GDPR Compliant

Vi kan ha to ulike roller:

Når vi behandler personopplysninger på dine vegne, tilbyr vi en strukturert DPA som dekker:

• Formål med behandlingen
• Typer personopplysninger og kategorier registrerte (kunder, brukere, ansatte, m.m.)
• Våre plikter som databehandler
• Sikkerhetstiltak (tekniske og organisatoriske)
• Regler for bruk av underleverandører (subprosessorer)
• Lagringstid og sletting/anonymisering etter endt oppdrag
• Håndtering av avvik og brudd på personopplysningssikkerheten
• Mekanismer for internasjonale overføringer (EU-standardklausuler m.m.)

For å levere moderne KI- og automasjonsløsninger bruker vi følgende underleverandører:

Hvis vi gjør vesentlige endringer i hvilke underleverandører som brukes for din løsning, vil dette håndteres i tråd med avtalte rutiner (f.eks. 30 dagers varsel og mulighet til å protestere).

Echo Algori Data er et norsk selskap, men kundene våre og noen teknologipartnere finnes globalt (inkl. Europa, USA og andre regioner). Når personopplysninger overføres utenfor EU/EØS:

• Vi følger reglene i GDPR kapittel V om overføring til tredjeland.
• Der det ikke finnes et «adequacy decision», bruker vi normalt EU-kommisjonens standardkontraktklausuler (SCC) kombinert med relevante tekniske og organisatoriske tiltak.
• Vi vurderer løpende risiko og nødvendighet ved slike overføringer, spesielt når det gjelder KI-tjenester og skyleverandører.

Vi baserer all behandling på gyldige grunnlag etter GDPR, avhengig av situasjonen:

Når vi er databehandler, er det din virksomhet som definerer formål og hjemmel, mens vår rolle reguleres av art. 28 (databehandleravtale).

Vi praktiserer "privacy by design" og "privacy by default" så langt som mulig:

• Minimering av data (bare det som er nødvendig for formålet)
• Tilgangsstyring og "least privilege" – bare de som trenger tilgang får det
• Loggføring og overvåkning av kritiske systemer
• Kryptering der det er hensiktsmessig (i hvile og/eller under overføring)
• Oppdaterte rutiner for patching, backup og hendelseshåndtering
• Opplæring og bevisstgjøring internt om sikkerhet og personvern

Ettersom vi jobber mye med generativ KI, agentiske systemer og automatisering, har vi egne prinsipper for ansvarlig bruk som er i tråd med den nye EU-forordningen om kunstig intelligens (EU AI Act).

Våre prinsipper for ansvarlig KI-bruk:

Dine rettigheter som registrert (innsyn, retting, sletting, begrensning, dataportabilitet, protest og å trekke samtykke tilbake) er beskrevet mer detaljert i vår Personvernerklæring.

Kontakt: privacy@echoalgoridata.no

Dersom du mener vi ikke behandler personopplysninger i tråd med regelverket, kan du klage til Datatilsynet i Norge eller relevant tilsynsmyndighet i ditt hjemland. Vi setter likevel pris på om du kontakter oss først, slik at vi kan forsøke å løse saken i minnelighet.

For kunder utenfor EU/EØS – inkludert samarbeid med ALG Dynamics (USA) og andre partnere – er det viktig å vite:

• Vi legger GDPR-nivå til grunn som standard, også når vi jobber med internasjonale kunder.
• Der lokal lovgivning krever ekstra tiltak, kan vi tilpasse avtale og teknisk løsning.
• Vi kan hjelpe med å designe arkitektur som passer både GDPR og relevante lokale krav (f.eks. krav til lagring i bestemte regioner, interne policies, bransjenormer).

Vi forbedrer kontinuerlig både teknologi og rutiner – og denne siden vil bli oppdatert ved behov. Dato for siste oppdatering står øverst.