection, the parties must seek a solution before the disputed provider starts processing the Customer's information. If no solution is found, the Customer may terminate the affected function, or the Main Agreement if the function cannot be separated, before the change is implemented. Prepaid fees for the terminated delivery after the termination date are refunded proportionately. Return and deletion follow section 11.

8. Processing and access outside the EEA

Information must not be transferred or made available to recipients outside the EEA without documented instructions and a valid basis under GDPR Chapter V. This also covers relevant remote access from third countries.

Applicable processing locations and transfer bases must be specified in Appendix B. Where standard contractual clauses are used, Styrmind must ensure necessary assessments and supplementary measures. If the conditions for a lawful transfer are not met, the transfer must not start or continue.

On request, Styrmind provides information about transfers and relevant safeguards. Changes involving new processing locations outside the EEA or materially changed transfer circumstances are notified under the process in section 7 before implementation.

9. Personal data breaches

Styrmind notifies the Customer without undue delay after becoming aware of a breach concerning information processed on the Customer's behalf, and no later than within 48 hours. The deadline does not permit postponement of a notification that can be given earlier.

Insofar as information is available, the notification includes:

• A description of the breach, the categories and approximate numbers of data subjects and records.
• A contact point for further follow-up.
• Likely consequences.
• Measures taken and proposed to address the breach and limit harm.

Missing information is provided subsequently without undue delay. Styrmind documents the incident and assists the Customer with necessary assessments and notifications. The Customer is responsible for notifying authorities and data subjects for its processing, unless otherwise required by law or documented authority.

10. Documentation, audits and inspections

Styrmind makes available all information necessary to demonstrate compliance with GDPR Article 28 and this agreement, and facilitates and contributes to audits and inspections conducted by the Customer or an auditor appointed by the Customer.

Ordinary audits are notified with reasonable notice and conducted with regard to operations, security and other customers' information. In the event of incidents, reasoned suspicion of breach or requirements from authorities, the notice period is adapted to the need. Practical arrangements must not impede the Customer's lawful right of inspection.

Trade secrets and other customers' information are protected through confidentiality, restricted access or other suitable documentation. This does not limit information necessary to demonstrate compliance.

The parties bear their own costs. If an audit reveals a material breach by Styrmind, Styrmind covers the Customer's reasonable and documented audit costs.

11. Return and deletion

On termination, the Customer chooses between deletion and return of all personal data processed on its behalf, followed by deletion of Styrmind's copies. Before deletion, Styrmind must give the Customer a reasonable opportunity to choose and arrange return. Information may be disclosed in a commonly used machine-readable format. A limited self-service export selection does not limit the obligation to return data.

Deletion from active systems is completed within 30 days after termination, unless the law requires continued retention. The Customer may instruct earlier deletion. Return must be agreed and completed within that period. If the Customer gives no other instruction after having been given a reasonable opportunity to choose, the instruction is deletion within 30 days.

Styrmind backs up the entire database to enable full database recovery when needed. The agreement does not include a guarantee of separate recovery of one customer's data to a selected point in time. Any specific requirements for such recovery must be agreed in writing.

The backup storage area for the live version at Cloudflare has an active expiration rule of 90 days of object age. After expiration, copies are normally removed within 24 hours, but removal may take longer in the event of provider delays. The expiration period concerns the age of the backups. Physical deletion from backups is a separate process following deletion from active systems. Until final deletion, processing is limited to necessary security and recovery. Previous deletion instructions must be carried out again on recovery before the information is used in ordinary operations.

After deletion from active systems, the information must not be carried forward into new backups. Styrmind must follow up removal of expired copies. In the event of delayed deletion, Styrmind must investigate the cause, ensure restricted access and take necessary measures to complete deletion without undue delay. On request, the Customer must receive information about status and any delay affecting its information.

Styrmind ensures equivalent deletion at subprocessors and confirms completed deletion on request.

If the law requires continued retention of information covered by this agreement, Styrmind provides information about the basis and duration unless prohibited. The information is isolated and used only for the legal requirement.

12. Liability, governing law and disputes

The parties' liability towards each other follows the Main Agreement, subject to mandatory law and binding transfer safeguards. This agreement does not limit data subjects' rights or claims under GDPR Article 82, or supervisory authorities' powers.

The agreement is governed by Norwegian law. Disputes are sought resolved through negotiations. Agder District Court is the agreed venue where such an agreement is lawful.

Contact for privacy and incidents: personvern@styrmind.com.

APPENDIX A – THE PROCESSING

Purpose

Deliver agreed functions for a consolidated overview, administration, planning and follow-up on the Customer's behalf. Processing depends on the Customer's selected functions, connections and instructions.

Nature

Collection, transfer, storage, structuring, combination, display, search, updating, export, return and deletion. Where instructed by the Customer: sending communications, creating and administering calendar events, and updating connected systems. The Customer's activation and settings may also provide instructions for automatic tasks, such as booking extraction, reminders, document synchronisation and full-text indexing. Optional text extraction from business cards and requested AI reading of documents are covered only when the functions have been lawfully established and enabled.

Data subjects

The Customer's users, employees, salespeople, customers, suppliers, contacts, prospects, sole traders, guests and persons mentioned in relevant records, calendar events and messages.

Data categories

• Names, contact details, contact roles, business affiliation and organisation numbers where they constitute personal data.
• Personal data in invoices, quotations, accounting references, financial transactions and sales follow-up.
• Notes, tasks, activity history and communications information.
• Employee and salesperson information, employment percentages, planned hours, billability targets and commission bases.
• Guest names, booking references, amounts, dates and limited telephone information.
• Registration plates and relevant vehicle information.
• Relevant email notifications processed for booking extraction, mailbox addresses, senders and recipients, responsible users and sending references.
• Calendar information when displayed, and titles, times and references for events created through Styrmind.
• Necessary user, access, integration and activity information for the Customer's use of the service.
• Business card images during optional text extraction and extracted contact details.
• Agreement information, document content, filenames and references, source excerpts, text copies, search indexes, interpretation suggestions and processing/usage history.
• Annual schedules, responsible persons, checklists, reminders and completion status.

Special data

The service is not intended for information under GDPR Article 9 or 10. The Customer must not enter such information without a separate written agreement and necessary security and lawfulness assessments. In the event of unintended occurrence, the parties cooperate on restriction and handling under the Customer's instructions.

Duration

During the Main Agreement and until return and deletion under section 11. The Customer may instruct shorter retention.

Microsoft, documents and AI

Microsoft connections are limited to agreed functions. Existing calendar events and booking messages are processed as needed without permanent storage of their full content in Styrmind's database. Booking extraction may run automatically when enabled by the Customer. Mailbox access tokens are deleted from active systems on disconnection. Other stored information follows the Customer's instructions.

Document functionality may retrieve attachments selected by the user from email and transfer them to the Customer's SharePoint via temporary working storage at Cloudflare. Working files are protected by encryption in transit and at rest. Extracted document text may be sent to Anthropic for separately requested AI reading. Full-text indexing may occur automatically without AI when the function is enabled.

SharePoint is the primary store for original documents. Styrmind processes document references, encrypted text copies and search indexes for agreed functions. Documents with a content restriction are not used for AI, text copying or content indexing. Deleting an agreement does not delete the original document. Separate document deletion may move the original to SharePoint's recycle bin; the Customer's Microsoft agreement and retention rules apply to those copies.

On disconnection of SharePoint, working copies, the search index and unsaved agreement suggestions are deleted. Document links are marked unavailable. The Customer must revoke granted access at Microsoft; Styrmind must provide necessary information for this.

Temporary upload files have an active automatic expiration rule of one day, and temporary export files of seven days. Physical deletion normally occurs within 24 hours after expiration, but may take longer in the event of provider delays. The rules do not cover saved agreements, text copies or search indexes. These and other necessary documentation follow the Customer's instructions and section 11.

APPENDIX B – APPROVED SUBPROCESSORS

The overview identifies subprocessors' tasks and relevant data categories. Use of an optional provider function requires the Customer's activation and fulfilment of the requirements in sections 7 and 8. A provider may process the Customer's information only when the necessary agreements and any transfer safeguards are in place.

Neon (Databricks/Neon) – database

Stored customer data under Appendix A. The primary database is located in Frankfurt, Germany. Other processing locations and relevant support or remote access are subject to the requirements in section 8. The provider's current product terms: https://neon.com/platform-terms.

Vercel Inc. – operation and delivery of the application

Information processed in the application and necessary operational information. The primary application region is Frankfurt, Germany. Other processing locations and relevant support or remote access are subject to the requirements in section 8. The provider's data processing agreement: https://vercel.com/legal/dpa.

Cloudflare, Inc. – storage and necessary network/security services

Backups, temporary documents and selected email attachments, export files and encrypted text copies. Information must be protected under Appendix C. The verified file and backup stores use EU jurisdiction. This describes storage, not all possible support, administrative or network processing.

Cloudflare's overview of subprocessors for the services is available at https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/. The overview also includes support functions and group companies. Which of these are relevant depends on the services and support used. The overview for specific consulting services applies only if those services are used: https://www.cloudflare.com/gdpr/subprocessors/professional-services/.

GitHub – automated backups

Customer data processed in automated backup tasks. Only processing of information on the Customer's behalf is covered by this processing assignment.

Plus Five Five, Inc. (Resend) – email delivery

Senders, recipients and necessary message content for invitations, notifications and other agreed communications on the Customer's behalf.

Anthropic – optional AI-based text extraction

Business card images and document text, including selected email attachments, when an authorised user requests processing. The function may involve processing in the USA.

Better Stack – error handling for processing on the Customer's behalf

Covered only if the provider receives personal data that Styrmind processes on the Customer's behalf. Processing is limited to necessary error messages and relevant references for error handling. Uptime monitoring without personal data is not covered. Processing for Styrmind's own lawful operational and security purposes is described separately in the privacy policy.

For each provider, the legal provider entity, relevant processing countries and specific transfer safeguards must be documented and available to the Customer before processing starts. This information forms part of the provider overview for the Customer's agreed delivery. Styrmind must ensure the necessary agreement under section 7. Further information and copies of relevant safeguards may be requested at personvern@styrmind.com. Changes are notified under sections 7 and 8.

The Customer's own agreements with Microsoft (email, calendar and SharePoint) and accounting providers such as Tripletex, Unimicro and PowerOffice apply to the Customer's own connected systems. This does not exempt Styrmind from its obligations under this agreement for information that Styrmind retrieves or processes through integrations. Available and enabled integrations follow the agreed delivery. Stripe and Tripletex for Styrmind's own payment and accounting purposes are described in the privacy policy.

APPENDIX C – SECURITY MEASURES

The measures must be capable of being documented during inspection under section 10:

1. Encryption of communications, databases and backups; specific protection of integration credentials.
2. Access control and separation of customers' information, limited to authorised users and a work-related need.
3. Personal user accounts, the option of two-factor authentication and a requirement for two-factor authentication for internal privileged administrator access.
4. Confidentiality obligations and relevant procedures for personnel with access.
5. Logging of relevant changes and security events, with content limitations and protection against unauthorised access. Passwords and access secrets must not form part of log content.
6. Encrypted backups of the entire database, with monitoring of the outcome, protection against unauthorised alteration and an expiration rule under section 11. Full database recovery must be capable of being carried out safely, and the effectiveness of the measure must be checked according to risk. This does not imply a guarantee of separate recovery of one customer's data to a selected point in time. Previous deletion instructions must be respected on recovery.
7. Procedures for incident handling, vulnerability assessment and follow-up according to risk.
8. Procedures for deletion, return and restriction of information in backups under section 11.
9. Data minimisation in error logging and control of what subprocessors receive.
10. Regular assessment of the effectiveness of measures and updates when risks change.

ACCEPTANCE

The agreement is accepted electronically together with the order or through a separate written agreement. The Customer's identity, representative, date and accepted agreement version must be specified in the documented acceptance.