Databehandleravtale for Sendebud

Avtale mellom kunden (behandlingsansvarlig) og Kreativ Tørke AS, org.nr. 933 636 534, Fjellgata 2B, 0566 Oslo, som leverer Sendebud (databehandler). Avtalen gjelder fra kunden godtar vilkårene for Sendebud, og så lenge kunden har konto.

1. Formål og omfang

Sendebud gir kundens agenter egne e-postinnbokser. Avtalen gjelder personopplysningene Sendebud behandler når den tar imot, lagrer, viser og sender e-post på kundens vegne. Hva som behandles, står i vedlegg A.

2. Forholdet til andre avtaler

Ved motstrid går denne avtalen foran tjenestevilkårene når det gjelder personopplysninger. Avtalen begrenser ikke rettighetene de registrerte har etter personvernforordningen.

3. Kundens ansvar

Kunden er ansvarlig for at behandlingen har rettslig grunnlag, for å informere de registrerte, og for hvilke agenter og fullmakter som kobles til. Kunden er også ansvarlig for sin egen avtale med leverandøren av språkmodellen eller agenten. Den leverandøren mottar e-post når agenten ber om den, og er ikke Sendebuds underdatabehandler.

4. Behandling etter instruks

Sendebud behandler personopplysninger bare etter kundens dokumenterte instruks, med mindre lov pålegger oss noe annet. Da sier vi fra til kunden før behandlingen, om loven tillater det. Instruksen er denne avtalen, vedlegg C, og kallene kundens agenter gjør innenfor fullmaktene kunden har gitt. Mener Sendebud at en instruks er i strid med personvernregelverket, sier vi fra til kunden.

5. Taushetsplikt

Bare personer som trenger det, får tilgang til systemene, og de har taushetsplikt. I dag er det én person. Admin-tilgangen viser ikke innhold, emner eller hvem kunden skriver med (vedlegg C).

6. Sikkerhet

Sendebud gjennomfører tiltakene i vedlegg C og vurderer dem på nytt når tjenesten endres.

7. Underdatabehandlere

Kunden gir generell forhåndsgodkjenning av underdatabehandlerne i vedlegg B. Nye eller endrede underdatabehandlere vi selv tar i bruk, varsles minst 14 dager før, på e-post og på sendebud.no. Kunden kan protestere og si opp avtalen før endringen trer i kraft. Må vi bytte straks for å rette et sikkerhetsproblem eller holde tjenesten oppe, varsler vi så snart vi kan. Kunden kan da si opp med umiddelbar virkning. Sendebud sørger for at underdatabehandlerne har plikter som gir minst samme vern som denne avtalen, og er ansvarlig for dem overfor kunden. Varsler en underleverandør oss om endringer i sine egne underleverandører, publiserer Sendebud det på sendebud.no/varsler så snart vi kan, og senest innen 30 dager. Berører endringen kundens data, varsles kunden også på e-post. Underleverandørene setter selv fristen for sine varsler, så kunden kan få kortere varsel for slike endringer enn for våre egne.

8. Overføring ut av EØS

Tjenesten og databasen ligger i Railways region EU West i Amsterdam, e-postlagringen i Railway Buckets i Amsterdam (servere hos Tigris Data), og Lettermint behandler e-post i EU. Railway er et amerikansk selskap og kan behandle data fra USA, blant annet ved drift og support, og tar sikkerhetskopier på flere steder og i flere regioner. Overføringen bygger på EU–US Data Privacy Framework, og ellers på EUs standardkontrakter (modul 3), slik Railways databehandleravtale bestemmer. E-post og vedlegg er kryptert før de lagres.

9. Bistand

Sendebud hjelper kunden med henvendelser fra de registrerte, vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet, så langt det er rimelig ut fra hva Sendebud har tilgang til. Kunden kan selv lese og hente ut all e-post i innboksene sine.

10. Brudd på personopplysningssikkerheten

Sendebud varsler kunden uten ugrunnet opphold, og senest 36 timer etter at vi ble kjent med bruddet. Varselet sier hva som har skjedd, hvilke opplysninger og omtrent hvor mange registrerte som er berørt, sannsynlige konsekvenser og hva vi gjør. Det vi ikke vet ennå, sendes så snart vi vet det. Kunden melder til Datatilsynet.

11. Sletting

E-post kunden legger i papirkurven, slettes for godt etter 30 dager, eller med en gang når kunden tømmer papirkurven. Kundens agenter kan legge e-post i papirkurven, men ikke slette for godt. Når kunden sletter en innboks, slettes e-posten og vedleggene i den innen 30 dager. Når kunden sletter kontoen eller avtalen opphører, slettes kundens datanøkkel med en gang, og all e-post innen 30 dager. Kunden kan hente ut e-posten og bruksloggen sin før sletting. Selve adressen beholdes, så den aldri gis til andre. Sikkerhetskopier av databasen slettes etter en måned; e-postlagringen har ingen sikkerhetskopier. Vi beholder bare det lov krever.

12. Dokumentasjon og revisjon

Sendebud gjør tilgjengelig det som trengs for å vise at avtalen følges. Kunden kan be om revisjon eller inspeksjon med 30 dagers varsel, høyst én gang i året med mindre et brudd gir grunn til mer. Kunden dekker egne kostnader.

13. Varighet og opphør

Avtalen gjelder så lenge kunden har konto. Endringer i avtalen varsles på e-post minst 30 dager før de gjelder, og kunden kan si opp før det. Pliktene om taushet, sletting og dokumentasjon gjelder også etter at avtalen er avsluttet.

14. Ansvar

Ansvar og ansvarsbegrensning følger tjenestevilkårene, innenfor det personvernforordningen artikkel 82 tillater.

15. Lovvalg og kontakt

Norsk rett gjelder, med Oslo tingrett som verneting. Kontakt om personvern: personvern@krto.no.

Vedlegg A – Behandlingen

Sendebud tar imot e-post til kundens innbokser, lagrer den kryptert, gir den til kundens agenter innenfor fullmaktene, og sender e-post når agenten ber om det.

• Registrerte: avsendere og mottakere av e-post til og fra kundens innbokser, og personer som er nevnt i e-post og vedlegg.
• Opplysninger: navn og e-postadresser, emne, innhold og vedlegg, tidspunkter og tekniske e-posthoder, blant annet adressene til serverne e-posten gikk gjennom.
• Særlige kategorier: behandles ikke med vilje, men kan stå i e-post kunden mottar. Ingen hos Sendebud leser innholdet; det behandles bare maskinelt for å levere det.
• Varighet: så lenge avtalen gjelder.

Vedlegg B – Underdatabehandlere

Lettermints egne underleverandører som behandler e-postinnhold, er UpCloud (Nederland), OVH (Tyskland, sikkerhetskopier) og Postmastery (Nederland). Den fulle listen står på lettermint.co/subprocessors. Railways står på trust.railway.com.

E-postlagringen bruker Railway Buckets, som kjører på servere hos Tigris Data Inc. (USA) i Amsterdam. Railway tar ikke sikkerhetskopier av bucketer, så slettet e-post er borte med en gang.

Ikke underdatabehandlere:

• Språkmodellen eller agenten er kundens valg og kundens avtale.
• E-posttjenestene til mottakerne tar imot e-posten på mottakernes vegne.

Vedlegg C – Instruks og sikkerhetstiltak

Sendebud skal bare ta imot e-post til kundens adresser, lagre den kryptert, gi den til agentene kunden har koblet til, sende e-post når en agent med fullmakt ber om det, og lagre det som står i vedlegg A. E-posten brukes ikke til noe annet: ikke analyse, ikke trening av modeller, ikke salg eller deling.

• Kryptering: TLS på all trafikk. E-post, vedlegg og emner krypteres med egen datanøkkel per kunde, og hovednøkkelen ligger bare i driftsmiljøet, ikke i databasen. Det beskytter mot lekkasje fra databasen og lagringen, ikke mot oss som driver tjenesten.
• Tilgang: innlogging bare med passkey. Agenter kobles til med OAuth 2.1, og tokens lagres bare som hash.
• Mottak: e-post tas bare imot når signaturen fra Lettermint stemmer. Lenker til rå e-post havner aldri i kø, logger eller feilsporing.
• Visning: e-post vises på et eget domene, isolert fra innloggingen.
• Isolasjon: en agent når bare sin egen kundes innbokser. Det testes automatisk.
• Admin ser innboksadresser, antall, størrelser og leveringsstatus, aldri innhold, emner eller hvem kunden skriver med.
• Driftslogger inneholder aldri innhold, emner, mottakere eller nøkler, og e-postadresser i feilmeldinger erstattes med «[adresse]» før de lagres.
• Logg over alle kall, som ikke kan endres i etterkant.
• Grenser for antall innbokser og mottakere per døgn.
• Tekst i e-post merkes som upålitelig, så agenten ikke følger instruksjoner som står i en e-post.
• Testing: sikkerhetstester etter OWASP, kodeskanning og søk etter hemmeligheter før hver endring.

Vedlegg D – Andre forhold

• Varsel om brudd og om nye underdatabehandlere sendes til e-postadressen på kontoen.
• Kunden ser sin egen leselogg og hendelseslogg i innstillingene.

Sist endret: 05.10.2026.