Deres kunder.
Våre plikter.

Denne avtalen er et vedlegg til avtalen om tjenesten Ailo (vilkårene). Den godtas i samme klikk som vilkårene når Kunden bestiller, og den gjelder så lenge Ailo behandler personopplysninger på Kundens vegne. For kunder som har bestilt før 9. oktober 2026, gjelder den fra denne datoen.

• Behandlingsansvarlig: den virksomheten som har bestilt Ailo («Kunden»).
• Databehandler: Ailo AI AS, orgnr 830 860 312, Valkyriegata 15A, 0366 Oslo («Ailo»).

Kunden bestemmer formålet med behandlingen: å ha en nettside, ta imot henvendelser, selge varer og markedsføre egen virksomhet. Ailo behandler personopplysninger bare for å levere tjenesten til Kunden. Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28 nr. 3. Ord som «personopplysninger», «behandling» og «brudd på personopplysningssikkerheten» betyr det samme som i GDPR artikkel 4.

Vedlegg 1 beskriver behandlingen: formål, hvilke personer det gjelder, hvilke opplysninger og hvor lenge de lagres. Det som gjelder en modul, for eksempel nettbutikk eller anmeldelser, gjelder bare når Kunden bruker den.

Ailo behandler personopplysningene bare etter Kundens dokumenterte instrukser. Instruksene er hovedavtalen, denne avtalen og valgene Kunden gjør i tjenesten, for eksempel hvem som skal få henvendelsene, hvilke måleverktøy som skal slås på, og om Ailo skal lage forslag til svar. Ailo sier fra med en gang hvis Ailo mener at en instruks er i strid med personvernregelverket.

Ailo bruker ikke personopplysningene til egne formål. Ailo kan lage anonymisert, sammenstilt statistikk om hvordan tjenesten brukes, for eksempel hvor mange henvendelser nettsidene får totalt, og bruke den til å drive og forbedre tjenesten. Slik statistikk inneholder ingen personopplysninger.

Pålegger lov Ailo å behandle opplysningene på annen måte, sier Ailo fra til Kunden før behandlingen, med mindre loven forbyr det.

Alle som behandler personopplysninger for Ailo, har taushetsplikt, og får bare tilgang til det de trenger for oppgaven.

Ailo gjennomfører tekniske og organisatoriske tiltak som gir et sikkerhetsnivå tilpasset risikoen, etter GDPR artikkel 32. Tiltakene står i vedlegg 3. Ailo kan endre tiltakene så lenge sikkerhetsnivået ikke blir lavere.

Ailo hjelper Kunden, så langt det er rimelig ut fra behandlingen og opplysningene Ailo har:

• med å svare når en person bruker rettighetene sine etter GDPR artikkel 15 til 22 (innsyn, retting, sletting, begrensning, dataportabilitet og protest). Får Ailo en slik henvendelse direkte, sender Ailo den videre til Kunden og svarer ikke selv;
• med å oppfylle pliktene i GDPR artikkel 32 til 36 (sikkerhet, varsling av brudd, konsekvensvurdering og forhåndsdrøfting).

Vanlig hjelp er en del av tjenesten. Større oppdrag kan Ailo fakturere etter medgått tid, etter avtale på forhånd.

Kunden gir Ailo en generell forhåndsgodkjenning til å bruke underdatabehandlerne i vedlegg 2.

• Ailo varsler Kunden på e-post minst 30 dager før Ailo tar i bruk en ny underdatabehandler eller bytter ut en. Kunden kan protestere med saklig grunn innen fristen. Blir partene ikke enige, kan Kunden si opp avtalen med virkning fra endringen, uten kostnad.
• Ailo pålegger hver underdatabehandler de samme pliktene som Ailo har etter denne avtalen, og er ansvarlig overfor Kunden for at de blir oppfylt.

Tjenester Kunden selv kobler til med egen konto, er ikke Ailos underdatabehandlere. Det gjelder for eksempel måleverktøy og annonsekontoer (Google, Meta, LinkedIn, Microsoft, TikTok), betalingsløsninger (Vipps, Stripe, Nets) og regnskapssystemer. Forholdet til dem følger Kundens egen avtale med leverandøren. Ailo laster dem inn og sender data til dem bare slik Kunden har valgt i tjenesten, og for måleverktøy bare etter at den besøkende har samtykket.

Oppretter Ailo en Google Analytics-eiendom for Kunden under Ailos konto (Google Analytics-pakken), gjør Ailo det på Kundens vegne, og Google er da underdatabehandler for Ailo (vedlegg 2). Kunden kan når som helst kreve at eiendommen flyttes til Kundens egen konto.

Ailo varsler Kunden uten ugrunnet opphold, og senest 48 timer etter at Ailo ble kjent med et brudd som gjelder Kundens opplysninger. Varselet skal så langt det er mulig beskrive det GDPR artikkel 33 nr. 3 krever: hva som har skjedd, hvilke personer og opplysninger det gjelder, sannsynlige konsekvenser, og hva Ailo har gjort og vil gjøre. Det som ikke er kjent ennå, ettersendes. Det er Kunden som eventuelt melder bruddet til Datatilsynet og varsler de registrerte.

Ailo overfører personopplysninger ut av EØS bare når det finnes et gyldig grunnlag etter GDPR kapittel V, for eksempel EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå (blant annet for selskaper som er sertifisert under EU–US Data Privacy Framework) eller EUs standardkontraktsklausuler. Vedlegg 2 viser hvor hver underdatabehandler behandler opplysningene, og grunnlaget.

Ailo gjør tilgjengelig den informasjonen Kunden trenger for å se at avtalen blir fulgt, blant annet en oppdatert liste over underdatabehandlere og sikkerhetstiltak. Kunden kan be om en revisjon. Den skal varsles minst 30 dager i forveien, gjennomføres høyst én gang i året (oftere bare etter et brudd), og ikke hindre driften. Kunden dekker egne kostnader. Revisjon hos underdatabehandlerne skjer normalt ved at Ailo viser til deres egne sertifiseringer og revisjonsrapporter.

Avtalen gjelder så lenge Ailo behandler personopplysninger for Kunden. Når hovedavtalen opphører, sletter Ailo Kundens personopplysninger innen 90 dager. Ber Kunden om det innen 30 dager, leverer Ailo dem tilbake først (se vilkårene punkt 7 om eksport). Opplysninger som Ailo etter lov må oppbevare, slettes når plikten er over. Sikkerhetskopier slettes i leverandørens vanlige syklus.

Hver part er ansvarlig etter GDPR artikkel 82. Ansvarsbegrensningen i hovedavtalen gjelder også for denne avtalen, så langt loven tillater det.

Ved motstrid går denne avtalen foran hovedavtalen når det gjelder behandling av personopplysninger. Ailo kan endre avtalen når regelverket eller tjenesten krever det, med minst 30 dagers varsel på e-post. Endringer som gir Kunden dårligere vern, krever Kundens samtykke.

Som i hovedavtalen: norsk rett, og Trøndelag tingrett som verneting.

Særlige kategorier personopplysninger (GDPR artikkel 9, for eksempel helse) og opplysninger om straffbare forhold er ikke forutsatt. Kunden skal ikke be om slike opplysninger i skjemaene på nettsiden.

Nettsiden (alle kunder)

• Formål: vise nettsiden, ta imot henvendelser og bookinger og sende dem til Kunden, verne mot misbruk.
• Hvem det gjelder: besøkende og de som sender et skjema.
• Opplysninger: navn, e-post, telefon, melding og andre felt i skjemaet; IP-adresse og nettleser; hvilken side og kanal henvendelsen kom fra.
• Lagringstid hos Ailo: navn, kontaktopplysninger, melding, IP-adresse og nettleser anonymiseres etter 30 dager.

Besøksstatistikk (alle kunder)

• Formål: vise Kunden hvordan nettsiden brukes.
• Hvem det gjelder: besøkende.
• Opplysninger: sidevisninger, tid, rulling, klikk på telefon, e-post og knapper, enhetstype, henvisende nettsted og kampanje. Ingen IP-adresse, ID eller informasjonskapsler lagres.
• Lagringstid hos Ailo: ingen personopplysninger lagres.

Samtykkevindu og måleverktøy (når Kunden slår på verktøy)

• Formål: spørre om samtykke, huske valget og laste verktøyene Kunden har valgt.
• Hvem det gjelder: besøkende.
• Opplysninger: valget i nettleseren; ID-ene til Kundens verktøy; IP-adresse og side når vinduet hentes.
• Lagringstid hos Ailo: valget lagres bare i den besøkendes nettleser.

Google Analytics-pakken (når Kunden slår den på)

• Formål: opprette og lese Kundens Google Analytics-statistikk.
• Hvem det gjelder: besøkende som har samtykket til statistikk.
• Opplysninger: det Google Analytics samler inn; Ailo henter bare sammenstilte tall.
• Lagringstid hos Ailo: sammenstilte tall så lenge avtalen løper.

Innboks og forslag til svar (Ailo Platform)

• Formål: vise henvendelser og lage forslag til svar som Kunden godkjenner, eller sender automatisk hvis Kunden har slått det på.
• Hvem det gjelder: de som har sendt henvendelser.
• Opplysninger: som for nettsiden; utkast og sendte svar.
• Lagringstid hos Ailo: som for nettsiden; utkast og svar så lenge avtalen løper.

Anmeldelser (når Kunden kobler til Google-bedriftsprofilen)

• Formål: lese anmeldelser og lage svarforslag.
• Hvem det gjelder: de som har skrevet anmeldelser.
• Opplysninger: navn og tekst slik de står hos Google; svar.
• Lagringstid hos Ailo: så lenge avtalen løper.

Ailo-chat, agenter og meldinger til Ailo (Ailo Platform)

• Formål: utføre oppgaver Kundens brukere ber om.
• Hvem det gjelder: personer Kundens brukere skriver om.
• Opplysninger: det brukerne selv skriver eller laster opp.
• Lagringstid hos Ailo: samtaler i 180 dager.

Bildebibliotek (alle kunder)

• Formål: lagre og bruke Kundens bilder.
• Hvem det gjelder: personer som vises på bildene.
• Opplysninger: bilder.
• Lagringstid hos Ailo: til Kunden sletter dem.

Nettbutikk (når Kunden har butikk)

• Formål: ta imot og følge opp bestillinger, sende e-post om ordren, regnskap.
• Hvem det gjelder: kjøpere.
• Opplysninger: navn, e-post, telefon, adresse, ordre og betalingsstatus.
• Lagringstid hos Ailo: så lenge regnskapsreglene krever.

Listen gjelder fra 9. oktober 2026. Endringer varsles etter punkt 7.

• Supabase, Inc.: database og fillagring. Lagres: EU (Frankfurt). Grunnlag for overføring ut av EØS: EUs standardkontraktsklausuler.
• Fly.io, Inc.: servere for Ailos tjenester. Lagres: EU (Frankfurt og Stockholm). Grunnlag for overføring ut av EØS: EU–US Data Privacy Framework.
• Upstash, Inc.: kø for bakgrunnsjobber. Lagres: EU (Stockholm). Grunnlag for overføring ut av EØS: EUs standardkontraktsklausuler.
• Cloudflare, Inc.: levering av nettsidene, sikkerhet og besøksstatistikk. Lagres: globalt nettverk. Grunnlag for overføring ut av EØS: EU–US Data Privacy Framework.
• Vercel Inc.: Ailos nettsted og plattform, og samtykkevinduet. Lagres: EU (Frankfurt) og globalt nettverk. Grunnlag for overføring ut av EØS: EU–US Data Privacy Framework.
• Resend (Plus Five Five, Inc.): sending av e-post. Lagres: USA. Grunnlag for overføring ut av EØS: EU–US Data Privacy Framework.
• Anthropic PBC: KI-tjeneste: forslag til svar, chat og produkttekster. Lagres: USA. Grunnlag for overføring ut av EØS: EUs standardkontraktsklausuler.
• Google Ireland Limited, med Google LLC: Google Analytics-pakken og Search Console. Lagres: globalt. Grunnlag for overføring ut av EØS: EU–US Data Privacy Framework.

• Kryptering: all trafikk går over HTTPS (TLS). Tilgangsnøkler til Kundens tilkoblede kontoer og betalingsløsninger lagres kryptert.
• Tilgangsstyring: Kundens brukere logger inn med engangskode eller lenke på e-post og ser bare sine egne arbeidsflater. Ailos ansatte har tilgang bare når det trengs for drift og support, og når en administrator åpner en kundes arbeidsflate, logges det.
• Skille: tilgang til databasen med fulle rettigheter skjer bare fra Ailos servere, og nøklene ligger aldri i nettleseren. Interne endepunkter krever egen nøkkel.
• Dataminimering: henvendelser og bookinger anonymiseres etter 30 dager. Besøksstatistikken lagrer ingen IP-adresse eller ID.
• Misbruksvern: skjemaene har skjult felt og tidsfelle. Nettbutikken har fartsgrenser per IP-adresse, butikk og e-post. Ailo henter aldri innhold fra adresser som peker inn i interne nett.
• Sikkerhetskopier: daglige sikkerhetskopier av databasen hos databaseleverandøren.
• Oppdateringer og logger: sikkerhetsoppdateringer installeres fortløpende. Logger inneholder ikke hemmeligheter.
• Leverandører: underdatabehandlerne er store leverandører med egne sikkerhetssertifiseringer.