Databehandleravtale

Butikken bruker Delivio Drivers til å kjøre ut varer til sine kunder. For å gjøre det får vi opplysninger om mottakerne fra butikken. Butikken har ansvaret for opplysningene, og vi behandler dem bare på butikkens vegne og etter butikkens instruks.

Avtalen gjelder så lenge vi kjører for butikken, og opphører når samarbeidet opphører.

Mottakerens navn, leveringsadresse, eventuelt etasje eller oppgang, telefonnummer der det er oppgitt, og beskjeden som skal følge varen. I tillegg lager vi selv: tidspunkt for levering, bilde som bevis på at varen kom fram, og eventuelt notat fra sjåføren om hvordan man finner døra.

Vi ber ikke om, og vil ikke ha, opplysninger om helse, religion, politisk syn eller andre særlige kategorier. Skriver butikken slikt i en beskjed til mottakeren, behandler vi det som en del av leveringen, men butikken skal ikke sende slike opplysninger med vilje.

Bare til å levere varen og til å kunne svare på om den kom fram. Vi bruker dem ikke til markedsføring, vi selger dem ikke, og vi bruker dem ikke til å bygge profiler.

Leveringsbildet slettes etter 90 dager, slik at en reklamasjon kan behandles i mellomtiden.

Navn, adresse og leveringstidspunkt blir stående så lenge det er nødvendig for regnskapet. Bokføringsloven krever at dokumentasjon av fakturerte oppdrag oppbevares i fem år.

Sjåføren som skal kjøre ruten, ser mottakerne på sin egen rute og ingen andres. Vi som driver Delivio Drivers, ser dem for å kunne hjelpe når noe går galt.

Underleverandører vi bruker for å drive tjenesten: Vercel (drift av appen), Neon (databasen, i Frankfurt), Resend (e-post) og Anthropic (språkmodell som hjelper sjåføren å finne riktig inngang, og som bare får adressen og sjåførenes notater om inngangen, ikke navn eller telefonnummer). SMS til mottakere sendes av Delivio AS fra deres eget system, ikke av oss. Vercel, Resend og Anthropic er amerikanske selskaper. Overføring til USA bygger på EU-kommisjonens standardkontraktsklausuler i databehandleravtalene med dem. Butikken kan når som helst be om en oppdatert liste.

Ruter som kommer fra Delivio AS sitt system: mottakeropplysningene hentes da fra Delivio AS, som er behandlingsansvarlig for bestillingen, og vi behandler dem på deres vegne for å levere. Sjåførens posisjon på leveringstidspunktet og leveringsbildet sendes tilbake til Delivio AS som leveringsbevis. Forholdet mellom Delivio AS og Delivio Drivers reguleres i en egen avtale mellom selskapene.

Alt går over kryptert forbindelse. Sjåføren logger inn med engangskode til sitt eget telefonnummer, og ser bare sine egne ruter. Bildene ligger bak innlogging. Databasen krever passord og kryptert tilkobling.

Oppdager vi et brudd på personopplysningssikkerheten, sier vi fra til butikken uten ugrunnet opphold, og senest 24 timer etter at vi ble klar over det. Vi forteller det vi vet om hva som har skjedd, hvem det gjelder og hva vi gjør med det. Butikken melder til Datatilsynet, og vi gir butikken det den trenger for å gjøre det.

Ber en mottaker om innsyn, retting eller sletting, sender vi henvendelsen til butikken og hjelper butikken med å svare. Vi svarer ikke på egen hånd, fordi det er butikkens opplysninger og butikkens avgjørelse.

Butikken velger om vi skal slette eller levere tilbake opplysningene. Sier butikken ingenting, sletter vi, bortsett fra det bokføringsloven krever at vi beholder.

Butikken kan be om dokumentasjon på at vi gjør det som står her. Er en revisjon nødvendig, avtaler vi den på forhånd. Viser revisjonen at vi har brutt avtalen, dekker vi kostnadene.